Cookie
Definition: Ein Cookie ist eine kleine Textdatei, die ein Webserver über den Browser auf dem Endgerät eines Nutzers speichert. Sie dient der Wiedererkennung von Sitzungen, der Speicherung von Präferenzen oder dem Tracking von Nutzerverhalten. Rechtlich relevant wird sie durch die DSGVO und die ePrivacy-Richtlinie, die eine informierte Einwilligung vor dem Setzen nicht-technisch notwendiger Cookies verlangen.
Was ist ein Cookie und wie funktioniert er technisch?
Ein Cookie ist im Kern ein Datenpaket, das bei einem ersten Besuch einer Website vom Server an den Browser gesendet und dort lokal abgelegt wird. Bei jedem weiteren Request sendet der Browser dieses Paket zurück an den Server. Dadurch entsteht ein Zustand in einem eigentlich zustandslosen HTTP-Protokoll. Man unterscheidet zwischen First-Party-Cookies, die von der besuchten Domain selbst gesetzt werden, und Third-Party-Cookies, die von externen Domänen wie Werbenetzwerken oder Analyseanbietern stammen.
Die technische Funktionsweise ist simpel: Name, Wert, Domain, Pfad, Ablaufzeitpunkt und Flags wie Secure oder HttpOnly definieren das Verhalten. Letzteres verhindert den Zugriff durch JavaScript und schützt vor XSS-Angriffen. Die Lebensdauer variiert von Sitzungscookies, die mit dem Schließen des Browsers verfallen, bis zu persistenten Cookies mit explizitem Ablaufdatum.
Ein Cookie ist für das Web, was ein Namensschild für eine Konferenz ist: Es erlaubt dem Gastgeber, Sie beim nächsten Besuch wiederzuerkennen, ohne dass Sie sich erneut vorstellen müssen.
Die rechtliche Einordnung: DSGVO und ePrivacy
Die Rechtslage ist streng und wird oft missverstanden. Die ePrivacy-Richtlinie verlangt eine aktive Einwilligung vor dem Setzen von Cookies, die nicht unbedingt erforderlich sind. Die DSGVO ergänzt dies durch das Kopplungsverbot: Die Einwilligung muss freiwillig sein, was bedeutet, dass der Zugang zur Website nicht von der Zustimmung zu Tracking-Cookies abhängig gemacht werden darf. Die Einwilligung muss zudem jederzeit widerrufbar sein und in gleicher Leichtigkeit wie die Erteilung.
Strikt notwendige Cookies sind von der Einwilligungspflicht ausgenommen. Dazu zählen Session-Cookies für den Warenkorb, Login-Cookies oder Sicherheitsfunktionen. Alles andere – von Analyse-Cookies über Marketing-Tracking bis zu Social-Media-Plugins – benötigt eine informierte, aktive und dokumentierte Zustimmung. Die Aufsichtsbehörden in Deutschland, etwa der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, haben hierzu umfangreiche Orientierungshilfen veröffentlicht.
Abgrenzung: Cookie vs. Local Storage vs. Fingerprinting
Der Begriff Cookie wird im Alltag oft als Synonym für jede Form von Nutzerverfolgung verwendet. Das ist technisch unpräzise. Der Local Storage der HTML5-API erfüllt ähnliche Funktionen, unterliegt aber nicht der gleichen ePrivacy-Regulierung – ein regulatorisches Schlupfloch, das zunehmend kritisch diskutiert wird. Noch einen Schritt weiter geht das Browser-Fingerprinting: Hier werden keine Daten auf dem Gerät gespeichert, sondern aus den individuellen Merkmalen des Browsers – Bildschirmauflösung, installierte Fonts, Zeitzone – ein nahezu eindeutiger Identifikator berechnet.
Aus Compliance-Sicht ist diese Unterscheidung brisant. Während Cookies klar reguliert sind, bewegen sich Fingerprinting und Local Storage in einer Grauzone. Die Datenschutzkonferenz hat jedoch klargestellt, dass auch diese Techniken unter die Einwilligungspflicht fallen, wenn sie der Profilbildung dienen. Für Unternehmen bedeutet das: Die Cookie-Einwilligung ist nur ein Baustein einer umfassenden Tracking-Compliance-Strategie.
Praktische Implikationen für B2B-Unternehmen und SaaS-Plattformen
Für B2B-Unternehmen stellt sich die Cookie-Problematik anders dar als im B2C-Kontext. Die Nutzer sind häufig Mitarbeiter von Unternehmen, die selbst datenschutzrechtlichen Pflichten unterliegen. Ein fehlerhaftes Cookie-Banner kann daher nicht nur Abmahnungen auslösen, sondern auch Geschäftsbeziehungen gefährden. Die Implementierung eines Consent-Management-Plattform (CMP) ist heute Standard, doch die Qualität variiert erheblich.
| Anforderung | Technische Umsetzung | Häufiger Fehler |
|---|---|---|
| Einwilligung vor dem Setzen | CMP blockiert Skripte bis zur Entscheidung | Cookies werden vor dem Consent gesetzt |
| Widerruf in gleicher Leichtigkeit | Banner erneut aufrufbar, ein Klick | Widerruf nur über Einstellungen, mehrere Klicks |
| Nachweispflicht | Protokollierung der Einwilligung mit Zeitstempel | Keine lückenlose Dokumentation |
| Kopplungsverbot | Zugang ohne Zustimmung möglich | Paywall oder Blockade bei Ablehnung |
Die Praxis zeigt: Viele CMPs setzen Cookies bereits beim Laden der Consent-Seite selbst. Das ist ein klassischer Compliance-Fehler. Zudem muss die Einwilligung nach DSGVO nachweisbar sein – ein reines Opt-out-Modell, wie es in den USA üblich ist, genügt in der EU nicht. SaaS-Anbieter, die ihre Plattform international betreiben, stehen daher vor der Herausforderung, unterschiedliche Rechtsräume in einer einzigen Consent-Architektur abzubilden.
Die Zukunft: Cookieless Tracking und Privacy-first-Architekturen
Die Ära des Third-Party-Cookies neigt sich dem Ende zu. Browser wie Safari und Firefox blockieren sie bereits standardmäßig, Google hat die Abschaffung im Chrome-Browser mehrfach verschoben, verfolgt das Ziel aber weiter. Für Marketing und RevOps bedeutet das einen fundamentalen Umbau: Weg vom personenbezogenen Tracking hin zu kontextuellen Signalen, Aggregation und probabilistischen Modellen.
Gleichzeitig wächst die Bedeutung von First-Party-Daten. Unternehmen, die direkte Kundenbeziehungen pflegen und Daten transparent erheben, sind im Vorteil. Die Server-Side-Tracking-Architektur verschiebt die Datenverarbeitung vom Browser auf den eigenen Server und reduziert so die Abhängigkeit von Browser-Restriktionen. Aus rechtlicher Sicht ändert das jedoch wenig: Auch serverseitig gesetzte Cookies unterliegen der Einwilligungspflicht, wenn sie nicht strikt notwendig sind.
Die Zukunft gehört nicht dem Verzicht auf Daten, sondern der intelligenten Nutzung von Daten, die Nutzer bewusst und informiert zur Verfügung stellen.
Für Compliance-Verantwortliche und RevOps-Teams gilt: Die Cookie-Strategie ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Regulatorische Vorgaben ändern sich, Browser-Restriktionen verschärfen sich, und die Erwartungen der Nutzer an Transparenz steigen. Wer hier proaktiv handelt, verwandelt Compliance von einem Kostenfaktor in einen Wettbewerbsvorteil.
« Back to Glossary Index