Braucht eine Buchungsseite ein Cookie-Banner?

Das Gesetz handelt nicht von Cookies

Das klingt nach Wortklauberei und ist es nicht. Es ist der ganze Grund, warum so viele Banner an der falschen Stelle stehen.

Die Regel stammt aus Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt in § 25 TDDDG. Dort steht nicht, dass Sie für Cookies eine Einwilligung brauchen. Dort steht, dass „die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind“, nur mit Einwilligung zulässig ist. Cookies sind dafür eine Technik, und zufällig die älteste.

Der Europäische Datenschutzausschuss hat das im Oktober 2024 in Leitlinien zum technischen Anwendungsbereich noch einmal ausbuchstabiert. Drei Punkte lohnen sich zu merken. Informationen umfasst personenbezogene und nicht personenbezogene Daten. Speichern oder Auslesen genügt für sich allein, Sie müssen nicht beides tun. Und die Technik ist gleichgültig: localStorage, ein Tracking-Pixel, ein Skript, das das Canvas ausliest, oder Kennungen in der URL fallen genauso darunter.

Wer sein Banner auf „verwende ich Cookies?“ stützt, beantwortet also die falsche Frage. Die richtige lautet: Legt meine Seite etwas auf dem Gerät des Besuchers ab oder liest sie etwas aus, und wenn ja, wofür?

Die Ausnahmen, und warum Deutschland strenger ist

§ 25 Absatz 2 TDDDG kennt genau zwei Fälle, in denen keine Einwilligung nötig ist.

1. Alleiniger Zweck ist die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz. Enger, als es klingt, und selten das, worauf Sie sich am Ende stützen.
2. Unbedingt erforderlich für einen ausdrücklich gewünschten digitalen Dienst. Das ist die entscheidende Ausnahme. Ein Warenkorb, der sich merkt, was darin liegt. Eine Sitzung, die Sie angemeldet hält. Ein Token, das ein doppeltes Absenden verhindert. Achten Sie auf unbedingt: Es geht um das, was den Dienst unmöglich machen würde, nicht um das, was ihn angenehmer macht.

Und damit endet die Liste. Das ist der wichtigste Unterschied zu manchen Nachbarländern: Die Niederlande haben 2015 eine dritte Ausnahme für Reichweitenmessung mit geringen Folgen für die Privatsphäre eingeführt. Deutschland hat das nicht getan. Analyse-Werkzeuge brauchen hier immer eine Einwilligung, auch wenn sie nur zählen.

Fällt Ihr Vorgehen unter eine der beiden Ausnahmen, brauchen Sie keine Einwilligung. Informieren müssen Sie in der Regel trotzdem: Das ist eine eigene Pflicht und sie verschwindet nicht mit dem Banner.

Was das für eine Buchungsseite bedeutet

Nehmen Sie eine schlichte Buchungsseite. Jemand öffnet Ihren Link, sieht welche Zeiten frei sind, wählt eine aus, gibt Namen und E-Mail-Adresse ein und erhält eine Bestätigung. Was in dieser Kette erfordert wirklich Speicherung auf dem Gerät dieses Besuchers?

Fast nichts. Die freien Zeiten kommen vom Server. Die Buchung geht an den Server. Was lokal nötig ist, etwa ein Token gegen doppeltes Absenden, ist unbedingt erforderlich für genau den Dienst, den der Besucher selbst angefragt hat. Zweite Ausnahme, kein Banner.

Was die Antwort umdreht, ist fast immer etwas, das Sie selbst hinzugefügt haben:

• ein Meta- oder LinkedIn-Pixel zur Messung von Conversions;
• Google Analytics in der Standardeinstellung;
• eine eingebettete Google-Maps-Karte oder ein YouTube-Video;
• ein Chat-Widget;
• Schriftarten, die beim Laden von einem externen CDN geholt werden;
• ein Werkzeug für A/B-Tests.

Jedes davon speichert oder liest Informationen zu einem Zweck, den der Besucher nicht verlangt hat. Dafür braucht es eine Einwilligung, und zwar bevor irgendetwas geschieht.

Warum ein Banner ohne Anlass Sie etwas kostet

„Dann stelle ich es eben sicherheitshalber hin“ wirkt kostenlos. Ist es nicht, aus drei Gründen.

Es kostet Buchungen. Eine Buchungsseite hat eine Aufgabe, und jeder Klick, der nicht von einer Uhrzeit handelt, arbeitet dagegen. Sie bauen eine Hürde auf und bekommen nichts dafür.

Es kann Sie in den Verstoß führen statt heraus. Das ist der kontraintuitive Punkt. Aufsichtsbehörden gehen aktiv gegen Banner vor, die nicht taugen: vorangekreuzte Kästchen, Ablehnen schwerer gemacht als Annehmen, oder Skripte, die schon liefen, bevor jemand geklickt hat. Ein Banner, das um Einwilligung bittet und die Antwort dann ignoriert, ist nachweislich irreführend. Kein Banner, wenn es nichts zu fragen gibt, ist es nicht.

Es schwächt Ihre Aussage. Wenn ein Kunde fragt, was mit seinen Daten geschieht, ist „wir legen nichts auf Ihrem Gerät ab“ eine stärkere Antwort als der Verweis auf ein Pop-up, das er weggeklickt hat.

Wie Calio dazu steht

Die berechtigte Gegenfrage bei einem Artikel auf der Seite eines Anbieters: Und wie halten Sie es selbst?

Die öffentliche Buchungsseite von Calio setzt keine Cookies. Kein einziges. Es gibt keine Sitzung, keine Besucher-ID, und es wird nichts aus dem Browser ausgelesen, um jemanden wiederzuerkennen. Das müssen Sie uns nicht glauben: Es steht in den Antwort-Headern jeder Seite.

Wir zählen allerdings, wie oft eine Buchungsseite aufgerufen wurde, denn nur so können wir Ihnen zeigen, wie viele der Betrachtenden auch buchen. Das geschieht mit einem Zähler pro Terminart pro Tag in unserer eigenen Datenbank. Keine IP-Adresse, kein User-Agent, kein Cookie, keine Sitzung. Es wird nichts gespeichert, womit sich zwei Besuche verknüpfen ließen, und damit auch nichts, womit jemand anders behandelt werden könnte. Da auf dem Endgerät nichts abgelegt und nichts ausgelesen wird, stellt sich die Frage nach § 25 TDDDG hier gar nicht erst.

Wo es doch Ihre Verantwortung wird: das Widget auf Ihrer eigenen Website. Es setzt selbst nichts, aber die Seite drumherum gehört Ihnen. Steht dort ein Werbepixel, geht es um diesen Pixel.

Was es sonst über unsere Verarbeitung zu wissen gibt, inklusive der Unterauftragsverarbeiter mit Namen und Land, steht in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag.

Kurz zusammengefasst

• Die Einwilligungspflicht hängt am Speichern oder Auslesen auf dem Endgerät, nicht am Wort Cookie. Pixel, localStorage und Fingerprinting zählen mit.
• Was für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist, geht ohne Einwilligung. Eine schlichte Buchungsseite kommt meist gar nicht so weit.
• Deutschland kennt keine Analyse-Ausnahme. § 25 Abs. 2 TDDDG listet nur zwei Fälle; Reichweitenmessung gehört nicht dazu.
• Ein Banner, das Sie nicht brauchen, kostet Buchungen und kann Sie in den Verstoß führen statt heraus. Prüfen Sie zuerst, was Ihre Seite lädt, und entscheiden Sie dann.