Cookie-Consent: Wann Art. 5(3) ePrivacy tatsächlich Einwilligung verlangt

Die weit verbreitete Annahme, dass Art. 5(3) der ePrivacy-Richtlinie (RL 2002/58/EG) für alle Cookies eine Einwilligung verlangt, führt zu überflüssigen Consent-Bannern und rechtlicher Unsicherheit. Eine präzise Analyse der Ausnahmetatbestände in Art. 5(3) Satz 2 zeigt: Viele technisch notwendige Cookies bedürfen keiner Einwilligung – wenn sie korrekt implementiert sind.

Ausnahmetatbestände nach Art. 5(3) Satz 2 ePrivacy

Art. 5(3) Satz 2 ePrivacy definiert zwei Ausnahmen vom Einwilligungserfordernis:

• Technische Speicherung oder Zugriff ausschließlich zur Durchführung der Übertragung über ein elektronisches Kommunikationsnetz
• Technische Speicherung oder Zugriff unbedingt erforderlich, damit der Anbieter einen vom Teilnehmer oder Nutzer ausdrücklich gewünschten Dienst bereitstellen kann

Die EDPB-Leitlinien 5/2020 zur Einwilligung konkretisieren diese Ausnahmen. Entscheidend ist nicht die Cookie-Kategorie, sondern die spezifische technische Funktion und deren strikte Zweckbindung.

Session-IDs und Authentifizierung: Klare Ausnahmefälle

Session-Cookies für authentifizierte Bereiche fallen regelmäßig unter die zweite Ausnahme. Beispiel: Ein Cookie mit dem Namen PHPSESSID, das ausschließlich zur Aufrechterhaltung der Server-Session nach Login verwendet wird, benötigt keine Einwilligung nach Art. 6(1)(f) DSGVO i.V.m. Art. 5(3) ePrivacy.

Technische Implementierung: Das Cookie muss folgende Eigenschaften aufweisen:

• HttpOnly-Flag gesetzt (verhindert JavaScript-Zugriff)
• SameSite=Strict oder SameSite=Lax
• Secure-Flag bei HTTPS-Verbindungen
• Maximale Gültigkeitsdauer entsprechend Session-Timeout

Das BayLDA bestätigte in seiner Orientierungshilfe von 2019: Solche technisch notwendigen Cookies sind von der Einwilligungspflicht ausgenommen, sofern sie nicht für andere Zwecke verwendet werden.

Shopping-Cart-Cookies: Zweckbindung als Grenzkriterium

Warenkorb-Cookies sind nur dann einwilligungsfrei, wenn sie ausschließlich die gewählten Artikel und Mengen speichern. Problematisch wird es bei zusätzlichen Datensammlung:

Zulässig ohne Einwilligung:

• Produkt-IDs und Mengen
• Gewählte Produktvarianten (Größe, Farbe)
• Session-bezogene Preisinformationen

Einwilligungspflichtig:

• Verknüpfung mit User-IDs für Tracking
• Geräte-Fingerprinting-Parameter
• Referrer-Informationen für Marketingzwecke

Die französische CNIL stellte 2020 klar: Sobald ein "technisches" Cookie zusätzliche Identifier für Werbezwecke enthält, fällt es vollständig unter das Einwilligungserfordernis.

Load Balancer und CDN-Cookies: Reine Infrastruktur

Cookies zur Verteilung der Serverlast oder CDN-Steuerung sind nach Art. 5(3) Satz 2, erste Alternative ausnahmslos zulässig. Beispiele:

• AWSALBCORS für AWS Application Load Balancer
• __cfduid für Cloudflare-Routing (bis 2021 verwendet)
• Server-Pool-Identifier ohne Personenbezug

Rechtliche Einordnung: Diese Cookies dienen ausschließlich der technischen Übertragung und Bereitstellung des angeforderten Dienstes. Sie enthalten keine personenbezogenen Daten und werden nicht für Tracking verwendet.

Consent-Management selbst: Paradox der Implementierung

Ein praktisches Problem: Das Cookie zur Speicherung der Consent-Entscheidung selbst benötigt keine Einwilligung. Art. 7(1) DSGVO verlangt den Nachweis der Einwilligung – das Consent-Cookie erfüllt diese rechtliche Anforderung.

Technische Umsetzung:

• Cookie-Name: consent_status oder ähnlich
• Inhalt: Verschlüsselte Zustimmungsinformationen mit Zeitstempel
• Lebensdauer: 13 Monate (entspricht EDPB-Empfehlung)
• Domain-spezifisch ohne Cross-Site-Übertragung

Falsche Consent-Banner: Rechtliche Risiken

Websites, die für technisch notwendige Cookies fälschlich um Einwilligung bitten, schaffen rechtliche Probleme:

1. Freiwilligkeit nach Art. 7(4) DSGVO: Wenn technisch notwendige Cookies als "optional" dargestellt werden, ist die Freiwilligkeit der Einwilligung für andere Cookies fraglich
2. Kopplungsverbot: Die Nutzung der Website darf nicht von der Zustimmung zu nicht-notwendigen Cookies abhängen
3. Transparenz nach Art. 12 DSGVO: Irreführende Kategorisierung verletzt Informationspflichten

Praktische Handlungsempfehlungen

Für Datenschutzbeauftragte:

• Cookie-Audit durchführen: Jeden Cookie einzeln auf Zweck und technische Notwendigkeit prüfen
• Implementierungsdetails dokumentieren: HTTP-Header, JavaScript-Code, Server-Konfiguration
• Consent-Management-Tool konfigurieren: Nur einwilligungspflichtige Cookies in Banner aufnehmen

Für Entwickler:

• Cookie-Flags korrekt setzen (HttpOnly, Secure, SameSite)
• Zweckbindung im Code dokumentieren
• Separate Cookie-Domains für Marketing und technische Funktionen

Die korrekte Anwendung von Art. 5(3) ePrivacy reduziert nicht nur rechtliche Risiken, sondern verbessert auch die Nutzererfahrung durch weniger störende Consent-Banner bei tatsächlich notwendigen Funktionen.