Ein Cookie ist im Kern nichts als eine kleine Textdatei, die eine Website im Browser eines Besuchers ablegt und bei jedem weiteren Aufruf wieder ausliest. Das allein ist technisch harmlos — ohne diesen Mechanismus würde sich kein Warenkorb merken, welche Artikel darin liegen, und keine Anmeldung würde über mehrere Seitenaufrufe hinweg bestehen bleiben. Cookies sind, in dieser Rolle, die Erinnerung des Webs.
Problematisch wird es, sobald ein Cookie nicht mehr nur die eigene Sitzung trägt, sondern einen Besucher über Zeit und über verschiedene Websites hinweg wiedererkennbar macht. Ein Werbenetzwerk, das auf hunderten Seiten dasselbe Cookie setzt, kann daraus ein Bewegungsprofil bauen — welche Seiten jemand besucht, wie oft, wann. Das geschieht unsichtbar: Ein Besucher sieht der Seite nicht an, dass im Hintergrund ein Dutzend solcher Cookies gesetzt wird.
Genau an diesem Punkt setzt die europäische Regel an, aus der Cookie-Banner entstanden sind: Wer auf dem Gerät eines Nutzers etwas speichert oder von dort ausliest, das nicht zwingend für die angeforderte Funktion nötig ist, braucht dafür vorher eine Einwilligung. Das gilt unabhängig davon, ob dabei personenbezogene Daten im engeren Sinn entstehen — es reicht, dass überhaupt auf das Endgerät zugegriffen wird. (Die Herkunft dieser Regel, die sogenannte ePrivacy-Richtlinie, ist Thema des nächsten Beitrags.)
Daraus folgt eine Unterscheidung, die durch jeden ordentlichen Cookie-Banner läuft: notwendige Cookies auf der einen Seite — Warenkorb, Anmeldesitzung, Sicherheitsfunktionen, ohne die eine Seite schlicht nicht funktioniert — und alles andere auf der anderen: Statistik, Personalisierung, Werbung. Für die erste Gruppe braucht es keine Einwilligung, weil der Gesetzgeber sie als Voraussetzung des angeforderten Dienstes selbst ansieht. Für die zweite Gruppe schon.
Ein Cookie-Banner ist damit im Grunde nichts anderes als die praktische Umsetzung dieser Unterscheidung: Er zeigt einem Besucher, was eine Seite über die notwendigen Funktionen hinaus vorhat, und holt dafür eine bewusste Entscheidung ein, bevor irgendetwas davon greift. Nicht danach — vorher. Ein Banner, der erst beim zweiten Seitenaufruf erscheint, während im Hintergrund längst ein Tracking-Skript geladen hat, erfüllt seinen Zweck nicht, egal wie sauber er aussieht.
Damit ist ein Cookie-Banner zugleich mehr als nur eine Anzeige. Er muss nachweisen können, dass die Einwilligung wirklich erteilt wurde — wann, von wem (bzw. von welchem Browser), wozu genau, und dass sie sich ebenso leicht widerrufen lässt, wie sie gegeben wurde. Diese Nachweispflicht trifft nicht den Besucher, sondern den Betreiber der Website: Im Streitfall muss er zeigen können, dass er eine gültige Einwilligung hatte, nicht der Nutzer, dass er keine gegeben hat.
Genau das erklärt, warum Cookie-Banner heute so aussehen, wie sie aussehen: mit einer echten Ablehnen-Option gleichwertig zur Zustimmung, mit einer Aufschlüsselung nach Kategorien statt einem pauschalen Ja, und mit einem Protokoll im Hintergrund, das festhält, was genau passiert ist. Das ist kein Zufall und kein übertriebener Formalismus — es ist die direkte Folge einer einzigen Grundregel: Auf ein fremdes Gerät zugreifen darf, wer dafür eine echte, informierte, aktive Zustimmung hat. Alles andere baut auf dieser einen Regel auf, und die nächsten Beiträge dieser Reihe gehen ihrem Ursprung im europäischen und deutschen Recht im Einzelnen nach.