Eine cookiefreie Website verzichtet grundsätzlich auf nicht notwendige Cookies und vergleichbare Technologien für Tracking, Analyse oder Marketing. In diesem Beitrag bezeichnet „cookiefrei“ eine Website ohne einwilligungspflichtige CookiesCookies einfach erklärt: Cookies sind kleine Textdateien, die ein Browser für eine Website speichert, damit Sitzungen, Präferenzen oder Messdaten verwaltet werden können. Browser-Cookies beziehungsweise... Klicken und mehr erfahren und vergleichbare Tracking-Techniken. Technisch notwendige Cookies, Local Storage, Session Storage, Server-Logfiles und eine datensparsame Reichweitenmessung müssen weiterhin nach Zweck und konkreter Umsetzung beurteilt werden.
Cookiefrei beschreibt die eingesetzten Speicher- und Tracking-Techniken. Ohne Cookie-Banner beschreibt nur die sichtbare Einwilligungsoberfläche.
Eine Website ohne Cookie-Banner ist daher nicht automatisch cookiefrei. Umgekehrt kann eine cookiefreie Website technisch notwendige Speicher- oder Zugriffsvorgänge enthalten. Eine belastbare Einordnung erfordert eine technische Prüfung der tatsächlich ausgelieferten Website.
Was ist eine cookiefreie Website?
Im praktischen Datenschutzverständnis arbeitet eine cookiefreie Website ohne optionale Analyse-, Profiling- und Marketing-Cookies. Eine solche Website vermeidet außerdem vergleichbare Verfahren, wenn diese Nutzer wiedererkennen, Verhalten über mehrere Aufrufe verfolgen oder Informationen ohne erforderliche Einwilligung im Endgerät speichern beziehungsweise daraus auslesen.
Die Formulierungen „Website ohne Cookies“, „cookielose Website“ und „Cookie-freie Website“ werden häufig synonym verwendet. Fachlich ist „cookiefrei“ jedoch keine absolute Aussage über jeden Datenfluss. Auch eine cookiefreie Website kommuniziert mit einem Webserver, verarbeitet Netzwerkaufrufe und kann eine IP-Adresse zumindest kurzfristig in technischen Logfiles erfassen.
Eine cookiefreie Website verzichtet auf nicht notwendige Cookies und vergleichbares Tracking, reduziert Datenflüsse und dokumentiert die verbleibenden technischen Verarbeitungen.
Cookiefreie Website und Cookie-Banner: die Abgrenzung
Ein Cookie-Banner ist eine Oberfläche, über die Nutzer eine Einwilligung erteilen oder ablehnen können. Das Banner verändert die Technik im Hintergrund nicht. Wenn Skripte, Drittanbieter oder eingebettete InhalteContent umfasst alle gezielt veröffentlichten digitalen Inhalte auf Websites, in Shops, in Social-Media-Kanälen, in Newslettern und in anderen digitalen Umgebungen. Wenn Du wissen willst,... Klicken und mehr erfahren bereits vor der Auswahl Daten übertragen, verhindert die sichtbare Einwilligungsoberfläche diesen Datenfluss nicht.
Ein Cookie-Banner kann entbehrlich sein, wenn die Website keine einwilligungspflichtigen Speicher- oder Zugriffsvorgänge ausführt. Das betrifft nicht nur klassische Cookies. Nach den Leitlinien des Europäischen Datenschutzausschusses ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie nicht auf Cookies beschränkt. Auch andere Techniken können erfasst sein, wenn sie Informationen auf einem Endgerät speichern oder auf dort gespeicherte Informationen zugreifen.
Nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie gilt für solche Vorgänge grundsätzlich eine Einwilligungsanforderung. Ausnahmen bestehen für die Übertragung einer Nachricht und für Vorgänge, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.
Für Betriebe in Südtirol ist außerdem die italienische Umsetzung relevant. Die Cookie-Leitlinien des italienischen Garante unterscheiden zwischen technischen Identifikatoren und Profiling-Cookies beziehungsweise anderen nicht technischen Tracking-Werkzeugen. Technische Vorgänge können von der Einwilligung ausgenommen sein, unterliegen aber weiterhin Informationspflichten.
Welche Speicher- und Tracking-Techniken sind zu unterscheiden?
Technisch notwendige Cookies
Technisch notwendige Cookies ermöglichen eine ausdrücklich angeforderte Funktion. Typische Beispiele sind ein Warenkorb, eine sichere Anmeldung, eine Sprachauswahl für die laufende Nutzung oder der Schutz eines Formulars. Entscheidend ist nicht die Bezeichnung des Cookies, sondern ob die Funktion ohne den konkreten Speichervorgang bereitgestellt werden kann.
Technisch notwendige Cookies sind nicht von allen Informationspflichten befreit. Zweck, Speicherdauer und Funktionsweise sollten dokumentiert und in den Datenschutzhinweisen verständlich beschrieben werden.
Nicht notwendige Cookies
Nicht notwendige Cookies unterstützen Funktionen, die für die vom Nutzer angeforderte Website-Leistung nicht zwingend gebraucht werden. Dazu gehören häufig:
- seitenübergreifendes Tracking und Nutzerprofile,
- Marketing- und Remarketing-Funktionen,
- personalisierte WerbungPersonalisierte Werbung ist ein Begriff, der immer mehr an Bedeutung gewonnen hat. Doch was steckt eigentlich dahinter? Im Kern geht es darum, Werbebotschaften so... Klicken und mehr erfahren,
- bestimmte Analyse- und Optimierungsdienste,
- Social-Media-Tracking sowie
- Komfortfunktionen ohne technische Erforderlichkeit.
Ein Cookie wird nicht technisch notwendig, nur weil ein eingesetztes Werkzeug den Cookie standardmäßig setzt. Maßgeblich sind der Zweck und die tatsächliche Erforderlichkeit.
Local Storage und Session Storage
Local Storage und Session Storage sind Bereiche im Browser-Speicher. Beide Techniken sind keine Cookies. Local Storage kann Informationen über das Schließen des Browserfensters hinaus speichern. Session Storage ist üblicherweise auf die jeweilige Sitzung beziehungsweise den geöffneten Tab begrenzt.
Die technische Bezeichnung entscheidet nicht über die rechtliche Einordnung. Wird Local Storage eingesetzt, um einen Nutzer wiederzuerkennen, Präferenzen dauerhaft zu speichern oder Verhalten zu verfolgen, kann die ePrivacy-Richtlinie trotzdem relevant sein. Dasselbe gilt für Session Storage, wenn Informationen auf dem Endgerät gespeichert oder daraus ausgelesen werden.
Tracking-Pixel, Fingerprinting und externe Skripte
Tracking kann ohne klassische Cookies stattfinden. Ein Tracking-Pixel kann beim Laden einer Seite Informationen an einen externen Server übertragen. Fingerprinting versucht, ein Gerät anhand von Merkmalen wie Browser-Version, Bildschirmgröße, Sprache oder Systemkonfiguration wiederzuerkennen.
Eine cookielose Website ist daher nicht automatisch frei von Tracking. Bei der Prüfung müssen Netzwerkaufrufe, Skripte, Identifikatoren und Browser-Speicher gemeinsam betrachtet werden.
Ist eine serverseitige Statistik cookiefrei?
Eine serverseitige Statistik kann ohne Cookies im Browser auskommen. Der Webserver wertet dabei beispielsweise Seitenaufrufe, angeforderte Dateien, Herkunftsseiten oder technische Fehler aus. Für viele KMU reichen aggregierte Werte aus, um beliebte Inhalte und grundlegende Nutzungsmuster zu erkennen.
Eine serverseitige Verarbeitung ist jedoch nicht automatisch datenschutzkonform. Die Prüfung sollte mindestens klären:
- ob die vollständige IP-Adresse gespeichert oder frühzeitig gekürzt wird,
- welche Angaben die Logfiles enthalten,
- wie lange Rohdaten aufbewahrt werden,
- ob eindeutige Kennungen oder Nutzerprofile entstehen,
- ob ein Drittanbieter Zugriff erhält,
- auf welcher Rechtsgrundlage die Verarbeitung erfolgt und
- ob die Statistik lokal oder über externe Dienste betrieben wird.
Auch ohne Cookies kann die DSGVOGDPR steht für General Data Protection Regulation und bezeichnet dasselbe EU-Regelwerk, das auf Deutsch Datenschutz-Grundverordnung oder kurz DSGVO heißt. Zwischen GDPR und DSGVO besteht... Klicken und mehr erfahren gelten. Artikel 4 Absatz 1 der DSGVO nennt Online-Kennungen als mögliches Merkmal zur Identifizierung. Erwägungsgrund 30 führt unter anderem IP-Adressen als Kennungen auf, die in Verbindung mit weiteren Informationen zur Identifizierung einer Person beitragen können.
Wenn Du Seitenaufrufe und einfache Zielhandlungen ohne unnötige Nutzerprofile messen möchtest, findest Du in unserem Beitrag über cookiefreie Statistik für KMU eine vertiefende Prüflogik. Die technische Rolle und der Umgang mit Server-Logs werden in einem eigenen Beitrag erläutert.
Welche Website-Bausteine sind typische Risikofelder?
Unerwartete Datenflüsse entstehen häufig durch eingebundene Dienste. In meiner Arbeit mit KMU finde ich regelmäßig unbemerkte Drittanbieter-Aufrufe aus Erweiterungen, alten Analysekonten oder EinbettungenEmbeddings sind numerische Vektorrepräsentationen von Bedeutung: Ein Wort, ein Satz, ein Dokument oder ein Bild wird dabei in Zahlen übersetzt, damit ein System Inhalte... Klicken und mehr erfahren, deren technische Folgen bei der Einrichtung nicht vollständig geprüft wurden.
Besondere Aufmerksamkeit verdienen:
- YouTube- und andere externe Videos: Der Videoplayer kann bereits beim Laden Verbindungen zum Anbieter herstellen.
- Google Maps und andere Kartendienste: Karten können Skripte, Schriften und weitere Ressourcen von externen Servern laden.
- Externe Schriftarten: Der Browser kann beim Aufruf eine Verbindung zum Schriftanbieter herstellen und dabei unter anderem die IP-Adresse übertragen.
- Social-Media-Elemente: Feeds, Teilen-Schaltflächen und eingebettete Beiträge können Funktionen der Plattform nachladen.
- Chatfunktionen: Externe Chat-Systeme können je nach Umsetzung Geräte-, Nutzungs- und Gesprächsdaten verarbeiten.
- Terminbuchung: Eingebettete Buchungsdienste können Daten bereits vor dem Absenden eines Termins übertragen.
- Zahlungsdienste: Zahlungsfunktionen benötigen Datenübertragungen, die technisch und rechtlich gesondert zu prüfen sind.
- Analyse- und Marketingwerkzeuge: Tag-Manager oder alte Tracking-Skripte können trotz eines überarbeiteten Website-Designs aktiv bleiben.
- Eingebettete Formulare: Formulare externer Anbieter können Browserdaten übertragen, bevor ein Nutzer das Formular absendet.
Eine datensparsame Gestaltung lädt externe Inhalte bei Bedarf erst nach einer bewussten Nutzeraktion, ersetzt Einbettungen durch lokale Alternativen oder verzichtet darauf, wenn der Nutzen den zusätzlichen Datenfluss nicht rechtfertigt. Dieser Ansatz folgt dem Grundgedanken von Privacy by Design für KMU: DatenschutzDatenschutz schützt personenbezogene Daten natürlicher Personen vor unrechtmäßiger Verarbeitung, Missbrauch und Kontrollverlust. Datenschutz für KMU bedeutet deshalb: Du entscheidest bewusst, welche Daten Du erhebst,... Klicken und mehr erfahren wird vor der Auswahl eines Werkzeugs geplant und nicht erst nach der technischen Umsetzung ergänzt.
Wie prüfst Du eine cookiefreie Website?
Eine reine Sichtprüfung reicht nicht. Auch eine leere Cookie-Liste im Browser beweist nicht, dass keine anderen Speichertechniken oder Drittanbieter-Aufrufe aktiv sind. Eine belastbare technische Prüfung umfasst mehrere Ebenen:
- Browser-Speicher kontrollieren: Cookies, Local Storage, Session Storage, IndexedDB und Cache-Einträge vor und nach typischen Aktionen vergleichen.
- Netzwerkaufrufe analysieren: Prüfen, mit welchen Domains der Browser beim ersten Seitenaufruf und nach Interaktionen kommuniziert.
- Skripte und Tags erfassen: Analysecode, Tag-Manager, Werbepixel, Chat-Skripte und alte Erweiterungen vollständig dokumentieren.
- Drittanbieter-Einbettungen testen: Videos, Karten, Formulare, Zahlungsfunktionen und Social-Media-Inhalte getrennt untersuchen.
- Serverseitige Vorgänge prüfen: Hosting-Logfiles, Statistik, Sicherheitsdienste, Weiterleitungen und externe Schnittstellen einbeziehen.
- Alle Seitentypen testen: Startseite, Unterseiten, Formulare, Suche, Anmeldung, Warenkorb und Fehlerseiten können unterschiedliche Technik laden.
- Vor der Einwilligung prüfen: Falls ein Cookie-Banner eingesetzt wird, muss getestet werden, was bereits vor einer Auswahl geladen oder gespeichert wird.
- Nach Änderungen erneut prüfen: Ein neues Video, eine Erweiterung oder ein externes Formular kann die technische Einordnung der Website verändern.
Cookiefreiheit ist kein dauerhaftes Zertifikat, sondern eine dokumentierte Eigenschaft des aktuellen technischen Systems. Nach Änderungen an Funktionen, Skripten oder Einbettungen sollte die cookiefreie Website erneut geprüft werden.
Ein typischer Vorher-Nachher-Vergleich aus der KMU-Praxis
Gewachsene Websites enthalten häufig zahlreiche Erweiterungen, mehrere Analysekonten, externe Schriftarten, direkt eingebettete Videos und Skripte ohne klar dokumentierten Zweck. Obwohl ein Cookie-Banner vorhanden ist, bleiben die tatsächlichen Datenflüsse schwer nachvollziehbar.
Nach einer technischen Bereinigung ist die Website meist klarer aufgebaut:
- Nicht mehr benötigte Erweiterungen und Tags sind entfernt.
- Schriften und zentrale Ressourcen werden lokal bereitgestellt.
- Videos und Karten laden erst nach einer bewussten Aktion oder werden durch lokale Alternativen ersetzt.
- Die Statistik beschränkt sich auf tatsächlich benötigte Kennzahlen.
- Drittanbieter-Zugriffe sind reduziert und dokumentiert.
- Technische Änderungen folgen einem festgelegten Prüfprozess.
Der wesentliche Vorteil liegt nicht allein im entfallenden Banner. Entscheidend ist die technische Klarheit: Der Betrieb weiß, welche Daten wohin fließen, warum ein Dienst eingesetzt wird und wer dafür verantwortlich ist.
Welche Vorteile kann eine cookiefreie Website haben?
Eine bewusst reduzierte cookiefreie Website kann mehrere unternehmerische Vorteile bieten:
- weniger Abhängigkeit von externen Plattformen und wechselnden Diensten,
- weniger Pflegeaufwand für Einwilligungs- und Tracking-Konfigurationen,
- geringere technische Komplexität,
- potenziell kürzere Ladezeiten durch weniger Skripte und Netzwerkaufrufe,
- weniger Unterbrechung beim ersten Seitenaufruf sowie
- leichter nachvollziehbare Datenflüsse.
Diese Vorteile entstehen nicht automatisch durch das Entfernen einzelner Cookies. Eine technisch schlecht umgesetzte Website bleibt langsam, auch wenn sie cookiefrei ist. Entscheidend sind Architektur, Ressourcen, Hosting und die konsequente Reduktion unnötiger Dienste.
Bei btlabs Core verfolgen wir diesen reduzierten Ansatz als Umsetzungsoption: Ressourcen, Inhalte und Funktionen werden kontrolliert bereitgestellt, statt eine Website aus zahlreichen externen Erweiterungen zusammenzusetzen. Die Funktionsübersicht von btlabs Core zeigt die verfügbaren Bereiche. Ob eine konkrete Umsetzung ohne Cookie-Banner auskommt, hängt von den ausgewählten Funktionen, Einbettungen und Datenflüssen ab.
Ist eine cookiefreie Website automatisch DSGVO-konform?
Nein. Eine cookiefreie Website kann weiterhin personenbezogene Daten über Kontaktformulare, Bestellungen, Bewerbungen, IP-Adressen oder Server-Logfiles verarbeiten. Für diese Verarbeitung gelten die Anforderungen der DSGVO, darunter Zweckbindung, Datenminimierung, Rechtsgrundlage, Informationspflichten, Sicherheit und angemessene Aufbewahrungsfristen.
Eine cookiefreie Website reduziert einen Bereich technischer und rechtlicher Komplexität. Sie ersetzt weder eine Datenschutzerklärung noch die Prüfung von Hosting, Formularen, Auftragsverarbeitern, Sicherheitsmaßnahmen und internen Abläufen. Dieser Beitrag bietet fachliche Orientierung, aber keine rechtliche Bewertung einer konkreten Website.
Fragen und Antworten zur cookiefreien Website
Braucht eine cookiefreie Website einen Cookie-Banner?
Nicht zwingend. Ein Cookie-Banner kann entbehrlich sein, wenn die technische Prüfung ergibt, dass keine einwilligungspflichtigen Cookies oder vergleichbaren Speicher- und Tracking-Techniken eingesetzt werden. Informationspflichten und andere datenschutzrechtliche Anforderungen können trotzdem bestehen.
Sind technisch notwendige Cookies auf einer cookiefreien Website zulässig?
Technisch notwendige Cookies können zulässig sein, wenn sie für eine ausdrücklich angeforderte Funktion tatsächlich erforderlich sind. Zweck, Umfang und Speicherdauer müssen dennoch geprüft und verständlich dokumentiert werden.
Ist Local Storage ein Cookie?
Nein. Local Storage ist ein eigener Browser-Speicher. Für die rechtliche Bewertung zählen jedoch die konkrete Speicherung und der Zugriff auf Informationen, nicht allein der technische Name.
Ist serverseitige Statistik cookiefrei?
Eine serverseitige Statistik kann ohne Cookies auskommen. Trotzdem müssen unter anderem IP-Adresse, Logfiles, Aufbewahrung, Rechtsgrundlage, Profilbildung und mögliche Drittanbieter geprüft werden.
Setzen eingebettete Videos Cookies?
Das hängt vom Anbieter und von der Einbindung ab. Externe Videoplayer können Cookies oder andere Speichertechniken verwenden und bereits beim Laden Netzwerkaufrufe auslösen. Ein lokal gespeichertes Vorschaubild mit bewusstem Nachladen kann den vorzeitigen Datenfluss vermeiden.
Ist eine cookiefreie Website automatisch DSGVO-konform?
Nein. Auch eine cookiefreie Website kann personenbezogene Daten in Formularen, Bestellungen, Logfiles oder Sicherheitsprozessen verarbeiten und muss dafür die Anforderungen der DSGVO erfüllen.
Wie lässt sich eine Website auf Cookies und Tracker prüfen?
Eine belastbare Prüfung kombiniert die Kontrolle des Browser-Speichers mit einer Analyse der Netzwerkaufrufe, Skripte, Drittanbieter-Einbettungen und serverseitigen Prozesse. Der Test sollte alle wichtigen Seitentypen umfassen und nach technischen Änderungen wiederholt werden.
Kann eine Website ohne Cookies trotzdem Nutzer verfolgen?
Ja. Fingerprinting, Tracking-Pixel, externe Skripte und bestimmte serverseitige Kennungen können Nutzer auch ohne klassische Cookies wiedererkennen oder ihr Verhalten auswerten.
Reicht ein automatischer Cookie-Scanner als Nachweis?
Ein Scanner ist ein sinnvoller erster Prüfschritt, aber kein vollständiger Nachweis. Automatische Werkzeuge erfassen nicht immer alle Interaktionen, serverseitigen Datenflüsse oder Speichertechniken. Die Ergebnisse sollten deshalb technisch kontrolliert werden.
Quellen
- Richtlinie 2002/58/EG, Artikel 5 Absatz 3 — eur-lex.europa.eu (konsolidierte Fassung 2009)
- Garante per la protezione dei dati personali: Linee guida cookie e altri strumenti di tracciamento — garanteprivacy.it (2021)
- Verordnung (EU) 2016/679, Artikel 4 und Erwägungsgrund 30 — eur-lex.europa.eu (2016)
- European Data Protection Board: Guidelines 2/2023, Version 2.0 — edpb.europa.eu (2024)
