Cookies einfach erklärt: Cookies sind kleine Textdateien, die ein Browser für eine Website speichert, damit Sitzungen, Präferenzen oder Messdaten verwaltet werden können. Browser-Cookies beziehungsweise HTTP-Cookies helfen dabei, einen Warenkorb zu merken, einen Login aufrechtzuerhalten oder Reichweiten zu messen. Für Website-Betreiber ist wichtig: Nicht alle Website-Cookies sind gleich. Zweck, Laufzeit, Herkunft und rechtliche Bewertung unterscheiden sich deutlich.
Ein Cookie ist eine kleine Informationseinheit, die eine Website im Browser speichert, um einen Nutzer oder eine Sitzung wiederzuerkennen, Einstellungen zu merken oder Interaktionen messbar zu machen.
In meiner Arbeit mit KMU sehe ich oft denselben Irrtum: Viele sprechen von „den Cookies“, als wäre das ein einziges technisches Thema. In der Praxis geht es fast immer um drei getrennte Fragen: Was speichert die Website? Wozu speichert die Website? Braucht die Website dafür vorab Consent? Genau diese Trennung macht Entscheidungen sauberer.
Cookies einfach erklärt: Welche Arten es gibt
Wenn von Cookie-Arten die Rede ist, solltest Du zwei Ebenen unterscheiden: wer das Cookie setzt und wofür das Cookie eingesetzt wird. Zusätzlich spielt die Speicherdauer eine Rolle.
Nach Herkunft: First-Party-Cookies und Third-Party-Cookies
First-Party-Cookies werden direkt von der Website gesetzt, die Du gerade besuchst. Sie sind auf typischen Unternehmensseiten oft für Login, Warenkorb, Sprache oder Formulare zuständig. Inhaltlich passen sie häufig zu eigenen First-Party-Daten, also zu Daten, die Du über Deine eigenen Kanäle erhebst.
Third-Party-Cookies kommen von Drittanbietern, zum Beispiel von Werbe-, Video- oder Analyse-Diensten. Typische Fälle sind eingebettete Videos, Retargeting-Netzwerke oder externe Mess-Tools. Gerade diese Cookies sind auf KMU-Websites oft der eigentliche Grund für ein Cookie-Banner.
Nach Laufzeit: Session-Cookies und persistente Cookies
Session-Cookies gelten nur für die aktuelle Sitzung und werden meist gelöscht, wenn der Browser geschlossen wird. Ein klassisches Beispiel ist der temporäre Warenkorb in einem Shop.
Persistente Cookies bleiben länger gespeichert, manchmal Tage, Wochen oder Monate. Sie werden genutzt, um Einstellungen, Wiedererkennung oder wiederkehrende Messungen zu ermöglichen, etwa eine gespeicherte Sprachwahl.
Nach Zweck: technisch notwendige Cookies, funktionale Cookies, Analyse-Cookies und Marketing-Cookies
- Technisch notwendige Cookies sind für einen ausdrücklich gewünschten Dienst erforderlich, etwa für Login, Warenkorb oder Sicherheitsfunktionen.
- Funktionale Cookies verbessern die Nutzung, zum Beispiel durch gespeicherte Spracheinstellungen oder Komfortfunktionen.
- Analyse-Cookies messen Nutzung, Seitenaufrufe, Wege auf der Website oder Ereignisse in der Webanalyse.
- Marketing-Cookies dienen Werbung, Profilbildung, RetargetingRetargeting, auch als Remarketing bekannt, ist eine Form des Online-Marketings, bei der User gezielt mit Werbung angesprochen werden, nachdem sie eine Webseite besucht oder... Klicken und mehr erfahren oder kanalübergreifender Wiedererkennung.
Wann Consent nötig ist
Für den Consent gilt in der EU ein klarer Grundsatz: Nicht technisch notwendige Speicherungen oder Zugriffe auf Informationen im Endgerät brauchen in der Regel eine vorherige Einwilligung. Technisch notwendige Speicherungen können ausgenommen sein. Die rechtliche Grundlage dafür ist Art. 5 Abs. 3 der ePrivacy-Richtlinie.
Ein Cookie-Banner ist deshalb kein reines Oberflächenelement, sondern Teil eines sauberen Consent Managements. Praktisch bedeutet das:
- Ein Warenkorb-Cookie kann technisch notwendig sein.
- Ein Login-Cookie kann technisch notwendig sein.
- Ein Cookie für eine Sprachwahl ist oft funktional und muss im Einzelfall bewertet werden.
- Ein Analyse-Cookie für Reichweitenmessung braucht in vielen Setups eine vorherige Einwilligung.
- Ein Marketing-Cookie für Retargeting braucht typischerweise eine vorherige Einwilligung.
Wichtig ist die Denkrichtung: Nicht der Name „Cookie“ entscheidet, sondern der konkrete Zweck. Genau hier entstehen auf vielen kleinen Unternehmenswebsites Fehler, weil Plugins standardmäßig Funktionen aktivieren, die strategisch oder rechtlich gar nicht nötig wären.
Was die DSGVO mit Cookies zu tun hat
Die DSGVO ist relevant, sobald Cookie-Kennungen oder andere Gerätekennungen einer Person zugeordnet werden können. Laut Art. 4 Nr. 1 DSGVO und Erwägungsgrund 30 zählen auch Online-Kennungen wie IP-Adressen oder Cookie-Identifier zu den möglichen personenbezogenen Daten. Für Website-Betreiber heißt das: ePrivacy regelt den Zugriff auf das Endgerät, die DSGVOGDPR steht für General Data Protection Regulation und bezeichnet dasselbe EU-Regelwerk, das auf Deutsch Datenschutz-Grundverordnung oder kurz DSGVO heißt. Zwischen GDPR und DSGVO besteht... Klicken und mehr erfahren regelt die anschließende Verarbeitung personenbezogener Daten.
Diese Unterscheidung ist für KMU wichtig, weil sie im Alltag oft vermischt wird. Ein Cookie-Banner allein ersetzt kein Datenschutzkonzept. Umgekehrt ist nicht jede technisch mögliche Messung automatisch rechtlich oder strategisch sinnvoll.
Wenn Du mit GA4 oder ähnlichen Tools arbeitest, solltest Du Tracking, Consent und Reporting als zusammenhängendes System planen. Für die operative Einordnung hilft Dir auch der Beitrag zum Marketing-Messplan für KMU.
Cookies und Local Storage: der Unterschied
Local Storage erfüllt einen ähnlichen Zweck wie Cookies, speichert Daten aber technisch anders im Browser. Local Storage ist meist nicht an jede HTTP-Anfrage gekoppelt, kann mehr Daten aufnehmen und wird oft für Zustände, Präferenzen oder Skriptlogik genutzt. Cookies sind dagegen enger mit der Browser- und Server-Kommunikation verbunden.
Die entscheidende Abgrenzung lautet: Local Storage ist kein Cookie, aber rechtlich nicht automatisch frei von Consent-Pflichten. Die EDPB betont in ihren Leitlinien, dass Art. 5 Abs. 3 ePrivacy technikneutral zu verstehen ist und nicht nur klassische Cookies erfasst, sondern auch andere Speicher- oder Zugriffsmechanismen auf dem Endgerät Quelle: EDPB.
Praxisbeispiele für typische KMU-Websites
Auf kleinen und mittleren Unternehmenswebsites begegnen mir meist dieselben Fälle:
- Warenkorb im Shop: meistens technisch notwendig.
- Login im Kundenbereich: meistens technisch notwendig.
- Sprachwahl auf mehrsprachigen Seiten: oft funktional.
- Cookie-Banner selbst: speichert häufig die Einwilligungsentscheidung.
- Webanalyse: häufig Analyse-Cookies oder ähnliche Speichermechanismen.
- Eingebettete Videos: können Third-Party-Cookies oder vergleichbare Speicherungen auslösen.
- Retargeting-Kampagnen: typischer Einsatz von Marketing-Cookies.
Aus meiner Arbeit mit KMU weiß ich: Viele Websites brauchen weniger Tracking, als anfangs angenommen wird. Mehr Daten bedeuten nicht automatisch mehr Klarheit. Sauber wird eine Website dann, wenn nur die Speicherungen aktiv sind, die wirklich einem Geschäfts- und Nutzerziel dienen.
Worauf Du bei Website-Cookies achten solltest
- Jede Speicherung einem Zweck zuordnen. Ohne klaren Zweck gibt es keine saubere Begründung.
- Technisch notwendige Cookies von Analyse-Cookies und Marketing-Cookies trennen.
- Third-Party-Dienste einzeln prüfen. Videos, Maps, Chat-Tools und Werbenetzwerke sind häufige Auslöser.
- Local Storage mitprüfen. Nicht nur klassische Browser-Cookies betrachten.
- Cookie-Banner und tatsächliche Website-Technik abgleichen. Viele Setups behaupten mehr oder weniger, als technisch wirklich passiert.
FAQ zu Cookies auf Websites
Sind Cookies immer personenbezogene Daten?
Nicht jedes Cookie ist automatisch personenbezogen. Cookie-Kennungen können aber personenbezogen sein, wenn sie einer Person zugeordnet werden können. Genau deshalb musst Du Cookies immer zusammen mit DSGVO und ePrivacy betrachten, nicht nur technisch.
Braucht jede Website ein Cookie-Banner?
Nein, nicht in jedem Setup. Eine Website ohne nicht notwendige Speicherungen braucht nicht automatisch ein umfassendes Cookie-Banner. In der Praxis nutzen jedoch viele Unternehmenswebsites Analyse-, Marketing- oder Drittanbieter-Funktionen, für die vorab Consent nötig sein kann.
Was ist der Unterschied zwischen First-Party-Cookies und Third-Party-Cookies?
First-Party-Cookies stammen direkt von Deiner eigenen Website, Third-Party-Cookies von eingebundenen Drittanbietern. Für die Praxis ist das wichtig, weil externe Dienste oft zusätzliche Tracking- und Datenschutzfragen mitbringen.
Sind Session-Cookies unkritisch?
Session-Cookies sind oft kürzer gespeichert als persistente Cookies, aber die Laufzeit allein entscheidet nicht über die rechtliche Bewertung. Maßgeblich bleibt, wofür das Cookie eingesetzt wird.
Ist Local Storage datenschutzrechtlich etwas völlig anderes als Cookies?
Technisch ja, rechtlich nicht automatisch. Wenn Local Storage für nicht notwendige Zwecke wie Analyse oder Marketing verwendet wird, kann derselbe Consent-Grundsatz greifen wie bei Cookies.
Welche Cookie-Arten sehe ich auf KMU-Websites am häufigsten?
Am häufigsten sehe ich technisch notwendige Cookies für Formulare, Login oder Shops sowie Analyse-Cookies und Speicherungen durch eingebettete Dienste. Der größte Mehrwert entsteht meist nicht durch mehr Tools, sondern durch weniger, besser begründete Tools.
