Die meisten Websites haben ein Cookie-Banner, weil ihre Analytics eines braucht. Fällt die Pflicht weg, kann das Banner mit ihr gehen, und mit ihm das Problem der Einwilligungsquote darunter, das der Teil ist, der Sie tatsächlich etwas kostet.

Dies ist eine Zusammenfassung, wie die Regeln in der Praxis wirken, keine Rechtsberatung. Wenn Ihre Lage ungewöhnlich ist, fragen Sie jemanden mit Zulassung.

Die Regel handelt von Speicherung, nicht von Cookies

Der einschlägige Text ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, den jeder EU-Mitgliedstaat in eigenes Recht umgesetzt hat. Von Cookies steht dort nichts. Er erfasst das Speichern von Informationen auf der Endeinrichtung eines Nutzers oder den Zugriff auf dort bereits gespeicherte Informationen, auf seinem Telefon, seinem Laptop.

⚠ In Deutschland ist die Umsetzung § 25 TDDDG (vormals TTDSG). Das ist die Vorschrift, nach der ein deutscher Leser sucht, und sie ist auch die, die eine Aufsichtsbehörde zitieren würde. Ihr Inhalt ist derselbe Gedanke: Speichern auf der Endeinrichtung und Zugriff darauf brauchen eine Einwilligung, es sei denn, sie sind für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Alles, was diese Seite über Artikel 5 Absatz 3 sagt, gilt in Deutschland über § 25.

Diese Formulierung ist bewusst technikneutral, und sie entscheidet eine Frage, über die noch immer gestritten wird. localStorage ist Speicherung auf dem Gerät des Nutzers. Ebenso sessionStorage, ein IndexedDB-Eintrag, ein als Kennung genutzter Cache-Eintrag und ein Canvas-Fingerabdruck; Letzterer, weil das Auslesen von Geräteeigenschaften ein Zugriff auf gespeicherte Informationen ist.

document.cookie gegen localStorage.setItem zu tauschen ändert rechtlich nichts. Sehr viele „cookielose" Analytics-Werkzeuge tun genau das und nennen sich deshalb cookiefrei. Der Maßstab ist, ob etwas auf die Maschine des Besuchers geschrieben oder von ihr gelesen wird, nicht wie die Schnittstelle heißt.

Die Ausnahme, und warum Analytics selten darunter fällt

Artikel 5 Absatz 3 kennt zwei Ausnahmen. Speicherung ist ohne Einwilligung zulässig, wenn sie entweder allein der Durchführung einer Übertragung dient oder für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich ist.

„Unbedingt erforderlich" heißt: erforderlich für das, worum der Besucher gebeten hat. Ein Warenkorb erfüllt das: ohne ihn funktioniert die Kaufabwicklung nicht, um die der Besucher gebeten hat. Eine Anmeldesitzung erfüllt es. Analytics nicht, denn die Website funktioniert für den Besucher einwandfrei, ob Sie ihn zählen oder nicht. Die Messung ist etwas, worum Sie gebeten haben.

Manche Aufsichtsbehörden haben der reinen Reichweitenmessung im eigenen Auftrag einen schmalen Raum eröffnet. Frankreichs CNIL ist das deutlichste Beispiel: Sie veröffentlicht eine Ausnahme für Analytics, die streng auf die Messung der eigenen Reichweite beschränkt ist, nur vom Betreiber genutzt wird, kein websiteübergreifendes Tracking betreibt und eine Speicherfrist einhält. Die Bedingungen sind eng gefasst und lesenswert, wenn Sie in Frankreich tätig sind. Die meisten Mitgliedstaaten haben nichts Vergleichbares, weshalb ein Werkzeug, das Gerätespeicherung ganz vermeidet, die einfachere Position ist.

Was ein Banner Sie kostet

Abgesehen davon, dass es hässlich ist, hat ein Einwilligungsbanner einen messbaren Preis: Die Besucher, die ablehnen, fehlen in Ihren Daten.

Die genaue Quote hängt von Ihrem Publikum ab, von Ihrer Geografie und davon, wie das Banner formuliert ist, begegnen Sie also jeder veröffentlichten Zahl mit Misstrauen, gerade den selbstsicheren. Beständig ist die Richtung. Wer am ehesten ablehnt, neigt zum Datenschutzbewussten, zum Technischen und zum Werbeblocker, und das ist keine Zufallsstichprobe Ihres Verkehrs. Ihre Analytics hört auf, eine Zählung zu sein, und wird eine Umfrage mit selbst ausgewählten Teilnehmern.

Diese Verzerrung pflanzt sich fort. Die Konversionsrate wird gegen einen Nenner gerechnet, dem ein unbekannter Teil der Besuche fehlt. Der Kanalzuordnung fehlen die Kanäle, aus denen diese Besucher kamen. A/B-Test-Ergebnisse stammen aus der Teilmenge, die einer Messung zugestimmt hat.

Schlimmer noch: Der Verlust ist still. Nichts im Dashboard sagt „und es gab 30 % mehr Besuche, die Sie nicht sehen können". Die Zahlen sehen vollständig aus.

Wie Identität ohne Gerätespeicherung aussieht

Wenn nichts auf das Gerät geschrieben werden darf, ist die naheliegende Frage, wie überhaupt jemand einen Besucher vom anderen unterscheidet.

Die Antwort ist, eine Kennung auf dem Server aus dem abzuleiten, was die Anfrage ohnehin enthält (typischerweise IP-Adresse, User-Agent, Website und Datum), und das zusammen mit einem Geheimnis zu hashen, das gewechselt wird. Wird das Geheimnis täglich gewechselt, ist die Kennung eines bestimmten Besuchers morgen eine andere und lässt sich nachträglich nicht rekonstruieren, auch nicht von dem, der die Daten hält.

Das gibt Ihnen genaue Zahlen innerhalb eines Tages und verliert bewusst die Fähigkeit, jemandem über Tage hinweg zu folgen. Das ist ein echter Handel, und es lohnt, deutlich zu sagen, welche Berichte er kostet:

  • Eindeutige Besucher pro Tag, Sitzungen, Absprungrate, Quellen, Seiten, Konversionen funktionieren normal.
  • Wiederkehrer-Quoten und mehrtägige Retention-Kohorten nicht. Sie können es nicht, denn der ganze Punkt ist, dass die gestrige Kennung nicht wiederherstellbar ist.

Wer behauptet, man könne tagesübergreifende Identität haben, ohne etwas auf dem Gerät zu speichern und ohne dauerhafte Kennung, beschreibt einen Fingerabdruck, wie immer er ihn sonst nennt, und ein Fingerabdruck liegt mitten in Artikel 5 Absatz 3.

Wo Skomi steht

Skomi leitet Identität auf dem Server aus einem Salt ab, der täglich gewechselt und nie festgehalten wird. Der Tracker schreibt kein Cookie und rührt keinen Speicher auf dem Gerät des Besuchers an; der Code, der das täte, ist nicht bloß abgeschaltet, sondern aus der Datei entfernt, die der Browser herunterlädt, was eine deutlich andere Aussage ist als „wir nutzen es nicht".

Retention-Kohorten sind der Bericht, den das kostet, und das steht deutlich auf der Analytics-Seite statt vergraben. Eine Website, die sie will, kann sich je Website für eine im Gerät gespeicherte Identität entscheiden und braucht dann wieder ein Banner, was die ehrliche Beschreibung dessen ist, was dieser Schalter tut.

Das andere, was in jedem Werkzeug zu prüfen ist, das Sie bewerten: ob der Anbieter Ihre Besucher über die anderen Websites hinweg zusammenführen kann, die er misst. Eine Kennung je Website, die Websitegrenzen nie überschreitet, ist eine andere Datenschutzhaltung als eine globale, und sie wird meist nicht beworben.

Was Sie auf Ihrer eigenen Website prüfen sollten

  1. Öffnen Sie Ihre Website in einem privaten Fenster mit geöffneten Entwicklerwerkzeugen.
  2. Sehen Sie, bevor Sie irgendetwas annehmen, unter Anwendung → Local Storage, Session Storage, IndexedDB und Cookies nach.
  3. Alles, was dort steht, wurde vor der Einwilligung geschrieben. Wenn Ihre Analytics es dorthin gelegt hat, tut das Banner rechtlich nichts für Sie, denn die Speicherung ist bereits geschehen.

Der dritte Punkt erwischt mehr Websites als jeder andere einzelne Fehler. Ein Banner, das erscheint, nachdem der Tracker seine Kennung schon geschrieben hat, ist Dekoration.

Wenn Sie wollen, dass das Werkzeug selbst der Grund ist, warum das Banner gehen kann, ist das genau das, wofür Skomis Voreinstellung gebaut ist. Die Vergleichsseiten sagen, welche der Alternativen diese Voreinstellung teilen und welche nicht, einschließlich der Zeilen, in denen sie gewinnen.

Der Mechanismus hat einen Namen und eine Definition: cookielos heißt, dass Identität auf dem Server aus einem täglich gewechselten Salt abgeleitet wird, und das ist auch der Grund, warum ein nächste Woche wiederkehrender Besucher als neuer gezählt wird.