Der Einsatz von Cookies kann aus verschiedenen Gründen erfolgen. Einige dienen lediglich dazu, die Website benutzbar zu machen – über andere lassen sich hingegen detaillierte Nutzerprofile erstellen.
Für technisch notwendige Cookies ist kein Einverständnis nötig
Bei „technisch notwendigen“ Cookies, beispielsweise für einen Warenkorb im Online-Shop, für die Speicherung von Login-Daten oder bezüglich der eingestellten Sprache oder der Frage, ob der Cookie-Hinweis bestätigt wurde, ist kein explizites Opt-in erforderlich. Immerhin könnten Nutzer:innen Ihre Website sonst möglicherweise nicht korrekt oder vollumfänglich nutzen.
Für andere Cookies – insbesondere Werbe-Cookies – gilt, dass Sie diese erst setzen dürfen, wenn der oder die Nutzer:in diesem explizit und aktiv zugestimmt hat. Tut er:sie dies nicht, dürfen Sie ihm jedoch den Zugang zu Ihrer Website nicht verweigern. Es gibt allerdings eine Grauzone:
Bestimmte Cookie-Arten ("Komfort-Cookies") sind umstritten und in bestimmten Fällen erlaubt
Zu den umstrittenen Cookies gehören diejenigen, die zwar technisch nicht zwingend notwendig sind, um die Webseite anzuzeigen, die aber das Nutzererlebnis deutlich und spürbar verbessern, ohne jedoch Daten an externe Stellen zu übertragen. Hierzu zählen:
Cookies, die die vorherige Anmeldung auf dieser Seite erkennen und weitere Logins überflüssig machen
Die Speicherung der zuletzt aufgerufenen Seite(n)
Warenkorb-Cookies, die es ermöglichen, auch ohne Login eine Zuordnung zu bislang für eine Bestellung vorgemerkte Waren zu tätigen.
Cookies, die beispielsweise für interne Statistikzwecke, zur Messung des Klickverhaltens oder für die Marktforschung (A/B-Testing, Nutzerführung, Statistik) beispielsweise mit Matomo genutzt werden (ein Marketing-Analysetool), können erlaubt sein, sind aber besonders umstritten. Um kostenpflichtige Abmahnungen zu vermeiden ist es vermutlich sinnvoll, diese Art von Cookies ebenfalls in den Bereich der optionalen Opt-in-Mechanismen zu verschieben. Problematisch ist beim gesamten Bereich der Marktforschung insbesondere die explizite Zuordnung von verhaltensbezogenen Daten zu einzelnen Personen oder auch nur die bloße Möglichkeit, dies zu tun.
Allgemein geht die gängige Rechtsprechung jedenfalls davon aus, dass auch wirtschaftliche Notwendigkeiten als Rechtfertigung für "notwendige Cookies" gelten können. Die Frage ist hier nur, was noch als wirtschaftlich notwendig gilt. Unabhängig davon sind sogenannte First-Party-Cookies, die nur in Ihren eigenen Systemen gespeichert und auf Ihrer Seite verwendet werden, normalerweise unproblematischer als Third-Party-Cookies, die ohne Datenübermittlung an externe Stellen nicht funktionieren würden.
Cookies mit definitiver Einwilligungspflicht
Für die meisten anderen üblichen und teilweise überaus attraktiven Tracking- und Marketing-Cookies kommen Sie ohne eine explizite Einwilligung nicht herum. Hierzu zählen beispielsweise:
Third-Party-Tracking-Cookies: Diese zeichnen die Internet-Aktivität des/der Nutzer:in insgesamt auf und verwenden diese beispielsweise für Affiliate-Marketing-Programme.
Targeting-Cookies: Diese Art von Cookies dient unter anderem für das sogenannte Re-Targeting, bei dem derselben Person auf anderen Websites Produkte angeboten werden, die zum jeweiligen Surfverhalten oder zu bisherigen Sucheingaben passen (sollen).
Social-Media-Cookies: Hiermit erstellen vor allem Social-Media-Websites Marketingprofile ihrer Besucher, die sie dann für zielgerichtetes Targeting nutzen.
Einige Unsicherheiten bestehen noch bei den Themen Facebook-Pixel und Google-Analytics-Trackingcode. Diese sind beispielsweise für Programmatic Advertising notwendig. Außerdem ist unklar, ob Warenkorb-Cookies nach Ende einer Sitzung gelöscht werden müssen oder nicht und falls ja, nach welchem Zeitraum. Ähnliches gilt bei der Frage nach Cookies, die beispielsweise die letzte Position in einem angeschauten Video speichern (sogenannte Mediensteuerungs-Cookies). Diese verbessern einerseits die Nutzererfahrung, lassen aber auch Rückschlüsse über Absprungpunkte und detaillierte Verhaltensanalysen zu. Bei sogenannten Tracking-Pixeln, Web-Beacons, Fingerprints und Tags ist der Fall jedoch klar: Auch diese dürfen gemäß §25 des TTDSG nur nach vorheriger Einwilligung verwendet werden.