Cookie-Banner und Datenschutz auf der Kanzlei-Website: was Sie brauchen und wie Sie es vermeiden

Zwei Regelwerke: Gerätezugriff und DSGVO

Beim Cookie-Banner wirken zwei Regelwerke zusammen. Das erste schützt das Endgerät: Wer auf dem Computer oder Smartphone der Besucher:innen Informationen speichert oder ausliest, etwa ein Cookie setzt, braucht dafür grundsätzlich eine Einwilligung. In Deutschland steht das in § 25 TDDDG, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das bis Mai 2024 TTDSG hieß. In Österreich regelt es § 165 Abs. 3 TKG 2021. Beide setzen dieselbe EU-Richtlinie um und kennen dieselbe Ausnahme: Was unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst funktioniert, braucht keine Einwilligung.

Das zweite Regelwerk ist die DSGVO. Sie greift, sobald personenbezogene Daten verarbeitet werden, und dazu gehört schon die IP-Adresse. Wer eine Schrift, ein Video oder eine Karte von einem fremden Server lädt, übermittelt die IP-Adresse an diesen Anbieter, auch ganz ohne Cookie. Dafür braucht es eine Rechtsgrundlage, und bei Diensten, die für die Website nicht nötig sind, ist das in der Praxis oft nur die Einwilligung.

• Freiwillig und aktiv: Eine Einwilligung setzt eine bewusste Handlung voraus. Der EuGH hat 2019 im Fall Planet49 entschieden, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung ist.
• Informiert und bestimmt: Besucher:innen müssen wissen, wofür sie einwilligen, welche Anbieter beteiligt sind und wie lange Daten gespeichert werden.
• Widerruflich: Der Widerruf muss so einfach sein wie die Einwilligung (Art. 7 Abs. 3 DSGVO), etwa über einen dauerhaften Link „Cookie-Einstellungen“ im Fußbereich.
• Vorher: Einwilligungspflichtige Dienste dürfen erst nach der Zustimmung laden, nicht schon beim Seitenaufruf.

Was eine Einwilligung braucht und was nicht

Entscheidend ist nicht das Wort „Cookie“, sondern was technisch passiert und ob es für die Website nötig ist. Die folgende Übersicht zeigt typische Bausteine von Kanzlei-Websites. Im Einzelfall kommt es auf die Konfiguration an.

Wenn ein Banner nötig ist: so sieht es richtig aus

Wer einwilligungspflichtige Dienste nutzt, braucht ein Banner, das echte Wahlfreiheit lässt. Die deutschen Aufsichtsbehörden haben ihre Erwartungen in der Orientierungshilfe für Anbieter digitaler Dienste beschrieben, der Europäische Datenschutzausschuss hat 2023 die Ergebnisse seiner Cookie-Banner-Taskforce veröffentlicht. Der Tenor: Ablehnen muss auf derselben Ebene und genauso einfach möglich sein wie Zustimmen.

Ein Consent-Management-Tool eines Drittanbieters lädt selbst oft Daten von fremden Servern. Prüfen Sie, wo es gehostet wird, ob es einen Auftragsverarbeitungsvertrag gibt und ob es die Auswahl wirklich technisch umsetzt. Ein Banner, das nur hübsch aussieht, während im Hintergrund alles lädt, ist schlimmer als keines.

Am besten: gar kein Banner

Die eleganteste Lösung ist eine Website, die nichts lädt, wofür sie fragen müsste. Für Kanzleien ist das fast immer möglich, denn die typischen Gründe für ein Banner sind Werbe-Tracking und eingebettete Fremdinhalte, und beides braucht eine Kanzlei-Website selten. Der Gewinn: kein Banner vor dem ersten Eindruck, vollständige Statistik und ein klares Signal, dass Sie mit Daten sorgfältig umgehen. Für Kanzleien, die selbst zu Datenschutz beraten, ist das sogar ein Kompetenzbeweis; mehr dazu im Ratgeber zur Website für IT- und Datenschutzkanzleien.

Besonderheit Kanzlei: Vertraulichkeit vor dem ersten Kontakt

Bei Kanzleien ist schon der Besuch einer Seite vielsagend. Wer nachts die Seite „Strafverteidigung“, „Scheidung“ oder „Insolvenz“ liest, verrät viel über sich. Ein Werbe-Pixel auf diesen Seiten meldet das an eine Werbeplattform weiter. Rechtlich ist das mit Einwilligung zulässig, aber es passt schlecht zu einem Beruf, dessen Kern die Verschwiegenheit ist. Dasselbe gilt für Kontaktformulare: Die Anfragen sollten direkt bei Ihnen ankommen, verschlüsselt übertragen, und nicht über einen Formulardienst außerhalb der EU laufen.

Für Notar:innen und Wirtschaftsprüfer:innen, die besonders auf Unabhängigkeit und Neutralität achten, gilt das genauso. Eine schlanke Website ohne Tracking ist hier nicht nur rechtlich sicherer, sondern auch das stimmigere Bild.

Die Datenschutzerklärung: was hineingehört

Auch ohne Banner brauchen Sie eine Datenschutzerklärung, denn jede Website verarbeitet personenbezogene Daten, mindestens beim Hoster und im Kontaktformular. Die Informationspflichten folgen aus Art. 13 DSGVO. Die Datenschutzerklärung ist neben dem Impressum mit einem Klick von jeder Seite erreichbar. Was ins Impressum gehört, erklären die Ratgeber zu Pflichtangaben, etwa für Rechtsanwält:innen in Deutschland oder Steuerberater:innen in Österreich.

Zwei Hinweise aus der Praxis. Erstens: Die Datenschutzerklärung der Website ist nicht dasselbe wie die Datenschutzinformation für Mandant:innen, die Sie bei Mandatsbeginn übergeben. Zweitens: Einen Datenschutzbeauftragten müssen Kanzleien in Deutschland nach § 38 BDSG in der Regel benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ein Muster aus dem Internet passt selten genau; lassen Sie die Erklärung an die tatsächlich eingesetzten Dienste anpassen.

So prüfen Sie Ihre Website selbst

Ob Ihre Website ungefragt Daten an Dritte schickt, können Sie in wenigen Minuten selbst nachsehen, ohne Fachwissen. Sie brauchen nur einen Browser.

Finden Sie Aufrufe zu fremden Servern, bevor Sie zugestimmt haben, sprechen Sie mit Ihrer Agentur. Meist lässt sich das mit wenigen Änderungen beheben, und oft fällt danach das ganze Banner weg.