Was ist ein Cookie-Banner?

Viele Galeriebetreiber bauen ein Cookie-Banner ein, weil „das jetzt alle haben“, und fragen sich nie, ob ihre Seite überhaupt etwas zum Zustimmen anbietet. Umgekehrt fehlt das Banner oft dort, wo es nötig wäre, etwa weil ein eingebettetes Video auf der Startseite oder eine Anfahrtskarte schon beim Laden Daten an einen fremden Anbieter schickt. Ein Cookie-Banner ist der Kasten, der Besucher beim ersten Aufruf fragt, ob die Seite Informationen auf ihrem Gerät ablegen oder von dort auslesen darf, die für den eigentlichen Dienst nicht nötig sind. Grundlage ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG), für die Einwilligung selbst gelten die Regeln der DSGVO. Dieser Beitrag zeigt, wie Sie für die eigene Galerie entscheiden, ob Sie eins brauchen. Er ersetzt keine Rechtsberatung.

Mehr als Cookies: was das Gesetz eigentlich meint

Ein Cookie ist ein kurzer Eintrag, den der Browser für eine Domain speichert und bei jedem weiteren Aufruf dieser Domain mitschickt. Darin kann eine Sitzungskennung stehen, eine gewählte Sprache oder eine Kennung, über die ein Werbenetz denselben Browser auf tausend Seiten wiedererkennt. § 25 TDDDG spricht aber gar nicht von Cookies, sondern allgemein vom Speichern und Auslesen von Informationen auf dem Endgerät. Darunter fallen auch der lokale Speicher des Browsers und Verfahren, die ein Gerät anhand seiner Merkmale wiedererkennen. Wer also ein Statistikwerkzeug einsetzt, das „ohne Cookies“ arbeitet, aber Daten im lokalen Speicher ablegt, ist nicht automatisch aus der Pflicht.

Ohne Einwilligung erlaubt ist nur, was unbedingt erforderlich ist, damit der Dienst funktioniert, den der Besucher ausdrücklich nutzen will. Das Sitzungscookie eines Warenkorbs gehört dazu, ebenso das Cookie, in dem sich das Banner die Entscheidung des Besuchers merkt. Eine Reichweitenmessung gehört nicht dazu, auch wenn sie für Sie als Betreiber nützlich ist. Die Frage lautet immer: Braucht der Besucher das, um Ihre Fotos zu sehen?

Wann eine Galerie ein Cookie-Banner braucht

Für eine Galerie lässt sich die Prüfung auf wenige typische Bausteine herunterbrechen. Gehen Sie Ihre Seiten durch und haken Sie ab, was davon wirklich eingebaut ist:

Anmeldung in der Verwaltung: ein Sitzungscookie für Sie als Betreiber, technisch nötig, keine Einwilligung.
Reichweitenmessung: legt sie etwas auf dem Gerät ab oder liest sie es aus, braucht sie in aller Regel eine Einwilligung. Manche Werkzeuge lassen sich so einstellen, dass sie nichts speichern; dann kann die Pflicht entfallen.
Eingebettete Videos und Karten: laden Inhalte vom Server eines anderen Anbieters, der dabei die IP-Adresse erfährt und häufig eigene Cookies setzt. Hier ist eine Einwilligung der Normalfall.
Schriften und Bibliotheken von fremden Servern: setzen oft kein Cookie, übertragen aber die IP-Adresse. Das ist eine Frage der DSGVO, nicht des TDDDG. Die saubere Lösung ist, die Dateien auf den eigenen Webspace zu legen.

Bleibt nach dieser Liste nur der erste Punkt übrig, brauchen Sie kein Banner. Ihre Pflicht zur Information erfüllen Sie dann vollständig in der Datenschutzerklärung. Ein Banner, das trotzdem erscheint, fragt nach einer Zustimmung, die es gar nicht braucht, und verleitet Besucher dazu, Abfragen dieser Art ungelesen wegzuklicken.

Die Zwei-Klick-Lösung statt Banner

Ein einzelnes Video auf der Galerie-Startseite ist kein Grund für ein seitenweites Cookie-Banner. Statt des Videos zeigen Sie zunächst ein Standbild mit dem Satz „Beim Abspielen werden Daten an den Videoanbieter übertragen“ und einer Schaltfläche. Erst der Klick lädt den eingebetteten Spieler. Die Einwilligung holen Sie damit genau an der Stelle ein, an der sie gebraucht wird, und der Rest der Galerie bleibt frei von Abfragen. Bei Karten funktioniert das genauso, oft genügt sogar ein einfacher Link zur Karte statt einer Einbettung.

Woran man ein faires Cookie-Banner erkennt

Die DSGVO verlangt eine freiwillige, informierte und eindeutige Einwilligung. Was das praktisch bedeutet, haben Gerichte und Aufsichtsbehörden in den letzten Jahren an vielen Bannern durchdekliniert. Die folgende Gegenüberstellung zeigt die Punkte, an denen die meisten scheitern:

Prüfpunkt	Hält stand	Fällt durch
Ablehnen	Schaltfläche „Ablehnen“ auf der ersten Ebene, gleich groß wie „Zustimmen“	Ablehnen nur über „Einstellungen“ und mehrere Schieberegler
Vorauswahl	alle Kategorien außer „notwendig“ stehen auf aus	Häkchen bei Statistik und Marketing sind vorab gesetzt
Zeitpunkt	fremde Skripte laden erst nach dem Klick auf „Zustimmen“	Skripte laufen schon, während das Banner noch fragt
Widerruf	Link „Cookie-Einstellungen“ in der Fußzeile jeder Seite	einmal zugestimmt, nie wieder änderbar

Die Vorauswahl hat der Europäische Gerichtshof 2019 im Planet49-Urteil entschieden: Ein vorab gesetztes Häkchen ist keine Einwilligung. Für den Widerruf steht die Regel direkt in Artikel 7 DSGVO, er muss so einfach sein wie die Zustimmung. Und wer sich auf eine Einwilligung beruft, muss sie im Zweifel nachweisen können. Ein Consent-Werkzeug, das die Entscheidungen protokolliert, nimmt Ihnen diesen Teil ab.

Der häufigste Fehler: die falsche Reihenfolge

Das Banner erscheint, der Besucher liest noch, und im Hintergrund hat das Statistikskript längst seine Kennung gespeichert. So sieht es auf erstaunlich vielen Seiten aus, auch bei Betreibern, die ein Consent-Werkzeug bezahlen. Der Grund ist meist banal: Das Skript wurde direkt in die Vorlage kopiert, statt es über das Werkzeug einzubinden, das es zurückhalten soll. Die Zustimmung, die der Besucher danach gibt oder verweigert, ändert an dem bereits gesetzten Cookie nichts mehr.

Die richtige Reihenfolge lautet: Seite laden, Banner zeigen, Entscheidung abwarten, erst dann das fremde Skript nachladen. Das Diagramm stellt beide Abläufe nebeneinander und zeigt, wann das Cookie im Speicher des Browsers landet. Links ist es schon da, bevor das Banner überhaupt fragt, rechts kommt es erst nach dem Klick auf „Zustimmen“.

Entscheidend ist die Reihenfolge: Ein Cookie, das vor der Frage gesetzt wird, macht jede Einwilligung wertlos.

Ob Ihre eigene Seite in die linke oder die rechte Spalte gehört, verrät der Selbsttest weiter unten in wenigen Minuten. Steht ein Anbieter im Banner, muss er außerdem in der Datenschutzerklärung beschrieben sein, auf die das Banner verlinkt. Was dort hineingehört, erklärt der Beitrag zur Datenschutzerklärung.

Cookie-Banner für eine Galerie mit dem Bildergalerie-Script

Wer eine Fotogalerie mit dem Bildergalerie-Script betreibt, fragt sich zuerst, welche Cookies die Galerie selbst setzt. Die Antwort fällt kurz aus. Die öffentliche Seite bildergalerie.php, die Ihre Besucher sehen, setzt kein einziges Cookie. Auch die Lightbox für die große Ansicht und die Stylesheets laden nichts von fremden Servern nach: js/prototype.js, js/scriptaculous.js, js/lightbox.js und css/layout.css liegen auf Ihrem eigenen Webspace. Cookies entstehen nur dort, wo Sie selbst arbeiten.

Bereich	Cookie	Zweck
Galerie für Besucher	keines	entfällt
Verwaltung im Ordner `admin/`	Sitzungscookie von PHP, meist `PHPSESSID`	entsteht beim Öffnen der Anmeldeseite, hält Sie nach der Anmeldung angemeldet und verfällt beim Schließen des Browsers
Installer im Ordner `install/`	`bg_installer`	gilt nur für diesen Ordner und nur während der Einrichtung

Beide Cookies sind technisch notwendig und betreffen nur Sie als Betreiber, nicht Ihre Besucher. Das Sitzungscookie der Verwaltung trägt die Merkmale HttpOnly und SameSite=Lax, über https zusätzlich Secure. Es enthält nur eine zufällige Sitzungskennung, kein Passwort. Eine Besucherstatistik, Kommentare oder Bewertungen, die Daten über Besucher sammeln würden, hat das Script nicht. Für die Galerie allein brauchen Sie deshalb in der Regel kein Cookie-Banner.

Anders sieht es aus, sobald Sie die Galerie in eine bestehende Website einbetten. Läuft dort ein Statistikwerkzeug, ein eingebettetes Video oder eine Karte, gilt das Banner dieser Website auch für die Galerieseiten. Da die Vorlage tpl/bildergalerie.html der Galerie frei bearbeitbar ist, schleicht sich so etwas leicht ein: Wer dort das Statistik-Snippet seiner Hauptseite in den Kopfbereich kopiert, setzt auf jeder Galerieseite Statistik-Cookies und braucht dann auch dort eine Einwilligung, bevor das Snippet lädt.

Selbsttest: Was Ihre Galerie speichert und lädt

Ob Sie ein Cookie-Banner brauchen und ob ein vorhandenes richtig arbeitet, sehen Sie mit den Entwicklerwerkzeugen Ihres Browsers. Für die Galerie dauert der Test etwa fünf Minuten:

Öffnen Sie ein privates Browserfenster und rufen Sie Ihre Galerie auf. Das private Fenster ist wichtig, weil es ohne alte Cookies startet.
Drücken Sie F12 und wechseln Sie in den Reiter „Netzwerk“. Laden Sie die Seite neu, ohne ein Banner anzuklicken. Jede Zeile ist eine geladene Datei. Steht dort eine Adresse, die nicht zu Ihrer Domain gehört, etwa die eines Statistik-, Video- oder Schriftanbieters, lädt dieser Inhalt vor jeder Einwilligung.
Wechseln Sie in Chrome und Edge in den Reiter „Anwendung“ (englisch „Application“), in Firefox zu „Web-Speicher“, und öffnen Sie dort die Cookies Ihrer Domain. Auf bildergalerie.php sollte die Liste leer bleiben.
Öffnen Sie eine Kategorie und blättern Sie in der Lightbox zum nächsten Bild. Danach beide Listen noch einmal ansehen: Es darf nichts hinzugekommen sein.

Erscheint ein Cookie oder eine fremde Adresse, stammt sie aus Ihrer eigenen Vorlage oder vom Hoster. Genau diesen Eintrag müssen Sie dann im Cookie-Banner und in der Datenschutzerklärung erklären oder, besser, entfernen. Ein Sonderfall verwirrt beim Test im normalen Fenster: Das Sitzungscookie der Verwaltung gilt für die ganze Domain. Sind Sie dort gerade angemeldet, sehen Sie es auch auf den Galerieseiten, obwohl die Galerie es nicht gesetzt hat. Im privaten Fenster taucht es erst auf, wenn Sie die Anmeldeseite unter admin/ öffnen. Wer eine Galerie ohne Banner-Ballast sucht, kann das Script kostenlos herunterladen und den Test gleich auf dem eigenen Webspace machen.

Häufige Fragen

Ob ein Banner überhaupt nötig ist und wann es fair gestaltet ist, sind die Fragen, die Betreiber am häufigsten stellen.

Brauche ich ein Cookie-Banner ohne Statistik und Werbung?

Meist nicht. Speichert Ihre Seite nur, was für den gewünschten Dienst unbedingt nötig ist, etwa eine Sitzung beim Anmelden, ist keine Einwilligung erforderlich. Prüfen Sie aber eingebettete Videos, Karten und fremd geladene Schriften, denn die sind häufig der übersehene Grund für ein Banner. Ihre Informationspflicht erfüllen Sie in jedem Fall in der Datenschutzerklärung.

Dürfen Statistik- oder Werbeskripte vor der Zustimmung laden?

Nein. Was eine Einwilligung braucht, darf erst nach dem Klick auf „Zustimmen“ laden. Ein Cookie, das schon vorher gesetzt wurde, macht die spätere Zustimmung oder Ablehnung bedeutungslos. Wie Sie das prüfen, steht im Selbsttest oben.

Was macht ein Cookie-Banner fair statt fragwürdig?

„Ablehnen“ steht gleichwertig neben „Zustimmen“, nichts ist vorab angehakt, die Anbieter sind mit Namen genannt und ein Link in der Fußzeile öffnet die Auswahl jederzeit wieder. Fehlt einer dieser Punkte, ist die Einwilligung angreifbar. Im Einzelfall beantwortet ein Anwalt, ob Ihre Lösung genügt.

Setzt das Bildergalerie-Script Cookies bei Besuchern?

Nein. Die öffentliche Galerie setzt keine Cookies und lädt keine Inhalte von fremden Servern. Ein Sitzungscookie gibt es nur in der Verwaltung, sobald Sie die Anmeldeseite öffnen. Es ist technisch notwendig und braucht keine Einwilligung.