Cookies auf der Restaurant-Website prüfen: Akzeptieren, Ablehnen und Widerrufen (Erläuterung des AEPD-Leitfadens von 2023)

Bei der Cookie-Verwaltung auf einer Restaurant-Website sollten Zweck, Benutzeroberfläche und tatsächliches Verhalten geprüft werden: Können Gäste ebenso einfach zustimmen wie ablehnen? Welche Komponenten werden nach ihrer Auswahl deaktiviert, und wie können sie ihre Entscheidung später widerrufen? Dass sich das Einwilligungsbanner schließen lässt, ist lediglich eine sichtbare Änderung und ersetzt diese Prüfungen nicht.

Die AEPD veröffentlichte am 2023-7-11 eine Mitteilung über die Aktualisierung ihrer Leitlinien: Die Optionen zum Akzeptieren und Ablehnen von Cookies sollten gleich auffällig sein. Technische Cookies, die erforderlich sind, damit Nutzer selbst eine Sprache auswählen können, und keinen anderen Zwecken dienen, können von der Einwilligung ausgenommen sein. Die Aktualisierung musste spätestens bis zum 2024-1-11 umgesetzt werden. Dieser Artikel erläutert bestehende Leitlinien; das Datum der Mitteilung wird nicht als Inkrafttreten eines neuen Gesetzes dargestellt.

Ermitteln Sie zunächst für jede Komponente ihren Zweck und ihre zuständige Betreuungsperson

Gehen Sie von der Startseite zu Speisekarte, Reservierung und Bezahlung und erfassen Sie sowohl die eigenen Seiten als auch externe Dienste. Die Bezeichnung einer Karten-, Video-, Reservierungs- oder Marketingkomponente verrät nicht ihren gesamten Zweck. Bitten Sie den Website-Dienstleister zu erläutern, ob dabei Geräteinformationen erfasst werden, warum sie erforderlich sind und wer für die Einrichtung und spätere Aktualisierungen zuständig ist.

• Komponente und Anbieter: Erfassen Sie die tatsächlich aktivierten Dienste und übernehmen Sie nicht einfach nur die Installationsliste.
• Konkreter Zweck: Halten Sie Zwecke wie die Bearbeitung von Gästeanfragen, das Speichern von Einstellungen, Statistik oder Werbung getrennt fest. Dient eine Komponente mehreren Zwecken, dokumentieren Sie diese jeweils einzeln.
• Bedingungen für das Laden: Halten Sie fest, wann Informationen abgerufen oder gespeichert werden und welche Vorgänge nach einer Ablehnung enden sollten.
• Zuständigkeit für die Betreuung: Benennen Sie eine Kontaktperson und legen Sie fest, wer die Komponente erneut prüft, wenn sich ihr Zweck oder ihre Einstellungen ändern.

Eine selbst gewählte Sprache ist nicht dasselbe wie eine von der Website abgeleitete Präferenz

Die Ausnahme von der Einwilligung in der Mitteilung aus dem Jahr 2023 gilt unter der Bedingung, dass Nutzer selbst eine Sprache oder eine andere Einstellung auswählen und das betreffende technische Cookie keinen weiteren Zwecken dient. Leitet die Website eine Präferenz selbst aus den erfassten Informationen ab, lässt sich diese Einschätzung nicht ohne Weiteres übertragen. Auch wird Anzeigen-Retargeting nicht allein deshalb zu einer notwendigen Funktion, weil es dieselbe Komponente wie die Speisekarte nutzt.

Ob eine konkrete Ausnahme greift und eine Einwilligung erforderlich ist, sollte eine qualifizierte Datenschutzberatung anhand des tatsächlichen Zwecks beurteilen. Bewerten Sie nicht pauschal alle Statistik-Tools als notwendig oder ausnahmslos einwilligungspflichtig. Bei Tracking-Komponenten, für die es keinen Zweck und keine zuständige Betreuung gibt, können Sie zunächst entscheiden, ob sie entfernt werden sollen.

Benutzeroberfläche und Verhalten nach der Auswahl getrennt prüfen

• Erster Besuch: Prüfen Sie auf Mobilgeräten und Computern, ob die Optionen zum Akzeptieren, Ablehnen und Anpassen klar erkennbar und nicht verdeckt sind und ob das Ablehnen zusätzliche Schritte erfordert.
• Nach einer Ablehnung: Lassen Sie sich vom technischen Dienstleister in einer kontrollierten Browserumgebung erklären, welche Anfragen und Speichervorgänge ausbleiben. Ein Screenshot des geschlossenen Einwilligungsbanners reicht nicht aus.
• Auswahl nach einzelnen Zwecken: Prüfen Sie die jeweiligen Zwecke und den tatsächlichen Zusammenhang mit dem Laden der Komponenten. Vergewissern Sie sich, dass sich das entsprechende Verhalten über die Auswahlmöglichkeiten tatsächlich steuern lässt.
• Auswahl ändern und widerrufen: Erklären Sie, wie Gäste die Einstellungen erneut aufrufen und wie sich das tatsächliche Verhalten nach einer Änderung verändert. Ein Einstieg, über den sich die Auswahl nicht speichern lässt, darf nicht bestehen bleiben.

In allen Sprachen sollten die Optionen zum Akzeptieren und Ablehnen gleich klar dargestellt sein; die Gäste entscheiden selbst, welche sie wählen. Wenn Speisekarte oder Reservierung nach dem Ablehnen von Werbung nicht richtig funktionieren, sollte die zuständige Betreuungsperson die Ursache prüfen. Fordern Sie Gäste nicht auf, stattdessen erneut allem zuzustimmen, um den Fehler zu verdecken. Holen Sie bei besonderen Bedingungen für einen Dienst gesonderten fachlichen Rat ein.

Bei Anbieterwechseln müssen auch die Prüfungen aktualisiert werden

Nach einem Wechsel des Reservierungs-, Karten- oder Werbedienstes stimmen die bisherigen Erläuterungen und Auswahlmöglichkeiten möglicherweise nicht mehr. Die verantwortliche Person sollte den Dienstleister auffordern, die Komponentenliste, ihre Zwecke und die Auswirkungen der Auswahl zu aktualisieren. Noch ungeklärte Vorgänge und die dafür zuständige Person sollten dabei kenntlich gemacht werden. Bewahren Sie intern die erforderlichen Prüfnachweise auf, ohne Browserdaten von Gästen anzufordern, die für die betreffende Frage unerheblich sind.

Die Cookie-Verwaltung deckt nicht sämtliche Pflichten im Umgang mit Kontaktdaten aus Reservierungen, Mitgliederdaten und Zahlungsinformationen ab. Diese Zwecke sind jeweils gesondert zu prüfen. Mitarbeitende können Gästen bei Fragen oder der Bestellung persönlich helfen; rechtliche Fragen sollten an die zuständige Person weitergegeben werden. Behaupten Sie nicht, dass die Installation eines bestimmten Tools dauerhaft für Konformität sorgt.