Tracking ohne Cookies: Ist das einwilligungsfrei?

Tracking ohne Cookies ist nicht automatisch einwilligungsfrei. § 25 TDDDG ist technikneutral: Er erfasst jedes Speichern oder Auslesen von Informationen auf dem Endgerät, also neben Cookies auch localStorage, sessionStorage oder Fingerprinting. Ohne Einwilligung ist das nur zulässig, wenn es für den gewünschten Dienst unbedingt erforderlich ist, und daneben brauchen Sie für die Datenverarbeitung weiterhin eine Rechtsgrundlage nach der DSGVO.

Brauche ich ohne Cookies keine Einwilligung?

Diese Annahme ist weit verbreitet, greift aber zu kurz. Die Einwilligungspflicht für den Zugriff auf Endgeräte hängt nicht am Wort „Cookie“, sondern an der Handlung: Werden Informationen auf dem Gerät gespeichert oder ausgelesen? Wer Cookies durch einen Eintrag im localStorage ersetzt, ändert die Technik, aber nicht die rechtliche Frage.

Hinzu kommt eine zweite Prüfung. Auch wenn gar nicht auf das Endgerät zugegriffen wird, verarbeiten Sie beim Tracking in der Regel personenbezogene Daten, etwa IP-Adressen oder Verhaltensprofile. Dafür benötigen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Welche das ist, hängt vom Zweck und vom Umfang ab.

Was regelt § 25 TDDDG, und was hat sich gegenüber dem TTDSG geändert?

Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) wurde im Mai 2024 in Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) umbenannt. Hintergrund war die Anpassung an den europäischen Digital Services Act. Inhaltlich blieb § 25 im Kern unverändert.

• Grundsatz: Das Speichern von Informationen auf dem Endgerät und der Zugriff auf dort gespeicherte Informationen erfordern eine Einwilligung.
• Ausnahme 1: Der Zugriff dient allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz.
• Ausnahme 2: Der Zugriff ist unbedingt erforderlich, damit ein ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann, etwa ein Warenkorb oder ein Login.
• Technikneutral: Die Regel gilt unabhängig davon, ob Cookies, Web Storage, Pixel oder andere Verfahren genutzt werden.

Reichweitenmessung und Verhaltensanalyse gelten nach verbreiteter Auffassung der Aufsichtsbehörden in der Regel nicht als unbedingt erforderlich, weil die Website auch ohne sie funktioniert.

Was bedeutet „cookieless“ wirklich?

Hinter dem Begriff stecken sehr unterschiedliche Verfahren. Manche Anbieter speichern Kennungen im Web Storage statt in Cookies, andere berechnen aus Geräteeigenschaften einen Fingerabdruck, wieder andere verzichten auf jede Wiedererkennung und zählen nur Seitenaufrufe. Rechtlich unterscheiden sich diese Varianten erheblich. Die folgende Tabelle zeigt eine typische Einordnung:

Die Tabelle ist eine Orientierung, keine abschließende Bewertung. Details wie Zweck, Speicherdauer und Weitergabe an Dritte können das Ergebnis verändern. Lassen Sie konkrete Verfahren prüfen.

Wie ordnet sich Session Replay ein?

Session-Replay-Tools müssen einen Besuch über mehrere Seitenaufrufe hinweg zusammenhalten und brauchen dafür in der Regel eine Kennung im Browser. Auch AnyReplay setzt keine Cookies, nutzt aber localStorage für eine zufällige Besucher-ID, mit der das Sampling pro Besucher entschieden wird, und sessionStorage für die laufende Session. Das bedeutet: Cookielos heißt hier nicht einwilligungsfrei.

Warum lässt sich das nicht vermeiden? Ohne Kennung im Browser würde jeder Seitenwechsel als neue Session erscheinen, und die Entscheidung, ob ein Besucher aufgezeichnet wird, fiele bei jedem Aufruf neu. Das Sampling wäre dann nicht mehr pro Person stabil. Wir haben uns deshalb bewusst für eine offene Einordnung entschieden, statt „cookielos“ als Argument gegen das Consent-Banner zu verwenden.

Deshalb bieten wir die Option requireConsent: true. Solange Ihr Consent-Banner nicht consent(true) aufruft, zeichnet der Recorder nichts auf. Der Recorder merkt sich die Entscheidung nicht selbst; Ihre Consent-Management-Plattform übergibt den Status bei jedem Seitenaufruf. Wie Sie das mit gängigen Bannern verbinden, zeigt die Dokumentation zur Einwilligung (auf Englisch).

Die weiteren DSGVO-Pflichten für Aufzeichnungen, von Maskierung bis Speicherdauer, finden Sie im Artikel Session Replay und DSGVO.

Welche Rolle spielt die DSGVO neben dem TDDDG?

TDDDG und DSGVO beantworten unterschiedliche Fragen. Das TDDDG regelt, ob Sie auf das Gerät zugreifen dürfen. Die DSGVO regelt, ob und wie Sie personenbezogene Daten verarbeiten dürfen, und zwar unabhängig davon, wie Sie an die Daten gekommen sind. Selbst eine einwilligungsfreie Technik entbindet also nicht von Informationspflichten, Datenminimierung, Speicherbegrenzung und gegebenenfalls einem Auftragsverarbeitungsvertrag.

Für Session Replay heißt Datenminimierung vor allem: sensible Inhalte gar nicht erst erfassen. AnyReplay ersetzt Werte in Eingabefeldern standardmäßig schon im Browser durch Sternchen und verbirgt Passwort-, Einmalcode- und Zahlungsfelder in jeder Konfiguration. Mehr dazu auf der Seite Datenschutz.

Checkliste: Ist Ihr cookieloses Tracking wirklich sauber?

• Listen Sie alle Skripte auf, die Cookies, localStorage, sessionStorage oder IndexedDB nutzen, nicht nur Cookies.
• Prüfen Sie für jedes Skript, ob es für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist.
• Hinterfragen Sie Formulierungen wie „ohne Consent-Banner“ in Anbieterunterlagen und lassen Sie sich die Technik erklären.
• Laden Sie nicht erforderliche Werkzeuge erst nach aktiver Zustimmung oder halten Sie sie wie mit requireConsent zurück.
• Klären Sie für jede Verarbeitung die Rechtsgrundlage nach Art. 6 DSGVO.
• Aktualisieren Sie Datenschutzerklärung und Verarbeitungsverzeichnis.
• Testen Sie Widerruf und Ablehnung: Wird danach wirklich nichts mehr gespeichert oder gesendet?
• Lassen Sie das Ergebnis von Ihrer Datenschutzbeauftragten prüfen.

Wenn Sie Fragen zur Einbindung von AnyReplay in Ihre Einwilligungslösung haben, schreiben Sie uns.