6. Cookie-Typen und erforderliche Einwilligung

• Technisch unbedingt erforderliches Cookie — Zweck: Warenkorb, Anmeldung, Sicherheitsfunktion. Einwilligung: in der Regel keine Einwilligung nach § 25 Abs. 2 TDDDG.
• Cookie zur Speicherung der Einwilligungsentscheidung — Zweck: Merken, ob zugestimmt oder abgelehnt wurde. Einwilligung: regelmäßig keine zusätzliche Einwilligung, soweit auf das Erforderliche beschränkt.
• Komfort- oder Präferenz-Cookie — Zweck: Sprache, Design, optionale Personalisierung. Einwilligung: keine, wenn lediglich eine vom Nutzer selbst gewählte Einstellung (etwa Sprache oder Farbschema) ohne eindeutige Kennung gespeichert wird; Einwilligung erforderlich bei automatischer Personalisierung oder Auswertung des Nutzungsverhaltens.
• Analyse-Cookie — Zweck: Reichweitenmessung und Nutzungsanalyse. Einwilligung: regelmäßig vorherige Einwilligung.
• Marketing-Cookie — Zweck: Werbung, Retargeting, Profilbildung. Einwilligung: stets vorherige Einwilligung nach § 25 Abs. 1 TDDDG; für die anschließende Verarbeitung personenbezogener Daten, etwa zur Profilbildung, zusätzlich eine Rechtsgrundlage nach der DSGVO.
• Social-Media-Cookie — Zweck: Zuordnung und Nachverfolgung durch Plattformanbieter. Einwilligung: regelmäßig vorherige Einwilligung.
• Drittanbieter-Cookie — Zweck: anbieterübergreifende Wiedererkennung. Einwilligung: regelmäßig vorherige Einwilligung.
• Session-Cookie — Zweck: technische Sitzungsverwaltung. Einwilligung: keine Einwilligung, wenn unbedingt erforderlich.
• Permanentes Cookie — Zweck: Wiedererkennung über längere Zeit. Einwilligung: zweckabhängig; Dauer allein entscheidet nicht.

Entscheidend ist nicht die Bezeichnung des Cookies, sondern dessen tatsächlicher Zweck und technische Funktionsweise. § 25 TDDDG kennt im Kern keine allgemeine Ausnahme für „First-Party-Cookies“, „Session-Cookies“ oder „anonyme Cookies“. Maßgeblich ist die unbedingte Erforderlichkeit für den gewünschten Dienst.

Die Einwilligung nach § 25 Abs. 1 TDDDG richtet sich nach den Maßstäben der DSGVO. Sie muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein, etwa durch einen aktiven Klick. Eine „ausdrückliche“ Einwilligung im engeren Sinn verlangt die DSGVO nur in besonderen Fällen, zum Beispiel bei Gesundheitsdaten oder bei einer Übermittlung in ein Drittland ohne Angemessenheitsbeschluss nach Art. 49 DSGVO.

Die Aufsichtsbehörden sehen das Speichern einer vom Nutzer gewählten Sprache oder Hintergrundfarbe als unbedingt erforderlich an, solange dafür keine eindeutige Nutzerkennung vergeben wird, sondern nur die Einstellung selbst gespeichert wird (DSK, OH Digitale Dienste, Rn. 81).