Cookie-Banner in Luxemburg: Was Websites beachten müssen
Fast jede Website in Luxemburg hat einen Cookie-Banner. Viele davon sind rechtlich wertlos: Sie setzen Cookies, bevor jemand zugestimmt hat, verstecken das Ablehnen oder blockieren Google Maps und YouTube nicht. Dieser Beitrag erklärt, was die Datenschutzbehörde CNPD verlangt, wie ein Banner technisch richtig arbeitet und was das für Kontaktformulare und Karten bedeutet. Wir sind keine Rechtsberatung. Bei konkreten Fragen empfehlen wir die Prüfung durch einen Anwalt.
Die Grundregel: erst fragen, dann speichern
Die Datenschutzbehörde CNPD hat Leitlinien zu Cookies veröffentlicht, die auf der DSGVO und der luxemburgischen Umsetzung der ePrivacy-Richtlinie beruhen. Der Kern: Alles, was nicht technisch notwendig ist, darf erst nach einer aktiven Einwilligung auf dem Gerät des Besuchers gespeichert oder ausgelesen werden. Das betrifft Cookies, aber auch den Browserspeicher und Skripte von Drittanbietern, die Daten übertragen.
Technisch notwendig sind zum Beispiel der Warenkorb eines Shops oder die Merkung der Sprachauswahl. Nicht notwendig sind Google Analytics, der Meta-Pixel, YouTube-Einbettungen, Google Maps und reCAPTCHA.
Was ein Banner leisten muss
- Vor der Einwilligung werden keine nicht notwendigen Cookies gesetzt und keine Drittanbieter-Skripte geladen.
- Ablehnen ist so einfach wie Annehmen: gleiche Ebene, gleiche Sichtbarkeit, kein Umweg über Einstellungen.
- Der Besucher sieht, welche Dienste zu welchem Zweck Daten verarbeiten, bevor er entscheidet.
- Die Einwilligung lässt sich jederzeit widerrufen, etwa über einen Link im Footer.
- Die Entscheidung wird protokolliert, damit sie im Zweifel nachweisbar ist.
- Die Website bleibt ohne Einwilligung nutzbar. Eine Sperre nach dem Muster „Zustimmen oder gehen“ ist nach den CNPD-Leitlinien nicht zulässig.
Der häufigste Fehler: der Banner ist da, die Skripte laufen trotzdem
Ein Banner, der nur ein Hinweisfenster zeigt, ändert nichts. Entscheidend ist, dass die Skripte tatsächlich blockiert werden, bis die Einwilligung vorliegt. Wir setzen dafür Real Cookie Banner ein, das Dienste wie Google Maps, YouTube, reCAPTCHA und Analytics erkennt und erst nach Zustimmung lädt. Ob das funktioniert, sieht man nicht am Banner, sondern im Netzwerkprotokoll des Browsers: Vor dem Klick darf keine Anfrage an google.com oder facebook.com rausgehen.
Was das für Formulare und Karten bedeutet
Ein Kontaktformular mit Google reCAPTCHA funktioniert erst nach Einwilligung. Das ist kein Fehler, sondern gewollt: reCAPTCHA überträgt Daten an Google. Wer das Formular auch Besuchern anbieten will, die den Banner ablehnen, braucht einen Spamschutz ohne Drittanbieter, etwa Cloudflare Turnstile, oder einen Honeypot. Google Maps ersetzt man durch ein statisches Bild mit Link zur Karte, YouTube durch eine Vorschau, die das Video erst nach Klick lädt.
Eigene Tools sind kein Freifahrtschein
Auch Skripte, die Sie selbst betreiben, fallen unter die Regel, sobald sie auf den Gerätespeicher zugreifen oder Daten an einen anderen Server senden. Das gilt für Tracking-Tools, Chat-Widgets und Klickbetrug-Erkennung genauso wie für Google. Die Frage ist nie, wem das Skript gehört, sondern was es auf dem Gerät des Besuchers tut.
Unsere Empfehlung
Cookie-Banner sind kein Hindernis für Anfragen, wenn die Website ohne Drittanbieter auskommt, wo es geht. Eine gut gebaute Website braucht weder Google Fonts vom Google-Server noch ein Tracking-Skript, um Besucher zu zählen. Je weniger einwilligungspflichtige Dienste, desto kürzer der Banner und desto mehr Besucher kommen zum Inhalt. Bei jedem Relaunch prüfen wir die Dienste und entfernen, was nicht nötig ist.
