Wie erstellt man eine Cookie-Richtlinie? Ob sie Pflicht ist und was hineingehört.
Das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK) verlangt kein eigenes Dokument namens „Cookie-Richtlinie“; aber jede Website, die mit Cookies personenbezogene Daten verarbeitet, muss Besucher beim Aufrufen der Website informieren. Die türkische Datenschutzbehörde (Kişisel Verileri Koruma Kurumu) empfiehlt, in dieser Information für jedes Cookie Name, Zweck und Dauer sowie die Angabe, ob es von einem Erst- oder Drittanbieter stammt, klar anzugeben; die Cookie-Richtlinie ist der Ort, an dem diese Angaben geordnet stehen.
Die kurze Antwort auf die Frage „Ist eine Cookie-Richtlinie Pflicht?“: Pflicht ist nicht der Name des Dokuments, sondern sein Inhalt. Dieser Leitfaden erklärt diesen Inhalt, aus welchen Spalten die Tabelle besteht, wann ein Cookie-Banner nötig ist und welche Fehler am häufigsten gemacht werden. Quellen sind der im Juli 2025 aktualisierte Leitfaden der Behörde zu Cookie-Praktiken und die Sanktionsbeschlüsse des Datenschutzrats (Kişisel Verileri Koruma Kurulu). Die Angaben hier sind keine Rechtsberatung.
Ist eine Cookie-Richtlinie Pflicht?
Im Gesetz Nr. 6698 kommt das Wort „Cookie“ nicht vor. Artikel 10 des Gesetzes verlangt jedoch, dass die betroffene Person bei der Erhebung personenbezogener Daten informiert wird. Laut dem Cookie-Leitfaden der Behörde muss die Information beim Aufrufen der Website erfolgen, wenn mit dem Besuch der Website die Verarbeitung personenbezogener Daten beginnt; wird beim Aufruf keine Information angeboten, kann ein Verstoß gegen die Informationspflicht in Betracht kommen. Der Leitfaden empfiehlt außerdem, in den Datenschutzhinweisen Name, Verwendungszweck und Verwendungsdauer des Cookies sowie die Angabe, ob es von einem Erst- oder Drittanbieter stammt, klar anzugeben.
Diese Angaben können Sie in einem Abschnitt der Datenschutzhinweise oder auf einer eigenen Seite „Cookie-Richtlinie“ führen; der Cookie-Leitfaden beschreibt nicht den Ort, sondern den Inhalt. Auch für eine Website ohne Cookies ist eine kurze Seite nützlich: „keine Cookies“ zu sagen und die übrigen im Browser gespeicherten Einträge aufzulisten, beantwortet die Frage des Besuchers von vornherein.
Was ist der Unterschied zwischen Cookie-Richtlinie und Datenschutzhinweisen?
Die Datenschutzhinweise beschreiben die gesamte Verarbeitung personenbezogener Daten durch die Website: Identität des Verantwortlichen, Zweck, an wen die Daten übermittelt werden, Methode und Rechtsgrundlage der Erhebung, Rechte der betroffenen Person. Die Cookie-Richtlinie führt den Teil davon aus, der Cookies und Browsereinträge betrifft. Welcher Text in welcher Situation nötig ist, haben wir im Leitfaden Was eine Website haben muss zusammengestellt.
Zwei Unterscheidungen sind wichtig. Laut dem Cookie-Leitfaden müssen Datenschutzhinweise und Cookie-Verwaltungspanel voneinander getrennt sein. Auch die ausdrückliche Einwilligung in Werbe-Cookies darf nicht in Dokumente wie Nutzungsbedingungen oder eine „Datenschutzerklärung“ eingebettet werden; die Einwilligung wird mit einer eigenen, bewussten Handlung eingeholt.
Welche Spalten gehören in die Tabelle?
Die vier Angaben, die der Cookie-Leitfaden nennt (Name · Zweck · Dauer · Partei), bilden den Kern der Tabelle. In der Praxis beantworten diese Spalten die Frage des Besuchers vollständig:
- Name · der technische Name des Cookies oder Eintrags
- Art · Cookie, lokaler Speicher, Sitzungsspeicher
- Wann gespeichert · beim ersten Besuch oder nach einer Handlung
- Zweck · wozu es dient, in einer Sprache, die der Besucher versteht
- Dauer · wird es am Ende der Sitzung oder nach wie vielen Tagen oder Monaten gelöscht
- Partei · Erstanbieter oder, bei einem Drittanbieter, welches Unternehmen
- Rechtsgrundlage · mit der Bezeichnung der Bedingung im Gesetz; ob eine ausdrückliche Einwilligung nötig ist
- Ausland · wenn die Daten an einen Anbieter im Ausland gehen
Dass die Rechtsgrundlage „mit der Bezeichnung der Bedingung im Gesetz“ genannt wird, folgt aus Artikel 5 der Mitteilung über Verfahren und Grundsätze zur Erfüllung der Informationspflicht: Allgemeine und vage Formulierungen werden nicht verwendet. Die Spalte „Ausland“ ist mit der Aktualisierung des Cookie-Leitfadens vom Juli 2025 wichtiger geworden: Eine Übermittlung an einen Cookie-Anbieter im Ausland unterliegt den Übermittlungsregeln in Artikel 9 des Gesetzes.
Beispiel: drei Zeilen aus der Tabelle dieser Website
Unsere eigene Cookie- und Browserspeicher-Richtlinie listet jeden Eintrag nach dieser Logik auf. Drei Zeilen daraus:
- mt.bilgi · lokaler Speicher · wenn Sie „Verstanden“ drücken · verhindert, dass das Hinweisbanner erneut erscheint · 12 Monate · Erstanbieter
- kt-son · lokaler Speicher · wenn „Zuletzt gelesenen Beitrag markieren“ eingeschaltet ist · markiert den zuletzt gelesenen Beitrag · wird beim Ausschalten der Funktion gelöscht · Erstanbieter
- __cf_bm · Cookie (hcaptcha.com) · wenn Sie das Kontaktformular berühren · unterscheidet Mensch und Bot · höchstens ein Tag · Drittanbieter
Die ersten beiden werden auf eigenen Wunsch des Besuchers gespeichert; der dritte stammt von einem Drittanbieterdienst, der erst geladen wird, wenn das Formular berührt wird. In der Tabelle stehen alle drei mit derselben Ausführlichkeit.
Wann ist ein Cookie-Banner nötig?
Der Cookie-Leitfaden unterscheidet Cookies nach ihrem Zweck. Cookies, die für die Übertragung der Kommunikation nötig sind (Kriterium A), und Cookies, die für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind (Kriterium B), erfordern keine ausdrückliche Einwilligung: etwa Sitzung, Formular, Warenkorb, Sicherheit oder eine vom Nutzer gewählte Oberflächeneinstellung. Laut dem Anhang des Leitfadens mit schlechten Beispielen ist es mit dem Grundsatz „Rechtmäßigkeit und Treu und Glauben“ nicht vereinbar, eine ausdrückliche Einwilligung zu verlangen, wenn die Grundfunktion der Website in diesen Bereich fällt. Eine Website, die nur notwendige Cookies verwendet, zeigt kein Einwilligungsbanner, sondern beim Aufruf einen Hinweis.
Wo eine Einwilligung nötig ist, ist der Leitfaden eindeutig: Auf der ersten Ebene werden „Alle akzeptieren“, „Alle ablehnen“ und „Einstellungen“ gleichwertig angeboten; für unterschiedliche Zwecke wird jeweils eine eigene Einwilligung eingeholt; einwilligungspflichtige Cookies sind im Panel zunächst deaktiviert; eine „Cookie-Wall“, die den Zugang zur Website von der Einwilligung abhängig macht, kann den freien Willen beeinträchtigen; der Satz „Mit der Nutzung der Website gelten Sie als mit Cookies einverstanden“ ist keine wirksame Einwilligung.
Brauchen Analyse-Cookies eine Einwilligung?
Das kommt darauf an. Der Leitfaden sagt, dass Erstanbieter-Analyse-Cookies unter Kriterium B fallen können; Voraussetzung ist, dass der Zweck auf die Messung der eigenen Reichweite und Leistung der Website beschränkt bleibt, nur anonyme Statistiken erzeugt werden, kein seitenübergreifendes Tracking stattfindet und die Daten nicht an Dritte weitergegeben werden. Als Beispiel für eine Maßnahme nennt der Leitfaden die Maskierung der IP-Adresse.
Analyse, die über diese Voraussetzungen hinausgeht, braucht eine Einwilligung. Im Beschluss 2024/1361 sanktionierte der Rat, dass ein nicht unbedingt erforderliches Analyse-Cookie beim ersten Aufruf ohne Einwilligungsmechanismus verwendet wurde (250.000 TL, zusätzlich 15.000 TL für mangelhafte Information). Im Beschluss 2022/1358 wurde ein Bußgeld von 300.000 TL verhängt, weil für nicht notwendige Cookies zu Werbe- und Statistikzwecken keine Einwilligung eingeholt wurde.
Was gilt für lokalen Speicher und andere Einträge?
Der Leitfaden der Behörde erfasst nur Cookies, die personenbezogene Daten verarbeiten; für Techniken wie lokalen Speicher, Pixel und Fingerprinting gibt er keine eigene Orientierung. Die EU-Regeln sind weiter: Nach den Leitlinien 2/2023 des Europäischen Datenschutzausschusses (EDSA) fällt jeder auf dem Gerät gespeicherte Eintrag, auch der lokale Speicher, unter die ePrivacy-Regel. Hat Ihre Website Besucher aus der EU, ist es sicherer, die Richtlinie nicht auf Cookies zu beschränken und jeden im Browser gespeicherten Eintrag aufzulisten.
Welche Fehler werden am häufigsten gemacht?
- Vorlagenkopie · Cookies beschreiben, die es auf der Website nicht gibt, und die vorhandenen weglassen
- Stillschweigende Einwilligung · „Mit der Nutzung der Website gelten Sie als einverstanden“
- Eine einzige Schaltfläche · nur „Akzeptieren“, „Ablehnen“ fehlt oder ist blass
- Eingebettete Einwilligung · die Einwilligung in den Text der Richtlinie oder der Bedingungen packen
- Vergessener Drittanbieter · das von einem Plugin hinterlassene Cookie nicht aufführen
- Fehlende Dauer · nicht angeben, wann das Cookie gelöscht wird
Für Drittanbieter-Cookies ist auch der Websitebetreiber verantwortlich: Laut dem Leitfaden sind sowohl der Websitebetreiber als auch der Drittanbieter verpflichtet, dafür zu sorgen, dass der Nutzer informiert und seine Einwilligung eingeholt wird.
Wie halten Sie die Richtlinie aktuell?
Eine Cookie-Richtlinie, die einmal geschrieben und dann liegen gelassen wird, ist bei der ersten Plugin-Änderung falsch. Schauen Sie nach jedem neuen Plugin, Tag oder eingebetteten Inhalt in den Entwicklertools des Browsers in den Tab „Anwendung“ (Application) und vergleichen Sie die Tabelle; wiederholen Sie die Prüfung, nachdem Sie ein Formular ausgefüllt haben. Wir haben diesen Vergleich an die Testsuite gebunden: Fehlt ein Speicherschlüssel, den der Code schreibt, in der Tabelle, wird der Test rot. Einzelheiten stehen in unserem Artikel zur KVKK-konformen Website.
Wenn Sie gemeinsam mit uns messen möchten, was Ihre Website tatsächlich im Browser hinterlässt, schreiben Sie uns.
Wenn Sie die Antworten auf diese Fragen auf Ihrer eigenen Website sehen möchten: Corporate Webdesign liefert Design, Code und technisches SEO aus einer Hand, mit einem messbaren Budget.