Cookie-Richtlinie von Vulkan Vegas (Deutschland)

Diese Cookie-Richtlinie erklärt transparent, welche Cookies Vulkan Vegas in Deutschland verwendet, zu welchen Zwecken, mit welchen Laufzeiten und ob Drittanbieter beteiligt sind. Sie erfahren, wie Sie Ihre Einwilligung im Consent-Tool verwalten, Cookies im Browser steuern und welche DSGVO‑Rechte Sie in Berlin und der EU haben. Diese Informationen gelten für deutsche Spieler und wurden für die datenschutzrechtlichen Anforderungen in Deutschland und Europa aufbereitet.

Was sind Cookies und wie setzt Vulkan Vegas sie ein?

Cookies sind kleine Textdateien, die ein Webserver über den Browser auf Ihrem Endgerät speichert. Sie enthalten in der Regel einen kurzen Zeichenwert (Identifier) und zugehörige Attribute, damit eine Website Ihren Browser zwischen Seitenaufrufen wiedererkennt. In einem Casino‑Kontext unterstützen Cookies vor allem Sitzungsverwaltung (Login, Spielstatus), Sicherheit (z. B. CSRF‑Schutz), Präferenzen (Sprache, Einwilligungen) sowie – nach Einwilligung – Analyse und Marketing. Die Speicherung und das Auslesen nicht unbedingt erforderlicher Cookies erfolgt auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG; technisch erforderliche Cookies stützen sich auf berechtigte Interessen bzw. § 25 Abs. 2 TTDSG.

Welche Arten von Daten speichern Cookies technisch?

Technisch speichern Cookies keine Programme oder sensiblen Inhalte, sondern kurze Textwerte und Metadaten. Ein Cookie kann keinen eigenständigen Code ausführen. Folgende Datenbestandteile sind typisch:

• Eindeutiger Bezeichner (z. B. Sitzungs‑ID)
• Consent‑Status (welchen Kategorien Sie zugestimmt haben)
• Sicherheits‑Tokens (z. B. CSRF‑Token)
• Präferenzen (Sprache, Layout, Region)
• Attributangaben für Auslieferung und Schutz (Domain, Pfad, Secure, HttpOnly, SameSite, Ablaufzeit)

Hinweis: Ob ein Cookie personenbezogen ist, hängt nicht vom Cookie selbst ab, sondern davon, ob der gespeicherte Wert (z. B. eine ID) serverseitig einer Person zugeordnet werden kann.

Wer sind unsere Drittanbieter‑Partner für Cookies?

Die verbindliche, aktuelle Liste der Drittanbieter finden Sie im Consent‑Management‑Tool (CMP), das beim ersten Besuch angezeigt wird und jederzeit über „Cookie‑Einstellungen“ aufrufbar ist. Dort sehen Sie Anbieter, Zwecke, Rechtsgrundlagen und Laufzeiten je Kategorie. Branchenweit übliche Anbietergruppen sind:

• Webanalyse/Performance (Reichweitenmessung, Fehlerdiagnose)
• A/B‑Testing und Personalisierung (UI‑Varianten, Empfehlungen)
• Werbung/Retargeting (Frequenzsteuerung, Kampagnenzuordnung)
• Security/Fraud‑Prevention (Bot‑Erkennung, Missbrauchsprävention)
• Tag‑Management (Steuerung weiterer Skripte)

Wichtig: Die obigen Anbieter sind allgemeine Beispiele aus dem Markt. Welche konkreten Drittanbieter auf dieser Website aktiv sind, entnehmen Sie bitte ausschließlich den „Cookie‑Einstellungen“ (CMP) sowie der dort verlinkten Anbieterdokumentation. Informationen zum IAB‑Standard finden Sie bei IAB Europe – Transparency & Consent Framework.

Warum wurden Cookies im Web etabliert (historischer Kontext)?

HTTP ist zustandslos: Ohne Mechanismus zur Wiedererkennung weiß ein Server nicht, ob zwei Aufrufe vom selben Browser stammen. Cookies wurden Mitte der 1990er‑Jahre eingeführt, um Sitzungen und Präferenzen zuverlässig zu verwalten. Daraus ergab sich ein De‑facto‑Standard, der später normiert und datenschutzrechtlich reguliert wurde.

• Vorteil: Sitzungsstabilität, Sicherheit (z. B. HttpOnly, Secure) und komfortable Präferenzspeicherung.
• Risiko: Profilbildung über Domains hinweg; daher Einwilligungs‑ und Transparenzanforderungen sowie Browser‑Schutzmaßnahmen.

Für Glücksspielseiten bedeuten Cookies vor allem stabile Logins, Schutz vor unbefugter Nutzung und die Verwaltung Ihrer Einwilligungen. Analyse‑ und Marketing‑Cookies werden nur auf Basis Ihrer Zustimmung eingesetzt. Technisch erforderliche Cookies sind minimiert und mit Sicherheitsattributen (Secure, HttpOnly, SameSite) geschützt, um Missbrauch zu erschweren.

Cookie-Typen bei Vulkan Vegas: Zweck, Laufzeit, Anbieter

Diese Seite verwendet Cookie-Kategorien mit klar abgegrenzten Zwecken: unbedingt erforderliche Cookies für die Bereitstellung und Sicherheit des Angebots, Analyse‑/Performance‑Cookies zur Qualitätsmessung sowie Marketing‑Cookies für Personalisierung und Frequenzsteuerung. Konkrete Anbieter, Laufzeiten und Rechtsgrundlagen je Cookie sehen Sie jederzeit im Consent‑Management‑Tool („Cookie‑Einstellungen“). Die Speicherung/der Zugriff auf nicht erforderliche Cookies erfolgt nur nach Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG; technisch erforderliche Cookies stützen sich auf § 25 Abs. 2 TTDSG und eine geeignete DSGVO‑Rechtsgrundlage (z. B. Art. 6 Abs. 1 lit. b/f).

Wofür sind unbedingt erforderliche Cookies zuständig?

Unbedingt erforderliche Cookies sind notwendig, damit die Website technisch funktioniert und angeforderte Dienste bereitgestellt werden können. Ohne sie wären Login, Sitzungswiedererkennung oder Sicherheitsmechanismen nicht verlässlich möglich. Diese Cookies enthalten keine Marketingkennungen und dienen keinen Analyse‑ oder Werbezwecken.

• Sitzungsverwaltung: Halten den Anmeldestatus zwischen Seitenaufrufen aufrecht (Session‑ID).
• Sicherheit und Integrität: Schutz vor Cross‑Site‑Request‑Forgery (CSRF‑Token), Durchsetzung von Cookie‑Attributen (Secure, HttpOnly, SameSite).
• Lastverteilung und Verfügbarkeit: Routing zum richtigen Server (Load‑Balancing), Stabilität unter hoher Last.
• Einwilligungsstatus: Speichert, welche Cookie‑Kategorien erlaubt oder abgelehnt wurden, um Ihre Auswahl durchzusetzen.
• Sprach‑/Ländereinstellungen: Liefert Inhalte in der richtigen Sprache/Region.

Charakteristika: meist First‑Party, Session‑basiert oder kurze Laufzeiten; Übertragung ausschließlich via HTTPS (Secure), nicht per JavaScript lesbar (HttpOnly) und eingeschränkte Weitergabe in Cross‑Site‑Kontexten (SameSite=Lax/Strict), soweit technisch umsetzbar.

Wie messen Analyse‑ und Performance‑Cookies ohne Identifikation?

Analyse‑/Performance‑Messung zielt auf technische Qualität und Nutzungsmuster, nicht auf die Wiedererkennung einer bestimmten Person. Wo Messung ohne Identifikation möglich ist, werden Daten aggregiert oder stark pseudonymisiert verarbeitet. Werden hierfür Endgeräteinformationen gespeichert/ausgelesen, ist Ihre Einwilligung erforderlich; alternativ kann eine rein serverseitige, cookielose Auswertung (z. B. aus Logdaten) genutzt werden.

• Aggregation statt Personenbezug: Berichte auf Ebene von Seitenaufrufen, Events, Geräten oder Zeitfenstern, ohne persistente Nutzerkennungen.
• IP‑Adresskürzung/Maskierung: Entfernung/Verkürzung von IP‑Teilen vor Analyse, um Personenbezug zu reduzieren.
• Rotierende, kurzlebige IDs: Zufallswerte mit schneller Ablaufzeit, die nicht domainübergreifend eingesetzt werden.
• Einschränkung von Metadaten: Kein Speichern von klaren Identifikatoren (kein Login‑Name, keine E‑Mail), minimale Parameter (z. B. Ladezeiten, Fehlerraten).
• Cookielose Optionen: Nutzung serverseitiger Messung ohne Setzen/Auslesen von Browsercookies, sofern für die Zweckbestimmung ausreichend.

Gemessene Kennzahlen umfassen typischerweise Ladezeiten (First Contentful Paint, Time to Interactive), Fehlerquoten, Klickpfade und Seitenreichweiten zur Verbesserung von Stabilität, Geschwindigkeit und Usability.

Wozu dienen Marketing‑Cookies bei Personalisierung und Frequenzsteuerung?

Marketing‑Cookies werden – ausschließlich nach Einwilligung – eingesetzt, um Angebote und Werbung relevanter zu machen und Kampagnen effizient zu steuern. Sie speichern keine Zahlungsdaten oder Spielinhalte, sondern anonyme bzw. pseudonyme Kennwerte, die Werbemittelzuordnung und Sichtkontakte ermöglichen.

• Personalisierung: Anzeige passender Inhalte/Promotionen anhand Ihrer Einwilligungen und Interaktionen auf dieser Website.
• Attribution: Zuordnung eines Besuchs/Abschlusses zu einer Kampagne, Quelle oder einem Medium (z. B. „ad“, „email“, „referral“).
• Frequenzsteuerung (Frequency Capping): Begrenzung, wie oft dasselbe Banner pro Browser innerhalb eines Zeitraums erscheint.
• Sequencing: Steuerung der Reihenfolge von Werbemitteln (z. B. Einführung → Angebot → Erinnerung) ohne übermäßige Wiederholung.
• Exclusions: Unterdrückung ungeeigneter Ausspielungen (z. B. keine Wiederbewerbung kurz nach einer Registrierung, sofern technisch erkennbar).

Die Laufzeiten sind begrenzt und werden im Consent‑Tool angezeigt. Drittanbieter‑Cookies werden von Browsern zunehmend eingeschränkt; wo möglich, werden First‑Party‑Lösungen mit kurzen Laufzeiten und strengen Attributen bevorzugt.

Hinweis: Exakte Cookie‑Namen, Anbieter und Gültigkeiten können sich ändern und sind jederzeit im Consent‑Management‑Tool („Cookie‑Einstellungen“) einsehbar. Dort können Sie Ihre Einwilligungen granular erteilen, anpassen oder widerrufen.

Wie kann ich Cookies zustimmen, ändern oder ablehnen?

Sie steuern die Verwendung von Cookies zweistufig: Erstens direkt in unserem Consent‑Management‑Tool (CMP) für Kategorien wie „Erforderlich“, „Analyse“ und „Marketing“. Zweitens in Ihrem Browser bzw. Betriebssystem, wo Sie Cookies global sperren, löschen oder zulassen können. Nicht erforderliche Cookies setzen wir nur nach Ihrer Einwilligung. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen.

Wo finde ich das Consent‑Tool und wie funktioniert es?

Das Consent‑Management‑Tool erscheint beim ersten Besuch als Einwilligungsbanner. Danach können Sie Ihre Auswahl jederzeit erneut aufrufen und anpassen. Üblicherweise finden Sie einen deutlich gekennzeichneten Link „Cookie‑Einstellungen“ im Seitenfuß oder ein entsprechendes Symbol auf der Seite. So funktioniert die Verwaltung:

• Consent‑Tool öffnen: Klicken Sie auf „Cookie‑Einstellungen“ (Footer) oder auf das entsprechende Symbol, sofern vorhanden.

• Kategorien prüfen: Lesen Sie Zweckbeschreibungen für „Erforderlich“, „Analyse/Performance“ und „Marketing“; klappen Sie Detailansichten mit Laufzeiten und Anbietern aus.

• Einwilligung erteilen/ablehnen: Aktivieren/Deaktivieren per Schieberegler auf Kategorie‑Ebene; bei einigen CMPs optional auf Anbieterebene.

• Speichern/Bestätigen: Bestätigen Sie Ihre Auswahl, damit sie unmittelbar wirksam wird. Die Entscheidung wird in einem Consent‑Cookie dokumentiert.

• Widerruf/Änderung: Rufen Sie das Tool erneut auf und passen Sie die Auswahl jederzeit an. Änderungen gelten ab dem Zeitpunkt der Aktualisierung.

• Transparenz: Das CMP zeigt für jede aktivierte Kategorie typische Datenpunkte, Laufzeiten und die Rechtsgrundlage an.

• Technische Grenzen: Erforderliche Cookies können für den Grundbetrieb notwendig sein; vollständiges Blockieren im Browser kann die Funktion beeinträchtigen.

Wie deaktiviere ich Cookies im Browser und auf Geräten?

Zusätzlich zum Consent‑Tool können Sie Cookies im Browser/auf dem Gerät steuern. Die folgenden Pfade und Hilfeseiten stammen von den offiziellen Anbietern und können je nach Version leicht variieren. Beachten Sie: Globales Blockieren kann Anmelde‑Sitzungen, Sicherheitsmechanismen oder Zahlungsabläufe behindern.

Tipp: Löschen Sie regelmäßig veraltete Website‑Daten (Cache/Cookies), wenn Darstellungs‑ oder Ladeprobleme auftreten. Danach müssen Sie sich neu anmelden und Ihre Consent‑Auswahl erneut setzen.

Was funktioniert nicht, wenn ich Cookies ablehne?

Das Ablehnen nicht erforderlicher Cookies reduziert die Datenverarbeitung auf das Nötigste. Gleichzeitig können bestimmte Komfort‑ und Sicherheitsfunktionen eingeschränkt sein. In Einzelfällen verhindert das globale Blockieren aller Cookies den ordnungsgemäßen Betrieb der Seite.

• Anmeldung und Sitzungen: Ohne Sitzungs‑Cookies bleiben Logins nicht bestehen; wiederholte Anmeldungen können erforderlich sein.
• Sicherheitsfunktionen: CSRF‑Schutz und Betrugsprävention bauen auf kurzlebigen Token auf; vollständiges Blockieren kann Schutzmechanismen beeinträchtigen.
• Einwilligungsverwaltung: Ohne Consent‑Cookie kann Ihre Auswahl nicht gespeichert werden; das Banner erscheint bei jedem Besuch erneut.
• Personalisierung: Sprache, Region, Spiel‑ und Seiteneinstellungen werden nicht erinnert; Vorschläge bleiben generisch.
• Zahlungs‑/Checkout‑Prozesse: Zwischenstände (z. B. gewählte Methode) können verloren gehen, was Abbrüche oder Fehlermeldungen begünstigt.
• Performance‑Optimierung: Ohne Analyse‑Daten fehlen uns aggregierte Messwerte zur Fehlerdiagnose und Geschwindigkeitsverbesserung.
• Werbefrequenz: Ohne Marketing‑Cookies kann die Zahl wiederholter Einblendungen nicht begrenzt werden (kein Frequency Capping).

Sie können jederzeit eine ausgewogene Einstellung wählen: nur erforderliche Cookies zulassen, Analyse erlauben, Marketing deaktivieren – oder umgekehrt. Ihre Entscheidung bleibt bis zum Widerruf gültig und kann im Consent‑Tool granular angepasst werden.

Welche Rechte habe ich in Berlin/Deutschland nach DSGVO?

Als betroffene Person in Berlin/Deutschland haben Sie umfangreiche Datenschutzrechte nach der Datenschutz‑Grundverordnung (DSGVO). Dazu zählen insbesondere Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie der Widerruf erteilter Einwilligungen (Art. 7 Abs. 3). Wir beantworten Anträge grundsätzlich innerhalb eines Monats (verlängerbar um bis zu zwei weitere Monate bei komplexen oder zahlreichen Anträgen, Art. 12 Abs. 3 DSGVO). Ihre Rechte bestehen zusätzlich zu Ihrem Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO) sowie dem Recht auf einen gerichtlichen Rechtsbehelf (Art. 79 DSGVO). Die DSGVO im Volltext finden Sie bei EUR‑Lex.

Wie stelle ich Anträge auf Auskunft, Berichtigung, Löschung?

Sie können Ihre Anträge über den im Footer verlinkten Datenschutz‑Kontakt/„Cookie‑Einstellungen“ (für Consent‑Widerrufe) oder über das Support‑/Kontaktformular stellen. Für eine zügige Bearbeitung empfehlen wir folgende Angaben und Vorgehensweise:

• Identifikation: Geben Sie Ihre Konto‑/Kundendaten an (z. B. registrierte E‑Mail, Benutzername). Bei Bedarf können wir gem. Art. 12 Abs. 6 DSGVO zusätzliche Informationen zur Identitätsbestätigung anfordern (z. B. Teilangaben, kein vollständiges Ausweiskopie‑Erfordernis ohne Anlass).

• Rechtsgrund: Nennen Sie das gewünschte Recht (Auskunft, Berichtigung, Löschung) und den Umfang (Zeitraum, Datenkategorien, konkrete Systeme, z. B. „Kontodaten, Logins, Zahlungsversuche“).

• Präzisierung: Beschreiben Sie fehlerhafte Daten (für Berichtigung) oder den Löschgrund (z. B. Widerruf der Einwilligung, Zweckfortfall, Art. 17 Abs. 1 DSGVO). Beachten Sie gesetzliche Aufbewahrungsfristen.

• Übermittlungsweg: Bei elektronischen Anträgen erhalten Sie die Antwort in einem gängigen elektronischen Format, sofern Sie nichts anderes wünschen (Art. 15 Abs. 3 DSGVO).

• Fristen & Kosten: Antwort innerhalb eines Monats; grundsätzlich unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen können wir eine angemessene Gebühr verlangen oder den Antrag ablehnen (Art. 12 Abs. 5 DSGVO) – mit Begründung.

• Auskunft (Art. 15): Enthält u. a. Verarbeitungszwecke, Kategorien personenbezogener Daten, Empfänger, Speicherdauer, Herkunft der Daten, Bestehen automatisierter Entscheidungen sowie eine Kopie der verarbeiteten personenbezogenen Daten.

• Berichtigung (Art. 16): Unrichtige personenbezogene Daten werden berichtigt; unvollständige Daten können vervollständigt werden.

• Löschung (Art. 17): Unter den gesetzlichen Voraussetzungen (z. B. Zweckfortfall, Widerruf der Einwilligung, erfolgreicher Widerspruch) löschen wir Daten, sofern keine Aufbewahrungspflichten/Ansprüche entgegenstehen.

Worin unterscheiden sich Widerspruch und Widerruf?

Widerruf und Widerspruch sind unterschiedliche Instrumente mit verschiedenen Voraussetzungen und Wirkungen:

• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Gilt für Verarbeitungen, die auf Ihrer Einwilligung beruhen (z. B. Marketing‑ oder Analyse‑Cookies). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – am einfachsten im Consent‑Tool („Cookie‑Einstellungen“). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
• Widerspruch (Art. 21 DSGVO): Gilt insbesondere gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f). Wir prüfen dann überwiegende schutzwürdige Gründe. Für Direktwerbung besteht ein jederzeitiges, absolutes Widerspruchsrecht; bei Widerspruch gegen Direktwerbung verarbeiten wir Ihre Daten hierfür nicht mehr.

Praxisbezug Cookies: Das Deaktivieren von Marketing‑/Analyse‑Kategorien im Consent‑Tool ist in der Regel ein Widerruf der Einwilligung. Ein Widerspruch richtet sich demgegenüber gegen Verarbeitungen ohne Einwilligung, die auf berechtigten Interessen basieren (z. B. bestimmte Sicherheits‑ oder Betrugspräventionsmaßnahmen, sofern personenbezogen).

An welche Aufsichtsbehörde in Berlin kann ich mich wenden?

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für Berlin ist zuständig:

• Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)
• Web: https://www.datenschutz-berlin.de/
• E‑Mail: [email protected]
• Telefon: +49 30 13889‑0
• Postanschrift: Alt‑Moabit 59–61, 10555 Berlin

Bitte übermitteln Sie bei Beschwerden nur die für die Prüfung erforderlichen Informationen und achten Sie auf den Schutz sensibler Daten. Unabhängig von einer Beschwerde können Sie Ihre Rechte jederzeit direkt gegenüber uns geltend machen.

Hinweis: Gesetzliche Aufbewahrungspflichten (z. B. handels‑/steuerrechtlich) oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können einer sofortigen Löschung entgegenstehen. In solchen Fällen wird die Verarbeitung eingeschränkt (Art. 18 DSGVO) und nach Wegfall der Gründe gelöscht.

Die andere Seite: Welche Risiken bergen Cookies wirklich?

Cookies sind nützliche technische Hilfsmittel, bergen jedoch Risiken für Privatsphäre und Datensicherheit, wenn sie zu weitreichender Wiedererkennung oder Profilbildung genutzt werden. Relevante Risiken entstehen vor allem durch Drittanbieter‑Cookies, lange Laufzeiten, mangelnde Transparenz und fehlende Sicherheitsattribute. Unser Ansatz: strikte Zweckbindung, Datenminimierung, kurze Laufzeiten, bevorzugt First‑Party‑Lösungen und volle Kontrolle über Einwilligungen im Consent‑Tool.

Werden sensible Spieldaten mit Cookies verknüpft?

Cookies enthalten selbst keine sensiblen Inhalte wie Zahlungsdaten, Ausweisdokumente oder detaillierte Spielverläufe. Technisch speichern Cookies kurze Textwerte (z. B. Sitzungs‑IDs) und Attribute; sensible Informationen werden serverseitig verarbeitet und höchstens über eine Session‑ oder Konto‑ID referenziert. Damit lassen sich notwendige Funktionen (Login, Sicherheit, Einwilligungsstatus) bereitstellen, ohne sensible Inhalte im Browser zu hinterlegen.

• Zahlungsdaten (z. B. Kartennummern): Nicht im Cookie gespeichert; Zahlungsabwicklungen erfolgen server‑ und providerseitig.
• KYC‑Unterlagen (Identitätsnachweise): Nicht im Cookie; Aufbewahrung in gesicherten Backends nach geltendem Recht.
• Spielverlauf und Einsätze: Nicht im Cookiewert; Verknüpfung erfolgt serverseitig über Sitzungs‑/Konto‑IDs.
• Präferenzen und Consent: Im Cookie erlaubt (z. B. Sprache, Einwilligungsstatus) zur Durchsetzung Ihrer Auswahl.
• Sicherheits‑Tokens: Kurzlebige Token (z. B. CSRF‑Schutz), ohne eigene Aussagekraft über Inhalte oder Kontostände.

Wie setzen wir Datenminimierung und kurze Laufzeiten um?

Datenminimierung bedeutet, nur das absolut Notwendige zu speichern und so kurz wie möglich. Dazu zählen restriktive Cookie‑Attribute, kurze TTLs, eng gefasste Geltungsbereiche und der Vorrang von First‑Party‑Lösungen. Nicht erforderliche Kategorien werden ausschließlich nach Einwilligung genutzt.

• Kurzlaufende Identifikatoren: Session‑Cookies oder enge Max‑Age‑Werte; regelmäßige Rotation/Invalidierung von Token.
• Restriktive Attribute: Secure (nur HTTPS), HttpOnly (nicht per JavaScript lesbar), SameSite=Lax/Strict, enges Domain/Pfad‑Scoping.
• First‑Party vor Third‑Party: Wo möglich First‑Party‑Messung/Attribution mit geringerer Datenweitergabe.
• Zweckbindung und Trennung: Technische, Analyse‑ und Marketingzwecke getrennt; keine Zweckausweitung ohne neue Einwilligung.
• Granulares Consent: Voreinstellung „aus“, klare Beschreibungen im CMP, jederzeitiger Widerruf mit Wirkung für die Zukunft.

Sind cookielose Alternativen wirklich datenschutzfreundlicher?

„Cookielos“ bedeutet nicht automatisch „datenschutzfreundlich“. Entscheidend ist, ob auf Endgeräteinformationen zugegriffen wird (§ 25 TTDSG) und ob personenbezogene Daten verarbeitet werden (DSGVO). Einige Alternativen (z. B. Fingerprinting) können ohne Cookies sogar invasiver sein, weil sie viele Gerätemerkmale kombinieren. Andere Ansätze (z. B. serverseitige, aggregierte Messung) können bei richtiger Ausgestaltung datensparsam sein. Rechtliche Einordnung ist kontextabhängig; maßgeblich sind TTDSG/DSGVO sowie Leitlinien u. a. des Europäischen Datenschutzausschusses (z. B. EDPB Guidelines 05/2020 zu Einwilligung).

Fazit: Datenschutzfreundlichkeit hängt weniger vom „Cookie“ als Technik ab, sondern von Zweck, Umfang, Rechtsgrundlage, Transparenz und Laufzeit. Wo Messung/Marketing erforderlich ist, bevorzugen wir datensparsame, First‑Party‑ und aggregierte Verfahren mit klarer Einwilligung und kurzer Speicherdauer.

Häufig gestellte Fragen

Was ist der Unterschied zwischen § 25 TTDSG und Art. 6 DSGVO bei Cookies?

§ 25 TTDSG regelt das Speichern/Lesen von Informationen auf dem Endgerät (Cookies, LocalStorage) und verlangt dafür eine Einwilligung, wenn es nicht „unbedingt erforderlich“ ist. Art. 6 DSGVO regelt anschließend die Verarbeitung der dadurch erhobenen personenbezogenen Daten und verlangt eine passende Rechtsgrundlage. Praktisch heißt das: Erst braucht es eine Erlaubnis nach § 25 TTDSG für das Setzen/Auslesen eines Analyse‑ oder Marketing‑Cookies, danach zusätzlich eine DSGVO‑Rechtsgrundlage (typisch Art. 6 Abs. 1 lit. a bei Einwilligung). Für technisch notwendige Cookies greift § 25 Abs. 2 TTDSG, sodass keine Einwilligung nötig ist; die weitere Verarbeitung stützt sich dann meist auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Wie prüfe ich, ob vor der Einwilligung Marketing‑Cookies gesetzt werden?

Öffnen Sie die Seite im privaten Modus, laden Sie sie einmal ohne Einwilligung und prüfen Sie dann die Cookie‑Liste: Vor einer Zustimmung dürfen keine Marketing‑IDs dritter Anbieter erscheinen. In Chrome finden Sie die Übersicht unter Entwicklerwerkzeuge → Anwendung → Speicher → Cookies; in Firefox unter Web‑Entwickler → Speicher. Achten Sie auf Attribute wie Domain, SameSite=None und Secure für Drittanbieter‑Cookies sowie auf typische Vendor‑Präfixe. Als Daumenregel gilt: Vor der Zustimmung sollten nur erforderliche First‑Party‑Cookies vorhanden sein; nach einer expliziten Zustimmung kann sich die Anzahl und Vielfalt der Cookies messbar erhöhen.

Sind Cookie‑Walls in Deutschland zulässig?

Generelle Cookie‑Walls ohne gleichwertige Alternative gelten nach Leitlinien auf EU‑ und D‑Ebene regelmäßig als unzulässig, weil der Zugang dann nicht „freiwillig“ erfolgt. Der Europäische Datenschutzausschuss (EDPB, Guidelines 05/2020) und deutsche Aufsichtsbehörden verlangen eine echte Wahlfreiheit; ein „Take‑it‑or‑leave‑it“ ohne angemessene, gleichwertige Option führt typischerweise zu einer unwirksamen Einwilligung. Zulässig sein kann eine Ausgestaltung nur, wenn eine technisch und inhaltlich gleichwertige, tracking‑arme Alternative ohne Nachteile angeboten wird und die Ablehnung nicht durch übermäßige Hürden erschwert wird.

Wie sicher sind HttpOnly, Secure und SameSite in der Praxis?

Die Attribute reduzieren konkrete Angriffsflächen: HttpOnly verhindert JavaScript‑Zugriff auf Cookies, Secure erzwingt HTTPS, und SameSite verringert CSRF‑Risiken. Für sicherheitskritische Cookies empfiehlt OWASP Token mit mindestens 128 Bit Entropie; ein zufälliger 128‑Bit‑Wert hat 3,4×10^38 mögliche Kombinationen und ist praktisch nicht durch Raten angreifbar. SameSite=Lax ist heute Standard in modernen Browsern; für Cross‑Site‑Kontexte ist SameSite=None erforderlich, was wiederum zwingend Secure verlangt. Diese Kombination begrenzt die ungewollte Übertragung und erschwert Cookie‑Diebstahl signifikant, ersetzt aber keine inhaltlichen Prüfungen auf Serverseite.

Was bewirken Safari ITP und Firefox ETP für Drittanbieter‑Cookies konkret?

Safari ITP löscht bzw. blockiert Drittanbieter‑Cookies weitgehend und begrenzt tracking‑verdächtige First‑Party‑Speicher in der Praxis häufig auf 7 Tage, wodurch wiederkehrende Wiedererkennung messbar sinkt. Firefox ETP blockiert bekannte Tracking‑Domains standardmäßig, wodurch Drittanbieter‑Cookies dieser Listen gar nicht mehr gesetzt oder gesendet werden. Ergebnis sind kürzere Wiedererkennungsfenster und eine deutliche Reduktion domänenübergreifenden Trackings; Reichweiten‑ und Frequenzmessung muss daher zunehmend auf First‑Party‑, Aggregations‑ oder serverseitige Ansätze mit kurzen Laufzeiten ausweichen.

Was ist der IAB TCF v2.2 TC‑String und wo wird er gespeichert?

Der TC‑String ist eine komprimierte, base64‑codierte Darstellung Ihrer Einwilligungen nach dem IAB‑Standard und kodiert Zwecke, Merkmale und Anbieterzustimmungen. Technisch umfasst der TC‑String typischerweise einige hundert Bytes und wird je nach CMP in einem First‑Party‑Cookie oder im LocalStorage gespeichert; er ermöglicht es eingebundenen Diensten, Ihre Auswahl deterministisch auszulesen. Wichtig ist, dass der Zugriff auf diesen String als Endgerätezugriff gilt (§ 25 TTDSG) und somit vor dem Auslesen eine gültige Rechtsgrundlage bestehen muss, soweit er nicht für „unbedingt erforderliche“ Zwecke eingesetzt wird.

Lässt sich meine Consent‑Auswahl zwischen Geräten synchronisieren?

Ohne Anmeldung ist Consent technisch browser‑ und gerätegebunden und wird nicht automatisch übertragen. Eine Synchronisation ist nur möglich, wenn ein Anbieter Ihre Auswahl serverseitig an ein identifizierbares Konto bindet und beim Login geräteübergreifend anwendet. In der Praxis bedeutet das: Pro Gerät und Browser ist in der Regel eine separate Entscheidung nötig; mit Kontoanbindung kann eine Vereinheitlichung erfolgen, sofern sie transparent kommuniziert und rechtlich zulässig umgesetzt wird.

Wie lange müssen Einwilligungsnachweise aufbewahrt werden?

Es gibt keine starre Frist; Nachweise sind so lange aufzubewahren, wie sich der Verantwortliche auf die Einwilligung stützt und sie zur Rechenschaftspflicht benötigt. In Deutschland orientieren sich viele Verantwortliche zusätzlich an der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB) für zivilrechtliche Ansprüche, um Prüf‑ und Verteidigungszwecke abzudecken. Maßgeblich sind Erforderlichkeit und Zweckbindung: Sobald die Verarbeitung endet und keine Nachweispflicht mehr besteht, sollten Consent‑Protokolle gelöscht oder anonymisiert werden.

Was passiert mit Cookies im Privat‑/Inkognito‑Modus?

Im Privatmodus gelten Cookies nur für die laufende Sitzung und werden beim Schließen aller privaten Fenster automatisch gelöscht. Das verhindert eine langfristige Wiedererkennung über Sitzungen hinweg, beeinträchtigt aber Komfortfunktionen wie persistente Logins oder Frequency‑Capping. Technisch werden auch Caches, LocalStorage und IndexedDB getrennt vom regulären Profil geführt, was die Anzahl wiederkehrender Kennungen messbar reduziert.

Gibt es Obergrenzen für Cookie‑Größe und Anzahl pro Domain?

Ja. Der Cookie‑Standard (RFC 6265) verlangt, dass Browser mindestens 4096 Bytes pro Cookie und mindestens 50 Cookies pro Host unterstützen. Viele Browser erlauben darüber hinausgehende Quoten, verwerfen aber bei Überschreitung die ältesten Einträge, was zu unerwartetem Logout oder verlorenen Präferenzen führen kann. Für zuverlässige Funktionen empfiehlt sich daher eine sparsame Nutzung weniger, kurzer Cookies statt vieler, großer Einträge.

Darf ein Banner nur „Akzeptieren“ prominent zeigen und die Ablehnung verstecken?

Nein, eine wirksame Einwilligung erfordert Freiwilligkeit und Gleichwertigkeit der Wahl; Dark Patterns unterminieren die Gültigkeit. Aufsichtsbehörden verlangen gleich prominente, leicht zugängliche Optionen zum Akzeptieren und Ablehnen, sonst fehlt die erforderliche Freiwilligkeit nach Art. 4 Nr. 11 und Art. 7 DSGVO. Praktisch heißt das: Keine versteckten Ablehnungen hinter mehreren Klicks, keine irreführenden Farben oder Größenunterschiede, klare Zwecke und leicht verständliche Texte.

Können LocalStorage oder IndexedDB die Einwilligungspflicht umgehen?

Nein. § 25 TTDSG erfasst jeden Zugriff auf Informationen im Endgerät, also auch LocalStorage, SessionStorage und IndexedDB, nicht nur klassische Cookies. Sobald keine „unbedingt erforderliche“ Zweckbindung vorliegt, ist eine Einwilligung nötig, unabhängig davon, ob die Kennung in einem Cookie oder im LocalStorage liegt. Für die nachgelagerte Verarbeitung personenbezogener Daten ist zusätzlich eine DSGVO‑Rechtsgrundlage erforderlich, typischerweise Art. 6 Abs. 1 lit. a bei Analyse‑ und Marketingzwecken.