Die fünf Ablagen im Browser
Cookies sind nur eine von mehreren Möglichkeiten, etwas auf einem fremden Gerät abzulegen. Die übrigen tauchen in keiner Cookie-Liste auf, überleben teilweise das Löschen der Cookies – und unterliegen denselben Regeln.
Wer im Browser nach Cookies sucht, findet Cookies. Danebenliegende Ablagen bleiben dabei unsichtbar, obwohl sie dieselbe Aufgabe erfüllen und teilweise mehr fassen. Für die rechtliche Einordnung ist die Bauart gleichgültig: § 25 TDDDG spricht von Informationen im Endgerät, nicht von Cookies.
Fünf Ablagen, von flüchtig zu dauerhaft
- Session StorageEndet mit dem Tab. Gilt nur für dieses eine Fenster – der am wenigsten eingriffsintensive Weg.
- CookieRund 4 Kilobyte, mit fester Ablaufzeit. Wird bei jeder Anfrage automatisch mitgesendet.
- Local StorageMehrere Megabyte, ohne Ablaufdatum. Bleibt liegen, bis jemand aktiv aufräumt.
- IndexedDBEine vollständige Datenbank im Browser. Für Offline-Anwendungen gedacht, für Kennungen ebenso brauchbar.
- Cache und Service WorkerEigentlich zur Beschleunigung. Lässt sich zweckentfremden, weil auch ein Zwischenspeicher wiedererkennbar sein kann.
Warum die Unterscheidung in der Praxis wichtig ist
Drei Folgen ergeben sich daraus, und alle drei betreffen die tägliche Arbeit an einer Website.
Erstens: Ein Cookie-Verzeichnis, das nur Cookies auflistet, ist unvollständig. Die Informationspflicht bezieht sich auf alle Ablagen, nicht auf eine Bauart.
Zweitens: Wer eine Einwilligung zurücknimmt, erwartet, dass die Ablage geräumt wird. Ein Banner, das beim Widerruf nur Cookies löscht und Local Storage stehen lässt, setzt den Widerruf nicht um.
Drittens: Browser räumen die Ablagen unterschiedlich auf. Ein Zurücksetzen der Cookies lässt IndexedDB unberührt – die Wiedererkennung überlebt eine Reinigung, von der die betroffene Person annimmt, sie habe geholfen.
Was ohne Einwilligung abgelegt werden darf
- Die Sitzungskennung einer Anmeldung, solange sie nur die Anmeldung trägt.
- Der Warenkorb eines Shops – die angeforderte Leistung wäre ohne den Warenkorb nicht erbringbar.
- Die getroffene Cookie-Entscheidung selbst. Sie erneut abzufragen wäre widersinnig.
- Sicherheitsmerkmale gegen missbräuchliche Formularabsendungen und Sitzungsübernahmen.
- Eine Spracheinstellung oder die Wahl zwischen hellem und dunklem Erscheinungsbild, wenn sie ausdrücklich getroffen wurde.
Der gemeinsame Nenner dieser Liste: Jeder Eintrag dient dem, wofür die Seite aufgerufen wurde, und keiner davon wird an Dritte weitergereicht. Sobald eines von beidem nicht mehr zutrifft, endet die Ausnahme – und zwar unabhängig davon, in welcher der fünf Ablagen der Eintrag liegt.