First-Party Cookies

Definition: First-Party Cookies sind Cookies, die von der Domain der jeweils besuchten Website direkt im Browser des Nutzers gesetzt und verwaltet werden. Der Begriff „First Party" bezieht sich dabei auf den Websitebetreiber selbst: Es ist die erste Partei im Verhältnis zwischen Nutzer und Website, die das Cookie setzt – im Gegensatz zu Drittanbietern (Third Parties), deren Cookies von externen Servern auf fremden Domains gesetzt werden. First-Party Cookies können technisch notwendige Funktionen erfüllen, etwa die Aufrechterhaltung einer Nutzersitzung (Session-Cookie), die Speicherung von Warenkorbinhalten, Sprachpräferenzen oder Login-Status. Sie können aber auch für analytische Zwecke eingesetzt werden, beispielsweise zur Messung des Nutzerverhaltens auf der eigenen Website, oder für Marketing-Zwecke wie die eigene Personalisierung von Inhalten. Aus datenschutzrechtlicher Sicht sind First-Party Cookies nicht per se einwilligungsfrei: Das Einwilligungserfordernis nach § 25 TTDSG und der ePrivacy-Richtlinie richtet sich nicht nach der Herkunft des Cookies, sondern nach seinem Zweck. Technisch notwendige First-Party Cookies sind von der Einwilligungspflicht ausgenommen; analytische oder Marketing-First-Party-Cookies unterliegen hingegen demselben Einwilligungserfordernis wie vergleichbare Third-Party Cookies. Die Unterscheidung First-Party vs. Third-Party Cookies hat in den letzten Jahren durch die zunehmende Einschränkung von Third-Party Cookies durch Browser-Hersteller (Safari, Firefox, Chrome) an strategischer Bedeutung gewonnen: First-Party Cookies sind deutlich weniger von Browser-Restriktionen betroffen und gelten daher als zukunftssichere Alternative zu Third-Party-basierten Tracking-Ansätzen.

Erläuterung

Die technische Grundlage eines Cookies ist simpel: Beim Besuch einer Website kann der Server eine kleine Textdatei im Browser des Nutzers speichern. Bei einem First-Party Cookie stammt dieser Setzbefehl vom Server der besuchten Domain selbst. Beim nächsten Besuch sendet der Browser das Cookie automatisch zurück, was es dem Webserver ermöglicht, den Nutzer oder seine Einstellungen wiederzuerkennen. First-Party Cookies können sowohl clientseitig (durch JavaScript im Browser) als auch serverseitig (durch HTTP-Set-Cookie-Header des Webservers) gesetzt werden. Diese technische Unterscheidung ist datenschutzrechtlich und funktional bedeutsam.

Serverseitig gesetzte First-Party Cookies weisen gegenüber clientseitig gesetzten Cookies einige Vorteile auf. Sie sind nicht durch JavaScript-Blocker oder Tracking-Schutzfunktionen im Browser zugänglich, können mit dem HttpOnly-Flag vor XSS-Angriffen geschützt werden und sind weniger von Browser-Restriktionen wie Apples Intelligent Tracking Prevention (ITP) betroffen. ITP verkürzt die Lebensdauer clientseitig gesetzter First-Party Cookies in Safari auf sieben Tage (bzw. 24 Stunden bei Cross-Site-Request-Kontext), während serverseitig gesetzte Cookies von diesen Beschränkungen weniger stark betroffen sind. Dies hat die Verbreitung von Server-Side Tagging-Ansätzen im Online-Marketing erheblich beschleunigt.

Im Kontext des Post-Third-Party-Cookie-Zeitalters rücken First-Party Cookies und First-Party Data als strategische Ressource in den Mittelpunkt. Da Third-Party Cookies von Browsern zunehmend blockiert werden und Google mit der Privacy Sandbox auf alternative Technologien setzt, sind Unternehmen gezwungen, ihre Datenstrategien auf eigene Erstanbieterdaten umzustellen. First-Party Cookies sind dabei ein zentrales Instrument zur Erfassung und Nutzung von First-Party Data – also Daten, die direkt aus der eigenen Kundenbeziehung stammen.

Typen von First-Party Cookies nach Funktion

Technisch notwendige Cookies: Session-Cookies (Sitzungsverwaltung), Warenkorb-Cookies, Login-Status-Cookies, CSRF-Token. Diese benötigen keine Einwilligung, da sie für den Betrieb der Website unbedingt erforderlich sind.
Präferenz-Cookies: Speichern Nutzereinstellungen wie Sprache, Region, Darstellungsoptionen oder Cookie-Einwilligungsstatus. Je nach Ausgestaltung können diese einwilligungspflichtig sein.
Analytische First-Party Cookies: Werden zur Messung von Seitenaufrufen, Verweildauer, Absprungraten und Nutzungsmustern eingesetzt (z. B. Google Analytics mit First-Party-Konfiguration). Einwilligungspflichtig, da personenbezogene Daten verarbeitet werden können.
Marketing-First-Party Cookies: Setzen Cookie-IDs zur Personalisierung von Inhalten, Anzeigen oder E-Mail-Kommunikation auf der eigenen Domain. Einwilligungspflichtig.
Server-Side First-Party Cookies: Vom Webserver per HTTP-Header gesetzte Cookies, die durch den HttpOnly- und SameSite-Flag zusätzliche Sicherheitseigenschaften haben und von ITP weniger beeinträchtigt werden.

Datenschutzrechtliche Einordnung

TTDSG § 25: Das Einwilligungserfordernis gilt für jeden Zugriff auf das Endgerät eines Nutzers, unabhängig davon, ob es sich um einen First-Party oder Third-Party Cookie handelt. Entscheidend ist der Zweck.
Technisch notwendige Ausnahme: Nur Cookies, die für die ausdrücklich vom Nutzer gewünschte Leistung unbedingt erforderlich sind, sind von der Einwilligungspflicht ausgenommen (§ 25 Abs. 2 TTDSG).
DSGVO-Konformität: Auch bei einwilligungsfreien First-Party Cookies muss die Datenverarbeitung nach der DSGVO auf eine Rechtsgrundlage gestützt sein (z. B. berechtigtes Interesse für Analytics mit Anonymisierung).
Transparenz: Alle eingesetzten Cookies – auch First-Party Cookies – müssen in der Datenschutzerklärung und im Cookie-Banner beschrieben werden.

Praxistipp: Setzen Sie analytische Cookies nach Möglichkeit serverseitig statt über clientseitige JavaScript-Tags, um die Einschränkungen durch Browser-ITP-Mechanismen zu umgehen und längere Cookie-Lebensdauern zu erzielen. Kategorisieren Sie auch First-Party Cookies in Ihrem Cookie-Banner korrekt nach ihrem Zweck und holen Sie für alle nicht-technisch-notwendigen Cookies eine aktive Einwilligung ein. Eine regelmäßige Cookie-Inventarisierung hilft dabei, neue Cookies zu identifizieren und sicherzustellen, dass Ihre Consent-Konfiguration stets aktuell ist.