Third-Party-Cookies

Definition: Third-Party-Cookies (Drittanbieter-Cookies) sind HTTP-Cookies, die nicht vom Betreiber der vom Nutzer besuchten Website (dem First Party), sondern von externen Drittanbietern gesetzt werden, deren Inhalte oder Skripte in die Website eingebunden sind. Typische Drittanbieter sind Werbenetzwerke (Google Ads, Meta Pixel), Analyse-Tools, Social-Media-Widgets und Retargeting-Plattformen. Da Third-Party-Cookies von vielen verschiedenen Websites aus gesetzt werden können, ermöglichen sie das websiteübergreifende Tracking von Nutzerverhalten – ein Nutzer, der Website A, B und C besucht, kann von einem Werbenetzwerk auf allen drei Seiten wiedererkannt werden. Dies bildet die technische Grundlage für personalisierte Werbung, Remarketing-Kampagnen und Cross-Site-Nutzerprofile. Aus datenschutzrechtlicher Sicht sind Third-Party-Cookies nach dem TTDSG und der DSGVO einwilligungspflichtig, da sie in der Regel personenbezogene Daten verarbeiten und auf dem Endgerät des Nutzers gespeicherte Informationen abrufen oder erzeugen. Die technische und regulatorische Zukunft von Third-Party-Cookies ist unsicher: Alle großen Browser haben Einschränkungen oder vollständige Abschaffungen angekündigt oder umgesetzt (Safari ITP, Firefox ETP, Brave); Google Chrome hat seinen Plan zur Abschaffung mehrfach verschoben, aber Privacy Sandbox als Alternativframework entwickelt. Das Ende der Third-Party-Cookies zwingt das Online-Marketing zur Transformation hin zu First-Party-Data-Strategien.

Erläuterung

Third-Party-Cookies entstehen, wenn eine Website externe Ressourcen einbindet – etwa ein Werbebanner, das von einem Ad-Server geladen wird, oder ein Facebook-Pixel, das als JavaScript-Snippet eingebunden ist. Beim Laden dieser Ressource setzt der externe Server ein Cookie auf dem Browser des Nutzers. Bei einem erneuten Besuch einer anderen Website, die dieselbe externe Ressource einbindet, wird das Cookie ausgelesen und der Nutzer wiedererkannt. So entsteht ein websiteübergreifendes Nutzerprofil.

Rechtlich sind Third-Party-Cookies nach § 25 TTDSG einwilligungspflichtig, sofern nicht ein der Einwilligung vorgehender Ausnahmetatbestand greift (technisch zwingend notwendige Cookies). Da Third-Party-Cookies praktisch nie technisch notwendig sind, müssen Websitebetreiber vor dem Setzen eine freiwillige, informierte und aktive Einwilligung des Nutzers einholen – in der Regel über ein Cookie-Banner. Darüber hinaus müssen nach DSGVO Art. 13/14 transparente Informationen über die Datenverarbeitung bereitgestellt werden, einschließlich der Benennung der jeweiligen Drittanbieter.

Die Einwilligungsquoten für Third-Party-Cookies liegen in Deutschland und anderen europäischen Ländern oft unter 50 %, was die effektive Reichweite trackingbasierter Werbung erheblich reduziert. Hinzu kommen technische Einschränkungen: Safari blockiert Third-Party-Cookies seit ITP (Intelligent Tracking Prevention) standardmäßig; Firefox und Brave tun es ebenfalls. Google Chrome ist der letzte große Browser, der Third-Party-Cookies noch unterstützt, plant jedoch mit der Privacy Sandbox ein alternatives Tracking-Ökosystem.

Für das Online-Marketing hat die schrittweise Abschaffung weitreichende Konsequenzen: Remarketing, Frequency Capping, Cross-Device-Tracking und Attributionsmodelle, die auf Third-Party-Cookies beruhen, werden unwirksam. Unternehmen investieren daher verstärkt in First-Party-Data-Strategien, serverseitiges Tracking (Server-Side Tagging), Contextual Advertising und Datenkollaborationsnetzwerke (Data Clean Rooms).

Datenschutzrechtliche Anforderungen

Einwilligungspflicht (§ 25 TTDSG): Vor dem Setzen oder Auslesen von Third-Party-Cookies ist eine ausdrückliche, freiwillige Einwilligung erforderlich; Opt-out-Mechanismen reichen nicht aus.
Informationspflichten (Art. 13 DSGVO): Nutzer müssen über die Identität der Drittanbieter, Verarbeitungszwecke und Speicherdauer informiert werden.
Drittlandtransfer: Werden durch Third-Party-Cookies Daten an US-Anbieter übertragen (z. B. Google, Meta), sind zusätzliche Garantien (SCC, DPF-Zertifizierung) erforderlich.
Auftragsverarbeitung vs. gemeinsame Verantwortlichkeit: Die Einbindung von Drittanbieter-Skripten begründet je nach Ausgestaltung eine gemeinsame Verantwortlichkeit (z. B. Facebook Pixel gemäß EuGH C-40/17).
Consent Management Platform: Eine technisch zuverlässige CMP ist erforderlich, um Einwilligungen vor der Datenübertragung an Drittanbieter zu verarbeiten.

Alternativen zu Third-Party-Cookies

First-Party-Cookies: Vom Websitebetreiber selbst gesetzte Cookies; datenschutzrechtlich privilegiert, da kein websiteübergreifendes Tracking möglich.
Server-Side Tracking: Datenübertragung erfolgt serverseitig, umgeht Browser-Einschränkungen, erfordert aber weiterhin Einwilligung.
Google Privacy Sandbox: Sammlung von Browser-APIs (Topics API, Protected Audience API), die interessenbasierte Werbung ohne individuelle Profilierung ermöglichen sollen.
Contextual Advertising: Werbung basierend auf dem Seiteninhalt statt auf Nutzerprofilen; keine Einwilligung für das Targeting erforderlich.
Data Clean Rooms: Datenschutzkonforme Zusammenführung von First-Party-Daten mehrerer Unternehmen ohne direkte Datenweitergabe.
Universal IDs: Einheitliche, einwilligungsbasierte Nutzeridentifikatoren wie Unified ID 2.0, die als Alternative zu Third-Party-Cookies positioniert werden.

Praxistipp: Inventarisieren Sie alle auf Ihrer Website eingesetzten Third-Party-Cookies und deren Anbieter, und stellen Sie sicher, dass Ihr Cookie-Banner diese vollständig abdeckt und Einwilligungen granular einholt. Planen Sie bereits jetzt die Migration zu einer First-Party-Data-Strategie: investieren Sie in CRM-Datenqualität, serverseitiges Tracking und einwilligungsbasierte E-Mail-Marketing-Listen. Testen Sie Contextual-Targeting-Optionen als Ergänzung oder Alternative zu personalisiertem Retargeting.