Die neue Firmenwebsite ist fertig, und kurz vor dem Livegang fragt jemand: Brauchen wir eigentlich einen Cookie-Banner, und wenn ja, welchen? Oft wird dann ein fertiges Plugin installiert, das ein buntes Fenster mit „Alle akzeptieren“ zeigt. Ob die Seite damit rechtlich sauber ist, hängt aber davon ab, was technisch im Hintergrund passiert. Dieser Beitrag erklärt für Geschäftsführung und Website-Verantwortliche, wann eine Einwilligung nötig ist, wie ein rechtssicherer Banner aussieht und wo die typischen Fehler liegen.
Die Rechtsgrundlage: TDDDG und DSGVO
Für Cookies und ähnliche Techniken gibt es in Deutschland zwei Regelwerke, die nebeneinander gelten.
Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) regelt den Zugriff auf das Endgerät der Besucher. Es hieß bis Mai 2024 TTDSG; seit dem 14. Mai 2024 trägt es den neuen Namen, inhaltlich hat sich für Cookies wenig geändert. Nach § 25 TDDDG ist eine Einwilligung erforderlich, wenn Informationen auf dem Gerät gespeichert oder von dort ausgelesen werden. Das betrifft nicht nur Cookies, sondern auch Local Storage, Pixel und Browser-Fingerprinting.
Eine Einwilligung ist nach § 25 Abs. 2 TDDDG nur dann nicht nötig, wenn der Zugriff unbedingt erforderlich ist, damit Sie einen Dienst bereitstellen können, den der Besucher ausdrücklich wünscht.
Die DSGVO greift zusätzlich, sobald personenbezogene Daten verarbeitet werden, etwa IP-Adressen oder Nutzerkennungen. Dann braucht jede Verarbeitung eine eigene Rechtsgrundlage, und die Besucher müssen in der Datenschutzerklärung informiert werden. Die Cookie-Banner-Pflicht ergibt sich also nicht aus einem einzelnen Gesetz, sondern aus dem Zusammenspiel beider Regelwerke.
Was als technisch notwendig gilt
Die Datenschutzaufsichtsbehörden legen „unbedingt erforderlich“ eng aus. Die Orientierungshilfe der Datenschutzkonferenz für digitale Dienste (Version 1.2, November 2024) nennt einige Maßstäbe:
- Notwendig ist nur, was technisch für den gewünschten Dienst gebraucht wird, nicht was dem Geschäftsmodell nützt.
- Dauer, Inhalt und Domain jedes Cookies müssen auf das Nötige begrenzt sein.
- Ein Warenkorb-Cookie ist erst erforderlich, wenn tatsächlich etwas in den Warenkorb gelegt wird.
- Das Speichern einer Sprach- oder Farbeinstellung braucht keine eindeutige Kennung.
- Ein Cookie, das die Einwilligungsentscheidung selbst speichert, ist notwendig.
Typische Beispiele für notwendige Cookies sind Sitzungs-Cookies für Login und Formulare, der Schutz vor Missbrauch eines Kontaktformulars, sofern er konkret begründet ist, und der Speicher der Banner-Entscheidung. Statistik, Marketing, Karten, Videos und externe Schriftarten gehören in aller Regel nicht dazu.
Wie ein rechtssicherer Cookie-Banner aussieht
Wenn Sie einwilligungspflichtige Dienste nutzen, muss der Banner eine echte Wahl lassen. Die Anforderungen der Aufsichtsbehörden und der Rechtsprechung an einen DSGVO-konformen Cookie-Banner lassen sich so zusammenfassen:
- Ablehnen auf der ersten Ebene. Wenn dort „Alle akzeptieren“ steht, muss dort auch eine gleichwertige Möglichkeit zum Ablehnen stehen. Ein Banner mit nur „Akzeptieren“ und „Einstellungen“ führt nach Auffassung des Bayerischen Landesamts für Datenschutzaufsicht nicht zu einer wirksamen Einwilligung. Das Verwaltungsgericht Hannover hat diese Linie im März 2025 bestätigt (Az. 10 A 5385/22).
- Gleichwertige Gestaltung. Ablehnen darf nicht mehr Klicks erfordern als Zustimmen, und der Ablehnen-Button darf nicht als blasser Textlink versteckt sein.
- Zwecke benennen. Wer mit einem Klick mehreren Zwecken zustimmen lässt, muss diese Zwecke schon auf der ersten Ebene nennen, ebenso die beteiligten Drittanbieter.
- Nichts vor der Entscheidung laden. Einwilligungspflichtige Skripte dürfen erst nach der Zustimmung ausgeführt werden. Ein Banner, der nur angezeigt wird, während Analytics im Hintergrund schon läuft, ist wertlos.
- Widerruf so einfach wie Zustimmung. Besucher müssen ihre Entscheidung auf der Website ändern können, etwa über einen dauerhaft sichtbaren Link im Fußbereich. Ein Hinweis in der Datenschutzerklärung, man möge eine E-Mail schreiben, genügt nicht.
Ein häufig übersehener Punkt aus dem Urteil des VG Hannover: Auch der Google Tag Manager greift selbst auf das Endgerät zu und ist damit einwilligungspflichtig. Er darf also nicht vor der Einwilligung geladen werden, nur weil er technisch den Banner steuert.
Google Fonts, Analytics, YouTube und Co.
Die meisten Probleme entstehen nicht durch eigene Cookies, sondern durch eingebundene Inhalte von Drittanbietern. Dabei wird beim Seitenaufruf die IP-Adresse des Besuchers an fremde Server übertragen.
- Google Fonts und andere Web-Schriften. Werden Schriften direkt von Google-Servern geladen, wird die IP-Adresse übermittelt. Das Landgericht München hat dies im Januar 2022 ohne Einwilligung als rechtswidrig eingestuft. Die einfache Lösung: Schriften herunterladen und auf dem eigenen Webserver bereitstellen. Dann braucht es dafür weder Einwilligung noch Banner-Eintrag.
- Google Analytics und vergleichbare Statistik-Tools. Reichweitenmessung mit Drittanbieter-Tools ist in der Regel einwilligungspflichtig. Eine Alternative sind datensparsame Statistiklösungen, die ohne Cookies arbeiten und auf eigenen Servern laufen. Ob diese ohne Einwilligung zulässig sind, hängt nach der DSK-Orientierungshilfe von der konkreten Konfiguration ab und sollte geprüft werden.
- YouTube, Vimeo und Karten. Eingebettete Videos und Karten laden beim Seitenaufruf Inhalte vom Anbieter. Besser ist eine Zwei-Klick-Lösung: Zunächst wird nur ein Vorschaubild mit Hinweis gezeigt, und erst nach Klick wird der Inhalt geladen. Auch der „erweiterte Datenschutzmodus“ von YouTube ersetzt die Einwilligung nicht ohne weiteres.
- Chat-Widgets, Bewertungs-Widgets, Social-Media-Buttons. Hier gilt dasselbe: Erst laden, wenn der Besucher zugestimmt oder aktiv geklickt hat.
Ein guter Ansatz ist, zuerst zu fragen, was die Website wirklich braucht. Jeder Dienst, auf den Sie verzichten oder den Sie selbst hosten, macht den Banner kürzer und die Seite meist auch schneller.
Einwilligungsverwaltung nach § 26 TDDDG
Das TDDDG sieht in § 26 anerkannte Dienste zur Einwilligungsverwaltung vor. Die Idee: Besucher hinterlegen ihre Entscheidung einmal zentral, etwa über eine Browser-Erweiterung, und Websites übernehmen sie automatisch. Die zugehörige Einwilligungsverwaltungsverordnung (EinwV) gilt seit dem 1. April 2025. Im Oktober 2025 hat die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) den ersten Dienst anerkannt.
Für Website-Betreiber ist die Einbindung solcher Dienste nach der Verordnung freiwillig. Der Cookie-Banner bleibt damit vorerst der Normalfall. Wer einen anerkannten Dienst einbindet, muss dessen Einstellungen beachten und die Besucher darüber informieren. Es lohnt sich, die Entwicklung im Blick zu behalten und bei der Wahl eines Cookie-Consent-Tools darauf zu achten, ob der Anbieter solche Dienste unterstützen will.
Typische Fehler beim Cookie-Banner
- Statistik oder Tag Manager laden vor der Einwilligung.
- Kein Ablehnen-Button auf der ersten Ebene oder ein versteckter Textlink.
- Vorausgewählte Häkchen bei Statistik und Marketing.
- Google Fonts werden über ein Theme oder Plugin weiterhin extern geladen, obwohl sie lokal eingebunden sein sollten.
- Banner und Datenschutzerklärung nennen unterschiedliche Dienste.
- Kein Weg zurück: Nach dem Klick lässt sich die Entscheidung nicht mehr ändern.
- Nach einem Plugin-Update oder einer neuen Einbindung wird der Banner nicht angepasst. Wie Sie Updates und Plugins auf einer Firmenwebsite im Griff behalten, zeigt unser Beitrag zum sicheren Betrieb einer WordPress-Website.
Checkliste: Erste Schritte
- Website mit den Entwicklerwerkzeugen des Browsers aufrufen und prüfen, welche Cookies und Verbindungen vor jeder Entscheidung entstehen.
- Alle eingebundenen Dienste auflisten und je Dienst entscheiden: weglassen, selbst hosten oder per Einwilligung steuern.
- Schriften lokal einbinden.
- Videos, Karten und Widgets per Zwei-Klick-Lösung laden.
- Banner mit gleichwertigem Ablehnen-Button auf der ersten Ebene einrichten.
- Dauerhaften Link zu den Cookie-Einstellungen im Fußbereich ergänzen.
- Datenschutzerklärung an die tatsächlich genutzten Dienste anpassen.
- Nach jeder Änderung an Theme, Plugins oder Einbindungen erneut prüfen.
Wie DAVINCI unterstützt
Wir bauen und betreuen Firmenwebsites mit lokal eingebundenen Schriften, Zwei-Klick-Lösungen für externe Inhalte und einem Banner, der echte Wahl lässt. Details finden Sie unter Webdesign und SEO, Grundlagen zum technischen Datenschutz im Beitrag zu technischen Maßnahmen nach DSGVO. Für einen Check Ihrer bestehenden Seite erreichen Sie uns über die Kontaktseite.
Häufige Fragen
Ist ein Cookie-Banner für jede Website Pflicht?
Nein. Wenn Ihre Website nur technisch notwendige Cookies setzt und keine Drittinhalte vor einer Nutzeraktion lädt, ist keine Einwilligung und damit kein Banner erforderlich. Über die Datenverarbeitung informieren müssen Sie trotzdem in der Datenschutzerklärung.
Was passiert, wenn man keinen Cookie-Banner hat?
Nutzt die Website einwilligungspflichtige Dienste ohne Banner, fehlt die Rechtsgrundlage für diese Verarbeitung. Die Aufsichtsbehörde kann dann Anordnungen treffen und Bußgelder verhängen; daneben sind Abmahnungen durch Mitbewerber oder Verbände und Ansprüche einzelner Besucher möglich. Was im Einzelfall droht, hängt von Art und Umfang der Verarbeitung ab.
Reicht ein Cookie-Hinweis „Mit der Nutzung stimmen Sie Cookies zu“?
Nein. Eine Einwilligung muss aktiv und freiwillig erteilt werden. Weitersurfen oder Schließen eines Hinweises ist keine Einwilligung.
Werden Cookie-Banner bald abgeschafft?
Derzeit nicht. Anerkannte Dienste zur Einwilligungsverwaltung können Banner auf lange Sicht seltener machen, ihre Einbindung ist für Betreiber aber freiwillig. Solange Ihre Website einwilligungspflichtige Dienste nutzt, bleibt der Banner der Normalfall. Am wirksamsten verkleinern Sie ihn, indem Sie auf solche Dienste verzichten oder sie selbst hosten.
Welches Consent-Tool ist das richtige?
Entscheidend ist nicht das Design, sondern das Verhalten: Das Tool muss einwilligungspflichtige Skripte zuverlässig blockieren, bis die Zustimmung vorliegt, Ablehnen gleichwertig anbieten, die Entscheidung nachweisbar protokollieren und einen einfachen Widerruf ermöglichen. Prüfen Sie außerdem, wo der Anbieter Daten verarbeitet und ob ein Vertrag zur Auftragsverarbeitung vorliegt.
Wer haftet, wenn die Agentur den Banner falsch eingerichtet hat?
Verantwortlich gegenüber Besuchern und Aufsichtsbehörde ist in erster Linie der Betreiber der Website. Klären Sie deshalb vertraglich, wer Einbindungen und Banner pflegt, und lassen Sie die Umsetzung im Einzelfall von Ihrem Datenschutzbeauftragten oder einem Anwalt prüfen.
Verwandte Themen: Wer hier weiterdenkt, liest bei Digital Omnibus, Datenschutzbeauftragter und DSGVO weiter.
Im Text erwähnt
Quellen
- § 25 TDDDG Schutz der Privatsphäre bei Endeinrichtungenamtlich
- § 26 TDDDG Anerkannte Dienste zur Einwilligungsverwaltungamtlich
- Einwilligungsverwaltungsverordnung (EinwV)amtlich
- Pressemitteilung 16/2025 vom 04.11.2025 zur ersten Anerkennung eines Dienstes zur Einwilligungsverwaltung · BfDIamtlich
- Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2 (November 2024) · DSKamtlich
- Informationsblatt Consentbanner (Stand 22.12.2023) · BayLDA
- VG Hannover, Urteil vom 19.03.2025, Az. 10 A 5385/22 · IT-Recht Kanzlei
- LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20 (Google Fonts) · IHK
- TDDDG (ehemals TTDSG) · e-recht24
