Ein Cookie-Banner brauchen Sie, sobald Ihre Website oder App Cookies oder ähnliche Techniken einsetzt, die nicht unbedingt erforderlich sind, etwa für Analyse, Marketing oder eingebettete Inhalte von Drittanbietern. Dann verlangt § 25 Abs. 1 TDDDG eine vorherige Einwilligung, und das Banner ist das übliche Mittel, sie einzuholen. Setzen Sie ausschließlich technisch notwendige Cookies ein, brauchen Sie kein Einwilligungsbanner.
Die Rechtsgrundlage: § 25 TDDDG
§ 25 TDDDG regelt, wann Sie Informationen auf dem Endgerät eines Nutzers speichern oder auf dort gespeicherte Informationen zugreifen dürfen. Das Gesetz hieß bis 13.05.2024 TTDSG und heißt seit dem 14.05.2024 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Es setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um. Der Inhalt von § 25 ist gleich geblieben.
Die Vorschrift gilt nicht nur für Cookies, sondern für jede Technik, die auf das Endgerät zugreift: Local Storage, Tracking-Pixel, Fingerprinting und SDKs in Apps. Sie schützt jede Information auf dem Gerät, auch wenn sie nicht personenbezogen ist.
Wann ist keine Einwilligung nötig?
§ 25 Abs. 2 TDDDG kennt zwei Ausnahmen:
- Der Zugriff dient allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz.
- Der Zugriff ist unbedingt erforderlich, damit Sie einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen können.
Die zweite Ausnahme ist eng. "Nützlich" oder "für uns wichtig" reicht nicht. Maßstab ist, was der Nutzer ausdrücklich angefordert hat.
| Ohne Einwilligung zulässig (in der Regel) | Einwilligung erforderlich |
|---|---|
| Session-Cookie für den Login | Google Analytics und andere Analyse-Tools mit Cookies |
| Warenkorb-Cookie im Shop | Meta-Pixel, Google Ads, Retargeting |
| Speicherung der Cookie-Entscheidung selbst | eingebettete YouTube-Videos und Google Maps, die beim Laden zugreifen |
| Spracheinstellung, die der Nutzer gewählt hat | Social-Media-Plugins |
| Sicherheits-Token gegen Angriffe (CSRF) | A/B-Tests und Heatmaps |
| Load-Balancing | Browser-Fingerprinting zur Wiedererkennung |
Zwei Prüfstufen: TDDDG und DSGVO
Die Aufsichtsbehörden prüfen in zwei Stufen (DSK, Orientierungshilfe für Anbieter digitaler Dienste):
- § 25 TDDDG: Ist der Zugriff auf das Endgerät erlaubt, also eingewilligt oder unbedingt erforderlich?
- DSGVO: Hat die anschließende Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO?
Beide Stufen müssen erfüllt sein. Auch ohne Cookies kann die DSGVO greifen, etwa wenn ein Dienst IP-Adressen an einen Drittanbieter überträgt.
Anforderungen an ein wirksames Cookie-Banner
Die Einwilligung nach § 25 TDDDG richtet sich nach den Maßstäben der DSGVO: freiwillig, informiert, für einen bestimmten Fall und unmissverständlich (Art. 4 Nr. 11, Art. 7 DSGVO). Daraus folgt:
- Vorher fragen: Kein einwilligungspflichtiges Cookie und kein Skript darf laden, bevor der Nutzer zugestimmt hat.
- Aktive Handlung: Ein vorausgewähltes Kästchen ist keine Einwilligung (EuGH, Urteil vom 01.10.2019, C-673/17, Planet49). Weitersurfen oder Scrollen ebenfalls nicht.
- Gleichwertige Ablehnung: Bietet die erste Ebene "Alle akzeptieren", muss es dort auch eine gleichwertige Möglichkeit zum Ablehnen geben. Die Aufsichtsbehörden halten es für unzulässig, das Ablehnen hinter weiteren Klicks zu verstecken.
- Keine Tricks: Farben, Größen und Formulierungen dürfen nicht zur Zustimmung drängen.
- Konkrete Information: Wer setzt welche Technik zu welchem Zweck ein, wie lange, mit welchen Empfängern und gegebenenfalls mit Übermittlung in Drittländer?
- Einzeln wählbar: Zwecke wie Statistik und Marketing müssen getrennt ausgewählt werden können.
- Widerruf: Der Widerruf muss so einfach sein wie die Zustimmung, etwa über einen dauerhaft sichtbaren Link "Cookie-Einstellungen" (Art. 7 Abs. 3 DSGVO).
- Nachweis: Speichern Sie, wann welche Einwilligung in welcher Fassung erteilt wurde (Art. 7 Abs. 1 DSGVO).
- Zugänglich: Das Banner darf Impressum und Datenschutzerklärung nicht verdecken.
Dienste zur Einwilligungsverwaltung
Seit dem 01.04.2025 gilt die Einwilligungsverwaltungsverordnung (EinwV) zu § 26 TDDDG. Sie regelt anerkannte Dienste, bei denen Nutzer ihre Entscheidungen zentral hinterlegen können. Die Einbindung solcher Dienste ist für Website-Betreiber freiwillig. In der Praxis ersetzen sie das Cookie-Banner bisher kaum.
Wie Sie ohne Cookie-Banner auskommen
Manche Unternehmen verzichten bewusst auf einwilligungspflichtige Dienste:
- Reichweitenmessung ohne Cookies und ohne Zugriff auf das Endgerät, etwa über serverseitige Logfiles oder entsprechend konfigurierte Tools wie Matomo. Für die DSGVO-Stufe brauchen Sie dann eine Rechtsgrundlage, meist Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung.
- Karten und Videos erst nach Klick laden (Zwei-Klick-Lösung) oder als Link einbinden.
- Schriftarten lokal hosten statt von fremden Servern zu laden.
Was droht bei Verstößen?
Wer ohne erforderliche Einwilligung Informationen auf Endgeräten speichert oder ausliest, begeht eine Ordnungswidrigkeit. Das Bußgeld beträgt bis zu 300.000 Euro (§ 28 Abs. 1 Nr. 13, Abs. 2 TDDDG). Für die anschließende Verarbeitung ohne Rechtsgrundlage drohen zusätzlich Bußgelder nach Art. 83 Abs. 5 DSGVO. Hinzu kommen Beschwerden, Schadensersatzforderungen nach Art. 82 DSGVO und Abmahnungen. Aufsichtsbehörden haben Cookie-Banner bereits in größerem Umfang geprüft, teils automatisiert.
Häufige Fragen zum Cookie-Banner
Reicht ein Hinweis "Diese Website verwendet Cookies"? Nein. Ein reiner Hinweis mit "OK"-Button holt keine wirksame Einwilligung ein, weil der Nutzer keine Wahl hat. Setzen Sie nur notwendige Cookies, ist er überflüssig. Setzen Sie einwilligungspflichtige Cookies, reicht er nicht.
Gilt das auch für Apps? Ja. § 25 TDDDG erfasst jede Endeinrichtung, also auch Smartphones. Werbe- und Analyse-SDKs, die Gerätekennungen auslesen, brauchen eine Einwilligung.
Brauche ich für extern geladene Schriftarten ein Banner? Lädt die Website Schriftarten von fremden Servern, wird die IP-Adresse des Besuchers an den Anbieter übertragen. Das LG München I hat dafür 2022 Schadensersatz zugesprochen (Urteil vom 20.01.2022, 3 O 17493/20). Hosten Sie Schriftarten deshalb lokal, dann stellt sich die Frage nicht.
Darf ich Besucher aussperren, die ablehnen? Die Einwilligung muss freiwillig sein. Wer ablehnt, darf keine Nachteile haben, die ihn faktisch zur Zustimmung zwingen. Zu Modellen, bei denen Besucher zwischen Einwilligung und einem kostenpflichtigen Zugang wählen, gibt es eigene Maßstäbe der Aufsichtsbehörden. Lassen Sie solche Modelle vorab prüfen.
Wer ist verantwortlich, der Website-Betreiber oder der Tool-Anbieter? Für die Einbindung auf Ihrer Website sind Sie verantwortlich. Bei manchen Diensten sind Sie mit dem Anbieter gemeinsam verantwortlich (Art. 26 DSGVO).
Checkliste für Ihre Website
- Alle Cookies, Skripte, Pixel und eingebetteten Inhalte erfassen, auch die von Plugins.
- Jede Technik einordnen: unbedingt erforderlich oder einwilligungspflichtig.
- Consent-Tool so einstellen, dass nichts vor der Einwilligung lädt, und das im Browser testen.
- Ablehnen auf der ersten Ebene gleichwertig anbieten.
- Cookie-Einstellungen jederzeit erreichbar machen.
- Datenschutzerklärung mit den eingesetzten Diensten abgleichen.
- Nach jedem neuen Plugin oder Tracking-Tool erneut prüfen.
Ob Ihr Banner und die eingesetzten Dienste den Anforderungen entsprechen, zeigt ein Datenschutz-Audit.