Recht & Datenschutz · · 6 Min. Lesezeit
Cookie-Banner: Wann Sie wirklich einen brauchen — und wann nicht
Kaum ein Element nervt Website-Besucher so zuverlässig wie der Cookie-Banner — und kaum eines wird so oft falsch eingesetzt. Viele kleine Unternehmen zeigen einen Banner, obwohl sie gar keinen bräuchten. Andere verzichten darauf, obwohl ihre Website munter Tracking-Dienste lädt. Dieser Ratgeber erklärt, wann ein Cookie-Banner wirklich Pflicht ist, wie er aussehen muss — und warum die eleganteste Lösung oft ist, ihn ganz wegzulassen.
Was regelt das Gesetz? § 25 TDDDG kurz erklärt
Die Rechtsgrundlage für Cookie-Banner in Deutschland ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 als TTDSG bekannt). Die Regel ist einfacher, als der Name vermuten lässt: Wer Informationen auf dem Endgerät eines Besuchers speichert oder ausliest — also Cookies setzt, aber auch Local Storage oder Tracking-Pixel nutzt —, braucht dafür grundsätzlich eine vorherige, aktive Einwilligung.
Es gibt eine wichtige Ausnahme: Nach § 25 Abs. 2 TDDDG sind Cookies einwilligungsfrei, die technisch unbedingt erforderlich sind, damit die Website den vom Nutzer gewünschten Dienst erbringen kann. Für alles darüber hinaus — Analyse, Marketing, personalisierte Werbung — führt am Opt-in kein Weg vorbei. Zusätzlich greift die DSGVO, sobald über die Cookies personenbezogene Daten verarbeitet werden, was bei Tracking-Diensten praktisch immer der Fall ist.
Wann brauchen Sie keinen Cookie-Banner?
Die für viele überraschende Antwort: Ein Cookie-Banner ist keine Pflicht für jede Website. Wer ausschließlich technisch notwendige Cookies einsetzt und keine einwilligungspflichtigen Drittdienste einbindet, braucht keinen Banner — ein Hinweis in der Datenschutzerklärung genügt.
Eine typische Visitenkarten-Website eines Handwerksbetriebs oder einer Praxis — Leistungen, Referenzen, Kontaktformular, Anfahrt als verlinkte Karte statt eingebetteter Google Map — kommt komplett ohne Banner aus, sofern keine Tracking-Tools laufen. Das ist nicht nur rechtlich sauber, sondern auch ein Conversion-Vorteil: Besucher landen ohne Klick-Hürde direkt beim Inhalt.
- Keine Analyse-Tools mit Cookies (Google Analytics, Meta Pixel, Hotjar)
- Keine eingebetteten Drittdienste, die vorab Daten laden (YouTube-Videos, Google Maps, Social-Media-Plugins)
- Schriftarten lokal gehostet statt von Google-Servern geladen
- Nur technisch notwendige Cookies wie Session oder Warenkorb
Technisch notwendige Cookies: Was fällt darunter?
„Technisch notwendig" heißt: Ohne dieses Cookie funktioniert eine Funktion nicht, die der Besucher selbst nutzen will. Klassische Beispiele sind das Warenkorb-Cookie im Online-Shop, das Login-Cookie im Kundenbereich, Session-Cookies für Formulare, Sicherheits-Cookies gegen Missbrauch — und, etwas ironisch, das Cookie, das die Consent-Entscheidung des Besuchers speichert.
Nicht darunter fallen — auch wenn manche Anbieter das gern anders darstellen — Statistik- und Reichweiten-Cookies. Dass Sie wissen möchten, wie viele Besucher Ihre Seite hat, macht ein Analytics-Cookie nicht „notwendig". Die Aufsichtsbehörden legen die Ausnahme eng aus: Maßstab ist der Nutzen für den Besucher, nicht für den Betreiber.
Diese Dienste machen den Banner zur Pflicht
Einwilligungspflichtig ist alles, was Besucher über die reine Funktion hinaus vermisst oder Daten an Dritte überträgt. Auf typischen KMU-Websites sind das vor allem:
- Google Analytics, Meta Pixel, TikTok Pixel und andere Tracking-Tools
- Google Ads Conversion-Tracking und Remarketing
- Direkt eingebettete YouTube- oder Vimeo-Videos (laden Tracker schon beim Seitenaufruf)
- Eingebettete Google Maps (übertragen Besucherdaten an Google)
- Social-Media-Plugins wie Like- oder Share-Buttons mit Direktverbindung
- Chat-Widgets und Bewertungs-Widgets externer Anbieter, die Cookies setzen
So muss ein rechtskonformer Cookie-Banner aussehen
Wenn ein Banner nötig ist, muss er echte Anforderungen erfüllen — hier passieren die meisten Fehler. Die Einwilligung muss freiwillig, informiert und aktiv erfolgen, bevor das erste einwilligungspflichtige Cookie gesetzt wird. Konkret bedeutet das: kein Tracking beim Seitenaufruf, keine vorangekreuzten Kästchen, und „Ablehnen" muss genauso einfach sein wie „Akzeptieren" — idealerweise als gleichwertiger Button auf der ersten Ebene.
Verboten sind sogenannte Dark Patterns: ein riesiger bunter „Alle akzeptieren"-Button neben einem versteckten grauen „Einstellungen"-Link, Banner, die sich ohne Zustimmung nicht schließen lassen, oder Formulierungen, die Ablehnung als Nachteil darstellen. Gerichte und Datenschutzbehörden haben solche Gestaltungen wiederholt beanstandet — die Einwilligung ist dann unwirksam, und das Tracking läuft ohne Rechtsgrundlage.
Außerdem muss die Einwilligung jederzeit widerrufbar sein, üblicherweise über einen dauerhaften Link oder ein kleines Icon im Footer. Und der Banner dokumentiert sich nicht selbst: Welche Cookies laufen und warum, gehört zusätzlich in die Datenschutzerklärung.
Was kostet ein fehlerhafter oder fehlender Banner?
Läuft Tracking ohne wirksame Einwilligung, drohen zwei Risiken. Erstens Abmahnungen durch Mitbewerber oder spezialisierte Kanzleien — typischerweise im Bereich von 500 bis 2.000 Euro plus Unterlassungserklärung. Zweitens können Datenschutzbehörden Bußgelder verhängen; gegen kleine Unternehmen bleiben diese meist moderat, aber der Ärger, die Zeit und das Risiko einer Vertragsstrafe bei Wiederholung sind es nicht wert.
Der häufigste Fehler ist dabei nicht der fehlende Banner, sondern der wirkungslose: Ein Consent-Tool ist installiert, aber die Tracking-Skripte laden trotzdem schon vor dem Klick. Das lässt sich mit den Entwickler-Tools des Browsers in zwei Minuten nachweisen — und genau so arbeiten Abmahnkanzleien. Ein Banner, der nur Deko ist, schützt nicht.
Die eleganteste Lösung: eine Website, die ohne Banner auskommt
Für die meisten kleinen Unternehmen ist die beste Cookie-Strategie schlicht: so bauen, dass kein Banner nötig ist. Cookiefreie Analyse-Tools wie Plausible oder Matomo (in cookiefreier Konfiguration) liefern die wichtigen Besucherzahlen ohne Einwilligungspflicht. Schriften werden lokal gehostet, Karten und Videos per Zwei-Klick-Lösung erst nach aktivem Klick des Besuchers geladen.
So halten wir es auch bei unseren Website-Abos: Standardmäßig cookiefrei mit datenschutzfreundlicher Statistik — ein Banner kommt nur dazu, wenn ein Kunde bewusst Marketing-Tools wie Google Ads Conversion-Tracking einsetzt. Das Ergebnis: weniger rechtliches Risiko, schnellere Seiten und Besucher, die nicht erst einen Dialog wegklicken müssen. Wenn Ihre aktuelle Website einen Banner zeigt, lohnt die Frage an Ihren Anbieter: Wofür eigentlich?
Häufige Fragen
Ist ein Cookie-Banner für jede Website Pflicht?
Nein. Ein Banner ist nur Pflicht, wenn einwilligungspflichtige Cookies oder ähnliche Technologien eingesetzt werden — etwa Analyse-Tools, Marketing-Pixel oder eingebettete Drittdienste. Eine Website, die nur technisch notwendige Cookies nutzt, braucht keinen Banner; ein Abschnitt in der Datenschutzerklärung genügt.
Reicht ein Banner mit „OK"-Button und Hinweistext?
Nein. Ein reiner Hinweis ohne echte Wahlmöglichkeit ist keine wirksame Einwilligung. Der Banner muss vor dem Setzen der Cookies eine aktive Entscheidung ermöglichen, und Ablehnen muss so einfach sein wie Zustimmen. Läuft das Tracking trotzdem schon beim Seitenaufruf, ist der Banner wirkungslos.
Braucht Google Analytics immer eine Einwilligung?
Ja. Google Analytics setzt Cookies und überträgt personenbezogene Daten an Google — das ist ohne vorherige Einwilligung nicht zulässig. Wer nur Besucherzahlen braucht, kann auf cookiefreie Alternativen wie Plausible oder eine entsprechend konfigurierte Matomo-Installation ausweichen und sich den Banner sparen.
Zählt eine eingebettete Google Map als Cookie-Problem?
Ja. Eine direkt eingebettete Karte überträgt schon beim Seitenaufruf Daten an Google und erfordert damit eine Einwilligung. Die einfachen Auswege: die Adresse als Text mit Link zu Google Maps angeben oder eine Zwei-Klick-Lösung nutzen, bei der die Karte erst nach aktivem Klick lädt.
Was droht bei einem fehlenden oder fehlerhaften Cookie-Banner?
Abmahnungen liegen typischerweise bei 500 bis 2.000 Euro plus Unterlassungserklärung mit Vertragsstrafe. Datenschutzbehörden können zusätzlich Bußgelder verhängen. Am häufigsten trifft es Websites, deren Tracking-Skripte trotz Banner schon vor der Einwilligung laden — das ist technisch leicht nachweisbar.