Cookie-Banner: Wann Sie wirklich einen brauchen — und wann nicht

Was regelt das Gesetz? § 25 TDDDG kurz erklärt

Die Rechtsgrundlage für Cookie-Banner in Deutschland ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 als TTDSG bekannt). Die Regel ist einfacher, als der Name vermuten lässt: Wer Informationen auf dem Endgerät eines Besuchers speichert oder ausliest — also Cookies setzt, aber auch Local Storage oder Tracking-Pixel nutzt —, braucht dafür grundsätzlich eine vorherige, aktive Einwilligung.

Es gibt eine wichtige Ausnahme: Nach § 25 Abs. 2 TDDDG sind Cookies einwilligungsfrei, die technisch unbedingt erforderlich sind, damit die Website den vom Nutzer gewünschten Dienst erbringen kann. Für alles darüber hinaus — Analyse, Marketing, personalisierte Werbung — führt am Opt-in kein Weg vorbei. Zusätzlich greift die DSGVO, sobald über die Cookies personenbezogene Daten verarbeitet werden, was bei Tracking-Diensten praktisch immer der Fall ist.

Wann brauchen Sie keinen Cookie-Banner?

Die für viele überraschende Antwort: Ein Cookie-Banner ist keine Pflicht für jede Website. Wer ausschließlich technisch notwendige Cookies einsetzt und keine einwilligungspflichtigen Drittdienste einbindet, braucht keinen Banner — ein Hinweis in der Datenschutzerklärung genügt.

Eine typische Visitenkarten-Website eines Handwerksbetriebs oder einer Praxis — Leistungen, Referenzen, Kontaktformular, Anfahrt als verlinkte Karte statt eingebetteter Google Map — kommt komplett ohne Banner aus, sofern keine Tracking-Tools laufen. Das ist nicht nur rechtlich sauber, sondern auch ein Conversion-Vorteil: Besucher landen ohne Klick-Hürde direkt beim Inhalt.

• Keine Analyse-Tools mit Cookies (Google Analytics, Meta Pixel, Hotjar)
• Keine eingebetteten Drittdienste, die vorab Daten laden (YouTube-Videos, Google Maps, Social-Media-Plugins)
• Schriftarten lokal gehostet statt von Google-Servern geladen
• Nur technisch notwendige Cookies wie Session oder Warenkorb

Technisch notwendige Cookies: Was fällt darunter?

„Technisch notwendig" heißt: Ohne dieses Cookie funktioniert eine Funktion nicht, die der Besucher selbst nutzen will. Klassische Beispiele sind das Warenkorb-Cookie im Online-Shop, das Login-Cookie im Kundenbereich, Session-Cookies für Formulare, Sicherheits-Cookies gegen Missbrauch — und, etwas ironisch, das Cookie, das die Consent-Entscheidung des Besuchers speichert.

Nicht darunter fallen — auch wenn manche Anbieter das gern anders darstellen — Statistik- und Reichweiten-Cookies. Dass Sie wissen möchten, wie viele Besucher Ihre Seite hat, macht ein Analytics-Cookie nicht „notwendig". Die Aufsichtsbehörden legen die Ausnahme eng aus: Maßstab ist der Nutzen für den Besucher, nicht für den Betreiber.

Diese Dienste machen den Banner zur Pflicht

Einwilligungspflichtig ist alles, was Besucher über die reine Funktion hinaus vermisst oder Daten an Dritte überträgt. Auf typischen KMU-Websites sind das vor allem:

• Google Analytics, Meta Pixel, TikTok Pixel und andere Tracking-Tools
• Google Ads Conversion-Tracking und Remarketing
• Direkt eingebettete YouTube- oder Vimeo-Videos (laden Tracker schon beim Seitenaufruf)
• Eingebettete Google Maps (übertragen Besucherdaten an Google)
• Social-Media-Plugins wie Like- oder Share-Buttons mit Direktverbindung
• Chat-Widgets und Bewertungs-Widgets externer Anbieter, die Cookies setzen

So muss ein rechtskonformer Cookie-Banner aussehen

Wenn ein Banner nötig ist, muss er echte Anforderungen erfüllen — hier passieren die meisten Fehler. Die Einwilligung muss freiwillig, informiert und aktiv erfolgen, bevor das erste einwilligungspflichtige Cookie gesetzt wird. Konkret bedeutet das: kein Tracking beim Seitenaufruf, keine vorangekreuzten Kästchen, und „Ablehnen" muss genauso einfach sein wie „Akzeptieren" — idealerweise als gleichwertiger Button auf der ersten Ebene.

Verboten sind sogenannte Dark Patterns: ein riesiger bunter „Alle akzeptieren"-Button neben einem versteckten grauen „Einstellungen"-Link, Banner, die sich ohne Zustimmung nicht schließen lassen, oder Formulierungen, die Ablehnung als Nachteil darstellen. Gerichte und Datenschutzbehörden haben solche Gestaltungen wiederholt beanstandet — die Einwilligung ist dann unwirksam, und das Tracking läuft ohne Rechtsgrundlage.

Außerdem muss die Einwilligung jederzeit widerrufbar sein, üblicherweise über einen dauerhaften Link oder ein kleines Icon im Footer. Und der Banner dokumentiert sich nicht selbst: Welche Cookies laufen und warum, gehört zusätzlich in die Datenschutzerklärung.

Was kostet ein fehlerhafter oder fehlender Banner?

Läuft Tracking ohne wirksame Einwilligung, drohen zwei Risiken. Erstens Abmahnungen durch Mitbewerber oder spezialisierte Kanzleien — typischerweise im Bereich von 500 bis 2.000 Euro plus Unterlassungserklärung. Zweitens können Datenschutzbehörden Bußgelder verhängen; gegen kleine Unternehmen bleiben diese meist moderat, aber der Ärger, die Zeit und das Risiko einer Vertragsstrafe bei Wiederholung sind es nicht wert.

Der häufigste Fehler ist dabei nicht der fehlende Banner, sondern der wirkungslose: Ein Consent-Tool ist installiert, aber die Tracking-Skripte laden trotzdem schon vor dem Klick. Das lässt sich mit den Entwickler-Tools des Browsers in zwei Minuten nachweisen — und genau so arbeiten Abmahnkanzleien. Ein Banner, der nur Deko ist, schützt nicht.

Die eleganteste Lösung: eine Website, die ohne Banner auskommt

Für die meisten kleinen Unternehmen ist die beste Cookie-Strategie schlicht: so bauen, dass kein Banner nötig ist. Cookiefreie Analyse-Tools wie Plausible oder Matomo (in cookiefreier Konfiguration) liefern die wichtigen Besucherzahlen ohne Einwilligungspflicht. Schriften werden lokal gehostet, Karten und Videos per Zwei-Klick-Lösung erst nach aktivem Klick des Besuchers geladen.

So halten wir es auch bei unseren Website-Abos: Standardmäßig cookiefrei mit datenschutzfreundlicher Statistik — ein Banner kommt nur dazu, wenn ein Kunde bewusst Marketing-Tools wie Google Ads Conversion-Tracking einsetzt. Das Ergebnis: weniger rechtliches Risiko, schnellere Seiten und Besucher, die nicht erst einen Dialog wegklicken müssen. Wenn Ihre aktuelle Website einen Banner zeigt, lohnt die Frage an Ihren Anbieter: Wofür eigentlich?