Cookie-Banner nach TDDDG: Wann er Pflicht ist und wie er rechtssicher aussieht
Viele Websites zeigen einen Cookie-Banner, weil „man das so macht“, und viele dieser Banner sind gleichzeitig unnötig und rechtswidrig: unnötig, weil die Website gar nichts Einwilligungspflichtiges einsetzt, und rechtswidrig, weil Ablehnen versteckt ist oder Tracking schon vor dem Klick läuft. Dieser Artikel klärt, wann Sie wirklich einen Banner brauchen, welche Gestaltung Gerichte verlangen und wie Sie ihn oft ganz vermeiden.
Wann Sie überhaupt einen Banner brauchen
Maßgeblich ist § 25 TDDDG (bis Mai 2024: TTDSG). Er betrifft nicht nur Cookies, sondern jedes Speichern und Auslesen von Informationen auf dem Endgerät: Local Storage, Tracking-Pixel, Geräte-Fingerprinting. Ohne Einwilligung ist das nur erlaubt, wenn es unbedingt erforderlich ist, damit Sie einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen können.
Faustregel aus der Praxis:
- Keine Einwilligung nötig: Warenkorb, Login-Sitzung, Spracheinstellung, Speichern der Banner-Entscheidung selbst, Schutz vor Missbrauch des Formulars.
- Einwilligung nötig: Google Analytics und vergleichbare Statistik mit Cookies, Werbe- und Remarketing-Pixel, eingebettete YouTube-Videos oder Google Maps, die beim Laden Cookies setzen, viele Chat-Widgets.
- Setzt Ihre Website nichts aus der zweiten Gruppe ein, brauchen Sie keinen Banner. Die Datenschutzerklärung brauchen Sie trotzdem.
Was ein rechtssicherer Banner leisten muss
Vorausgefüllte Häkchen sind keine Einwilligung. Das haben der EuGH (Planet49, C-673/17, 2019) und der BGH (Cookie-Einwilligung II, I ZR 7/16, 2020) entschieden. Die Einwilligung muss aktiv, freiwillig und informiert sein, und zwar bevor die Dienste laden.
Das OLG Köln hat am 19. Januar 2024 (6 U 80/23) einen Banner beanstandet, der auf der ersten Ebene nur „Akzeptieren“ und „Einstellungen“ anbot: Ohne gleichwertige Ablehnmöglichkeit auf der ersten Ebene werden Nutzer zur Zustimmung gelenkt. Auch ein „X“ mit der Beschriftung „Akzeptieren & Schließen“ gilt nicht als Einwilligung. Das Urteil ist rechtskräftig.
Daraus ergeben sich diese Anforderungen:
- „Alle ablehnen“ steht auf der ersten Ebene, gleich groß und gleich auffällig wie „Alle akzeptieren“.
- Vor dem Klick lädt kein einwilligungspflichtiger Dienst, auch nicht der Tag Manager, der ihn nachlädt.
- Zwecke und Anbieter sind verständlich benannt, Details auf der zweiten Ebene.
- Der Widerruf ist so einfach wie die Zustimmung, etwa über einen dauerhaften Link „Cookie-Einstellungen“ im Footer (Art. 7 Abs. 3 DSGVO).
- Impressum und Datenschutzerklärung bleiben erreichbar, der Banner verdeckt sie nicht.
- Die Entscheidungen werden protokolliert, damit Sie die Einwilligung nachweisen können.
Die häufigsten Fehler in der Praxis
Bei Prüfungen von Websites sehen wir immer wieder dieselben Muster:
- Der Banner ist da, aber Google Analytics oder das Meta-Pixel feuern schon beim ersten Seitenaufruf.
- „Ablehnen“ ist ein grauer Textlink, „Akzeptieren“ ein farbiger Button.
- YouTube-Videos sind direkt eingebettet statt per Zwei-Klick-Lösung.
- Nach einem Website-Update wurde ein neues Plugin eingebunden, das im Consent-Tool nicht hinterlegt ist.
- Der Banner listet Dienste, die längst entfernt wurden, und verschweigt neue.
Einwilligungsverwaltung (PIMS): Ende der Banner?
Seit dem 1. April 2025 gilt die Einwilligungsverwaltungsverordnung (EinwV). Sie regelt anerkannte Dienste, bei denen Nutzer ihre Einwilligungsentscheidungen zentral hinterlegen; die Anerkennung erfolgt durch die Bundesbeauftragte für den Datenschutz. Die Nutzung ist für Website-Betreiber freiwillig. Solange solche Dienste nicht breit verbreitet sind, bleibt der eigene Banner der Normalfall.
Ohne Banner auskommen: der bessere Weg
Für viele Unternehmenswebsites lässt sich der Banner vollständig vermeiden. Schriften und Icons werden lokal gehostet, Karten und Videos laden erst nach einem Klick auf ein Vorschaubild, und statt Google Analytics misst eine cookielose Statistik, die nichts auf dem Gerät speichert. Diese Verarbeitung gehört weiterhin in die Datenschutzerklärung, braucht aber keinen Banner.
Der Nebeneffekt: kein Banner, der den ersten Eindruck stört, schnellere Ladezeit und vollständige Besucherzahlen statt nur der Besucher, die zugestimmt haben.
Häufige Fragen
- Reicht ein Hinweis „Diese Website nutzt Cookies – OK“?
- Nein. Ein reiner Hinweis ohne Ablehnmöglichkeit ist keine Einwilligung. Entweder Sie setzen nur unbedingt erforderliche Technik ein und brauchen keinen Banner, oder Sie holen eine echte Einwilligung mit gleichwertiger Ablehnung ein.
- Gilt das auch für B2B-Websites?
- Ja. § 25 TDDDG unterscheidet nicht zwischen Verbrauchern und Geschäftskunden; es geht um das Endgerät jedes Besuchers.
- Woran erkenne ich ein gutes Consent-Tool?
- Es blockiert Dienste technisch bis zur Einwilligung, bietet „Alle ablehnen“ auf der ersten Ebene, protokolliert Entscheidungen und speichert die Daten möglichst in der EU. Testen Sie es im Netzwerk-Tab: Vor dem Klick dürfen keine Tracking-Anfragen erscheinen.
Quellen
Senden Sie uns die Adresse Ihrer Website. Wir prüfen, was vor der Einwilligung lädt, und sagen Ihnen, ob Sie den Banner reparieren oder ganz loswerden können.
Cookie-Banner prüfen lassen