Blog Website und Recht
Cookie-Banner Pflicht: Wann Ihre Website einen Banner braucht und wann nicht
Die Frage nach der Cookie-Banner Pflicht stellt sich bei jeder neuen Website. Viele Unternehmen setzen vorsorglich einen Banner ein, der dann bei jedem Besuch die Sicht versperrt, obwohl die Seite vielleicht gar keine Einwilligung braucht. Andere verzichten darauf, laden aber im Hintergrund Analyse- und Werbeskripte. Beides ist unnötig. Dieser Beitrag erklärt, wann eine Einwilligung nötig ist, was als unbedingt erforderlich gilt und wie Sie eine Website bauen, die ohne Cookie-Banner auskommt.
Zwei Regelwerke, zwei Fragen: TDDDG und DSGVO
Rechtlich sind beim Besuch einer Website zwei Schritte zu unterscheiden. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, beschreibt das in ihrer Orientierungshilfe für Anbieter digitaler Dienste (Version 1.2, November 2024) ausführlich.
Erstens: Zugriff auf das Endgerät. § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) regelt, wann Informationen auf dem Gerät eines Nutzers gespeichert oder von dort ausgelesen werden dürfen. Das Gesetz trat am 1. Dezember 2021 als TTDSG in Kraft und trägt seit dem 14. Mai 2024 seinen heutigen Namen. Es gilt unabhängig davon, ob die Informationen personenbezogen sind, und erfasst nicht nur Cookies, sondern auch vergleichbare Techniken wie den lokalen Speicher im Browser.
Zweitens: Verarbeitung personenbezogener Daten. Werden dabei personenbezogene Daten verarbeitet, etwa IP-Adressen, Nutzerkennungen oder Formulareingaben, braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO: eine Einwilligung, einen Vertrag oder ein überwiegendes berechtigtes Interesse.
Ein Cookie-Banner ist also nie Selbstzweck. Er ist das Werkzeug, mit dem Sie eine Einwilligung einholen, wenn eines der beiden Gesetze sie verlangt.
Cookie-Banner Pflicht: Wann eine Einwilligung nötig ist
Nach § 25 Abs. 1 TDDDG ist das Speichern oder Auslesen von Informationen auf dem Endgerät nur mit Einwilligung zulässig. Die Einwilligung muss den Anforderungen der DSGVO genügen:
- informiert: Besucher erfahren vorher, welche Zwecke verfolgt und welche Drittanbieter eingebunden werden
- freiwillig und gleichwertig: Ablehnen muss so einfach sein wie Zustimmen
- aktiv: vorangekreuzte Kästchen sind keine wirksame Einwilligung, das hat der Europäische Gerichtshof 2019 im Verfahren Planet49 (C-673/17) entschieden
- vorher: einwilligungspflichtige Skripte laden erst nach der Zustimmung
- widerrufbar: der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO)
Typische Fälle, in denen Sie in der Regel eine Einwilligung brauchen: Webanalyse mit Nutzerkennungen oder über externe Dienste, Werbe- und Konversionspixel, Retargeting, eingebettete Videos, Karten und Beiträge aus sozialen Netzwerken sowie Chat- oder Buchungswidgets fremder Anbieter, die beim Seitenaufruf Daten übertragen.
Was „unbedingt erforderlich“ bedeutet
Keine Einwilligung ist nötig, wenn der Zugriff auf das Endgerät nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Die Aufsichtsbehörden legen das streng aus: Gemeint ist technische Erforderlichkeit für die gewünschte Funktion. Dass ein Cookie für das Geschäftsmodell wirtschaftlich wichtig ist, reicht nicht.
Die DSK nennt dafür vier Prüffragen: Wann wird gespeichert, was wird gespeichert, wie lange und wer kann es auslesen? Ein Warenkorb-Cookie etwa ist nach ihrer Auffassung erst dann erforderlich, wenn tatsächlich ein Artikel in den Warenkorb gelegt wurde, nicht schon beim Stöbern.
| Zweck | Einwilligung nötig? | Worauf es ankommt |
|---|---|---|
| Warenkorb nach Klick auf „In den Warenkorb“ | in der Regel nein | erst ab der Aktion, möglichst nur für die Sitzung |
| Anmeldung im Kundenkonto | in der Regel nein | Sitzungskennung für den Login |
| Schutz vor wiederholten Fehlanmeldungen | in der Regel nein | nur für den vom Nutzer genutzten Login |
| Speichern der Banner-Entscheidung | in der Regel nein | ohne eindeutige Nutzerkennung |
| Sprach- oder Darstellungseinstellung | in der Regel nein | nur der Wert, keine Nutzerkennung |
| Webanalyse mit Nutzerkennung oder über Drittanbieter | in der Regel ja | keine pauschale Ausnahme für Reichweitenmessung |
| Werbepixel und Retargeting | ja | Profile über mehrere Websites hinweg |
| Eingebettete Videos, Karten, Social-Media-Beiträge | in der Regel ja | Datenübertragung an Drittanbieter beim Laden |
Ein Banner nur, wenn er wirklich nötig ist
Die DSK formuliert es in ihrer Orientierungshilfe deutlich: Einwilligungsbanner sollten nur eingesetzt werden, wenn tatsächlich eine Einwilligung notwendig ist. Andernfalls entsteht der missverständliche Eindruck, Besucher hätten eine Wahl, obwohl ihre Entscheidung nichts an den technischen Abläufen ändert.
Eine Website ohne Cookie-Banner ist damit kein Graubereich, sondern der Normalfall für jede Seite, die nichts Einwilligungspflichtiges einsetzt. Impressum und Datenschutzerklärung brauchen Sie trotzdem, denn über die Verarbeitung personenbezogener Daten, etwa in Server-Logfiles oder über Sitzungs-Cookies, informieren Sie nach Art. 13 DSGVO.
So bauen Sie eine Website ohne Cookie-Banner
Schriften und Skripte selbst hosten
Wird eine Schrift beim Seitenaufruf vom Server eines Drittanbieters nachgeladen, erhält dieser die IP-Adresse des Besuchers. Das Landgericht München I hat am 20. Januar 2022 (Az. 3 O 17493/20) einem Besucher 100 Euro Schadensersatz zugesprochen, weil eine Website Schriften ohne Einwilligung dynamisch von den Servern eines US-Anbieters lud. Ein berechtigtes Interesse verneinte das Gericht, weil sich die Schriften auch ohne Verbindung zu fremden Servern nutzen lassen. Die Lösung ist einfach: Schriften, Icons und Skripte liegen auf Ihrem eigenen Server. Prüfen Sie dabei die Lizenz der Schrift.
Keine Analyse und Werbung ohne Einwilligung
Wer Besucherzahlen braucht, hat mehrere Wege. Eine Auswertung der Server-Logfiles oder ein selbst betriebenes Analysewerkzeug ohne Cookies und ohne Nutzerkennung kommt dem Ziel am nächsten. Eine pauschale Freigabe für Reichweitenmessung ohne Einwilligung geben die Aufsichtsbehörden allerdings nicht, es kommt auf die konkrete Ausgestaltung an. Werbe- und Retargeting-Pixel brauchen dagegen regelmäßig eine Einwilligung. Wer auf sie angewiesen ist, braucht auch einen Banner.
Keine eingebetteten Drittinhalte beim Seitenaufruf
Videos, Karten und Beiträge aus sozialen Netzwerken übertragen beim Laden Daten an den jeweiligen Anbieter. Die DSK nennt Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos, Fotos und Social-Media-Inhalte ausdrücklich als Beispiele für Drittinhalte, deren Einbindung eine Rechtsgrundlage braucht. Bessere Wege:
- Videos auf dem eigenen Server ablegen oder erst nach einem Klick auf ein Vorschaubild laden, mit Hinweis auf den Anbieter
- statt einer eingebetteten Karte ein statisches Kartenbild mit Link zur Routenplanung
- Links zu Ihren Profilen in sozialen Netzwerken statt eingebetteter Feeds
Eigene Formulare statt fremder Widgets
Kontaktformulare, Terminanfragen und Newsletter-Anmeldungen lassen sich auf dem eigenen Server verarbeiten. Chat- und Buchungswidgets externer Anbieter laden dagegen häufig Skripte und setzen Cookies, sobald die Seite geöffnet wird.
Technik vor dem Livegang prüfen
Öffnen Sie Ihre Website in einem privaten Browserfenster und sehen Sie in den Entwicklerwerkzeugen nach: Welche Cookies und Speichereinträge entstehen beim ersten Aufruf, und an welche fremden Domains gehen Anfragen? Wiederholen Sie den Test nach jedem Update, denn Erweiterungen eines Content-Management-Systems oder Shopsystems binden oft unbemerkt externe Ressourcen ein.
Wenn doch eine Einwilligung nötig ist
Brauchen Sie einen Banner, sollte er die Anforderungen aus der Orientierungshilfe der DSK erfüllen:
- Ablehnen und Zustimmen sind gleichwertig gestaltet, vergleichbar in Größe, Farbe, Kontrast und Schrift.
- Eine Ablehnoption auf der ersten Ebene ist nötig, wenn Besucher mit dem Banner interagieren müssen, um die Seite zu nutzen. Das ist bei den meisten gängigen Bannern der Fall.
- Eine Schaltfläche „Einstellungen oder Ablehnen“, die erst auf eine zweite Ebene führt, reicht nicht.
- Auswahlmöglichkeiten sind nicht vorausgewählt, Drittanbieter werden einzeln benannt.
- Einwilligungspflichtige Skripte laden erst nach der Zustimmung, Impressum und Datenschutzerklärung bleiben erreichbar.
- Die Einstellungen lassen sich später jederzeit wieder aufrufen und ändern.
Fällt Ihre Website unter das Barrierefreiheitsstärkungsgesetz, gilt das auch für den Banner: Er muss sich etwa per Tastatur und mit Screenreader bedienen lassen. Mehr dazu im Beitrag Barrierefreie Website und BFSG.
Was bei Verstößen droht
Wer entgegen § 25 Abs. 1 TDDDG ohne Einwilligung Informationen speichert oder ausliest, handelt ordnungswidrig. § 28 TDDDG sieht dafür Bußgelder bis zu 300.000 Euro vor. Dazu kommen mögliche Bußgelder nach Art. 83 DSGVO und Schadensersatzansprüche nach Art. 82 DSGVO, wie das Münchner Urteil zeigt.
Auf EU-Ebene hat die Kommission im November 2025 mit dem sogenannten Digital Omnibus vorgeschlagen, die Regeln für den Zugriff auf Endgeräte in die DSGVO zu überführen. Beschlossen ist das noch nicht. Bis dahin gilt § 25 TDDDG unverändert.
So unterstützt THEONEAGENCY
Am einfachsten ist eine Website ohne Banner, wenn sie von Anfang an so geplant wird. Wenn Sie Ihre Website erstellen lassen, gehört die Frage, welche Dienste nötig sind und wie sie eingebunden werden, ins Konzept und damit ins feste Angebot vor Projektstart. Schriften, Skripte und Medien können dann auf Ihrem eigenen Server liegen; auf Wunsch betreiben wir die Website auf einem Server in Deutschland.
Bei Shops ist die Abstimmung aufwendiger, weil Zahlungsanbieter, Versanddienste und Bewertungssysteme dazukommen. Wer einen Onlineshop erstellen lassen möchte, sollte diese Dienste deshalb früh auf Einwilligungsbedarf prüfen.
Wenn Sie eine bestehende Website bewerten oder Werkzeuge auswählen möchten, hilft eine unabhängige IT-Beratung.
Was eine neue Website kostet und welche laufenden Kosten dazukommen, lesen Sie im Beitrag Was kostet eine Website?.
Eine erste Kostenschätzung für Ihr Vorhaben erhalten Sie in rund drei Minuten im Projekt-Kalkulator.
Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Ob Ihre Website eine Einwilligung braucht, hängt von den eingesetzten Diensten ab und sollte im Einzelfall mit Ihrem Datenschutzbeauftragten oder anwaltlicher Beratung geklärt werden.
Häufige Fragen
Ist ein Cookie-Banner Pflicht?
Nein, kein Gesetz schreibt einen Banner als solchen vor. Pflicht ist eine Einwilligung, wenn Ihre Website Informationen auf dem Gerät der Besucher speichert oder ausliest, die nicht unbedingt erforderlich sind, oder personenbezogene Daten ohne andere Rechtsgrundlage verarbeitet. Der Banner ist nur das übliche Mittel, um diese Einwilligung einzuholen.
Brauche ich einen Cookie-Banner, wenn ich nur technisch notwendige Cookies nutze?
Nein, für unbedingt erforderliche Cookies ist nach § 25 Abs. 2 TDDDG keine Einwilligung nötig. Die Datenschutzaufsichtsbehörden empfehlen sogar, Einwilligungsbanner nur einzusetzen, wenn tatsächlich eine Einwilligung gebraucht wird. Über die eingesetzten Cookies informieren Sie trotzdem in Ihrer Datenschutzerklärung.
Kann man eine Website ohne Cookie-Banner betreiben?
Ja, wenn die Website nichts einsetzt, das eine Einwilligung erfordert. Dazu gehören selbst gehostete Schriften und Skripte, keine Analyse oder Werbung mit Nutzerkennungen ohne Einwilligung und keine eingebetteten Inhalte fremder Server beim Seitenaufruf. Das lässt sich beim Bau einer Website von Anfang an so planen.
Was ist das TDDDG?
Das TDDDG ist das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Es hieß bis Mai 2024 TTDSG und regelt in § 25, wann Websites und Apps Informationen auf Endgeräten speichern oder auslesen dürfen. Für die Verarbeitung personenbezogener Daten gilt daneben die DSGVO.
Muss ein Cookie-Banner einen Button zum Ablehnen haben?
In den meisten Fällen ja. Nach Auffassung der Aufsichtsbehörden muss die Ablehnung als gleichwertige Alternative erkennbar sein, und eine Ablehnoption auf der ersten Ebene ist nötig, wenn Besucher mit dem Banner interagieren müssen, um weiterzukommen. Das trifft auf die meisten gängigen Banner zu.