Brauche ich einen Cookie-Banner, wenn ich nur technisch notwendige Cookies verwende?

Nein. Für unbedingt erforderliche Cookies verlangt § 25 TDDDG keine Einwilligung, und damit auch keinen Einwilligungsbanner. Die Datenschutzkonferenz rät sogar davon ab, in diesem Fall einen Banner zu zeigen, weil er eine Wahl vortäuscht, die es nicht gibt. Informieren Sie in Ihrer Datenschutzerklärung über die eingesetzten Cookies.

Gilt die Pflicht auch für kleine Websites, Blogs und Vereine?

§ 25 TDDDG unterscheidet nicht nach Größe oder Umsatz. Entscheidend ist allein, ob Ihre Website Informationen auf den Geräten der Besucher speichert oder ausliest, die dafür nicht unbedingt erforderlich sind.

Reicht der Satz „Mit der weiteren Nutzung stimmen Sie der Verwendung von Cookies zu“?

Nein. Weitersurfen oder Scrollen ist keine Einwilligung, auch dann nicht, wenn ein Banner darüber informiert. Die Einwilligung braucht eine eindeutige, aktive Handlung und eine echte Wahl.

Muss der Banner eine „Ablehnen“-Schaltfläche auf der ersten Ebene haben?

Laut Datenschutzkonferenz immer dann, wenn Besucher mit dem Banner interagieren müssen, um die Website weiter zu nutzen, und auf der ersten Ebene bereits eingewilligt werden kann. Bei den gängigen Bannergestaltungen ist das nach Einschätzung der Behörden sehr häufig der Fall. Mit einer gleichwertigen „Alle ablehnen“-Schaltfläche sind Sie auf der sicheren Seite.

Wer kontrolliert die Einhaltung?

Für Unternehmen, die keine Telekommunikationsdienste anbieten, sind in der Regel die Datenschutzaufsichtsbehörden der Länder zuständig. Ihre gemeinsame Auslegung veröffentlichen sie über die Datenschutzkonferenz (DSK), unter anderem in der Orientierungshilfe für Anbieter:innen von digitalen Diensten.

Cookie-Banner Pflicht? Wann Sie einen Banner brauchen

Die Rechtsgrundlage: § 25 TDDDG

Maßgeblich ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), bis Mai 2024 TTDSG genannt. Danach ist das Speichern von Informationen auf dem Endgerät und der Zugriff auf dort gespeicherte Informationen nur zulässig, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat.

Das Gesetz kennt zwei Ausnahmen. Keine Einwilligung ist nötig, wenn

der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
das Speichern oder Auslesen unbedingt erforderlich ist, damit Sie einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen können.

Für Websites ist praktisch nur die zweite Ausnahme relevant. Die Regel gilt für Cookies ebenso wie für Local Storage oder Fingerprinting, und sie gilt unabhängig davon, ob personenbezogene Daten betroffen sind. Für die anschließende Verarbeitung personenbezogener Daten gilt zusätzlich die DSGVO.

Wann Sie einen Cookie-Banner brauchen

Sobald auf Ihrer Website etwas läuft, das nicht unbedingt erforderlich ist und auf das Gerät zugreift, brauchen Sie eine Einwilligung und damit einen Banner. Das betrifft zum Beispiel:

Google Analytics und andere Analyse-Tools mit Besucherkennung
das Meta Pixel, Google Ads Conversion-Tracking und Retargeting
eingebettete YouTube-Videos, Karten oder Chat-Widgets, wenn sie beim Laden Cookies setzen
Heatmaps, Session-Recordings und A/B-Test-Tools

Wann Sie keinen Banner brauchen

Setzt Ihre Website nur unbedingt erforderliche Cookies, brauchen Sie keine Einwilligung. Die Datenschutzkonferenz rät in diesem Fall ausdrücklich von einem Einwilligungsbanner ab, weil er den missverständlichen Eindruck erweckt, Besucher hätten eine Wahl. Als unbedingt erforderlich sieht sie zum Beispiel an:

den Warenkorb-Cookie, sobald ein Besucher tatsächlich etwas in den Warenkorb legt
Sicherheits-Cookies, die das Login vor Missbrauch schützen, etwa vor wiederholten Fehlversuchen
das Speichern der Cookie-Entscheidung selbst, wenn dafür keine eindeutige Kennung verwendet wird
das Speichern einer Einstellung wie der Sprache als nicht identifizierender Wert

Über diese Cookies informieren Sie in Ihrer Datenschutzerklärung. Prüfen Sie aber genau, was Ihre Website tatsächlich lädt: Plugins, Themes und eingebettete Inhalte bringen oft Cookies mit, von denen Sie nichts wissen. Ein Cookie-Scan zeigt es Ihnen.

Was ein Cookie-Banner enthalten muss

Die Aufsichtsbehörden haben ihre Anforderungen in der Orientierungshilfe für Anbieter:innen von digitalen Diensten (Version 1.2, November 2024) beschrieben. Auf der ersten Ebene des Banners erwarten sie in der Regel:

die konkreten Zwecke der Verarbeitung
einen Hinweis, wenn Profile angelegt und mit Daten anderer Websites angereichert werden
einen Hinweis, wenn Daten außerhalb des EWR verarbeitet werden
die Angabe, an wie viele Verantwortliche Daten weitergegeben werden

Außerdem gilt:

Keine Vorauswahl: Einwilligungspflichtige Kategorien dürfen nicht voreingestellt aktiv sein.
Gleichwertige Ablehnung: Die Ablehnung muss als gleichwertige Alternative erkennbar sein, etwa als Schaltfläche, die in Größe, Farbe, Kontrast und Schrift der Zustimmung entspricht. Eine Schaltfläche „Einstellungen oder Ablehnen“, die erst zu einer zweiten Ebene führt, reicht nicht.
Erst fragen, dann laden: Solange der Banner angezeigt wird, laden keine Skripte und keine Inhalte von fremden Servern, für die eine Einwilligung nötig ist.
Impressum und Datenschutzerklärung: Beide müssen erreichbar bleiben, auch wenn der Banner angezeigt wird.
Widerruf: Besucher müssen ihre Einwilligung so einfach widerrufen können, wie sie sie erteilt haben.

Häufige Fehler

Nur ein „OK“-Button: Ein Banner ohne echte Wahl holt keine Einwilligung ein.
Versteckte Ablehnung: „Akzeptieren“ als großer Button, „Ablehnen“ als Link im Fließtext oder erst nach dem Scrollen sichtbar.
Tracking vor der Entscheidung: Google Analytics oder das Meta Pixel laden, bevor der Besucher geklickt hat.
Vage Zwecke: „Wir verwenden Cookies, um Ihnen ein besseres Erlebnis zu bieten“ nennt keinen konkreten Zweck.
Widersprüchliche Angaben: Banner und Datenschutzerklärung nennen unterschiedliche Anbieter oder Zwecke.
Kein Weg zurück: Besucher finden keine Möglichkeit, ihre Entscheidung später zu ändern.

Checkliste für Ihre Website

Sie wissen, welche Cookies und Drittdienste Ihre Website einsetzt (Scan statt Vermutung).
Einwilligungspflichtige Skripte laden erst, nachdem der Besucher zugestimmt hat.
Ablehnen ist genauso einfach wie Zustimmen, in der Regel mit einer gleichwertigen Schaltfläche auf der ersten Ebene.
Keine Kategorie außer „Notwendig“ ist vorausgewählt.
Der Banner nennt konkrete Zwecke und die eingesetzten Drittanbieter.
Impressum und Datenschutzerklärung bleiben erreichbar, während der Banner angezeigt wird.
Ein Link auf jeder Seite öffnet die Cookie-Einstellungen erneut, damit Besucher ihre Einwilligung widerrufen können.
Banner und Datenschutzerklärung machen dieselben Angaben zu Zwecken und Anbietern.
Jede Entscheidung wird protokolliert, und Sie bewahren ältere Bannertexte auf.
Der Banner funktioniert auch auf dem Smartphone, ohne Inhalte unzugänglich zu machen.
Nach jeder Änderung an Plugins oder Tracking prüfen Sie den Banner erneut.

Was bei Verstößen droht

Wer entgegen § 25 Abs. 1 TDDDG ohne Einwilligung Informationen auf einem Gerät speichert oder ausliest, handelt ordnungswidrig. Der Bußgeldrahmen liegt nach § 28 TDDDG bei bis zu 300.000 Euro. Für die anschließende Verarbeitung personenbezogener Daten gelten zusätzlich die Bußgeldvorschriften der DSGVO.

Mit Consentaur umsetzen

Consentaur übernimmt die technischen Punkte der Checkliste:

Der Cookie-Scan findet die Cookies Ihrer Website und ordnet sie Kategorien zu. Im Gratis-Tarif läuft er wöchentlich, ab Growth täglich.
Der Banner zeigt standardmäßig „Alle akzeptieren“, „Alle ablehnen“ und „Anpassen“ auf der ersten Ebene. Außer „Notwendig“ ist keine Kategorie vorausgewählt.
Skripte mit dem Attribut data-cookiebar-category laden erst nach der passenden Einwilligung. Google Consent Mode v2 ist eingebaut.
Jede Entscheidung wird protokolliert und 24 Monate aufbewahrt.
Die Bannertexte passen Sie je Sprache an, damit Zwecke und Anbieter konkret benannt sind.

Die Einrichtung beschreibt die Installationsanleitung. Wie Sie das Ergebnis selbst testen, lesen Sie in Cookie-Banner prüfen.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung.