Jede Website mit nicht-essenziellen Cookies braucht einen Cookie-Banner
Wer in Deutschland eine Website betreibt und dabei Cookies einsetzt, die über den technisch notwendigen Betrieb hinausgehen, ist zur Einholung einer aktiven Nutzereinwilligung verpflichtet. Das ist keine Grauzone. § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) schreibt die Einwilligung vor dem Setzen solcher Cookies ausdrücklich vor, Art. 6 und 7 DSGVO regeln die Bedingungen für deren Wirksamkeit.
Die wichtigsten Punkte auf einen Blick:
- Gesetzliche Grundlage: § 25 Abs. 1 TDDDG verlangt eine vorherige Einwilligung für alle Cookies, die nicht technisch zwingend erforderlich sind. Die DSGVO-Artikel 6 und 7 definieren, was eine wirksame Einwilligung ausmacht: freiwillig, informiert, für den bestimmten Fall und unmissverständlich.
- Technisch notwendige Cookies sind ausgenommen: Session-Cookies, Warenkorb-Speicherung, CSRF-Schutz und Sprachwahl-Cookies brauchen keine Einwilligung, müssen aber in der Datenschutzerklärung erwähnt werden.
- Nicht notwendige Cookies: Google Analytics, Meta Pixel, YouTube-Einbettungen, Hotjar, LinkedIn Insight Tag und ähnliche Dienste sind einwilligungspflichtig.
- Urteile bestätigen die Pflicht: Der EuGH hat in der Rechtssache Planet49 (C-673/17, 2019) klargestellt, dass vorausgewählte Checkboxen keine wirksame Einwilligung darstellen. Der BGH hat diese Linie 2020 für Deutschland bestätigt.
- Pflichtbestandteile eines rechtssicheren Banners: gleichwertige Akzeptieren- und Ablehnen-Buttons auf der ersten Ebene, granulare Auswahloptionen, Widerrufsmöglichkeit, Verlinkung zur Datenschutzerklärung, kein Pre-Loading von Tracking-Skripten.
- Folgen bei Verstößen: Abmahnungen beginnen bei niedrigen Beträgen, Bußgelder der Datenschutzbehörden können deutlich höher ausfallen.
- Praxisstandard für KMU: Consent-Management-Plattformen wie Borlabs Cookie oder CookieYes decken die technischen Pflichtanforderungen zuverlässig ab.
Inhaltsverzeichnis
- Was sind Cookies und warum sind sie datenschutzrechtlich relevant?
- Welche gesetzlichen Grundlagen gelten für Cookie-Banner in Deutschland?
- Was macht einen Cookie-Banner wirklich rechtssicher?
- Wie setzen Sie den Cookie-Banner auf Ihrer Website korrekt um?
- Welche Konsequenzen drohen bei Verstößen gegen die Cookie-Banner-Pflicht?
- Was Einfach-sichtbar aus der Praxis mit KMU-Websites gelernt hat
- Einfach-sichtbar übernimmt die rechtssichere Umsetzung für Sie
- Wichtige Erkenntnisse
Was sind Cookies und warum sind sie datenschutzrechtlich relevant?
Cookies sind kleine Textdateien, die ein Webserver im Browser des Besuchers speichert. Sie ermöglichen es, Informationen zwischen Seitenaufrufen zu erhalten, Nutzer wiederzuerkennen oder ihr Verhalten über mehrere Sitzungen hinweg zu verfolgen. Technisch gesehen sind sie neutral. Datenschutzrechtlich relevant werden sie, sobald sie personenbezogene Daten verarbeiten oder das Nutzerverhalten aufzeichnen.
Technisch notwendige Cookies erfüllen Funktionen, ohne die eine Website schlicht nicht funktioniert:
- Session-Cookies für den Login-Status
- Warenkorb-Cookies in Onlineshops
- CSRF-Schutz-Cookies gegen Cross-Site-Request-Forgery
- Cookies zur Speicherung der Sprachauswahl
Für diese Cookies ist keine Einwilligung erforderlich. Sie fallen unter die Ausnahme des § 25 Abs. 2 TDDDG, weil sie für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Trotzdem müssen sie in der Datenschutzerklärung transparent aufgeführt werden.
Nicht notwendige Cookies sind eine andere Kategorie. Dazu gehören Analyse-Tools wie Google Analytics oder Matomo mit Cookies, Marketing-Pixel wie Meta Pixel oder Google Ads, eingebettete Drittanbieter-Inhalte wie YouTube-Videos in der Standardeinbettung sowie A/B-Testing-Werkzeuge mit Nutzerpersistenz. Diese Cookies verfolgen Nutzer, erstellen Profile und übertragen Daten an Dritte, oft auch in Länder außerhalb der EU. Genau hier greift die Einwilligungspflicht. Wer diese Cookies ohne vorherige, aktive Zustimmung setzt, verstößt gegen geltendes Recht.
Ein häufiger Irrtum: Es reicht nicht, einen Banner anzuzeigen und die Cookies trotzdem zu laden. Die Tracking-Skripte müssen technisch blockiert sein, bis der Nutzer aktiv zugestimmt hat.
Welche gesetzlichen Grundlagen gelten für Cookie-Banner in Deutschland?
Die rechtliche Basis der Cookie-Banner-Pflicht besteht aus mehreren Schichten, die zusammenwirken.
§ 25 TDDDG ist die zentrale nationale Norm. Er regelt das Speichern und Auslesen von Informationen auf Endgeräten. Absatz 1 verlangt eine vorherige Einwilligung, Absatz 2 nennt die engen Ausnahmen für technisch notwendige Funktionen. Wichtig: Die korrekte Rechtsgrundlagenangabe lautet § 25 TDDDG, nicht § 25 DDG. Diese Verwechslung kann bei Behördenprüfungen Rügen auslösen, wie die DSK-Orientierungshilfe 2024 ausdrücklich klarstellt.
DSGVO Art. 6 und 7 regeln die nachgelagerte Datenverarbeitung. Sobald ein Cookie personenbezogene Daten erzeugt, braucht die Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Bei Tracking-Cookies ist das regelmäßig die Einwilligung nach Art. 6 Abs. 1 lit. a. Art. 7 definiert die Bedingungen: Die Einwilligung muss nachweisbar, freiwillig, informiert und widerrufbar sein.
Wichtige Urteile im Überblick:
- EuGH Planet49 (C-673/17, 2019): Vorausgewählte Checkboxen sind keine wirksame Einwilligung. Das Urteil hat die Diskussion in Deutschland grundlegend verändert.
- BGH „Cookie-Einwilligung II“ (2020): Der BGH hat die EuGH-Linie für Deutschland übernommen und klargestellt, dass Opt-out-Lösungen nicht ausreichen.
- LG München I (2022): Ein Ablehnen-Button, der erst auf einer zweiten Ebene erreichbar ist, macht die Einwilligung unwirksam.
- OLG Köln (2024): Versteckte oder optisch benachteiligte Ablehn-Optionen verstoßen gegen das Freiwilligkeitsgebot.
DSK-Orientierungshilfe 2024 legt verbindliche Standards fest: gleichwertige Buttons auf der ersten Ebene, granulare Auswahloptionen und eine dauerhaft sichtbare Widerrufsmöglichkeit. Diese Vorgaben sind Maßstab für Behördenprüfungen in Deutschland.
Zur Marktlage: Laut einem Marktcheck der Verbraucherzentrale erfüllen nur 31 % der deutschen Websites die DSK-Anforderungen vollständig. Das zeigt, wie weit Theorie und Praxis noch auseinanderliegen.
Was macht einen Cookie-Banner wirklich rechtssicher?
Ein Banner, der nur informiert, aber im Hintergrund trotzdem alle Cookies lädt, erfüllt die gesetzlichen Anforderungen nicht. Rechtssicherheit entsteht durch das Zusammenspiel von Gestaltung, Technik und Dokumentation.
Gleichwertige Buttons auf der ersten Ebene
Der Ablehnen-Button muss auf derselben Ebene wie der Akzeptieren-Button stehen, in vergleichbarer Größe, Lesbarkeit und Kontrast. Gerichtsentscheidungen wie LG München I (2022) und OLG Köln (2024) haben versteckte Ablehn-Optionen als unwirksam eingestuft. Wer den Ablehnen-Button grau und klein hält, während der Akzeptieren-Button farblich dominiert, betreibt sogenanntes Nudging. Das ist rechtlich problematisch.
Kein Pre-Loading von Tracking-Skripten
Das ist der häufigste technische Fehler. Viele günstige Plugins laden Tracking-Skripte beim Seitenaufruf optimistisch vor und stoppen sie bei Ablehnung. Das entspricht nicht der DSGVO. Korrekt ist, Skripte erst nach aktiver Einwilligung dynamisch nachzuladen. Ein Opt-out-Prinzip, bei dem Cookies bereits geladen und dann gestoppt werden, ist nicht rechtskonform.
Granulare Auswahloptionen
Nutzer müssen zwischen mindestens drei Kategorien wählen können: technisch notwendig, Statistik und Marketing. Jede Kategorie braucht einen eigenen, einzeln umschaltbaren Schalter. Vorausgewählte Schalter für nicht-essenzielle Kategorien sind nach dem EuGH-Urteil Planet49 unzulässig.
Dokumentationspflicht gemäß Art. 7 DSGVO
Ohne Consent-Log ist ein Cookie-Banner bei behördlichen Prüfungen praktisch wirkungslos. Dokumentiert werden müssen: Zeitstempel der Einwilligung, ein Einwilligungs-Hash, ein IP-Ausschnitt und die verwendete Banner-Version. Diese Dokumentationspflicht wird in der Praxis häufig unterschätzt, ist aber der Nachweis, dass eine wirksame Einwilligung vorlag.
Widerruf so einfach wie die Einwilligung
Nach Art. 7 Abs. 3 DSGVO muss der Widerruf genauso einfach möglich sein wie die Erteilung der Einwilligung. Ein dauerhaft sichtbarer Footer-Link „Cookie-Einstellungen“, der das Banner erneut öffnet, ist die in der Praxis gängigste Lösung. Dieser Link ist Pflicht, nicht Kür.
Profi-Tipp: Nutzen Sie Consent-Management-Plattformen wie Borlabs Cookie oder CookieYes. Kostenlose Plugins gewährleisten häufig weder eine korrekte Protokollierung noch granulare Auswahloptionen oder DSK-konforme Buttongestaltung. Der Mehraufwand für eine professionelle Lösung ist gering im Vergleich zum Risiko einer Abmahnung.
Wie setzen Sie den Cookie-Banner auf Ihrer Website korrekt um?
Die Umsetzung ist kein einmaliges Projekt, sondern ein laufender Prozess. Wer seinen Cookie-Banner einmal konfiguriert und dann nicht mehr anfasst, riskiert, dass neue Dienste oder Plugins unbemerkt Cookies setzen, die nicht im Banner erfasst sind.
Schritt 1: Cookies analysieren und kategorisieren
Bevor Sie irgendetwas konfigurieren, müssen Sie wissen, welche Cookies Ihre Website tatsächlich setzt. Browser-Entwicklertools oder spezialisierte Scanner helfen dabei. Teilen Sie die gefundenen Cookies in „technisch notwendig“ und „einwilligungspflichtig“ auf. Vergessen Sie dabei eingebettete Drittanbieter-Inhalte nicht: Ein eingebettetes YouTube-Video in der Standardkonfiguration setzt eigene Cookies und ist einwilligungspflichtig.
Schritt 2: Geeignete Consent-Management-Plattform auswählen
Für WordPress-Websites hat sich Borlabs Cookie als Praxisstandard etabliert. Die Plattform bietet granulare Kategorien, technische Blockade vor Einwilligung, Consent-Log und DSK-konforme Buttongestaltung. CookieYes ist eine weitere bewährte Option, die auch für Nicht-WordPress-Umgebungen geeignet ist und eine einfache Integration über ein JavaScript-Snippet ermöglicht. Beide erfüllen die Pflichtbestandteile für rechtskonforme Cookie-Banner in Deutschland.
Bei der Auswahl sollten Sie auf folgende Kriterien achten: Audit-Trail-Funktion, Unterstützung von Google Consent Mode v2, regelmäßige Updates bei Rechtsänderungen und die Möglichkeit, den Banner ohne Programmierkenntnisse anzupassen.
Schritt 3: Häufige Fehler vermeiden
- Nudging: Akzeptieren-Button farblich stark hervorheben, Ablehnen-Button kaum sichtbar machen. Das ist rechtlich angreifbar.
- Ablehnen auf zweiter Ebene: Der Ablehnen-Button gehört auf die erste Ebene, nicht hinter einen „Einstellungen“-Link.
- Pre-Consent-Loading: Tracking-Skripte dürfen nicht vor der Einwilligung geladen werden, auch nicht „optimistisch“.
- Fehlende Widerrufsmöglichkeit: Der Footer-Link zu den Cookie-Einstellungen ist Pflicht.
- Veraltete Datenschutzerklärung: Der Banner muss direkt auf eine aktuelle Datenschutzerklärung verlinken, die alle eingesetzten Cookies und Dienste benennt.
Schritt 4: Regelmäßig prüfen und aktualisieren
Jedes neue Plugin, jede neue Einbettung, jeder neue Dienst kann neue Cookies einführen. Prüfen Sie Ihre Cookie-Landschaft mindestens halbjährlich. Wenn Sie Ihre Datenschutzerklärung aktualisieren, müssen Sie prüfen, ob auch der Banner angepasst werden muss. Bei wesentlichen Änderungen der Cookie-Richtlinien ist eine erneute Einwilligung einzuholen.
Wer eine neue Website aufbaut oder eine bestehende überarbeitet, sollte die Cookie-Konformität von Anfang an einplanen. Die Website-Relaunch-Checkliste von Einfach-sichtbar enthält dazu konkrete Hinweise für kleine Unternehmen.
Profi-Tipp: Behandeln Sie Ihren Cookie-Banner wie Ihre Datenschutzerklärung: als lebendes Dokument, das mit Ihrer Website mitwächst. Richten Sie sich eine Erinnerung für halbjährliche Überprüfungen ein und dokumentieren Sie jede Änderung mit Datum und Versionsnummer im Consent-Log.
Welche Konsequenzen drohen bei Verstößen gegen die Cookie-Banner-Pflicht?
Die Risiken sind real und werden aktiv verfolgt. Wettbewerbsverbände, Verbraucherschutzorganisationen und Datenschutzbehörden prüfen Websites systematisch auf Konformität.
Abmahnungen durch Wettbewerbsverbände
Abmahnungen wegen fehlerhafter Cookie-Banner beginnen bei rund 800 Euro. Dazu kommen Anwaltskosten und die Verpflichtung, eine Unterlassungserklärung abzugeben. Wer danach erneut gegen die Pflichten verstößt, riskiert Vertragsstrafen, die deutlich höher ausfallen können.
Bußgelder der Datenschutzbehörden
Die Datenschutzbehörden der Länder können bei Verstößen gegen die DSGVO Bußgelder verhängen. Für KMU sind Beträge bis zu 25.000 Euro realistisch, bei schwerwiegenden oder wiederholten Verstößen auch mehr. Die Behörden haben in den vergangenen Jahren ihre Prüfaktivitäten deutlich intensiviert.
Rechtsprechung als Warnsignal
Das LG München I hat 2022 entschieden, dass ein Ablehnen-Button, der erst auf einer zweiten Ebene erreichbar ist, die Einwilligung unwirksam macht. Das OLG Köln hat 2024 optisch benachteiligte Ablehn-Optionen als Verstoß gegen das Freiwilligkeitsgebot eingestuft. Diese Urteile sind kein akademisches Randthema, sondern direkter Maßstab für Abmahnungen.
Vertrauensverlust bei Nutzern
Neben den rechtlichen Folgen gibt es einen praktischen Aspekt: Nutzer, die merken, dass eine Website Cookies ohne ihre Zustimmung setzt, verlieren das Vertrauen in den Betreiber. Für lokale Unternehmen, die auf Empfehlungen und Stammkunden angewiesen sind, kann das spürbare Auswirkungen haben. Datenschutz ist auch ein Qualitätsmerkmal.
Wer sich über digitale Marketingagenturen informiert, die bei der DSGVO-konformen Cookie-Verwaltung unterstützen, findet dort ebenfalls Hinweise auf die Bandbreite verfügbarer Lösungen.
Was Einfach-sichtbar aus der Praxis mit KMU-Websites gelernt hat
Wer regelmäßig Websites für kleine und mittlere Unternehmen in der Bodenseeregion umsetzt, begegnet denselben Fehlern immer wieder. Nicht aus Gleichgültigkeit, sondern weil die Anforderungen komplex sind und sich ändern.
Der häufigste Fehler bei KMU-Kunden: Ein kostenloser Cookie-Hinweis-Banner wird installiert, der technisch aber keine Blockade der Tracking-Skripte vornimmt. Google Analytics läuft im Hintergrund, bevor der Nutzer überhaupt auf „Akzeptieren“ geklickt hat. Das ist kein Randproblem. Pre-Consent-Loading von Tracking-Skripten ist die Hauptursache für Abmahnungen.
Borlabs Cookie und CookieYes haben sich in der Praxis als verlässliche Lösungen bewährt, weil sie die technische Blockade korrekt umsetzen, Consent-Logs führen und regelmäßig aktualisiert werden. Für WordPress-Websites ist Borlabs Cookie die erste Wahl. CookieYes eignet sich gut für Websites außerhalb von WordPress oder wenn eine einfachere Konfiguration gewünscht ist.
Ein weiterer Punkt, der oft unterschätzt wird: die Verbindung zwischen Cookie-Konformität und lokalem SEO. Websites, die korrekt konfiguriert sind und Google Consent Mode v2 nutzen, liefern Google auch bei abgelehnten Cookies noch aggregierte Signale. Das schützt die Messdaten und damit die Grundlage für SEO-Entscheidungen. Wer Datenschutz und Sichtbarkeit als Gegensätze betrachtet, denkt zu kurz.
Die Dokumentation der Einwilligung ist der dritte Punkt, der in der Praxis regelmäßig fehlt. Ohne Consent-Log lässt sich bei einer Behördenprüfung nicht nachweisen, dass eine wirksame Einwilligung vorlag. Zeitstempel, Einwilligungs-Hash und Banner-Version müssen gespeichert werden. Das ist keine Bürokratie, sondern der einzige Beweis, der im Ernstfall zählt.
Profi-Tipp: Lassen Sie Ihren Cookie-Banner nach der Einrichtung von jemandem mit Datenschutz-Kenntnissen prüfen, bevor Sie ihn live schalten. Eine Stunde fachliche Prüfung kostet weniger als eine einzige Abmahnung. Einfach-sichtbar integriert die Cookie-Konformität standardmäßig in jeden Website-Auftrag für Kunden in Konstanz und der Bodenseeregion.
Einfach-sichtbar übernimmt die rechtssichere Umsetzung für Sie
Für Unternehmen in Konstanz und der Bodenseeregion, die keine Zeit haben, sich durch Datenschutzrecht und Consent-Management-Konfigurationen zu arbeiten, übernimmt Einfach-sichtbar die vollständige Umsetzung. Das umfasst die Analyse der eingesetzten Cookies, die Konfiguration einer geeigneten Consent-Management-Plattform, die technische Blockade vor Einwilligung, die Einrichtung des Consent-Logs und die Verlinkung mit einer aktuellen Datenschutzerklärung.
Jede Website, die Einfach-sichtbar erstellt oder überarbeitet, wird mit einem rechtssicheren Cookie-Banner ausgeliefert. Kein nachträgliches Flicken, kein Rätselraten bei der Konfiguration. Wer seine Website gerade neu aufbaut oder einen Relaunch plant, findet auf einfach-sichtbar.online alle Informationen zu den verfügbaren Paketen.
Wichtige Erkenntnisse
Jede deutsche Website mit nicht-essenziellen Cookies ist zur Einholung einer aktiven, nachweisbaren Einwilligung verpflichtet, bevor Tracking-Skripte geladen werden dürfen.
| Thema | Details |
|---|---|
| Gesetzliche Grundlage | § 25 TDDDG und Art. 6, 7 DSGVO bilden die Pflichtbasis für Cookie-Einwilligungen in Deutschland. |
| Technisch notwendige Cookies | Session-, Warenkorb- und CSRF-Cookies sind einwilligungsfrei, müssen aber in der Datenschutzerklärung stehen. |
| Technische Umsetzung | Tracking-Skripte dürfen erst nach aktiver Einwilligung geladen werden, Pre-Loading ist nicht rechtskonform. |
| Dokumentationspflicht | Consent-Logs mit Zeitstempel, Einwilligungs-Hash und Banner-Version sind Pflicht gemäß Art. 7 DSGVO. |
| Folgen bei Verstößen | Abmahnungen beginnen bei niedrigen Beträgen; nur 31 % der deutschen Websites erfüllen die DSK-Anforderungen vollständig. |