Ein Cookie-Banner ist nicht für jede Website vorgeschrieben. Eine Einwilligungslösung – häufig in Form eines Banners – wird benötigt, bevor eine Website Informationen auf dem Endgerät speichert oder daraus ausliest, sofern keine Ausnahme nach § 25 Abs. 2 TDDDG greift. Für einwilligungspflichtige Statistik-, Marketing- oder Einbettungsdienste gilt deshalb: erst wirksam einwilligen lassen, dann technisch aktivieren. Die Gestaltung muss eine freiwillige, informierte und eindeutige Entscheidung ermöglichen; weder ein Banner noch ein bestimmtes Layout ist als Form ausdrücklich vorgeschrieben.
Kerntatsachen
- Aktuelle Norm: Seit dem 14. Mai 2024 lautet die Kurzbezeichnung TDDDG; die frühere Kurzbezeichnung ist überholt.
- Technikneutral: § 25 TDDDG erfasst Cookies, Local Storage sowie SDK-, Pixel- und vergleichbare Vorgänge, soweit sie Informationen in einer Endeinrichtung speichern oder auf dort gespeicherte Informationen zugreifen.
- Zwei Ausnahmen: Ohne Einwilligung geht es nur bei reiner Nachrichtenübertragung oder wenn der Zugriff für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich ist.
- Zwei Prüfungen: § 25 TDDDG regelt den Endgerätezugriff; die anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich eine DSGVO-Rechtsgrundlage.
- Keine Vorabaktivierung: Einwilligungspflichtige Dienste dürfen nicht bereits beim Seitenaufruf laden.
- Ablehnen muss real sein: Wer eine Entscheidung erzwingt, darf die Ablehnung nicht hinter zusätzlichen Klicks oder manipulativer Gestaltung verstecken.
- Widerruf bleibt möglich: Die Einwilligung muss nachweisbar und so einfach widerrufbar sein, wie sie erteilt wurde.
Wann ist ein Cookie-Banner erforderlich?
Prüfen Sie nicht, ob eine Technologie „Cookie“ heißt, sondern was sie auf dem Endgerät tut. § 25 TDDDG schützt dort gespeicherte Informationen unabhängig davon, ob diese einen Personenbezug haben. Deshalb kann die Vorschrift auch bei rein technischen Kennungen greifen.
Ein Banner ist nur dann nötig, wenn Sie eine Einwilligung einholen müssen. Nutzt eine Website ausschließlich Zugriffe, die unter eine Ausnahme fallen, kann sie ohne Consent-Banner auskommen. Eine Datenschutzerklärung kann trotzdem erforderlich sein.
| Einsatz | Typische Einordnung nach § 25 TDDDG |
|---|---|
| Session, Login, Warenkorb oder Sicherheitsfunktion | kann unbedingt erforderlich sein, wenn die Funktion vom Nutzer ausdrücklich angefordert wurde |
| Vom Nutzer gewählte Sprache oder Darstellung | kann für die konkret gewünschte Einstellung erforderlich sein; Zweck und Reichweite prüfen |
| Reichweitenmessung und Produktanalyse | regelmäßig nicht für die Bereitstellung des angeforderten Dienstes unbedingt erforderlich |
| Werbe-, Retargeting- oder Profiling-Technik | regelmäßig einwilligungspflichtig |
| Karten, Videos, Social-Media- oder andere Drittanbieter-Embeds | abhängig vom tatsächlichen Endgerätezugriff; häufig erst nach Einwilligung laden |
| Rein serverseitige Verarbeitung ohne Speicherung oder Auslesen am Endgerät | § 25 kann entfallen; die DSGVO-Prüfung bleibt bestehen |
Produktnamen oder Kategorien entscheiden die Rechtsfrage nicht. Auch ein als „funktional“ bezeichnetes Tool kann einwilligungspflichtig sein. Umgekehrt wird eine notwendige Sicherheitsfunktion nicht allein deshalb einwilligungspflichtig, weil sie ein Cookie nutzt.
TDDDG und DSGVO getrennt prüfen
Eine belastbare Bewertung hat zwei Stufen:
- Endgerätezugriff: Ist die Speicherung oder das Auslesen nach § 25 TDDDG erlaubt? Entweder liegt eine wirksame Einwilligung vor oder eine der beiden Ausnahmen greift.
- Datenverarbeitung: Werden dabei personenbezogene Daten verarbeitet, braucht jeder anschließende Zweck eine Rechtsgrundlage nach Art. 6 DSGVO; bei besonderen Daten können weitere Anforderungen hinzukommen.
Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO ersetzt keine Einwilligung, die bereits für den Endgerätezugriff erforderlich ist. Ebenso macht die Einwilligung in den Zugriff nicht automatisch jede spätere Nutzung der Daten rechtmäßig.
Wann ist der Zugriff „unbedingt erforderlich“?
„Hilfreich“, „branchenüblich“ oder „wirtschaftlich erwünscht“ reicht nicht. Maßgeblich ist, ob der ausdrücklich vom Nutzer gewünschte Dienst ohne den konkreten Zugriff technisch nicht wie angefordert bereitgestellt werden kann.
Dokumentieren Sie je Technologie:
- den vom Nutzer angeforderten Dienst oder die Übertragungsfunktion;
- den konkreten Speicher- oder Zugriffsvorgang;
- warum der Zweck ohne diesen Vorgang nicht erreichbar ist;
- welche weniger eingriffsintensive Alternative geprüft wurde;
- welche nachfolgende Verarbeitung stattfindet und worauf sie gestützt wird.
Eine pauschale Liste „notwendiger Cookies“ genügt nicht. Ändert sich die Konfiguration oder der Zweck, ist die Bewertung erneut vorzunehmen.
Was eine wirksame Einwilligung verlangt
Die Einwilligung richtet sich nach den Anforderungen der DSGVO. Sie muss freiwillig, für bestimmte Zwecke, informiert und durch eine eindeutige bestätigende Handlung erteilt werden.
Praktisch bedeutet das:
- keine vorausgewählten Statistik- oder Marketingoptionen;
- kein Einverständnis allein durch Scrollen, Weiternutzen oder Schweigen;
- verständliche Zwecke statt Sammelbegriffen wie „Optimierung“;
- getrennte Auswahl, wenn Zwecke oder Beteiligte eigenständige Entscheidungen erfordern;
- Informationen, die eine reale Entscheidung vor der Aktivierung ermöglichen;
- Nachweis, welche Auswahl für welche Banner- und Anbieter-Version getroffen wurde;
- jederzeit erreichbare Möglichkeit, die Auswahl zu ändern oder zu widerrufen.
Die Nachweispflicht rechtfertigt nicht, vorsorglich mehr Nutzerdaten zu speichern. Ein Consent-Protokoll sollte nur die Angaben enthalten, die für den Nachweis und die technische Steuerung erforderlich sind.
Muss „Alle ablehnen“ auf die erste Ebene?
Eine starre gesetzliche Vorgabe zu Text, Farbe oder Position einzelner Buttons gibt es nicht. Entscheidend ist, ob die gesamte Oberfläche eine freie und eindeutige Entscheidung zulässt.
Die DSK unterscheidet dabei nach dem Nutzungskonzept:
- Das Banner blockiert Inhalte oder verlangt eine Entscheidung: Dann muss die Ablehnung ohne größeren Interaktionsaufwand erreichbar sein als die Zustimmung. „Alle akzeptieren“ auf Ebene eins und „Ablehnen“ erst nach mehreren Schritten spricht gegen eine freiwillige Einwilligung.
- Die Seite bleibt ohne Entscheidung nutzbar: Dann folgt aus der Orientierungshilfe nicht ausnahmslos, dass bereits auf der ersten Ebene ein Ablehnbutton stehen muss. Nichtstun darf aber nicht als Zustimmung gewertet werden, und einwilligungspflichtige Dienste bleiben deaktiviert.
- Die Einwilligung wird erst in Einstellungen angeboten: Wo auf Ebene eins noch keine Zustimmung möglich ist, kann dort auch keine spiegelbildliche Ablehnung erforderlich sein. Die spätere Auswahl muss dennoch fair gestaltet sein.
„Gleichwertig“ bedeutet nicht zwingend identische Gestaltung. Größe, Kontrast, Beschriftung, Reihenfolge und Klickwege dürfen in ihrer Gesamtheit jedoch nicht dazu drängen, ungewollt zuzustimmen. Ein Schließen-Symbol ist nur brauchbar, wenn seine Folge klar ist; es ersetzt keine verständliche Auswahl durch Mehrdeutigkeit.
Welche Informationen gehören ins Banner?
Die erste Ebene sollte die Entscheidung ermöglichen, ohne sie mit einer vollständigen Datenschutzerklärung zu überladen. Sie sollte insbesondere erkennen lassen:
- welche wesentlichen Zwecke zur Wahl stehen;
- dass und gegebenenfalls welche Dritten beteiligt sind;
- dass die Einwilligung freiwillig und widerrufbar ist;
- wie Einstellungen geöffnet und später geändert werden können;
- wo weiterführende Informationen zu Technologien, Empfängern, Speicherdauer und Datenübermittlungen stehen.
Die zweite Ebene sollte Zwecke und Anbieter so aufschlüsseln, dass eine spezifische Auswahl möglich ist. Notwendige Vorgänge dürfen als nicht abwählbar dargestellt werden, benötigen aber eine nachvollziehbare Erklärung.
Technische Umsetzung: erst blockieren, dann laden
Ein optisch gutes Banner hilft nicht, wenn Tags bereits vorher Daten übertragen. Prüfen Sie die Umsetzung mit einem frischen Browserprofil und ohne vorhandene Consent-Cookies.
Vor dem Einwilligungssignal
- Nur als notwendig bewertete Ressourcen werden geladen.
- Statistik-, Marketing- und einwilligungspflichtige Embed-Skripte bleiben gesperrt.
- Tags lösen nicht über andere Container, Plugins oder Subdomains verdeckt aus.
- Die Standardauswahl steht auf „nicht erteilt“.
Nach Zustimmung oder Ablehnung
- Nur die ausgewählten Zwecke werden aktiviert.
- Eine Ablehnung lässt alle einwilligungspflichtigen Kategorien deaktiviert.
- Eine spätere Änderung stoppt die betroffenen künftigen Zugriffe.
- Banner-Version, Auswahl und Zeitpunkt werden in datensparsamer Form nachweisbar gehalten.
Nach einem Widerruf
Der Widerruf wirkt für die Zukunft. Bereits übermittelte Daten verschwinden dadurch nicht automatisch. Das Unternehmen muss zusätzlich prüfen, welche Lösch-, Unterlassungs- oder Informationsprozesse bei den beteiligten Systemen auszulösen sind.
Consent-Management-Plattformen richtig einsetzen
Eine CMP kann Signale speichern, Tags steuern und Auswahloberflächen bereitstellen. Sie nimmt dem Verantwortlichen aber weder die Zweckprüfung noch die Konfiguration ab. Aussagen wie „DSGVO-konform per Tool“ sind ohne Prüfung des konkreten Setups nicht belastbar.
Bei Auswahl und Betrieb zählen vor allem:
- zuverlässiges Blocking vor der Entscheidung;
- Abbildung der tatsächlichen Anbieter und Zwecke;
- Versionierung und datensparsamer Einwilligungsnachweis;
- leicht erreichbarer Widerruf;
- Verhalten bei neuen Tags, App-Versionen und eingebetteten Inhalten;
- regelmäßige technische Kontrolle statt alleiniger Scanner-Ergebnisse.
Auch ein „Consent Mode“ oder serverseitiges Tagging heilt keine fehlende Einwilligung. Entscheidend bleibt, welche Informationen tatsächlich gespeichert, ausgelesen und weiterverarbeitet werden.
Prüfablauf für bestehende Websites
- Inventarisieren: Browser-Speicher, Netzwerkaufrufe, Tags, SDKs, Plugins und Embeds erfassen.
- Zwecke zuordnen: Für jeden Vorgang Endgerätezugriff und anschließende Datenverarbeitung getrennt beschreiben.
- Ausnahmen begründen: Notwendigkeit nicht nur behaupten, sondern am ausdrücklich gewünschten Dienst prüfen.
- Banner bewerten: Information, Auswahl, Klickwege, Kontrast, Voreinstellungen und Widerruf testen.
- Blocking testen: Erstaufruf, Ablehnung, Teilzustimmung, Widerruf und erneuter Besuch technisch nachvollziehen.
- Dokumentation abgleichen: Datenschutzhinweise, Consent-Konfiguration und reale Datenflüsse müssen übereinstimmen.
- Änderungen überwachen: Neue Releases, Kampagnen, Plugins und Anbieter erneut prüfen.
Häufige Fehler
- Die frühere Gesetzesbezeichnung wird verwendet, obwohl die Norm heute TDDDG heißt.
- Alle Cookies werden pauschal als notwendig oder pauschal als einwilligungspflichtig behandelt.
- Ein berechtigtes Interesse wird als Ersatz für § 25 TDDDG eingesetzt.
- Das Banner erscheint erst, nachdem Tracking-Skripte bereits geladen wurden.
- „Alle akzeptieren“ ist sofort verfügbar, eine Ablehnung aber nur über mehrere Ebenen.
- Zwecke sind so abstrakt beschrieben, dass keine informierte Auswahl möglich ist.
- Die Oberfläche bietet Granularität, die technische Tag-Steuerung setzt sie aber nicht um.
- Ein Widerrufslink fehlt oder öffnet nicht die aktuelle Auswahl.
- Scanner-Berichte ersetzen die manuelle Prüfung realer Requests und Auslöser.
FAQ
Braucht jede Website einen Cookie-Banner?
Nein. Wenn ausschließlich nach § 25 Abs. 2 TDDDG erlaubte Vorgänge stattfinden, ist kein Einwilligungsbanner nötig. Die Prüfung und andere DSGVO-Pflichten bleiben bestehen.
Sind Analyse-Cookies immer einwilligungspflichtig?
Nicht der Kategoriename entscheidet. Bei typischer Reichweiten- oder Nutzungsanalyse ist der Zugriff jedoch regelmäßig nicht für den ausdrücklich gewünschten Dienst unbedingt erforderlich und benötigt daher eine Einwilligung.
Können wir „Alle ablehnen“ auf die zweite Ebene legen?
Wenn das Banner die Nutzung blockiert oder eine Entscheidung erzwingt, ist ein zusätzlicher Klickweg gegenüber „Alle akzeptieren“ regelmäßig nicht mit einer freien Wahl vereinbar. Bleibt die Seite ohne Entscheidung nutzbar, ist die Bewertung differenzierter; Schweigen darf nie als Zustimmung gelten.
Reicht ein Link zur Datenschutzerklärung?
Nein. Wesentliche Entscheidungsinformationen müssen vor der Einwilligung verständlich erreichbar sein. Die Datenschutzerklärung kann Details ergänzen, aber keine inhaltsleere erste Ebene reparieren.
Ist ein CMP-Zertifikat ein Konformitätsnachweis?
Nein. Die Rechtmäßigkeit hängt von Zwecken, Datenflüssen, Texten, Auswahlwegen und technischer Konfiguration der konkreten Website ab.
Passende Unterstützung
Wir prüfen Banner, Tags und reale Datenflüsse im Rahmen unserer Datenschutz-Beratung. Das Ergebnis ist eine priorisierte Maßnahmenliste für Rechtsbewertung, UX, technische Sperren, Widerruf und Dokumentation.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
- § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
- TDDDG – vollständiger aktueller Gesetzestext
- DSGVO, insbesondere Art. 4 Nr. 11, Art. 6 und Art. 7 (EUR-Lex)
- DSK-Orientierungshilfe „Digitale Dienste“, Version 1.2, November 2024
- EDPB-Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 ePrivacy-Richtlinie
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.