Cookie-Banner Pflicht: Wann du einen brauchst und wann nicht

Eine Cookie-Banner-Pflicht steht in keinem Gesetz, Pflicht ist die Einwilligung: Nach § 25 TDDDG musst du Besucher fragen, bevor deine Website Informationen auf ihrem Gerät speichert oder dort ausliest, sofern das nicht unbedingt erforderlich ist, um den gewünschten Dienst bereitzustellen. Der Cookie-Banner ist das übliche Werkzeug, um diese Einwilligung einzuholen. Nutzt deine Seite nur technisch notwendige Cookies und lädt keine fremden Dienste, brauchst du in der Regel keinen. Sobald Analyse, Werbe-Pixel oder eingebettete Inhalte dazukommen, meist schon. Dieser Artikel ist keine Rechtsberatung.

Was regelt § 25 TDDDG genau?

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, hieß bis Mai 2024 TTDSG. Sein § 25 schützt das Endgerät der Nutzer, also Handy, Tablet oder Computer. Der Grundsatz: Wer Informationen auf dem Gerät speichert oder auf dort gespeicherte Informationen zugreift, braucht dafür eine Einwilligung. Das betrifft Cookies, gilt aber genauso für den lokalen Speicher des Browsers, für Kennungen, die per Skript gelesen werden, und für ähnliche Techniken.

§ 25 TDDDG kennt zwei Ausnahmen. Keine Einwilligung ist nötig, wenn der Zugriff allein der Übertragung einer Nachricht dient, oder wenn er unbedingt erforderlich ist, damit ein Dienst bereitgestellt werden kann, den der Nutzer ausdrücklich gewünscht hat. Der Warenkorb im Onlineshop, die Anmeldung im Kundenkonto oder die gespeicherte Auswahl im Cookie-Banner selbst fallen typischerweise darunter. Reichweitenmessung, Werbung und Wiedererkennung über mehrere Besuche hinweg fallen typischerweise nicht darunter.

Neben dem TDDDG gilt die Datenschutz-Grundverordnung (DSGVO). Sie regelt die Verarbeitung personenbezogener Daten, zum Beispiel der IP-Adresse. § 25 TDDDG und DSGVO greifen oft gleichzeitig, sind aber zwei getrennte Prüfungen: Das eine schützt das Gerät, das andere die Daten.

Wann ist ein Cookie-Banner Pflicht? Diese Dienste lösen sie aus

Ob ein Cookie-Banner Pflicht ist, entscheidet sich in der Praxis an den Diensten, die auf deiner Seite laufen. Die folgenden Werkzeuge speichern oder lesen Informationen auf dem Gerät oder übertragen Daten an Dritte, ohne dass das für den Betrieb der Seite unbedingt erforderlich wäre:

• Webanalyse wie Google Analytics 4 und viele andere Messwerkzeuge, die Besucher wiedererkennen
• Werbe-Pixel und Conversion-Tags von Google Ads, Meta, LinkedIn, TikTok, Microsoft Ads oder Pinterest
• Heatmaps und Sitzungsaufzeichnungen
• Eingebettete Videos von YouTube oder Vimeo im normalen Einbettungsmodus
• Karten von Google Maps und ähnliche eingebettete Dienste
• Chat-Widgets und Bewertungs-Widgets, die eigene Cookies setzen

Sobald einer dieser Dienste ohne Zustimmung lädt, fehlt die nötige Einwilligung. Ein Cookie-Banner, der zwar angezeigt wird, die Tags aber trotzdem sofort lädt, löst das Problem nicht. Der Banner muss die Dienste wirklich zurückhalten, bis jemand zustimmt.

Passend dazu: Server-Side Tracking und DSGVO: was gilt?

Wann ist kein Cookie-Banner notwendig?

Eine Website kann ohne Einwilligungsabfrage auskommen, wenn sie nur das speichert und ausliest, was für ihre Funktion unbedingt erforderlich ist, und keine fremden Inhalte lädt. Das ist häufiger möglich, als viele denken, gerade bei kleinen Firmenseiten. Eine einfache Visitenkarten-Seite mit Impressum, Datenschutzerklärung und einem Kontaktformular, das auf dem eigenen Server läuft, braucht oft keinen Banner.

Auch Webanalyse ist nicht automatisch ein Grund für einen Banner. Einige Werkzeuge lassen sich so betreiben, dass sie nichts auf dem Gerät speichern und keine Wiedererkennung über Besuche hinweg nutzen. Matomo zum Beispiel bietet einen Betrieb ohne Cookies. Ob eine solche Einstellung für deinen Fall ohne Einwilligung auskommt, solltest du mit deinem Datenschutzbeauftragten oder einer Kanzlei klären. Wichtig ist auch: Wer Google Ads oder Meta mit Conversion-Tracking nutzt, kommt um eine Einwilligung praktisch nicht herum.

Sonderfälle: Videos, Karten und Schriften

Eingebettete Videos, Karten und Schriften sind die häufigsten Sonderfälle, denn viele Seitenbetreiber denken bei Cookies nur an Tracking. Häufig übersehen werden eingebettete Inhalte von fremden Servern. Ein eingebettetes YouTube-Video lädt schon beim Seitenaufruf Inhalte von Google, und je nach Modus werden dabei auch Informationen auf dem Gerät gespeichert. Der erweiterte Datenschutzmodus von YouTube reduziert das, beseitigt es aber nicht vollständig. Eine verbreitete Lösung ist ein Vorschaubild mit Hinweis: Erst nach einem Klick wird das Video geladen.

Bei Google Maps ist es ähnlich wie bei YouTube. Eine eingebettete Karte überträgt beim Laden Daten an Google. Statt der Live-Karte kann ein statisches Kartenbild mit einem Link zur Route genügen, oder die Karte lädt erst nach Zustimmung.

Schriften wie Google Fonts sind ein Sonderfall, weil sie meist keine Cookies setzen. Werden sie aber von fremden Servern geladen, etwa direkt von Google, überträgt der Browser die IP-Adresse an diesen Anbieter. Das ist eine Frage der DSGVO, nicht des § 25 TDDDG. Die einfache Lösung: Schriften herunterladen und vom eigenen Server ausliefern. Dann braucht es dafür weder Banner noch Einwilligung.

Passend dazu: Tracking in der Datenschutzerklärung: was gehört hinein

Wie prüfst du, ob deine Website einen Banner braucht?

Ob deine Website einen Banner braucht, findest du mit wenigen Handgriffen im Browser heraus. Ein Beispiel aus der Praxis: Ein B2B-Dienstleister hat eine schlanke Website mit Kontaktformular und glaubt, er brauche keinen Banner. Bei der Prüfung zeigt sich, dass das Theme Schriften von Google lädt, auf der Kontaktseite eine Google-Maps-Karte eingebettet ist und ein früherer Mitarbeiter den Meta-Pixel für eine Testkampagne eingebaut hat. Drei Fundstellen, von denen niemand mehr wusste. So gehst du selbst vor:

• Seite in einem privaten Browserfenster öffnen, damit keine alten Cookies stören
• In den Entwicklertools unter Anwendung oder Speicher nachsehen, welche Cookies und Einträge im lokalen Speicher ohne jede Zustimmung entstehen
• Im Netzwerk-Tab prüfen, welche fremden Server beim ersten Laden angefragt werden
• Unterseiten mit Videos, Karten, Formularen und Shop einzeln durchgehen
• Wenn es einen Banner gibt: einmal ablehnen und prüfen, ob danach noch Tags oder Pixel laden

Findest du nur Cookies deines eigenen Shops oder Logins und keine fremden Server, bist du nah an einer Seite ohne Banner. Findest du Analyse, Pixel oder fremde Inhalte, brauchst du entweder eine Einwilligung oder musst diese Dienste entfernen oder umbauen.

Worauf kommt es an, wenn ein Banner nötig ist?

Ist ein Cookie-Banner nötig, muss er die Wahl wirklich offenlassen. Ablehnen sollte nach Auffassung der Datenschutzbehörden so einfach sein wie Zustimmen, vorab angehakte Kästchen sind keine wirksame Einwilligung, und ohne Zustimmung dürfen die betroffenen Tags nicht laden. Für Google-Dienste muss der Banner seine Entscheidung zusätzlich an Google Consent Mode v2 melden, das verlangt Google für Besucher aus dem Europäischen Wirtschaftsraum. Außerdem musst du nach Art. 7 DSGVO nachweisen können, dass eine Einwilligung erteilt wurde.

Ein reiner Cookie-Hinweis ist für eine Einwilligung nicht geeignet. Gemeint ist die schmale Leiste mit dem Satz, dass die Seite Cookies verwendet, und einem einzigen OK-Knopf. Eine Pflicht für einen solchen Hinweis gibt es nicht, und als Einwilligung taugt er nicht, weil er keine echte Wahl lässt. Wenn deine Seite nur notwendige Cookies setzt, genügt die Information in der Datenschutzerklärung. Wenn sie mehr setzt, brauchst du eine echte Abfrage mit Zustimmen und Ablehnen. Der Hinweis dazwischen hilft in keinem der beiden Fälle.

Der Cookie-Banner von Trackum ist eine einzelne Datei mit 6,6 KB, lädt nichts nach, spricht Deutsch und Englisch, unterstützt Consent Mode v2 und zeigt Alle ablehnen gleichwertig auf der ersten Ebene. Einwilligungsnachweise werden in der EU ohne IP-Adresse gespeichert. In einer Messung auf einer leeren Testseite, am Handy mit Slow 4G, Median aus 7 Läufen, war er nach 0,4 Sekunden sichtbar, bekannte Banner-Anbieter nach 1,3 bis 4,3 Sekunden. Er kostet 50 € einmalig plus 4,90 € im Monat und ist im Trackum-Abo für 19 € im Monat enthalten, das deine Seite außerdem jede Woche automatisch testet.