Der Irrtum vom „Cookie-Gesetz“
Das Banner ist auf vielen kleinen Websites nicht das Ergebnis einer Prüfung, sondern einer Vermutung: „Alle haben eins, also brauche ich auch eins.“ Dahinter steckt die Vorstellung, es gebe ein Gesetz, das Cookies verbietet oder Banner vorschreibt. Beides stimmt nicht. Das Gesetz — in Deutschland § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), der Art. 5 Abs. 3 der europäischen ePrivacy-Richtlinie umsetzt — regelt etwas Konkreteres: den Zugriff auf das Endgerät des Besuchers. Ob dieser Zugriff per Cookie, per Local Storage oder per Fingerprinting erfolgt, ist dem Gesetz gleichgültig; ob er stattfindet, ist die einzige Frage. Und das lässt sich für jede Seite prüfen.
Die Folge dieser Prüfung ist oft überraschend: Eine Handwerker-Website mit Kontaktformular, selbst gehosteten Schriften und einer cookielosen Statistik braucht kein Banner. Ein Blog mit eingebetteten YouTube-Videos braucht eines — oder eine Zwei-Klick-Lösung. Ein Shop braucht keines für den Warenkorb, wohl aber für den Werbe-Pixel. Die Antwort hängt an den Werkzeugen, nicht an der Größe der Seite.
§ 25 TDDDG in einem Absatz
Absatz 1: Wer Informationen in der Endeinrichtung eines Nutzers speichert oder auf dort gespeicherte Informationen zugreift, braucht dafür dessen Einwilligung, und zwar auf der Grundlage klarer und umfassender Informationen; die Einwilligung muss den Anforderungen der DSGVO genügen. Absatz 2 nennt zwei Ausnahmen: Nr. 1 die Speicherung oder der Zugriff, deren alleiniger Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist — für Websites praktisch ohne Bedeutung —, und Nr. 2 die Speicherung oder der Zugriff, die unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Das Gesetz gilt seit dem 1. Dezember 2021 (damals noch als TTDSG) und heißt seit dem 14. Mai 2024 TDDDG; der Inhalt von § 25 ist unverändert.
„Endeinrichtung“ ist das Gerät des Besuchers. „Speichern oder zugreifen“ ist jeder Schreib- oder Lesevorgang darauf. Einwilligung ist die Regel, „unbedingt erforderlich für den gewünschten Dienst“ die Ausnahme. Auf Datenübermittlungen ohne Gerätezugriff — etwa das Laden einer Schrift vom Google-Server — ist § 25 nicht anwendbar; dort greift allein die DSGVO.
Einwilligung oder „unbedingt erforderlich“?
Die Ausnahme in Absatz 2 Nr. 2 hat zwei Bedingungen, die beide erfüllt sein müssen. Erstens muss der Nutzer den Dienst ausdrücklich gewünscht haben — er hat die Seite aufgerufen, ein Produkt in den Warenkorb gelegt, sich eingeloggt oder eine Sprache gewählt. Zweitens muss der Gerätezugriff für genau diesen Dienst unbedingt erforderlich sein, nicht nur nützlich. Die Datenschutzkonferenz (DSK), der Zusammenschluss der deutschen Aufsichtsbehörden, hat das in ihrer Orientierungshilfe für Anbieter von Telemedien (Version 1.1, Dezember 2022) ausbuchstabiert: Ein Warenkorb-Cookie ist erst dann erforderlich, wenn tatsächlich ein Artikel in den Warenkorb gelegt wurde — nicht schon beim Stöbern. Cookies sind in Laufzeit, Inhalt und Reichweite auf das Minimum zu beschränken. Und Reichweitenmessung, also Statistik über die Besucher, ist nie unbedingt erforderlich, weil der Besucher die Seite auch ohne Zählung vollständig nutzen kann.
Ein Sonderfall, der in der Praxis Verwirrung stiftet, ist der Cookie, der die Banner-Entscheidung selbst speichert. Er ist erforderlich — ohne ihn müsste das Banner bei jedem Aufruf erneut erscheinen —, braucht also keine Einwilligung. Dasselbe gilt für den Merker einer gewählten Sprache oder eines Dunkelmodus, solange er nichts darüber hinaus speichert.
Das Prüfschema zum Mitscrollen
Drei Fragen, in dieser Reihenfolge, für jedes einzelne Werkzeug auf Ihrer Seite. Die Netzwerkanalyse des Browsers (F12 → Reiter „Speicher“ oder „Application“) zeigt Ihnen, welche Cookies und Storage-Einträge tatsächlich entstehen.
Die erste Frage ist rein technisch: Schreibt oder liest das Werkzeug etwas auf dem Gerät? Cookies sind der bekannteste Fall, aber Local Storage und das Auslesen von Geräteeigenschaften zählen genauso. Lautet die Antwort „nein“ — etwa bei einem Kontaktformular oder einer Schrift vom eigenen Server —, ist § 25 TDDDG nicht anwendbar. Die DSGVO-Prüfung bleibt, dazu unten mehr.
Jetzt zählt der Zweck aus Sicht des Besuchers. Der Login-Cookie hält die Sitzung, die er selbst begonnen hat; der Warenkorb merkt, was er hineingelegt hat; der Sprach-Cookie speichert seine Wahl. Das ist unbedingt erforderlich. Statistik, Werbung und ein Video, das schon beim Seitenaufruf Kontakt zu YouTube aufnimmt, sind es nicht — der Besucher hat sie nicht gewünscht und käme ohne sie aus.
Bleibt ein „nein“ übrig, haben Sie zwei Wege. Entweder Sie holen eine Einwilligung ein, die den Anforderungen von Art. 4 Nr. 11 und Art. 7 DSGVO genügt — vor dem Laden, freiwillig, informiert, mit gleichwertiger Ablehnung. Oder Sie ersetzen das Werkzeug: cookielose Statistik statt Google Analytics, Zwei-Klick-Platzhalter statt direkter Einbettung. Für kleine Seiten ist der zweite Weg fast immer der einfachere.
Entscheidungstabelle nach Werkzeug
Die Tabelle wendet das Schema auf die Werkzeuge an, die auf kleinen Websites am häufigsten vorkommen. Sie ist eine Einordnung nach dem Gesetzestext und der DSK-Orientierungshilfe, keine Rechtsberatung — und sie gilt nur für die Standardeinstellung des jeweiligen Werkzeugs. Ein umkonfiguriertes Matomo ohne Cookies verhält sich anders als eines mit.
| Werkzeug | Zugriff auf das Gerät? | Unbedingt erforderlich? | Ergebnis |
|---|---|---|---|
| Google Analytics, Meta-Pixel, Werbe-Tags | ja — Cookies, teils Fingerprinting | nein — Reichweitenmessung und Werbung sind nie erforderlich | Einwilligung vor dem Laden; sonst entfernen |
| Cookielose, selbst gehostete Statistik (z. B. Umami, Matomo ohne Cookies) | nein — keine Speicherung, keine Kennung auf dem Gerät | — | kein Banner; Rechtsgrundlage Art. 6 Abs. 1 lit. f, Absatz in der Erklärung |
| YouTube-Video direkt eingebettet | ja — Cookies beim Laden der Seite | nein — der Besucher hat das Video noch nicht angefordert | Einwilligung oder Zwei-Klick-Lösung: Verbindung erst beim Klick |
| Google Maps / Karten direkt eingebettet | ja — Cookies, Skripte vom Anbieter | nein | Einwilligung oder Zwei-Klick; Alternative: statisches Kartenbild, Adresse als Text |
| Warenkorb (Session-Cookie) | ja | ja — sobald ein Artikel hineingelegt wurde (DSK-OH) | keine Einwilligung; Cookie erst bei Interaktion setzen |
| Login / Kundenkonto | ja — Sitzungs-Cookie | ja — der Nutzer hat sich angemeldet | keine Einwilligung; Laufzeit auf die Sitzung begrenzen |
| Sprachwahl, Dunkelmodus | ja — ein Merker | ja — speichert die ausdrückliche Wahl des Besuchers | keine Einwilligung; nichts darüber hinaus speichern |
| Cookie mit der Banner-Entscheidung | ja | ja — sonst müsste das Banner jedes Mal erneut erscheinen | keine Einwilligung |
| Kontaktformular, Newsletter-Anmeldung | nein (ohne Tracking-Zusätze) | — | kein Banner; eigene Rechtsgrundlage nach DSGVO bzw. Double-Opt-in |
| Schriften, Skripte vom eigenen Server | nein | — | kein Banner |
| Google Fonts vom Google-Server | nein — aber IP-Übermittlung an Google | — | kein § 25-Fall, aber DSGVO-Verstoß ohne Rechtsgrundlage (LG München I) → selbst hosten |
Die zweite Prüfung: DSGVO
§ 25 TDDDG regelt nur den Zugriff auf das Gerät. Was danach mit den Daten geschieht — die Übermittlung an einen Anbieter, die Auswertung, die Speicherung —, ist eine Verarbeitung personenbezogener Daten und braucht eine eigene Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die DSK betont, dass beide Prüfungen getrennt zu führen sind. Für eine cookielose Statistik, die die IP-Adresse kürzt und keine Profile bildet, kommt das berechtigte Interesse (lit. f) in Betracht: Sie wollen wissen, welche Seiten gelesen werden, und der Eingriff ist gering. Für Google Analytics reicht das berechtigte Interesse dagegen nicht — hier wird die Einwilligung, die Sie nach § 25 ohnehin brauchen, zugleich zur DSGVO-Rechtsgrundlage (lit. a). Deshalb ist es wichtig, dass das Banner beide Ebenen abdeckt und die Datenschutzerklärung die Verarbeitung beschreibt. Wie das aussieht, steht im Artikel Datenschutzerklärung für kleine Websites.
Wie ein korrektes Banner aussieht
Wenn die Inventur ergibt, dass Sie eine Einwilligung brauchen, muss das Banner sie wirksam einholen. Die Maßstäbe kommen aus Art. 4 Nr. 11 und Art. 7 DSGVO, den Leitlinien 05/2020 des Europäischen Datenschutzausschusses (EDSA) zur Einwilligung, der DSK-Orientierungshilfe Telemedien und dem Bericht der EDSA-Taskforce zu Cookie-Bannern vom 17. Januar 2023, in dem die europäischen Aufsichtsbehörden ihre Praxis abgestimmt haben. Daraus ergeben sich sieben Regeln:
- Vor der Entscheidung lädt nichts. Skripte, Pixel und Cookies der einwilligungspflichtigen Dienste dürfen erst nach dem Klick auf „Akzeptieren“ gesetzt werden. Ein Banner über bereits gesetzten Cookies ist keine Einwilligung, sondern eine Information über einen Verstoß.
- Ablehnen ist gleichwertig — auf derselben Ebene. Die DSK schreibt: Gibt es auf der ersten Ebene eine Schaltfläche für die Einwilligung, muss es dort auch eine entsprechend dargestellte Schaltfläche zum Ablehnen geben. Kostet die Ablehnung mehr Klicks oder Aufmerksamkeit, fehlt es an der Freiwilligkeit. Die EDSA-Taskforce hält ein Banner ohne Ablehnen-Option auf der Ebene mit dem Akzeptieren-Knopf mit großer Mehrheit für einen Verstoß.
- Keine vorangekreuzten Kästchen. Der EuGH hat 2019 (Planet49, C-673/17) entschieden, dass ein voreingestelltes Häkchen keine Einwilligung ist; der BGH hat das 2020 umgesetzt (I ZR 7/16). Auch die Taskforce nennt vorangekreuzte Kästchen auf der zweiten Ebene ausdrücklich als unzulässig.
- Weitersurfen ist keine Einwilligung. Scrollen, Klicken auf Inhalte oder das Schließen des Banners sind laut DSK keine eindeutige bestätigende Handlung — auch nicht, wenn das Banner das behauptet.
- Keine Tricks mit Farbe, Kontrast oder Links. Ein grauer Textlink „weitere Optionen“ neben einem leuchtenden „Alles akzeptieren“ ist das, was die Taskforce als irreführendes Link-Design beschreibt. Farben und Kontraste beurteilt sie im Einzelfall, offensichtlich irreführende Gestaltung ist ein Verstoß. Die einfache Lösung: zwei gleiche Knöpfe.
- Kein „berechtigtes Interesse“ als Hintertür. Manche Banner listen dieselben Werbezwecke ein zweites Mal unter „berechtigtes Interesse“ mit voreingestelltem „ein“. Die Taskforce sieht darin einen Verstoß, wenn für diese Zwecke tatsächlich eine Einwilligung nötig ist.
- Widerruf so einfach wie die Erteilung. Art. 7 Abs. 3 Satz 4 DSGVO. Die DSK verlangt einen Widerruf auf demselben Weg — ein Link im Footer oder ein Symbol, das die Einstellungen wieder öffnet; ein Verweis auf E-Mail oder Brief genügt nicht.
Dazu kommt die Information: Das Banner muss auf der ersten Ebene sagen, worum es geht, wer die Daten bekommt und dass die Einwilligung widerruflich ist; die Einzelheiten je Dienst gehören auf die zweite Ebene und in die Datenschutzerklärung. Ein Banner, das nur „Wir verwenden Cookies“ sagt, informiert nicht.
Warum ein überflüssiges Banner schadet
Das Banner ist keine Versicherung. Wer eines zeigt, obwohl die Seite nichts Einwilligungspflichtiges tut, verliert dreifach. Erstens Besucher: Jede Hürde vor dem Inhalt kostet Aufmerksamkeit, auf dem Handy oft die halbe Bildschirmhöhe. Zweitens Glaubwürdigkeit: Ein Banner, das nach Einwilligung für Cookies fragt, die es nicht gibt, ist eine falsche Information — und ein Banner mit „Ablehnen“, nach dessen Klick trotzdem alles lädt, ist das Gegenteil dessen, was es verspricht. Drittens Prüfsicherheit: Bei einer Beschwerde oder Anfrage der Aufsicht belegt ein unpassendes Banner, dass niemand im Haus weiß, was die Seite tut. Das ist die schlechteste Ausgangslage. Ein sauberer Footer mit dem Link zur Datenschutzerklärung ist rechtlich ausreichend und wirkt professioneller als ein Banner, das nichts zu regeln hat.
Umgekehrt gilt: Wer einwilligungspflichtige Dienste nutzt und kein Banner hat, verstößt gegen § 25 TDDDG und die DSGVO — mit jedem Seitenaufruf. Beides lässt sich nur durch die Inventur unterscheiden. Genau danach fragt der Selbstcheck: Er kombiniert die Frage nach dem Banner mit der Frage nach den eingebundenen Diensten und sagt Ihnen, ob Sie ein Banner zu viel oder zu wenig haben.
Dieser Artikel erklärt § 25 TDDDG und die Gestaltungsanforderungen der Aufsichtsbehörden mit Fundstellen. Er ersetzt keine anwaltliche Prüfung Ihres Einzelfalls — insbesondere nicht bei Shops mit Werbe-Tracking, bei Diensten mit Drittlandübermittlung oder bei einer Anfrage der Aufsichtsbehörde.
Häufige Fragen
Gilt § 25 TDDDG nur für Cookies?
Nein. Die Vorschrift spricht von der Speicherung von Informationen in der Endeinrichtung und dem Zugriff darauf — technikneutral. Erfasst sind Cookies, Local Storage, Session Storage, Pixel, die Geräteinformationen auslesen, und Fingerprinting. Ob ein Verfahren „Cookie“ heißt, spielt keine Rolle.
Brauche ich ein Banner, wenn ich nur einen Cookie für die Sprachwahl setze?
Nein. Ein Cookie, der die vom Besucher ausdrücklich gewählte Sprache merkt, dient dem gewünschten Dienst und ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich. Er gehört in die Datenschutzerklärung, braucht aber keine Einwilligung — vorausgesetzt, er speichert nichts darüber hinaus.
Darf „Alles akzeptieren“ grün und „Ablehnen“ grau sein?
Die Datenschutzkonferenz verlangt, dass Ablehnen auf derselben Ebene mit einer entsprechend dargestellten Schaltfläche möglich ist; die Einwilligung ist unwirksam, wenn die Ablehnung mehr Aufwand oder Aufmerksamkeit kostet. Die Taskforce des Europäischen Datenschutzausschusses sieht in offensichtlich irreführenden Farben und Kontrasten einen Verstoß, will darüber aber im Einzelfall entscheiden. Auf der sicheren Seite sind Sie mit zwei gleich gestalteten Schaltflächen.
Ist Weitersurfen oder Scrollen eine Einwilligung?
Nein. Die DSK-Orientierungshilfe Telemedien stellt klar, dass Scrollen, Weitersurfen oder das Anklicken von Inhalten keine eindeutige bestätigende Handlung im Sinne von Art. 4 Nr. 11 DSGVO sind — auch dann nicht, wenn ein Banner darüber informiert. Vorangekreuzte Kästchen sind ebenfalls unwirksam (EuGH, 01.10.2019, C-673/17).
Ich habe ein Banner, aber gar keine einwilligungspflichtigen Dienste. Soll ich es entfernen?
Ja, wenn die Inventur das bestätigt. Ein Banner, das nach Einwilligung für Dinge fragt, die es nicht gibt, kostet Besucher, wirkt unglaubwürdig und zeigt bei einer Prüfung, dass niemand weiß, was die Seite tut. Ein Link zur Datenschutzerklärung im Footer genügt dann.
Wie oft darf ich erneut nach der Einwilligung fragen?
Eine einmal getroffene Entscheidung — auch die Ablehnung — muss respektiert werden; das Banner dafür beim nächsten Aufruf erneut zu zeigen, wäre Nudging. Den Merker für die Entscheidung dürfen Sie ohne Einwilligung speichern, er ist unbedingt erforderlich. Eine feste Frist nennt das Gesetz nicht; üblich sind mehrere Monate bis ein Jahr, bei geänderten Diensten früher.
- § 25 TDDDG — Schutz der Privatsphäre bei Endeinrichtungen — gesetze-im-internet.de
- Art. 4 Nr. 11 DSGVO — Begriff der Einwilligung · Art. 6 — Rechtmäßigkeit · Art. 7 — Bedingungen für die Einwilligung, Abs. 3 Widerruf — dejure.org
- Datenschutzkonferenz (DSK): Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien ab dem 1. Dezember 2021, Version 1.1, Stand Dezember 2022 (PDF) — gleichwertige Ablehnen-Schaltfläche auf der ersten Ebene, keine voreingestellten Auswahlen, Weitersurfen keine Einwilligung, Widerruf so einfach wie Erteilung, Warenkorb-Cookie erst bei Interaktion, Reichweitenmessung nicht unbedingt erforderlich
- Europäischer Datenschutzausschuss (EDPB/EDSA): Report of the work undertaken by the Cookie Banner Taskforce, angenommen am 17.01.2023 (PDF) — Abschnitte 3 (kein Ablehnen auf der ersten Ebene), 4 (vorangekreuzte Kästchen), 5 (Link-Design), 6 (Farben und Kontrast), 7 (berechtigtes Interesse), 9 (Widerruf)
- EDSA: Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, Version 1.1 (04.05.2020)
- EuGH, Urteil vom 01.10.2019, C-673/17 (Planet49: voreingestelltes Ankreuzkästchen ist keine Einwilligung) — dejure.org
- BGH, Urteil vom 28.05.2020, I ZR 7/16 (Cookie-Einwilligung II) — dejure.org
- BGH, Urteil vom 18.11.2024, VI ZR 10/24 (Kontrollverlust als Schaden, Größenordnung 100 €) — dejure.org
- LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20 (Google Fonts) — dejure.org
- LDI NRW: 31. Tätigkeitsbericht für 2025, übergeben am 17.04.2026 (12.592 Beschwerden)