Braucht jede Website einen Cookie-Banner? Nein. Eine Pflicht zur Einwilligung besteht nur, wenn deine Website Informationen auf dem Gerät der Besucher speichert oder ausliest, die für den Betrieb nicht unbedingt erforderlich sind, etwa für Statistik, Werbung oder eingebettete Dienste. Wer nur technisch notwendige Cookies nutzt, kommt ohne Banner aus. Hier erfährst du, was das Gesetz verlangt, wann du einen Cookie-Banner brauchst, wie ein rechtssicherer Banner aussieht und wie du deine Website so gestaltest, dass du vielleicht ganz darauf verzichten kannst.
Hinweis: Dieser Ratgeber gibt einen Überblick und ersetzt keine Rechtsberatung. Für die Bewertung deiner konkreten Website und deiner Datenschutzerklärung wende dich im Zweifel an eine Anwältin, einen Anwalt oder eine Datenschutzberatung.
Was das Gesetz verlangt
Die zentrale Vorschrift ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG, früher TTDSG. Sie gilt nicht nur für Cookies, sondern für jede Speicherung von Informationen auf dem Gerät der Besucher und jeden Zugriff darauf, also auch für ähnliche Techniken wie lokalen Speicher im Browser.
- Grundsatz: Speichern oder Auslesen ist nur zulässig, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Information und Einwilligung richten sich nach der DSGVO.
- Ausnahme: Keine Einwilligung ist nötig, wenn das Speichern oder Auslesen unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann.
Zusätzlich gilt die DSGVO für alle personenbezogenen Daten, die dabei verarbeitet werden, etwa IP-Adressen, die beim Laden externer Dienste an Dritte übertragen werden.
Wann brauchst du einen Cookie-Banner?
Typische Fälle im Überblick
| Einsatz | Einwilligung nötig? |
|---|---|
| Warenkorb, Login, Sitzungs-Cookies | In der Regel nein, weil unbedingt erforderlich |
| Speichern der Cookie-Auswahl selbst | In der Regel nein |
| Besucherstatistik wie Google Analytics | Ja |
| Marketing- und Werbe-Tracking, Pixel von Social-Media-Plattformen | Ja |
| Google Tag Manager, der weitere Dienste lädt | In der Regel ja |
| Eingebettete Videos und Karten von externen Anbietern | In der Regel ja, oder Zwei-Klick-Lösung |
| Schriften, die von externen Servern geladen werden | Problematisch, besser lokal einbinden |
Die Einordnung im Einzelfall hängt davon ab, wie ein Dienst technisch eingebunden ist. Ein Dienst, der beim Seitenaufruf bereits Daten an Dritte überträgt, braucht eine vorherige Einwilligung. Wird er erst nach einem Klick geladen, etwa mit einer Vorschau und dem Hinweis „Video laden“, ist die Einwilligung in diesen Klick integriert.
Website ohne Cookie-Banner: Geht das?
Ja, und für viele kleine Unternehmen ist das die beste Lösung. Ein Banner, der beim ersten Besuch die Hälfte des Bildschirms verdeckt, kostet Aufmerksamkeit, und viele Besucher lehnen ohnehin ab. Ohne Banner kommst du aus, wenn deine Website:
- nur technisch notwendige Cookies setzt,
- keine Besucherstatistik mit Cookies oder Geräteerkennung nutzt,
- keine Werbe- oder Social-Media-Pixel einbindet,
- Schriften und Skripte vom eigenen Server ausliefert,
- externe Videos und Karten erst nach einem Klick lädt.
Die Datenschutzerklärung brauchst du trotzdem. Sie muss alle Datenverarbeitungen beschreiben, auch die technisch notwendigen.
Anforderungen an einen rechtssicheren Cookie-Banner
Brauchst du einen Banner, sollte er diese Punkte erfüllen:
- Gleichwertige Ablehnung: Das Verwaltungsgericht Hannover hat am 19. März 2025 entschieden (Az. 10 A 5385/22), dass auf der ersten Ebene eine gut sichtbare „Alles ablehnen“-Schaltfläche vorhanden sein muss, wenn es eine „Alle akzeptieren“-Schaltfläche gibt. Banner dürfen Nutzer nicht gezielt zur Einwilligung lenken.
- Erst fragen, dann laden: Dienste, die eine Einwilligung brauchen, dürfen erst nach der Zustimmung geladen werden, nicht schon beim Seitenaufruf.
- Klare Informationen: Welche Dienste werden genutzt, wofür und wer steckt dahinter? Die Informationen müssen verständlich und vollständig sein.
- Keine Vorauswahl: Optionen für Statistik und Marketing dürfen nicht schon vorab aktiviert sein.
- Einfacher Widerruf: Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung. Üblich ist ein dauerhaft erreichbarer Link oder Button, um die Auswahl zu ändern.
- Kein Blockieren der Seite: Die Website sollte auch ohne Zustimmung nutzbar sein.
Was droht bei Verstößen?
Wer entgegen § 25 Absatz 1 TDDDG Informationen auf dem Gerät speichert oder ausliest, handelt ordnungswidrig. Laut § 28 TDDDG kann das mit einer Geldbuße bis zu 300.000 Euro geahndet werden. Dazu kommen mögliche Bußgelder nach der DSGVO, Anordnungen der Datenschutzbehörden, wie im Fall des Verwaltungsgerichts Hannover, und das Risiko von Abmahnungen.
Cookie-Banner und Ladezeit
Ein Banner ist nicht nur ein rechtliches, sondern auch ein technisches Thema. Viele Einwilligungs-Tools laden umfangreiches JavaScript, bevor die Seite reagieren kann, und schieben den Inhalt beim Erscheinen nach unten. Beides verschlechtert die Core Web Vitals. Ein schlankes, selbst gehostetes Banner, das als Überlagerung erscheint, belastet die Seite deutlich weniger. Der beste Weg zu einer schnellen Seite ist aber, gar nicht erst mehr Dienste einzubinden als nötig.
Checkliste: Cookie-Banner und Einwilligung
- Alle eingesetzten Dienste, Cookies und externen Einbindungen auflisten
- Prüfen, welche davon wirklich nötig sind, und Überflüssiges entfernen
- Schriften und Skripte möglichst vom eigenen Server laden
- Videos und Karten erst nach Klick laden
- Falls nötig: Banner mit gleichwertiger „Alles ablehnen“-Schaltfläche auf der ersten Ebene
- Dienste erst nach Einwilligung laden und Vorauswahl vermeiden
- Dauerhaften Link zum Ändern der Auswahl einbauen
- Datenschutzerklärung an alle eingesetzten Dienste anpassen
Häufige Fehler
- Tracking läuft schon vor der Zustimmung: Statistik- oder Marketing-Skripte werden sofort geladen, der Banner ist nur Dekoration.
- Ablehnen versteckt: „Alle akzeptieren“ groß und farbig, Ablehnen nur über „Einstellungen“ auf einer zweiten Ebene.
- Banner ohne Anlass: Ein Banner auf einer Website, die gar keine einwilligungspflichtigen Dienste nutzt, nervt nur und verunsichert.
- Externe Schriften vergessen: Schriften, die von fremden Servern geladen werden, übertragen bei jedem Aufruf Daten an Dritte.
- Kein Widerruf möglich: Die Auswahl lässt sich nachträglich nicht ändern.
Fazit: Erst aufräumen, dann entscheiden
- Ein Cookie-Banner ist nur nötig, wenn deine Website mehr als das unbedingt Erforderliche speichert oder lädt.
- Grundlage ist § 25 TDDDG, für personenbezogene Daten zusätzlich die DSGVO.
- Wenn ein Banner nötig ist: „Alles ablehnen“ gleichwertig auf der ersten Ebene, erst fragen, dann laden, einfacher Widerruf.
- Verstöße gegen § 25 TDDDG können bis zu 300.000 Euro kosten.
Mein Rat: Schau dir an, welche Dienste deine Website wirklich braucht. Oft lässt sich so viel streichen, dass der Banner überflüssig wird, und die Seite ist danach schneller und einfacher zu pflegen.
