Kaum ein Element wird auf Webseiten so oft falsch umgesetzt wie der Cookie-Banner. Dabei sind die Regeln inzwischen klar: Sie ergeben sich aus dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), das seit Mai 2024 das frühere TTDSG ablöst, und aus der Datenschutz-Grundverordnung (DSGVO). Dieser Beitrag erklärt, was tatsächlich verlangt wird – und was nicht.
Zwei Rechtsgrundlagen, zwei Fragen
Das TDDDG regelt in § 25 den Zugriff auf das Endgerät: Wer Cookies setzt oder ausliest, Informationen im Local Storage speichert oder Fingerprinting einsetzt, braucht dafür eine Einwilligung – unabhängig davon, ob personenbezogene Daten verarbeitet werden. Ausgenommen sind nur Zugriffe, die für den vom Nutzer gewünschten Dienst unbedingt erforderlich sind, etwa der Warenkorb im Shop oder das Login.
Die DSGVO regelt die anschließende Verarbeitung personenbezogener Daten. Für Tracking, Werbe-Pixel und die meisten Analyse-Tools ist auch hier die Einwilligung die passende Rechtsgrundlage. Eine wirksame Einwilligung muss freiwillig, informiert, eindeutig und vorab erteilt werden – und sie muss sich so einfach widerrufen lassen, wie sie erteilt wurde.
Was ein Cookie-Banner können muss
- Vor dem Setzen fragen: Nicht notwendige Cookies und Skripte dürfen erst laden, nachdem der Nutzer zugestimmt hat. Viele Banner verstoßen genau hier, weil Tracking-Skripte bereits beim Seitenaufruf feuern.
- Ablehnen so einfach wie Zustimmen: Auf der ersten Ebene muss es eine gleichwertige Möglichkeit geben, alles abzulehnen. Ein versteckter Link „Einstellungen“ neben einem großen grünen „Alle akzeptieren“ reicht nicht.
- Keine Dark Patterns: Vorangekreuzte Kästchen, irreführende Farben oder das Weiterbenutzen der Seite als Zustimmung sind unzulässig.
- Granular und transparent: Zwecke und eingesetzte Dienste müssen benannt werden; Nutzer müssen einzelne Kategorien wählen können.
- Jederzeit änderbar: Ein dauerhaft erreichbarer Link („Cookie-Einstellungen“) im Footer, über den die Entscheidung geändert werden kann.
- Nachweisbar: Die Einwilligung muss protokolliert werden – wann, wofür, in welcher Version des Banners.
Google Consent Mode v2
Wer Google Ads, Google Analytics oder andere Google-Dienste einsetzt und Nutzer im Europäischen Wirtschaftsraum erreicht, muss seit März 2024 den Consent Mode v2 nutzen. Das Consent-Tool übermittelt dabei den Einwilligungsstatus an Google, und die Google-Tags passen ihr Verhalten daran an. Ohne Consent Mode v2 stehen Funktionen wie Remarketing und Conversion-Messung in Google Ads nicht mehr zur Verfügung. Die gängigen Consent-Management-Plattformen unterstützen das – die Einbindung muss aber korrekt konfiguriert und getestet werden.
Welche Tools brauchen wirklich eine Einwilligung?
Als Faustregel: Alles, was Nutzer über Seiten hinweg wiedererkennt oder Daten an Dritte übermittelt, braucht eine Einwilligung – Google Analytics, Meta-Pixel, LinkedIn Insight Tag, eingebettete YouTube-Videos, Google Maps, Chat-Widgets. Ohne Einwilligung auskommen können in der Regel technisch notwendige Cookies, das Consent-Tool selbst und datensparsame Analyse-Lösungen, die ohne Cookies und ohne Übermittlung an Dritte arbeiten – hier lohnt sich der Blick in die Dokumentation des Anbieters und ins Gespräch mit Ihrem Datenschutzbeauftragten.
Typische Fehler aus der Praxis
- Tracking lädt bereits vor der Zustimmung (prüfbar in den Entwicklertools des Browsers).
- Der Banner blockiert notwendige Funktionen oder erscheint bei jedem Seitenaufruf neu.
- Dienste fehlen im Banner, weil sie später hinzugefügt wurden – etwa ein neues Chat-Tool oder ein Schriften-Dienst.
- Die Datenschutzerklärung passt nicht zu den tatsächlich eingesetzten Diensten.
- Einwilligungen werden nicht protokolliert.
Unser Rat: Behandeln Sie den Cookie-Banner nicht als lästige Pflicht, sondern als Teil der Nutzererfahrung. Ein sauber konfigurierter, ehrlicher Banner mit klaren Optionen erzielt in der Praxis oft höhere Zustimmungsraten als ein aggressiver – und erspart Ihnen Abmahnungen und Bußgelder.
Hinweis: Dieser Beitrag gibt den Stand von September 2026 wieder, dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für die verbindliche Einschätzung Ihres Einzelfalls wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.
