Cookie-Banner: Wann Sie ihn brauchen — und wie Sie ohne ihn auskommen
Das Wichtigste in Kürze
- Setzt eine Website nur technisch notwendige Cookies und nutzt keine externen Dienste, braucht sie in der Regel keinen Banner.
- Nach § 25 TDDDG zählt nicht nur das Speichern auf dem Gerät, sondern auch das Auslesen von dort.
- »Cookielose« Analyse im Browser liest oft trotzdem Gerätedaten aus und ist in Deutschland rechtlich unsicher.
- Serverseitige Analyse berührt das Endgerät gar nicht — hier greift § 25 TDDDG nicht.
- Ist ein Banner nötig, muss »Ablehnen« genauso sichtbar sein wie »Akzeptieren«.
Niemand mag Cookie-Banner. Besucher klicken sie genervt weg, und viele Betreiber wissen nicht genau, warum sie überhaupt einen haben.
Dabei verbergen sich hinter dem Thema zwei gegensätzliche Fehler. Manche Websites zeigen einen Banner, den sie gar nicht bräuchten. Andere brauchen ihn — und setzen ihn so um, dass er rechtlich nichts taugt.
Die gute Nachricht vorweg: Der beste Cookie-Banner ist oft der, den man nicht braucht. Und das lässt sich bei vielen kleinen Unternehmensseiten erreichen.
Ich bin Entwickler, kein Anwalt. Dieser Artikel beschreibt die technische Seite. Bei Unsicherheit im Einzelfall lohnt eine anwaltliche Prüfung — gerade weil Mitbewerber und Verbraucherschutzverbände gegen fehlerhafte Banner vorgehen können.
Inhalt
Wann Sie keinen Banner brauchen
Die Grundregel ist einfacher, als die allgegenwärtigen Banner vermuten lassen.
Setzt Ihre Website ausschließlich technisch notwendige Cookies ein und verzichtet auf externe Tracking-Dienste, ist in der Regel kein Cookie-Banner erforderlich.
Technisch notwendig ist, was unbedingt gebraucht wird, damit ein vom Besucher ausdrücklich gewünschter Dienst funktioniert. Etwa das Merken eines Warenkorbs, während jemand einkauft. Oder die Sitzung, solange jemand eingeloggt ist.
Eine schlichte Unternehmensseite ohne Shop und ohne Login braucht solche Cookies oft gar nicht. Dann gibt es nichts, wofür ein Banner um Erlaubnis fragen müsste.
Was einen Banner nötig macht
Meist ist es nicht die Website selbst, sondern etwas, das nebenbei eingebunden wurde. Die üblichen Verdächtigen:
Webanalyse im Browser. Google Analytics und vergleichbare Dienste. Google Analytics überträgt Daten an Google und wird von mehreren Aufsichtsbehörden in der EU als nicht ohne Einwilligung betreibbar eingestuft.
Eingebettete Videos und Karten. Ein YouTube-Video oder eine Google-Maps-Karte lädt Inhalte vom Server des Anbieters, sobald die Seite geöffnet wird.
Schriften von fremden Servern. Werden Schriftarten direkt von Google geladen statt vom eigenen Server, entsteht bei jedem Aufruf eine Verbindung zu Google.
Social-Media-Knöpfe und eingebettete Beiträge. Sie verbinden sich mit der jeweiligen Plattform.
Buchungs- und Chat-Widgets. Viele laden beim Seitenaufruf Inhalte des Anbieters — dazu mehr im Artikel zur Online-Terminbuchung.
Jedes dieser Elemente kann einen Banner nötig machen. Entfernt oder ersetzt man sie, entfällt oft auch der Banner.
Die Falle mit »cookielos«
Hier liegt das häufigste Missverständnis, und es ist teuer.
Viele Analyse-Tools werben damit, »ohne Cookies« zu arbeiten. Daraus wird oft geschlossen: kein Cookie, also kein Banner. Das stimmt in Deutschland nicht automatisch.
Der Grund liegt im Wortlaut des § 25 TDDDG — des Gesetzes, das am 14. Mai 2024 das frühere TTDSG abgelöst hat. Einwilligungspflichtig ist nicht nur, wer etwas auf dem Gerät des Besuchers speichert, sondern auch, wer dort bereits vorhandene Informationen ausliest. Und zwar unabhängig davon, ob diese Informationen personenbezogen sind.
Das Argument »Wir speichern doch gar keine personenbezogenen Daten« ist für § 25 TDDDG ohne Bedeutung.
Viele »cookielose« Tracker, die im Browser laufen, lesen weiterhin Informationen aus dem Gerät aus, um Besuche wiederzuerkennen — etwa über eine Art Fingerabdruck aus Browser- und Gerätemerkmalen. Das ist ein Zugriff auf das Endgerät. Solche Konfigurationen gelten in Deutschland als rechtlich unsicher.
Die Ausnahme im Gesetz greift nur, wenn der Zugriff unbedingt nötig ist, damit ein vom Nutzer gewünschter Dienst funktioniert. Reichweitenmessung dient aber dem Betreiber, nicht dem Besucher. Sie fällt nicht unter die Ausnahme.
Der saubere Weg: serverseitige Analyse
Es gibt einen Weg, der das Problem an der Wurzel löst.
Bei serverseitiger Analyse wertet ein Werkzeug die Protokolle aus, die Ihr Webserver ohnehin schreibt, oder der Server meldet den Seitenaufruf selbst. Auf dem Gerät des Besuchers wird dabei nichts gespeichert und nichts ausgelesen. Damit ist § 25 TDDDG von vornherein nicht berührt.
Übrig bleibt allein die Ebene der DSGVO. Die IP-Adresse ist ein personenbezogenes Datum und braucht eine Rechtsgrundlage. Für eine anonymisierte Reichweitenmessung ohne seitenübergreifende Verfolgung gilt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO als gut vertretbar — insbesondere, wenn die IP-Adresse vor der Speicherung gekürzt wird.
Matomo etwa unterstützt diesen serverseitigen Betrieb. Wichtig ist der Unterschied: Matomo im Browser mit JavaScript ist rechtlich eine andere Sache als Matomo, das Server-Protokolle auswertet.
Und auch ohne Banner gilt: Die Analyse muss in der Datenschutzerklärung beschrieben werden. Was dort sonst hineingehört, steht im Artikel zu Impressum und DSGVO.
Wenn der Banner nötig ist
Brauchen Sie ihn doch — etwa weil ein Video oder ein Shop-System eingebunden ist —, muss er bestimmte Anforderungen erfüllen.
Einwilligung vor dem Zugriff. Kein Tracking-Skript darf laden, bevor der Besucher aktiv zugestimmt hat. Diese Reihenfolge ist technisch entscheidend und wird in der Praxis häufig falsch umgesetzt: Der Banner erscheint, aber das Tracking läuft im Hintergrund schon.
Ablehnen so leicht wie Zustimmen. »Alle ablehnen« muss genauso sichtbar und erreichbar sein wie »Alle akzeptieren«. Ein großer farbiger Zustimmungsknopf neben einem versteckten Ablehnen-Link genügt nicht.
Freiwillig und informiert. Der Besucher muss verstehen, wozu er zustimmt, und darf nicht unter Druck gesetzt werden.
Widerrufbar. Die Einwilligung muss sich später genauso einfach zurücknehmen lassen, wie sie erteilt wurde.
Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, hat dazu 2022 eine Orientierungshilfe für Anbieter von Websites veröffentlicht.
So kommen Sie ohne Banner aus
Für eine typische kleine Unternehmensseite sind das die Schritte:
| Statt | Besser |
|---|---|
| Google Analytics im Browser | Serverseitige Analyse, oder gar keine |
| Schriften von Google-Servern | Schriften auf dem eigenen Server |
| Direkt eingebettetes YouTube-Video | Vorschaubild, Video lädt erst beim Klick |
| Eingebettete Google-Maps-Karte | Statisches Kartenbild mit Link zu Maps |
| Social-Media-Widgets | Einfache Textlinks zu Ihren Profilen |
Jeder dieser Tausche entfernt einen Grund für den Banner. Sind alle erledigt, bleibt oft keiner übrig.
Das hat einen Nebeneffekt: Die Seite wird schneller, weil weniger fremder Code lädt. Das Hosten eigener Schriften und die Wahl des Servers hängen dabei eng mit der Frage zusammen, wo Ihre Seite liegt — mehr dazu im Artikel zu Hosting und SSL.
Wer mit einem Baukasten arbeitet, hat hier weniger Einfluss. Manche Baukästen bringen einen sauberen Opt-in-Banner mit, andere nicht. Die Unterschiede beschreibt der Vergleich von Baukasten und Entwicklung.
Häufige Fragen
Braucht jede Website einen Cookie-Banner? Nein. Setzt eine Website nur technisch notwendige Cookies und nutzt keine externen Tracking-Dienste, ist in der Regel kein Banner nötig.
Brauche ich keinen Banner, wenn mein Analyse-Tool keine Cookies setzt? Nicht automatisch. Nach § 25 TDDDG ist auch das Auslesen von Informationen aus dem Gerät einwilligungspflichtig. Viele »cookielose« Tools im Browser tun genau das. Rechtlich sicher ist serverseitige Analyse, die das Gerät gar nicht berührt.
Was ist der Unterschied zwischen TTDSG und TDDDG? Das TDDDG hat am 14. Mai 2024 das TTDSG abgelöst. Inhaltlich wurden die Regeln zu Cookies fast unverändert übernommen — der maßgebliche Paragraph heißt jetzt § 25 TDDDG.
Darf ich Google Analytics ohne Einwilligung nutzen? In der Praxis nein. Google Analytics überträgt Daten an Google und wird von mehreren Aufsichtsbehörden in der EU als nicht ohne Einwilligung betreibbar eingestuft.
Muss »Ablehnen« genauso sichtbar sein wie »Akzeptieren«? Ja. Beide Möglichkeiten müssen gleichwertig erreichbar sein. Ein versteckter Ablehnen-Link neben einem großen Zustimmungsknopf genügt nicht.
Muss ich die Analyse in der Datenschutzerklärung erwähnen, auch ohne Banner? Ja. Auch eine einwilligungsfreie Analyse verarbeitet Daten und muss in der Datenschutzerklärung beschrieben werden.
Kurz zusammengefasst
Ohne Tracking, ohne eingebettete fremde Dienste und nur mit technisch notwendigen Cookies brauchen Sie in der Regel keinen Banner. Die Falle ist das Wort »cookielos«: Nach § 25 TDDDG zählt auch das Auslesen vom Gerät.
Der saubere Weg zur Reichweitenmessung ohne Banner ist die serverseitige Analyse. Und wenn ein Banner doch nötig ist, muss Ablehnen so leicht sein wie Zustimmen — und das Tracking darf erst nach der Zustimmung starten.