Cookie-Banner: Wann Sie einen brauchen (§ 25 TDDDG)

Welche Regel steckt hinter dem Cookie-Banner?

Die zentrale Vorschrift ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Bis zum 14. Mai 2024 hieß das Gesetz TTDSG; mit Inkrafttreten des Digitale-Dienste-Gesetzes wurde es umbenannt. Inhaltlich ist § 25 gleich geblieben.

§ 25 Abs. 1 TDDDG sagt: Wer Informationen auf dem Endgerät eines Nutzers speichert oder auf dort gespeicherte Informationen zugreift, braucht dafür dessen Einwilligung. Die Einwilligung muss auf klaren und umfassenden Informationen beruhen und den Anforderungen der DSGVO entsprechen.

Das betrifft nicht nur Cookies im engeren Sinn, sondern auch ähnliche Techniken wie lokale Speicher im Browser oder das Auslesen von Geräteinformationen. Ein Personenbezug ist dafür nach Auffassung der Datenschutzkonferenz nicht erforderlich. Daneben gilt die DSGVO für alle anschließenden Verarbeitungen personenbezogener Daten.

Wann brauchen Sie keine Einwilligung?

§ 25 Abs. 2 TDDDG enthält zwei Ausnahmen. Keine Einwilligung ist nötig, wenn

1. der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
2. die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

Für Websites ist die zweite Ausnahme entscheidend. Typische Beispiele, die je nach Gestaltung darunterfallen können:

• ein Cookie, das die Auswahl im Einwilligungsbanner speichert,
• ein Sitzungscookie für einen Warenkorb, nachdem ein Artikel hineingelegt wurde,
• ein Login-Cookie für einen Kundenbereich,
• technisch notwendige Sicherheitsfunktionen, etwa gegen Formular-Spam, sofern sie wirklich unbedingt erforderlich sind.

Die Datenschutzkonferenz betont, dass „unbedingt erforderlich“ eng auszulegen ist. Was nur nützlich oder wirtschaftlich sinnvoll ist, reicht nicht.

Wann ist ein Banner nötig?

Eine Einwilligung und damit in der Praxis ein Banner brauchen Sie, sobald Ihre Website Dienste nutzt, die nicht unbedingt erforderlich sind und auf das Endgerät zugreifen oder Daten an Dritte übertragen. Häufige Beispiele bei kleinen Betrieben:

• Analysewerkzeuge, die Besucher wiedererkennen oder Profile bilden,
• Marketing- und Werbe-Pixel von sozialen Netzwerken oder Werbeplattformen,
• eingebettete Videos und Karten, die beim Laden Cookies setzen oder Daten an den Anbieter senden,
• Chat-Widgets externer Anbieter,
• extern geladene Schriftarten.

Bei Statistik lohnt ein genauer Blick. Die Datenschutzkonferenz trifft bewusst keine pauschale Aussage, ob „Reichweitenmessung“ ohne Einwilligung zulässig ist, weil der Begriff zu unbestimmt sei. Eine reine Zählung von Seitenaufrufen ohne Personenbezug ist etwas anderes als ein Werkzeug, das Geräte, Verhalten und Herkunft auswertet. Lassen Sie im Zweifel prüfen, wie Ihr konkretes Werkzeug eingestellt ist.

Geht es auch ganz ohne Banner?

Ja, und für viele kleine Betriebe ist das der beste Weg. Die Datenschutzkonferenz schreibt in ihrer Orientierungshilfe ausdrücklich, dass Einwilligungsbanner nur eingesetzt werden sollten, wenn tatsächlich eine Einwilligung notwendig ist. Andernfalls entstehe der missverständliche Eindruck, Besucher hätten eine Wahl, obwohl das nicht der Fall ist.

Eine Website ohne einwilligungsbedürftige Dienste kann zum Beispiel so aussehen:

• Schriften lokal eingebunden,
• Karte als statisches Bild mit Link zum Routenplaner,
• Videos auf dem eigenen Server oder per Zwei-Klick-Lösung, die selbst erst auf Klick lädt,
• Social-Media-Profile verlinkt statt eingebettet,
• Statistik, wenn überhaupt, in einer datensparsamen Form ohne Wiedererkennung von Besuchern, nach Prüfung.

Ein Beispiel: Eine Schreinerei zeigt auf ihrer Website Projekte, Leistungen und eine Anfahrtsskizze. Nichts davon braucht Cookies von Dritten. Ein Banner wäre hier eher hinderlich als hilfreich. Die Datenschutzerklärung braucht die Website trotzdem.

Wie muss ein zulässiges Banner gestaltet sein?

Wenn Sie ein Banner brauchen, achten Sie auf die Vorgaben, die die Datenschutzkonferenz in ihrer Orientierungshilfe für digitale Dienste (Stand November 2024) beschreibt:

• Nichts lädt vorab: Solange das Banner angezeigt wird, dürfen keine einwilligungsbedürftigen Skripte oder Inhalte von fremden Servern geladen werden.
• Keine vorausgewählten Häkchen: Optionen dürfen nicht voreingestellt aktiv sein.
• Gleichwertiges Ablehnen: Wenn Besucher mit dem Banner interagieren müssen, um weiterzusurfen, ist nach Auffassung der Aufsichtsbehörden eine Ablehnmöglichkeit auf der ersten Ebene nötig. Das ist bei gängigen Bannern sehr häufig der Fall. Ablehnen darf nicht mehr Klicks erfordern als Zustimmen und muss gut erkennbar sein.
• Konkrete Zwecke: Ein allgemeiner Hinweis auf „Partner“ reicht nicht. Drittdienste sind einzeln zu benennen.
• Impressum und Datenschutzerklärung erreichbar: Das Banner darf den Zugriff darauf nicht behindern.
• Einfacher Widerruf: Der Widerruf muss so einfach sein wie die Einwilligung, etwa über einen dauerhaft sichtbaren Link „Cookie-Einstellungen“.

Typische Fehler bei Cookie-Bannern

Viele Banner auf Websites kleiner Betriebe stammen aus Standardvorlagen und wurden nie angepasst. Diese Fehler begegnen einem besonders häufig:

• Nur ein „Okay“-Button: Laut Datenschutzkonferenz fehlt dann die Möglichkeit, eine echte Wahl zu treffen. Ein Klick darauf ist nach ihrer Auffassung keine unmissverständliche Erklärung und damit keine wirksame Einwilligung.
• Dienste laden trotzdem: Das Banner wird angezeigt, aber Analyse oder Karte laden im Hintergrund schon vor dem Klick.
• Ablehnen versteckt: „Alle akzeptieren“ als großer farbiger Button, „Ablehnen“ als kleiner grauer Link im Fließtext oder erst auf der zweiten Ebene.
• Banner ohne Grund: Ein Banner fragt Einwilligungen ab, obwohl die Website gar keine einwilligungsbedürftigen Dienste nutzt.
• Kein Weg zurück: Wer einmal zugestimmt hat, findet keine Möglichkeit, die Einwilligung zu widerrufen.
• Banner verdeckt auf dem Smartphone alles: Auf kleinen Bildschirmen sind Impressum und Datenschutzerklärung nicht mehr erreichbar.

Prüfen Sie Ihr Banner am besten selbst auf Computer und Smartphone in einem privaten Browserfenster.

So gehen Sie praktisch vor

1. Bestandsaufnahme: Welche Dienste laden auf Ihrer Website? Fragen Sie Ihren Webdienstleister nach einer Liste.
2. Ausmisten: Brauchen Sie jeden Dienst wirklich? Was niemand nutzt, fliegt raus.
3. Ersetzen: Schriften lokal, Karte als Bild, Social Media als Link.
4. Entscheiden: Bleiben einwilligungsbedürftige Dienste übrig, richten Sie ein sauberes Einwilligungstool ein. Wenn nicht, verzichten Sie auf das Banner.
5. Dokumentieren: Datenschutzerklärung an den neuen Stand anpassen und alte Verweise auf das TTDSG durch TDDDG ersetzen.

Hinweis: Dieser Artikel gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Für die Bewertung einzelner Werkzeuge, insbesondere bei Statistik und Werbung, wenden Sie sich an eine Datenschutzfachkraft oder eine Rechtsanwältin bzw. einen Rechtsanwalt.

Bei Websites von ZEIGWERK planen wir die Technik so, dass möglichst wenige einwilligungsbedürftige Dienste nötig sind. Wenn Sie sehen möchten, wie das bei Ihnen aussehen könnte, bauen wir einen kostenlosen Vorab-Entwurf.

Häufige Fragen

Allgemeine Information, keine Rechts- oder Steuerberatung. Stand 2026-10.