Cookie-Banner ohne Tricks: Was das TDDDG verlangt
Einen Cookie-Banner braucht nur, wer Informationen auf dem Gerät der Besucher speichert oder ausliest, die für den Dienst nicht unbedingt nötig sind. Dann muss Ablehnen genauso schnell gehen wie Zustimmen, und der Widerruf genauso leicht wie die Einwilligung.
Grundlage ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG, das bis zum 13.05.2024 TTDSG hieß. Es regelt den Zugriff auf Endgeräte, also Cookies ebenso wie Local Storage, Pixel und das Auslesen von Geräteeigenschaften. Wie eine Einwilligung aussehen muss, ergibt sich aus der DSGVO, und wie die deutschen Aufsichtsbehörden beides auslegen, steht in ihrer Orientierungshilfe für digitale Dienste vom November 2024. Ob ein Banner hält, ist deshalb vor allem eine Frage der Gestaltung. Wer Werbung schaltet und Ergebnisse messen will, muss das von Anfang an mitdenken, wie auf der Seite zum Suchmaschinenmarketing beschrieben.
§ 25 TDDDG
Wann Sie einen Cookie-Banner brauchen
Eine Einwilligung ist nach § 25 Abs. 1 TDDDG nötig, sobald Informationen auf dem Gerät gespeichert oder von dort gelesen werden. Keine Einwilligung braucht es, wenn der Zugriff unbedingt erforderlich ist, damit ein Dienst funktioniert, den der Nutzer ausdrücklich gewünscht hat (§ 25 Abs. 2 Nr. 2). Dazu zählen zum Beispiel:
das Sitzungs-Cookie für Login oder Warenkorb,
ein Cookie, das die Last auf mehrere Server verteilt,
das Cookie, in dem die Entscheidung im Banner gespeichert wird,
Schutz von Formularen gegen gefälschte Anfragen.
Statistik, Werbung, Wiedererkennung über mehrere Besuche und eingebettete Inhalte Dritter gehören nicht dazu. Wer nur technisch notwendige Cookies setzt, braucht keinen Banner, wohl aber eine Datenschutzerklärung.
Ob Ihre Website vor der Einwilligung schon etwas speichert oder fremde Server anfragt, zeigt ein Selbsttest in zehn Minuten:
Öffnen Sie Ihre Website in einem privaten Browserfenster, damit keine alten Cookies stören.
Öffnen Sie die Entwicklerwerkzeuge und darin den Reiter für das Netzwerk. Laden Sie die Seite neu und klicken Sie im Banner noch nichts an.
Sortieren Sie die Liste nach Domain. Jede Domain, die nicht Ihre eigene ist, notieren Sie.
Wechseln Sie zum Reiter für den Speicher (Cookies und Local Storage) und notieren Sie jeden Eintrag.
Klicken Sie im Banner auf Ablehnen, laden Sie neu und wiederholen Sie Schritt 3 und 4. Nach der Ablehnung darf die Liste nicht länger werden.
Jede notierte Domain und jeder Eintrag muss sich als unbedingt erforderlich erklären lassen. Häufige Funde sind Schriften von Google, eingebettete Videos und Karten, Schutzdienste für Formulare und Tag Manager, die vor der Einwilligung laden. Die Aufsichtsbehörden weisen darauf hin, dass schon das Einbinden solcher Drittinhalte die IP-Adresse an den Anbieter übermittelt. Welche weiteren Punkte zum Datenschutz auf der Website gehören, fasst die DSGVO-Prüfliste für Websites zusammen.
Gestaltung
Ablehnen muss so schnell gehen wie Zustimmen
Eine Einwilligung ist nur wirksam, wenn sie freiwillig ist. Die Orientierungshilfe der Aufsichtsbehörden leitet daraus konkrete Anforderungen ab:
Ablehnen auf der ersten Ebene: Versperrt der Banner Inhalte, sodass Besucher reagieren müssen, braucht es eine Ablehnmöglichkeit auf der ersten Ebene. Liegt sie erst hinter „Einstellungen“, entsteht ein Mehraufwand, der die Freiwilligkeit regelmäßig ausschließt.
Gleicher Kommunikationseffekt: „Alle akzeptieren“ neben „Einstellungen“ ist keine gleichwertige Wahl, weil nur eine Schaltfläche die Entscheidung beendet.
Vergleichbare Gestaltung: Die Ablehnoption muss als Alternative klar erkennbar sein. Gleichwertig ist sie, wenn sie in Größe, Farbe, Kontrast und Schriftbild der Zustimmung vergleichbar ist.
Keine vorausgewählten Haken: Der Europäische Gerichtshof hat 2019 im Fall Planet49 entschieden, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung ist.
Widerruf so leicht wie Zustimmung: Das verlangt Art. 7 Abs. 3 DSGVO. In der Praxis heißt das: ein Link „Cookie-Einstellungen“ auf jeder Seite, der den Banner wieder öffnet. Ein Verweis auf eine Mailadresse oder ein Kontaktformular reicht nicht.
Auch auf kleinen Bildschirmen müssen beide Schaltflächen auf einen Blick sichtbar sein. Ein Banner, der auf dem Handy die Ablehnung erst nach dem Scrollen zeigt, erfüllt die Anforderung dort nicht.
Dark Patterns
Tricks im Banner, die Behörden beanstanden
Dark Patterns, auf Deutsch etwa manipulative Gestaltungsmuster, sind Gestaltungen, die Nutzer zu einer Entscheidung drängen, die sie so nicht treffen wollten. Die Aufsichtsbehörden stellen fest, dass unzulässige Lenkung selten aus einem einzigen Merkmal entsteht, sondern aus mehreren zusammen. Eine andere Farbe für den Zustimmungsknopf allein macht eine Einwilligung nicht unwirksam. Diese Muster fallen in Prüfungen auf:
Ablehnen nur als Textlink im Fließtext, in heller Schrift auf hellem Grund.
Ein großer farbiger Knopf „Akzeptieren“ neben einem grauen „Mehr erfahren“.
Zwecke, die unter „berechtigtes Interesse“ vorab eingeschaltet sind und einzeln abgewählt werden müssen.
Der Banner erscheint nach einer Ablehnung bei jedem Seitenaufruf erneut.
Verharmlosende Texte, die Werbezwecke als „Verbesserung Ihres Erlebnisses“ beschreiben.
Hunderte Partner in einer Liste, die niemand lesen kann.
Für die Einordnung verweisen die deutschen Behörden auf die Leitlinien des Europäischen Datenschutzausschusses zu Dark Patterns. Sie betreffen soziale Netzwerke, lassen sich nach Ansicht der Behörden aber überwiegend auf Websites übertragen.
Weniger Dienste
Weniger Banner durch weniger Dienste
Der wirksamste Weg zu einem sauberen Banner ist, weniger zu brauchen. Jeder Dienst, der ohne Zugriff auf das Endgerät auskommt, verschwindet aus dem Banner:
Schriften selbst ausliefern statt sie von einem fremden Server zu laden.
Videos und Karten erst auf Klick laden. Bis dahin zeigt die Seite ein Vorschaubild mit dem Hinweis, dass beim Abspielen Daten an den Anbieter gehen.
Reichweitenmessung ohne Cookies und ohne Auslesen des Geräts. Sie fällt nicht unter § 25 TDDDG. Für die Verarbeitung der Daten gilt die DSGVO weiterhin.
Tag Manager aufräumen: Skripte, die niemand mehr auswertet, entfernen.
Wie sich Kampagnen auch mit wenigen Cookies messen lassen, zeigt der Beitrag Performance Marketing ohne Cookie-Plage.
Seit dem 01.04.2025 gilt außerdem die Einwilligungsverwaltungsverordnung. Sie erlaubt anerkannte Dienste, bei denen Nutzer ihre Entscheidungen zentral hinterlegen. Website-Betreiber sind nicht verpflichtet, solche Dienste einzubinden. Den Banner ersetzt die Verordnung deshalb nicht.
Auf europäischer Ebene hat die EU-Kommission im November 2025 mit dem Digital Omnibus vorgeschlagen, die Cookie-Regeln in die DSGVO zu verschieben und zusätzliche Ausnahmen zu schaffen. Ende September 2026 ist das nicht beschlossen, es gilt § 25 TDDDG.
Aktualisierung vom 02.11.2026: Der Rat der EU hat am 21.10.2026 seine Verhandlungsposition festgelegt. Darin sind die geplanten Cookie-Artikel in der DSGVO gestrichen, die Regeln sollen in der ePrivacy-Richtlinie bleiben und um weitere einwilligungsfreie Zwecke wie Reichweitenmessung und Sicherheit ergänzt werden. Das Europäische Parlament hatte bis zum 02.11.2026 keine eigene Position beschlossen, erst danach beginnen die Verhandlungen zwischen Rat und Parlament. Bis zu einer Einigung und deren Inkrafttreten gilt die Rechtslage aus diesem Beitrag unverändert.
Kurz beantwortet
Häufige Fragen
-
Nein, wenn Ihre Website ausschließlich unbedingt erforderliche Zugriffe auf das Gerät nutzt, etwa Sitzungs- oder Warenkorb-Cookies. Prüfen Sie aber, ob eingebettete Inhalte Dritter wie Schriften, Videos oder Karten ohne Ihr Wissen Daten übertragen. Die Pflicht zur Datenschutzerklärung bleibt in jedem Fall.
-
Nach Auffassung der deutschen Aufsichtsbehörden dann, wenn der Banner Inhalte verdeckt und Besucher deshalb reagieren müssen. Das trifft auf die meisten gängigen Banner zu. Die Ablehnung muss dann auf derselben Ebene und mit vergleichbarer Gestaltung angeboten werden wie die Zustimmung.
Banner und Messung prüfen lassen
Der Selbsttest zeigt Funde, die Sie nicht zuordnen können? Wir prüfen, was Ihre Website vor der Einwilligung lädt, bauen überflüssige Dienste aus und stimmen Banner und Kampagnenmessung aufeinander ab.
Nachweise
Quellen und Stand
Stand: 28.09.2026, ergänzt um die Aktualisierung vom 02.11.2026 im letzten Abschnitt. Grundlagen: § 25 TDDDG, Art. 7 DSGVO, Orientierungshilfe Digitale Dienste der DSK (Version 1.2, November 2024), Einwilligungsverwaltungsverordnung und Stand des Digital Omnibus. Dieser Beitrag ist keine Rechtsberatung. Wie Ihr Banner im Einzelnen gestaltet sein muss, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.
Artikel teilen