Fast jede deutsche Webseite hat einen Cookie-Banner. Ein großer Teil davon erfüllt seinen Zweck nicht — und ein Banner, der falsch gebaut ist, ist schlimmer als keiner: Er dokumentiert, dass man das Thema kannte.
Zwei Gesetze, nicht eins
Das wird oft verwechselt. Es gelten beide:
§ 25 TDDDG regelt das Speichern und Auslesen von Informationen auf dem Endgerät. Das umfasst Cookies, aber auch Local Storage und Fingerprinting. Ohne Einwilligung geht das nur, wenn es für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist.
Art. 6 DSGVO regelt, was du mit den Daten danach machen darfst.
Das TDDDG hieß bis Mai 2024 TTDSG. Viele Vorlagen im Netz zitieren noch die alte Bezeichnung.
„Technisch notwendig" ist enger, als die meisten denken
Notwendig sind: Sitzungscookies für einen Warenkorb oder ein Login, CSRF-Schutz für Formulare, Lastverteilung, das Speichern der Cookie-Entscheidung selbst.
Nicht notwendig sind: Reichweitenmessung, auch anonymisiert. A/B-Tests. Chat-Fenster, die immer laden. Karten, die beim Seitenaufruf geladen werden. Schriften von fremden Servern. Eingebettete Videos.
Es kommt dabei auch nicht darauf an, ob ein Cookie gesetzt wird. Der Paragraf spricht vom Zugriff auf das Endgerät. Local Storage zählt, und ein Fingerabdruck aus Bildschirmgröße, Schriften und Zeitzone zählt ebenfalls — gerade weil er ohne Cookie auskommt.
Die fünf Fehler
1. Es lädt schon vor der Entscheidung. Der häufigste und schwerste Fehler. Wenn das Analytics-Skript beim Seitenaufruf geladen wird und der Banner nur die spätere Auswertung steuert, ist die Einwilligung wertlos — die Übertragung hat bereits stattgefunden. Prüfen kannst du das mit F12, Reiter Netzwerk: Vor dem Klick darf dort keine Anfrage an einen fremden Host stehen.
2. Ablehnen ist schwerer als Annehmen. Ein großer bunter Knopf „Akzeptieren" und ein grauer Link „Einstellungen" im Kleingedruckten. Die Einwilligung muss freiwillig sein (Art. 4 Nr. 11 DSGVO); eine Gestaltung, die in eine Richtung drängt, ist es nicht. Beide Antworten gehören auf dieselbe Ebene, in dieselbe Größe.
3. Kein Widerruf. Die Entscheidung muss jederzeit änderbar sein. In der Praxis heißt das: ein Link in der Fußzeile, der den Banner zurückholt.
4. Vorangekreuzte Kästchen. Seit dem Planet-49-Urteil des EuGH (2019) eindeutig unzulässig.
5. Der Banner sperrt die Seite, bis man zustimmt. Ohne freie Wahl keine freiwillige Einwilligung.
Die Gestaltungstricks, die als Erstes auffallen
Die Aufsichtsbehörden nennen sie „Dark Patterns", und sie sind leicht zu erkennen, wenn man einmal darauf achtet:
- Der Ablehnen-Knopf hat die Farbe des Hintergrunds.
- „Alle akzeptieren" steht auf der ersten Ebene, „Alle ablehnen" erst nach einem Klick auf „Einstellungen".
- Das Banner erscheint bei jedem Seitenaufruf neu, bis man zustimmt.
- Beim Ablehnen erscheint eine Rückfrage („Bist du sicher?"), beim Zustimmen nicht.
- Die Schalter in den Einstellungen stehen beim Öffnen bereits auf „an".
Jeder einzelne Punkt macht die Einwilligung angreifbar. Der Aufwand, es richtig zu machen, ist derselbe.
Was du nachweisen können musst
Nach Art. 7 Abs. 1 DSGVO musst du belegen können, dass eine Einwilligung vorlag. Das heißt: Zeitpunkt, Umfang und die Fassung des Textes, dem zugestimmt wurde.
Daraus folgt ein Punkt, den fast alle Banner übersehen: Ändert sich der Umfang — ein neues Werkzeug kommt dazu —, gilt die alte Einwilligung dafür nicht. Es muss neu gefragt werden. Ein Banner, der die Fassung nicht mitspeichert, kann das gar nicht bemerken.
Für die Gültigkeitsdauer gibt es keine Zahl im Gesetz. Die Aufsichtsbehörden halten eine erneute Abfrage nach etwa zwölf Monaten für angemessen.
Consent Mode löst das Problem nicht
Google Consent Mode v2 ist gebaut, um die Einwilligung an Google-Dienste weiterzureichen. Er sorgt dafür, dass ohne Zustimmung keine Cookies gesetzt und keine personenbezogenen Daten ausgewertet werden.
Was er nicht verhindert: dass gtag.js von googletagmanager.com geladen
wird. Und schon dieser Abruf überträgt die IP-Adresse an Google. Nach
Auffassung mehrerer deutscher Aufsichtsbehörden ist das bereits eine
Verarbeitung, die einer Einwilligung bedarf.
Wer das sauber lösen will, lädt vor der Zustimmung gar nichts — der Consent Mode setzt dann nur die Grundstellung, und das Skript kommt erst nach dem Klick dazu. Genau so ist es auf dieser Seite gebaut.
Der einfachste Weg, das Thema loszuwerden
Nichts einbinden, was einen Banner braucht. Schriften lokal, keine fremden Karten, keine eingebetteten Videos, keine Chat-Fenster. Dann bleibt der Banner höchstens für die Reichweitenmessung — und der lässt sich sauber bauen.
Wie viel dabei an einer einzigen Zeile hängt, zeigt der Fall Google Fonts: Das Landgericht München I hat 2022 einer Klägerin Schadensersatz zugesprochen, weil eine Webseite ihre IP-Adresse durch das Nachladen einer Schrift an Google übertragen hatte. Danach ging eine Abmahnwelle durchs Land. Die Behebung ist trivial — Schriften gehören auf den eigenen Server.
Diese Seite hier setzt auf allen Seiten außer der Kontaktseite kein einziges Cookie. Das ist kein Kunststück, sondern eine Entscheidung darüber, was man einbindet.
Die Karte und das Video
Zwei Fälle kommen immer wieder, und beide haben eine einfache Lösung.
Die Anfahrtskarte muss nicht eingebettet sein. Ein Bild der Karte mit einem Link auf den Kartendienst tut dasselbe, lädt schneller und braucht keine Einwilligung.
Das Video lässt sich mit einer Vorschaugrafik versehen, die erst beim Klick den Player nachlädt. Dann entscheidet der Besucher, und vorher fließt nichts.
Was das praktisch bedeutet
Ein Cookie-Banner ist kein Rechtsprodukt, das man kauft und einbaut. Er ist die sichtbare Folge einer technischen Entscheidung: Was bindet diese Seite von fremden Servern ein?
Beantworte diese Frage zuerst. Der Banner ergibt sich daraus — und in vielen Fällen fällt er dann sehr klein aus oder ganz weg.
Dieselbe Frage stellt sich inzwischen beim Chat-Fenster noch einmal von einer anderen Seite: Seit August 2026 muss ein automatischer Assistent offenlegen, dass er einer ist.
Die verbindliche Einordnung deines Falls gehört zu einem Anwalt. Was technisch zu tun ist, damit der Banner überhaupt halten kann, sagen wir dir.