Ob Ihre Website einen Cookie-Banner braucht, entscheidet nicht der Banner, sondern das, was Ihre Seite im Hintergrund lädt. In Deutschland verlangt § 25 TDDDG vor jedem Speichern oder Auslesen von Informationen auf dem Gerät der Besucher eine Einwilligung – ausgenommen sind nur technisch unbedingt erforderliche Dinge. Sobald Statistik, Werbung oder externe Dienste wie YouTube, Google Maps oder Schriften von Google-Servern dazukommen, ist ein Banner in der Praxis Pflicht.
Wann braucht meine Website einen Cookie-Banner?
Immer dann, wenn Ihre Seite Informationen auf dem Endgerät der Besucher speichert oder dort ausliest und das nicht unbedingt nötig ist, damit die Seite funktioniert. Der Grundsatz steht in § 25 Absatz 1 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Das Gesetz hieß bis 14. Mai 2024 TTDSG; inhaltlich ist die Regel geblieben.
Entscheidend ist also nicht, ob Sie „Cookies“ einsetzen, sondern was die Seite tut. Das Gesetz betrifft auch Tracking-Pixel, Local Storage, Fingerprinting und ähnliche Techniken. Eine Seite, die „ohne Cookies“ trackt, ist deshalb nicht automatisch einwilligungsfrei.
Welche Cookies und Techniken brauchen keine Einwilligung?
Keine Einwilligung brauchen Dinge, die für einen vom Besucher ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Absatz 2 Nr. 2 TDDDG). Typische Beispiele:
- der Warenkorb in einem Online-Shop
- der Login-Status in einem Kundenbereich
- die gespeicherte Cookie-Entscheidung selbst
Streng ausgelegt wird das trotzdem. Nach der Orientierungshilfe der Datenschutzkonferenz für digitale Dienste (Version 1.2, November 2024) zählt nur die technische Erforderlichkeit für den gewünschten Dienst; wirtschaftliche Gründe wie die Finanzierung durch Werbung reichen nicht. Zusatzfunktionen wie eingebettete Karten oder Videos gelten nicht automatisch als gewünscht. Auch die Reichweitenmessung ist nicht pauschal ausgenommen – es kommt auf Konfiguration und Zweck an.
Welche Dienste auf meiner Website lösen eine Einwilligungspflicht aus?
Die folgende Übersicht zeigt die häufigsten Fälle bei Unternehmens- und Shop-Websites:
| Was die Seite lädt | Einwilligung nötig? | Praktische Alternative |
|---|---|---|
| Warenkorb, Login, gespeicherte Cookie-Entscheidung | Nein, unbedingt erforderlich | Kurz in der Datenschutzerklärung erklären |
| Google Analytics und ähnliche Statistik-Werkzeuge | Ja | Erst nach Einwilligung laden |
| Werbe-Pixel, Remarketing | Ja | Erst nach Einwilligung laden |
| YouTube-Videos | Ja | Zwei-Klick-Lösung: Video lädt erst nach Klick auf den Platzhalter |
| Google Maps | Ja | Zwei-Klick-Lösung oder Link zur Karte |
| Schriften direkt von Google-Servern | Ja | Schriften lokal auf dem eigenen Server einbinden |
Die letzte Zeile ist der einfachste Gewinn: Wer Schriften lokal ausliefert, spart sich dafür jede Einwilligung.
Wie muss ein rechtssicherer Cookie-Banner aussehen?
- Ablehnen so einfach wie Akzeptieren. Das Oberlandesgericht Köln hat am 19. Januar 2024 (Az. 6 U 80/23) entschieden, dass dem Banner eine gleichwertige Ablehnmöglichkeit fehlte, wenn nicht notwendige Cookies erst auf einer zweiten Ebene abgelehnt werden können. Die Datenschutzkonferenz sieht das genauso: Ein „Alles akzeptieren“ neben einem bloßen „Einstellungen“ gilt regelmäßig nicht als wirksame Einwilligung.
- Keine Voreinstellungen. Ein vorangekreuztes Kästchen ist keine Einwilligung. Das hat der Europäische Gerichtshof am 1. Oktober 2019 (C-673/17, „Planet49“) und der Bundesgerichtshof am 28. Mai 2020 (I ZR 7/16) entschieden. Weiterscrollen oder Weiterklicken ersetzt die Einwilligung ebenfalls nicht.
- Erst fragen, dann laden. Statistik-, Werbe- und Fremdskripte dürfen erst starten, wenn die Einwilligung vorliegt. Ein Banner, der nur anzeigt und nebenbei schon alles lädt, schützt nicht.
- Jederzeit widerrufbar. Der Widerruf muss nach Art. 7 Absatz 3 DSGVO so einfach sein wie die Einwilligung, etwa über einen Link im Footer.
Ersetzt die Einwilligungsverwaltungsverordnung den Banner – und was ändert der EU-Digital-Omnibus?
Heute noch nicht. Die Einwilligungsverwaltungsverordnung gilt seit dem 1. April 2025 und schafft den Rahmen für anerkannte Dienste, bei denen Nutzer ihre Entscheidungen zentral verwalten. Das Verfahren muss sich erst am Markt etablieren; einen eigenen Banner brauchen Sie weiterhin, weil nicht alle Besucher einen solchen Dienst nutzen.
Auch der EU-Digital-Omnibus (Vorschlag COM(2025) 837 der Kommission) ist nur ein Vorschlag. Er sieht unter anderem eine Ablehnung per Klick vor, ist aber nicht beschlossen; laut Berichten vom September 2026 hat der Rat noch kein Verhandlungsmandat. Es gilt deshalb das bestehende Recht.
Welche Strafen drohen ohne Einwilligung?
Wer entgegen § 25 Absatz 1 Satz 1 TDDDG Informationen auf Endgeräten speichert oder ausliest, handelt ordnungswidrig. Nach § 28 TDDDG sind Bußgelder bis zu 300.000 Euro möglich. Verarbeiten Sie dabei personenbezogene Daten, kommt die DSGVO hinzu: Verstöße gegen die Einwilligungsregeln (Art. 6 und 7) können nach Art. 83 Absatz 5 DSGVO mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist. Das sind Höchstgrenzen, keine Regelsummen – aber sie zeigen, dass die Aufsicht das Thema ernst nimmt.
Und in Österreich?
Dort steht die Regel in § 165 Absatz 3 Telekommunikationsgesetz 2021 (TKG 2021) und gilt im Kern genauso. Die FAQ der österreichischen Datenschutzbehörde zu Cookies (Stand 25. Mai 2022) hält fest: Für technisch nicht notwendige Cookies, etwa Tracking und Werbung, ist vorher eine Einwilligung einzuholen. Voreingestellte oder vorangekreuzte Optionen sind unzulässig, und die Ablehnung muss so einfach sein wie die Zustimmung. Cookies für Warenkorb oder Login-Status sind ausgenommen; wirtschaftliche Notwendigkeit genügt auch dort nicht.
Was kann ich heute konkret tun?
Meine Faustregel: Öffnen Sie Ihre Seite in einem Inkognito-Fenster, schalten Sie in den Entwicklertools den Reiter „Netzwerk“ ein und laden Sie neu, bevor Sie irgendetwas anklicken – alles, was dann schon an fremde Server geht oder Cookies setzt, die nicht für Warenkorb oder Login nötig sind, gehört hinter eine Einwilligung oder von der Seite.
- Alle externen Dienste auflisten, die Ihre Seite lädt (Statistik, Videos, Karten, Schriften, Chat, Formulare).
- Alles streichen, was Sie nicht wirklich brauchen, und Schriften lokal einbinden.
- Videos und Karten per Zwei-Klick-Lösung einbinden.
- Bleibt etwas übrig: Einen Banner mit gleichwertigem „Alles ablehnen“ auf der ersten Ebene einrichten, der die Skripte tatsächlich blockiert, bis eine Einwilligung vorliegt.
- Datenschutzerklärung an den tatsächlichen Stand anpassen.
Mehr zum Gesamtbild finden Sie in meinem Beitrag Ist meine WordPress-Website DSGVO-konform?. Dieser Text ist keine Rechtsberatung und gibt den Stand von Oktober 2026 wieder; bei Zweifeln im Einzelfall ziehen Sie eine Anwältin oder einen Anwalt hinzu. Die technische Seite – Dienste prüfen, Schriften lokal einbinden, Banner sauber einrichten – übernehme ich im Rahmen von Webdesign; über die Kontaktseite erreichen Sie mich.
Häufige Fragen
Brauche ich einen Cookie-Banner, wenn meine Seite nur eine Visitenkarte ist?
Nicht, solange die Seite nichts lädt, was einwilligungspflichtig ist. Lädt sie aber ein YouTube-Video, eine Google-Karte oder Statistik, ist die Einwilligung nötig – unabhängig von der Größe der Seite.
Genügt ein Hinweis wie „Mit der Nutzung stimmen Sie zu“?
Nein. Stillschweigen, Weiterklicken und Scrollen sind keine Einwilligung. Nötig ist eine aktive Entscheidung vor dem Laden der betroffenen Dienste.
Reicht ein Cookie-Banner-Plugin?
Nur, wenn es die Skripte wirklich blockiert, bis eine Einwilligung vorliegt, und „Ablehnen“ gleichwertig anbietet. Ein Plugin, das nur ein Banner anzeigt, löst das Problem nicht.
Heißt das Gesetz noch TTDSG?
Nein. Seit 14. Mai 2024 heißt es TDDDG. Die Regel zur Einwilligung steht weiterhin in § 25.
Gilt das für Österreich genauso?
Im Kern ja. Grundlage ist dort § 165 Absatz 3 TKG 2021. Auch dort braucht es für nicht notwendige Cookies eine vorherige, aktive Einwilligung.
Gunther Schoepf