Cookie-Banner und Einwilligung: so holst du die Zustimmung rechtssicher ein

Inhalt dieser Seite

Wann brauchst du ein Cookie-Banner?

Ein Cookie-Banner brauchst du, sobald deine Website Informationen auf dem Gerät der Besucher speichert oder ausliest, die für den gewünschten Dienst nicht unbedingt erforderlich sind, etwa für Statistik, Werbung oder eingebettete Inhalte Dritter.

Ein Cookie-Banner ist ein Einwilligungsdialog, mit dem du Besucher vor dem Einsatz solcher Techniken informierst und ihre freiwillige Entscheidung einholst. Rechtsgrundlage ist § 25 Abs. 1 TDDDG, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Information und Einwilligung richten sich dabei nach der DSGVO.

Wichtig: Es geht nicht nur um Cookies. Auch Local Storage, Pixel, Fingerprinting und ähnliche Verfahren fallen darunter. Der Gerichtshof der EU hat im Planet49-Urteil außerdem klargestellt, dass es keinen Unterschied macht, ob die gespeicherten oder abgerufenen Informationen personenbezogene Daten sind. Die Einordnung von Cookies in die übrigen Datenschutzpflichten deiner Website findest du im Ratgeber Datenschutz für die Website.

Was ist ohne Einwilligung erlaubt?

Ohne Einwilligung erlaubt ist nach § 25 Abs. 2 Nr. 2 TDDDG nur, was unbedingt erforderlich ist, damit du einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kannst.

Die Datenschutzkonferenz legt das in ihrer Orientierungshilfe für digitale Dienste eng aus. Entscheidend ist, was ein durchschnittlicher Nutzer tatsächlich wünscht. Ein Warenkorb im Shop ist zum Beispiel erst dann gewünscht, wenn jemand wirklich ein Produkt hineinlegt. Kontaktformular, Chat oder Kartendienst sind nach der Orientierungshilfe nicht automatisch mit dem ersten Seitenaufruf gewünscht.

Beispiel	Einwilligung nötig?
Warenkorb, sobald ein Produkt hineingelegt wird	in der Regel nein
Login-Bereich nach Anmeldung	in der Regel nein
Speichern der Banner-Auswahl selbst	in der Regel nein
Statistik und Reichweitenmessung	Einzelfall, die Aufsicht gibt dazu bewusst keine pauschale Freigabe
Werbe- und Social-Media-Pixel	ja
Eingebettete Videos oder Karten, die beim Laden Daten an Dritte senden	in der Regel ja, oder erst nach Klick laden

Welche Anforderungen gelten für eine wirksame Einwilligung?

Eine wirksame Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung durch eine eindeutige bestätigende Handlung.

Wie das bei Cookies konkret aussieht, haben die obersten Gerichte entschieden. Der Gerichtshof der EU hat am 1. Oktober 2019 in der Rechtssache C-673/17 (Planet49) geurteilt, dass ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung abwählen muss, keine wirksame Einwilligung ist. Auch die Teilnahme an einem Gewinnspiel ersetzt die Einwilligung in Cookies nicht. Zudem muss der Anbieter unter anderem über die Funktionsdauer der Cookies und den Zugriff Dritter informieren. Der Bundesgerichtshof hat daraufhin am 28. Mai 2020 im Verfahren I ZR 7/16 entschieden, dass eine solche voreingestellte Einwilligung die Nutzer unangemessen benachteiligt.

• Vor dem Zugriff: Erst zustimmen lassen, dann laden.
• Konkret: Zwecke und eingesetzte Dienste verständlich benennen, keine vagen Sätze wie „für ein besseres Nutzungserlebnis“.
• Freiwillig: Echte Wahl ohne Druck oder Täuschung.
• Nachweisbar: Du musst belegen können, dass eine Einwilligung vorliegt (Art. 7 Abs. 1 DSGVO).

Wie muss die Ablehnen-Option aussehen?

Die Ablehnen-Option muss nach der Orientierungshilfe der Datenschutzkonferenz als gleichwertige Alternative zur Einwilligung eindeutig erkennbar, leicht wahrnehmbar und unmissverständlich beschriftet sein, idealerweise als vergleichbarer Button auf der ersten Ebene.

Die Aufsichtsbehörden nennen als Beispiel einen Button „Weiter ohne Einwilligung“, der in Größe, Farbe, Kontrast und Schriftbild dem Button „Einwilligung erteilen“ vergleichbar ist. Gestalterische Lenkung, oft Nudging genannt, ist nicht generell verboten. Sie wird aber unzulässig, wenn die Einwilligung dadurch nicht mehr freiwillig oder informiert ist.

Mehrstufige Banner sind trotzdem möglich. Bietet die erste Ebene aber schon einen Button für die Einwilligung in mehrere Zwecke, müssen auf dieser Ebene auch konkrete Informationen zu allen Zwecken stehen.

Wie einfach muss der Widerruf sein?

Der Widerruf einer Cookie-Einwilligung muss nach Art. 7 Abs. 3 DSGVO so einfach sein wie ihre Erteilung, und Nutzer müssen schon vor der Zustimmung auf dieses Widerrufsrecht hingewiesen werden.

In der Praxis heißt das: Wer mit einem Klick zustimmen konnte, muss auch ohne Umwege widerrufen können. Die Datenschutzkonferenz verweist auf einen ständig sichtbaren Direktlink oder ein Symbol, das unmittelbar zu den Einstellungen führt. Ein Verweis auf verstreute Opt-out-Seiten verschiedener Anbieter in der Datenschutzerklärung genügt nicht. Ein Link in der Datenschutzerklärung kann ausreichen, wenn er direkt zu den Einstellungen führt.

• Link „Cookie-Einstellungen“ oder ein Symbol im Fußbereich jeder Seite.
• Ein Klick öffnet die Auswahl, ein weiterer widerruft.
• Nach dem Widerruf werden die betroffenen Dienste tatsächlich gestoppt.
• Hinweis auf das Widerrufsrecht schon im Banner.

Was ändert die Einwilligungs­verwaltungs­verordnung?

Die Einwilligungs­verwaltungs­verordnung vom 6. Februar 2025 regelt, wie Dienste zur Einwilligungsverwaltung anerkannt werden, bei denen Nutzer ihre Cookie-Entscheidungen zentral hinterlegen können, ändert aber nichts an der Bannerpflicht deiner Website.

Grundlage ist § 26 TDDDG. Zuständig für die Anerkennung solcher Dienste ist die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (§ 8 EinwV), die ein öffentliches Register führt (§ 13 EinwV). Für Website-Betreiber gilt:

• Freiwillig: Die Einbindung eines anerkannten Dienstes ist nach § 18 Abs. 1 EinwV freiwillig.
• Wenn eingebunden: Dann berücksichtigst du die dort hinterlegten Einstellungen der Nutzer (§ 19 EinwV).
• Verantwortung bleibt: Für Information und Wirksamkeit der Einwilligung bleibst du selbst verantwortlich (§ 1 Abs. 2 EinwV).

Für die meisten Gründer ändert sich damit vorerst wenig. Ob und welche Dienste anerkannt sind, zeigt das Register der Bundesbeauftragten.

Wie prüfst du dein Cookie-Banner selbst?

Dein Cookie-Banner prüfst du am besten, indem du deine Website in einem privaten Browserfenster aufrufst, vor jeder Auswahl die geladenen Dienste kontrollierst und dann Zustimmung, Ablehnung sowie Widerruf einmal komplett durchspielst.

1. Bestand aufnehmen. Welche Dienste, Skripte, Schriften, Karten und Videos lädt deine Website?
2. Ausmisten. Was du nicht brauchst, fliegt raus. Wer keine Statistik- oder Werbedienste nutzt, braucht oft gar kein Einwilligungsbanner.
3. Vor dem Klick prüfen. In den Entwicklerwerkzeugen des Browsers nachsehen, ob schon vor der Auswahl Cookies gesetzt oder Drittanbieter kontaktiert werden.
4. Ablehnen testen. Nach „Ablehnen“ dürfen keine einwilligungs­pflichtigen Dienste laden.
5. Abgleichen. Banner und Datenschutzerklärung müssen dieselben Dienste sowie Zwecke nennen.

Verstöße sind nicht nur ein Abmahnthema. Wer entgegen § 25 Abs. 1 TDDDG Informationen speichert oder ausliest, handelt ordnungswidrig. Das kann nach § 28 TDDDG mit einer Geldbuße bis zu 300.000 € geahndet werden. Für Einwilligungen in E-Mail-Werbung gelten eigene Regeln, siehe Newsletter und DSGVO.

Firmenkompass macht keine Rechtsberatung. Wir helfen dir aber, deine Website schlank aufzubauen und das Einwilligungsbanner technisch sauber einzurichten sowie zu testen. Ohne Gutschein unterstützen dich das Website-Coaching und die Website-Wartung, die neue Plugins sowie Dienste im Blick behält.

Wenn du aus der Arbeitslosigkeit gründest, kannst du im AVGS Gründercoaching deine Website in Modul 7 Website erstellen aufbauen und dabei klären, welche Dienste du wirklich brauchst. Bei Bewilligung des Gutscheins entstehen dir keine eigenen Kosten, die Agentur für Arbeit oder das Jobcenter entscheidet im Einzelfall. Vereinbare ein kostenloses Erstgespräch.

Fragen dazu? Dein CoachChristian BerglerCoach für Website und E-Commerce