Cookie-Banner: Wann du keinen brauchst und wie er korrekt aussieht

01Warum der Banner das falsche Ende des Problems ist

Der Banner ist kein Rechtsprodukt. Er ist die Folge technischer Entscheidungen, die vorher getroffen wurden.

Es gibt kein Gesetz, das sagt: "Jede Website braucht einen Cookie-Banner." Was das Gesetz sagt, ist etwas anderes und viel enger. Wenn du auf dem Endgerät deiner Besucher etwas speicherst oder ausliest, das für den von ihnen angeforderten Dienst nicht unbedingt erforderlich ist, brauchst du vorher eine Einwilligung. Der Banner ist nur das Werkzeug, mit dem du diese Einwilligung einholst. Wer nichts einbaut, das eine Einwilligung braucht, braucht auch kein Werkzeug dafür. Diese Reihenfolge wird in fast jedem Projekt umgedreht.

Der übliche Ablauf sieht so aus: Die Seite wird gebaut. Analytics kommt rein, weil man ja Zahlen braucht. Schriften kommen vom Google-Server, weil das drei Zeilen Code spart. Eine Karte, weil der Kunde eine will. Ein Video, weil es gut aussieht. Ganz am Ende fällt jemandem ein, dass da noch etwas mit Cookies war, und es wird ein Banner-Plugin installiert. Der Banner listet dann Dienste auf, die nie jemand bewusst ausgesucht hat, und blockiert sie im Zweifel nicht einmal richtig. Voller Aufwand, volles Risiko, kein Nutzen.

Rechtlich liegen zwei Ebenen übereinander, die regelmäßig verwechselt werden. Die erste ist § 25 TDDDG (bis Mai 2024 hieß dieselbe Vorschrift § 25 TTDSG). Sie regelt ausschließlich den Zugriff auf das Endgerät, also das Setzen und Auslesen von Cookies, Local Storage, Session Storage oder Geräte-Kennungen. Die zweite Ebene ist die DSGVO. Sie regelt, was mit den so gewonnenen personenbezogenen Daten danach passiert. Der Banner löst nur Ebene eins. Für Ebene zwei brauchst du zusätzlich eine Rechtsgrundlage und eine Datenschutzerklärung, die zu dem passt, was die Seite wirklich tut.

Noch ein Satz zur Einordnung, bevor es konkret wird: Dieser Artikel ist eine handwerkliche Einordnung aus der Bau- und Betriebspraxis von Websites, keine Rechtsberatung. Bei Shops mit Werbe-Tracking, bei Gesundheits- oder Bewerberdaten und bei allem, was über eine klassische Firmenwebsite hinausgeht, gehört ein spezialisierter Anwalt oder ein externer Datenschutzbeauftragter dazu. Die Fragen unten kannst du trotzdem selbst beantworten, und in neun von zehn Fällen ist die Antwort einfacher als gedacht.

02Die eine Frage, die über die Einwilligung entscheidet

Nicht "ist das ein Cookie", sondern "ist es für den vom Nutzer angeforderten Dienst unbedingt erforderlich".

Das Wort Cookie ist beim Prüfen fast egal. § 25 TDDDG spricht von Informationen, die in der Endeinrichtung gespeichert oder aus ihr ausgelesen werden. Das umfasst Cookies, aber genauso Local Storage, Session Storage, Fingerprinting und jede Geräte-ID. Umgekehrt heißt das: Ein Anbieter, der dir "cookiefreies Tracking" verkauft, hat damit die Einwilligungsfrage nicht automatisch gelöst. Entscheidend ist, ob überhaupt etwas auf dem Gerät gespeichert oder daraus ausgelesen wird und ob dieser Vorgang für den Dienst erforderlich ist, den der Nutzer angefordert hat.

Absatz 2 der Vorschrift kennt genau zwei Ausnahmen. Die erste betrifft die reine Übertragung einer Nachricht über ein Netz, das ist technisch und in der Praxis selten relevant. Die zweite ist die wichtige: Der Zugriff ist unbedingt erforderlich, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann. Das Wort "unbedingt" ist eng gemeint. Erforderlich ist, was ohne den Zugriff schlicht nicht funktioniert: der Warenkorb, die Anmeldung, der Sicherheitstoken im Formular, die Sprachwahl, die Speicherung der Banner-Entscheidung selbst. Nicht erforderlich ist alles, was dem Betreiber nützt und nicht dem Nutzer: Statistik, Werbung, Optimierung, Zielgruppenbildung.

Ein zweiter Punkt räumt ein weit verbreitetes Missverständnis aus. Seit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework im Sommer 2023 ist die Übermittlung an dort zertifizierte US-Anbieter datenschutzrechtlich grundsätzlich abgedeckt. Viele lesen daraus, US-Dienste bräuchten jetzt keine Einwilligung mehr. Das stimmt nicht. Die Einwilligungspflicht aus § 25 TDDDG hängt am Zugriff auf das Endgerät, nicht am Ort der Verarbeitung. Google Analytics braucht Einwilligung, weil es etwas auf dem Gerät ablegt, nicht weil die Server in den USA stehen.

Die Prüfung Dienst für Dienst

Geh die Tabelle einmal mit deiner eigenen Seite durch. Bei den Zeilen mit "Ja" musst du entweder Einwilligung einholen oder den Dienst ersetzen. Bei den Zeilen mit "Nein" reicht ein Absatz in der Datenschutzerklärung. Die Spalte ganz rechts ist wichtiger als die Spalte davor, denn sie erklärt das Prinzip, mit dem du auch neue Dienste selbst einordnen kannst.

Die letzte Zeile hat in Deutschland eine eigene Geschichte. Das Landgericht München I hat Anfang 2022 einem Websitebesucher Schadensersatz zugesprochen, weil eine Seite Google Fonts dynamisch vom externen Server geladen und dabei seine IP-Adresse übertragen hatte. Danach lief eine Welle von Massen-Abmahnschreiben durchs Land, von denen viele selbst rechtsmissbräuchlich waren. Der praktische Lerneffekt bleibt trotzdem richtig: Schriften lokal einzubinden kostet zwanzig Minuten Arbeit, macht die Seite schneller und nimmt das Thema komplett vom Tisch.

03Der Fall, in dem du gar keinen Banner brauchst

Für einen großen Teil der Firmenwebsites ist die einwilligungsfreie Variante realistisch, ohne dass etwas fehlt.

Nimm eine typische Website eines Handwerksbetriebs, einer Kanzlei, einer Praxis oder eines Beraters: Startseite, Leistungen, Über uns, Referenzen, Kontakt, Impressum, Datenschutz. Was braucht so eine Seite wirklich? Sie muss schnell laden, gut aussehen, auf dem Handy funktionieren und dafür sorgen, dass Leute anrufen oder das Formular ausfüllen. Für keines dieser Ziele ist ein einziger einwilligungspflichtiger Dienst nötig. Wer die Seite von Anfang an so baut, kann den Banner komplett weglassen.

Das ist kein Verzicht auf Information, sondern eine Verschiebung. Du erfährst weiterhin, wie viele Leute die Seite besuchen, welche Seiten am häufigsten aufgerufen werden und über welche Suchbegriffe sie kommen. Nur eben aus Quellen, die keinen Zugriff auf das Endgerät brauchen: aus den Server-Logs, aus der Google Search Console für die Suchbegriffe und aus dem, was am Ende wirklich zählt, nämlich Anrufen und Formularanfragen. Was du nicht mehr bekommst, sind Zielgruppenprofile, geräteübergreifende Zuordnung und die bunten Verhaltensberichte. Für einen Betrieb mit fünfzig Anfragen im Monat ist das ein sehr kleiner Verlust.

• Schriften lokal einbinden statt vom Google-Server laden. Nebenbei ein Ladezeit-Gewinn.
• Karte als statisches Bild mit Adresse und Button "Route planen", der erst beim Klick zu Google oder Apple Maps führt.
• Videos als Vorschaubild mit Klick zum externen Player, oder das Video direkt auf dem eigenen Server ausliefern.
• Kontaktformular mit eigenem Spamschutz statt reCAPTCHA. Honeypot plus Zeitprüfung fängt in der Praxis den allergrößten Teil der Bots ab.
• Icons und Skripte lokal ablegen statt über ein CDN einzubinden.
• Statistik auf Server-Ebene oder cookielos, sauber konfiguriert und in der Datenschutzerklärung beschrieben.

Ein Punkt, der oft untergeht: Auch eine Seite ohne Banner braucht eine vollständige Datenschutzerklärung. Server-Logs, Hosting, Kontaktformular, Newsletter, eingebundene Schriften, all das gehört beschrieben. Der Banner ersetzt die Erklärung nicht, und die Erklärung ersetzt den Banner nicht. Es sind zwei verschiedene Pflichten, und die Datenschutzerklärung ist die, die immer gilt.

04Wie ein Banner aussieht, der hält

Vier Anforderungen entscheiden. Drei davon sind reine Gestaltungsfragen, und genau dort scheitern die meisten.

Eine wirksame Einwilligung ist nach der DSGVO freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich abgegeben. Diese vier Wörter klingen abstrakt, lassen sich aber direkt in Gestaltung übersetzen. Freiwillig heißt: Ablehnen darf nicht schwerer sein als Zustimmen. Für den konkreten Fall heißt: pro Zweck oder Dienst, nicht ein Schalter für alles. Informiert heißt: Der Nutzer weiß, wer was wozu bekommt, bevor er klickt. Unmissverständlich heißt: aktives Handeln, keine Vorauswahl, kein Weiterscrollen als Zustimmung.

Dass eine Vorauswahl nicht reicht, ist seit dem Planet49-Verfahren geklärt, das der Europäische Gerichtshof 2019 entschieden und der Bundesgerichtshof 2020 umgesetzt hat. Ein vorangekreuztes Kästchen ist keine Einwilligung. Alles außer den technisch notwendigen Diensten muss beim Öffnen des Banners auf "aus" stehen, und zwar sichtbar auf aus, nicht nur im Hintergrund.

Was auf die erste Ebene gehört

1. Ein Satz, der ehrlich sagt, worum es geht, und die Kategorien nennt (zum Beispiel Statistik und Marketing).
2. Einen Button "Alle akzeptieren" und daneben einen Button "Alle ablehnen". Gleiche Größe, gleiche Form, gleiche Farbwirkung, gleiche Position in der Reihe. Nicht ein bunter Knopf und ein grauer Link.
3. Einen dritten, gleich sichtbaren Weg zu den Einstellungen für die granulare Auswahl.
4. Links zu Datenschutzerklärung und Impressum, die auch ohne Klick auf einen der Buttons erreichbar sind.
5. Keine Sperre der Inhalte, die man ohne Einwilligung sehen können muss. Impressum und Datenschutzerklärung sind Pflichtseiten und dürfen nie hinter dem Banner verschwinden.

Auf der zweiten Ebene, den Einstellungen, gehört pro Dienst eine ehrliche Beschreibung: Name des Dienstes, Anbieter mit Firmensitz, Zweck in einem Satz, Speicherdauer der gesetzten Kennungen und ein Hinweis, wenn Daten in ein Drittland gehen. Das ist der Teil, den die meisten Banner-Plugins mit Standardtexten füllen, die zu den tatsächlich eingebundenen Diensten nicht passen. Wenn dort ein Dienst steht, den du nicht nutzt, oder einer fehlt, den du nutzt, ist die Einwilligung nicht informiert und damit angreifbar.

Der vierte Punkt wird am häufigsten vergessen: der Widerruf. Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung. Praktisch bedeutet das einen dauerhaft erreichbaren Link im Footer, der die Einstellungen wieder öffnet. Nicht versteckt in Absatz 14 der Datenschutzerklärung, nicht nur als Anleitung zum Löschen der Browser-Cookies. Ein Klick rein, ein Klick raus.

Zum Thema Cookie-Wall und Bezahlmodell eine kurze, ehrliche Einordnung: Der Europäische Datenschutzausschuss hat sich 2024 zu Consent-or-Pay-Modellen großer Online-Plattformen geäußert und dort sehr hohe Hürden formuliert. Für Verlage wird das Modell weiter diskutiert. Für eine normale Firmenwebsite ist es kein Thema. Wenn dein Handwerksbetrieb Besucher vor die Wahl "Tracking akzeptieren oder zahlen" stellt, hast du ein Konzeptproblem, kein Rechtsproblem.

05Die Fehler, die in fast jedem Banner stecken

Neun Muster, die du in fünf Minuten auf deiner eigenen Seite überprüfen kannst.

Die folgende Tabelle ist als Checkliste gebaut. Öffne deine Seite in einem frischen Inkognito-Fenster und geh die Zeilen der Reihe nach durch. Erfahrungsgemäß trifft bei einem gewachsenen Banner die Hälfte der Punkte zu, und die ersten beiden Zeilen sind mit Abstand am häufigsten.

06Weniger Tracking ist meistens die bessere Lösung

Für jeden einwilligungspflichtigen Dienst gibt es eine Alternative. Die Frage ist nur, was sie dich kostet.

Die ehrliche Frage vor jeder Consent-Diskussion lautet: Was tust du mit den Daten eigentlich? In der Praxis schauen die meisten Betriebe zwei Wochen nach dem Launch begeistert ins Dashboard und danach nie wieder. Wenn niemand aus den Zahlen eine Entscheidung ableitet, ist das Tracking kein Werkzeug, sondern eine Belastung: mehr Skripte, langsamere Seite, ein Banner, den jeder Besucher wegklicken muss, ein weiterer Auftragsverarbeitungsvertrag im Ordner und ein Punkt mehr, an dem etwas kaputtgehen kann.

Umgekehrt gibt es klare Fälle, in denen Tracking seinen Preis wert ist. Wer monatlich vierstellig in Google Ads steckt, braucht Conversion-Messung, sonst optimiert er blind. Wer einen Shop betreibt, will wissen, an welcher Stelle im Checkout die Leute abspringen. Wer über Monate A/B-Tests fährt, braucht belastbare Zahlen. In diesen Fällen baust du den Banner richtig und lebst mit den Ablehnungen. Alles dazwischen ist Gewohnheit.

Der Nebeneffekt ist messbar und wird oft unterschätzt. Jedes Drittanbieter-Skript kostet Ladezeit, und Ladezeit kostet Anfragen. Eine Seite mit drei externen Skripten, einem CDN-Font und einem Maps-iframe kommt selten über einen Lighthouse-Wert von 70, während dieselbe Seite ohne diese Einbindungen ohne Mühe im 95er-Bereich landet. Das ist einer der Gründe, warum wir bei Pixylmedia Schriften grundsätzlich lokal ausliefern und auf US-CDNs verzichten: Es ist gleichzeitig der datenschutzfreundlichere und der schnellere Weg. Welche Pflichten neben dem Banner noch dazugehören, steht ausführlicher im Ratgeber zur DSGVO-Checkliste für Websites.

07Technik, Nachweis und was das kostet

Ein Banner ist kein Textbaustein, sondern ein Stück Software, das gepflegt werden will.

Wenn du dich für Consent entscheidest, brauchst du drei Dinge, die zusammenarbeiten müssen: eine Consent-Lösung, die Auswahl und Widerruf abbildet, eine technische Blockierung, die Skripte tatsächlich erst nach Zustimmung ausführt, und eine Dokumentation, mit der du im Zweifel nachweisen kannst, wer wann in was eingewilligt hat. Die Nachweispflicht steht in Art. 7 Abs. 1 DSGVO und wird gern übersehen. Praktisch heißt sie: Deine Lösung muss die Einwilligungen protokollieren, mit Zeitstempel, Version des Banner-Textes und Umfang der Auswahl.

Die technische Blockierung ist der Teil, an dem gute und schlechte Lösungen sich unterscheiden. Es reicht nicht, wenn das Skript geladen und danach "abgeschaltet" wird, denn der Verbindungsaufbau zum Drittserver ist bereits erfolgt. Richtig ist, dass das Skript-Tag erst nach der Zustimmung in die Seite geschrieben wird. Bei eingebetteten Inhalten wie Videos und Karten bedeutet das einen Platzhalter, der erst beim Klick den echten Inhalt nachlädt.

Preisspannen als Erfahrungswert

Die folgenden Zahlen sind Erfahrungswerte aus Angeboten, die uns in Projekten begegnen, keine Marktstudie. Sie schwanken je nach Anbieter, Sprachanzahl und Seitengröße erheblich, geben dir aber eine Größenordnung, mit der du ein Angebot einordnen kannst. Wie du Angebote insgesamt sauber vergleichst, steht im Ratgeber zum Angebotsvergleich.

Zum Bußgeldrahmen eine nüchterne Einordnung, weil damit viel Angst verkauft wird. Der Rahmen der DSGVO reicht bei Verstößen gegen die Einwilligungsvorschriften bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Das ist der gesetzliche Rahmen für die schwersten Fälle, nicht das, was einem Malerbetrieb mit fehlendem Ablehnen-Button droht. Der realistische Ablauf für kleine Betriebe ist ein anderer: die Beschwerde eines Besuchers bei der Landesdatenschutzbehörde, ein Schreiben mit Fragen und einer Frist, meist eine Anordnung zur Abstellung. Ernst nehmen, ja. Panik, nein.

Ein Ausblick, der 2026 dazugehört: Mit der Einwilligungsverwaltungsverordnung gibt es in Deutschland seit 2025 einen Rahmen für anerkannte Dienste, über die Nutzer ihre Einwilligungen zentral verwalten können sollen. Die Idee ist gut, die Verbreitung in der Praxis bisher gering. Für die Entscheidung, die du heute triffst, spielt sie noch keine Rolle. Rechne aber damit, dass sich an dieser Stelle in den nächsten Jahren etwas bewegt, und wähle eine Lösung, die du wechseln kannst, ohne die halbe Seite umzubauen.

08Fazit: erst aufräumen, dann Banner bauen

Die Reihenfolge entscheidet über Aufwand, Kosten und darüber, ob am Ende überhaupt etwas gilt.

Der Cookie-Banner ist keine Pflichtübung, die man abhaken muss, sondern die Konsequenz aus dem, was deine Seite lädt. Wer diese Reihenfolge ernst nimmt, kommt in vielen Fällen ganz ohne Banner aus und hat gleichzeitig eine schnellere Seite. Wer einen braucht, weil er wirklich mit Anzeigen oder einem Shop arbeitet, sollte ihn richtig bauen: Ablehnen gleichwertig neben Akzeptieren, nichts vorangekreuzt, kein Skript vor der Entscheidung, Widerruf jederzeit im Footer.

Wenn du heute eine halbe Stunde investieren willst, mach es in dieser Reihenfolge: Erstens Inkognito-Fenster auf, Netzwerk-Tab öffnen, deine Seite laden und aufschreiben, welche fremden Domains vor deinem Klick angefragt werden. Zweitens für jeden Eintrag die Frage stellen, ob du ihn wirklich brauchst oder nur gewohnt bist. Drittens alles streichen, was du nicht brauchst, und den Rest sauber einbinden. Erst wenn danach noch etwas übrig bleibt, brauchst du einen Banner, und dann weißt du wenigstens genau, was er blockieren muss.

Und der ehrliche Hinweis zum Schluss: Wenn du eine reine Hobbyseite oder ein Vereinsprojekt ohne jedes Tracking betreibst, ist das alles in zwanzig Minuten selbst erledigt, und ein Dienstleister lohnt dafür nicht. Sinnvoll wird externe Hilfe, wenn eine gewachsene Seite über Jahre Plugins gesammelt hat und niemand mehr weiß, was da eigentlich lädt. Dann ist das Aufräumen die eigentliche Arbeit, nicht der Banner. Genau so gehen wir bei Pixylmedia auch an bestehende Seiten heran: erst inventarisieren, was tatsächlich geladen wird, dann entscheiden, was bleibt.

1. Prüfen, was die Seite ohne Klick lädt. Das ist die Faktenlage, alles andere ist Vermutung.
2. Alles entfernen, was keinen konkreten Nutzen für eine Entscheidung hat.
3. Schriften, Icons und Skripte lokal ausliefern, Karten und Videos erst auf Klick laden.
4. Nur wenn danach einwilligungspflichtige Dienste übrig sind: Banner bauen, mit gleichwertigem Ablehnen.
5. Datenschutzerklärung an den tatsächlichen Stand anpassen, nicht umgekehrt.
6. Einmal im Jahr wiederholen, denn Plugins und Updates schleppen gern neue Einbindungen ein.