Inhalt
Warum das Thema 2026 aktueller ist denn je
Seit das TTDSG – heute TDDDG (Telekommunikation-Telemedien-Datenschutzgesetz) in Kraft ist, ist die Rechtslage zu Cookies und ähnlichen Tracking-Technologien klarer – aber auch strenger. Abmahnwellen laufen regelmäßig, und die Datenschutzbehörden schauen genauer hin. Dieser Artikel ordnet, was Pflicht ist und was häufig falsch gemacht wird.
Wir prüfen bei Webpelikan in Relaunches und Wartungsprojekten regelmäßig bestehende Consent-Setups. Dabei wiederholen sich dieselben technischen Fehler auffällig oft – genau darauf fokussiert dieser Leitfaden.
Was ein Cookiebanner leisten muss
Ein rechtskonformer Cookiebanner erfüllt in der EU (und damit in Deutschland) drei Kernanforderungen:
- Informierte Einwilligung: Nutzer müssen vor dem Setzen nicht-essenzieller Cookies eine echte Wahl haben. Die Einwilligung muss freiwillig, spezifisch und informiert sein.
- Nicht-essenzielle Dienste werden erst nach Einwilligung aktiviert: Google Analytics, Facebook Pixel, YouTube-Einbettungen usw. dürfen NICHT schon beim Laden der Seite Daten erheben.
- Widerruf so einfach wie Einwilligung: Wenn ich „Alle akzeptieren” mit einem Klick kann, muss auch „Alle ablehnen” mit einem Klick gehen.
Was häufig falsch gemacht wird
Der „Nur Akzeptieren”-Banner
Banner, die nur einen „OK”- oder „Akzeptieren”-Button zeigen und kein „Ablehnen”-Äquivalent, sind rechtswidrig. Keine Ausnahme.
„Ablehnen” versteckt unter „Einstellungen”
Wenn ich auf der obersten Ebene nur „Alle akzeptieren” sehe und für „Ablehnen” erst einen zweiten Dialog öffnen muss, ist das laut EuGH-Urteil „Planet49" keine echte Wahlfreiheit. Beide Optionen müssen auf derselben Ebene, optisch gleichwertig zugänglich sein.
Dark Patterns in Farben und Buttons
„Akzeptieren” in grellem Grün, „Ablehnen” als grauer Textlink – das ist ein Dark Pattern und wird zunehmend als rechtswidrig bewertet.
Tracking vor Einwilligung
Viele Seiten laden Google Analytics bereits beim ersten Seitenaufruf, bevor der Banner überhaupt angezeigt wird. Das ist der häufigste und gleichzeitig gravierendste Fehler. Selbst wenn der Nutzer dann ablehnt, sind Daten bereits an Google geflossen.
„Cookie-Wall” ohne Alternativen
Manche Seiten blockieren den Zugriff komplett, bis jemand einwilligt („Akzeptieren oder Seite verlassen”). Das ist in den meisten Fällen unzulässig, weil es die Freiwilligkeit untergräbt.
Falsche Einordnung von Diensten
Viele Banner deklarieren Google Fonts, YouTube-Einbettungen oder Google Maps als „funktional notwendig”. Das stimmt rechtlich in aller Regel nicht – diese Dienste sind nicht-essenziell und brauchen eine Einwilligung.
So sieht ein konformer Cookiebanner aus
- Beim ersten Besuch: Banner mit klaren, gleichgewichtigen Buttons „Alle akzeptieren” und „Alle ablehnen”. Dritter Button „Einstellungen” für granulare Auswahl.
- Granulare Einstellungen: Kategorien wie „Statistik”, „Marketing”, „Externe Medien” einzeln aktivierbar. Essenzielle Cookies (für Warenkorb, Login etc.) erklärt, aber nicht abwählbar.
- Informationspflichten: Pro Dienst: Anbieter, Zweck, Speicherdauer, Empfängerland (wichtig für US-Dienste), Verlinkung zur Datenschutzerklärung.
- Vor Einwilligung passiert nichts: Keine Skripte, keine Pixel, keine IP-Übermittlung.
- Widerruf jederzeit: Kleiner, dauerhaft sichtbarer Link („Cookie-Einstellungen” im Footer) öffnet erneut den Dialog.
Technische Umsetzung
Es gibt zwei realistische Wege:
1. Etablierte Consent-Management-Plattform (CMP): Anbieter wie Usercentrics, CookieYes, Cookiebot, Borlabs Cookie (für WordPress) oder Iubenda liefern rechtlich gepflegte Lösungen. Kosten: 8–50 €/Monat je nach Traffic und Anzahl Domains. Vorteil: Rechtliche Aktualität wird vom Anbieter gepflegt.
2. Eigenentwicklung: Bei einfachen Setups (nur Analytics, kein komplexes Marketing-Stack) ist eine eigene Consent-Lösung möglich. Sie muss aber die gleichen Pflichten erfüllen – das wird oft unterschätzt.
Unsere Empfehlung für KMU: Usercentrics oder CookieYes, je nach Plan-Struktur. Borlabs Cookie bei WordPress-Projekten. Selbstentwicklung nur bei triftigen Gründen.
Was essenzielle Cookies wirklich sind
Als essenziell gelten nur Cookies, ohne die die gewünschte Funktion nicht erbracht werden kann. Typische Beispiele:
- Session-ID für Logins
- Warenkorb-Speicher
- Sprach- und Regionaleinstellungen während der Sitzung
- CSRF-Schutz
- Consent-Cookie selbst (also die Wahl, die der Nutzer gerade getroffen hat)
Nicht essenziell sind:
- Google Analytics (auch nicht in der „anonymisierten” Variante)
- Fonts von Google, Fonts.com, Adobe Fonts (Schriften müssen selbst gehostet werden oder brauchen Einwilligung)
- YouTube-, Vimeo-, Spotify-Einbettungen
- Google Maps
- Facebook-, LinkedIn-, TikTok-Pixel
- Heatmapping-Tools (Hotjar, Microsoft Clarity)
Häufig gestellte Fragen
Brauche ich auch einen Banner, wenn ich gar kein Google Analytics nutze?
Vielleicht. Sobald Ihre Seite externe Schriftarten, eingebettete Videos, Social-Media-Widgets oder Karten nutzt, besteht Einwilligungspflicht. Eine Banner-freie Seite ist nur möglich, wenn wirklich nichts Externes eingebunden ist.
Was passiert, wenn ich mich nicht daran halte?
Bußgelder der Datenschutzbehörden (DSGVO-Verstoß Art. 83 DSGVO: bis 20 Mio. € oder 4 % des Jahresumsatzes). Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände. In der Praxis werden bei KMU eher Unterlassungsansprüche und Abmahnkosten im dreistelligen bis niedrigen vierstelligen Bereich relevant. Für Unternehmen in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) die zuständige Behörde.
Reicht ein „By clicking anywhere you agree” (kein Banner)?
Nein. Das ist keine informierte Einwilligung. Der EuGH hat das explizit festgestellt.
Dürfen Analytics-Daten serverseitig erhoben werden, ohne Banner?
Nur unter sehr engen Voraussetzungen (keine personenbezogenen Daten, keine Weitergabe an Dritte). In der Praxis ist das eine juristische Grauzone, die sauberer mit Banner gelöst wird.
Unser Tipp
Wenn Sie sich nicht sicher sind, ob Ihr aktueller Cookiebanner rechtskonform ist: Lassen Sie ihn einmal durch ein Tool wie cookieserve.com oder 2gdpr.com prüfen. Die Tools zeigen, welche Dienste vor Einwilligung bereits Daten übertragen. Das ist die häufigste und teuerste Falle.