Cookie-Banner und DSGVO: Was Ihre Website wirklich braucht und was nicht

Kaum ein Element auf Websites ist so unbeliebt wie der Cookie-Banner. Besucher klicken ihn genervt weg, Website-Betreiber fragen sich, ob er überhaupt nötig ist, und im Internet kursieren viele widersprüchliche Ratschläge. Manche Seiten zeigen gar keinen Banner, obwohl sie Tracking nutzen, andere blenden ihn ein, laden die Tracking-Codes aber trotzdem sofort.

Dabei ist die Grundidee einfach: Bevor eine Website Informationen auf dem Gerät eines Besuchers speichert oder ausliest, die dafür nicht unbedingt nötig sind, braucht sie dessen Einwilligung. Der Banner ist nur das Werkzeug, mit dem diese Einwilligung eingeholt wird. Wichtig vorab: Dieser Beitrag gibt einen allgemeinen Überblick aus Sicht einer Digitalagentur und ist keine Rechtsberatung. Für die Prüfung Ihrer konkreten Website sind Ihr Datenschutzbeauftragter oder ein Fachanwalt für IT- und Datenschutzrecht die richtigen Ansprechpartner.

In diesem Beitrag erfahren Sie, welche Regeln grundsätzlich gelten, wann ein Cookie-Banner Pflicht ist und wann nicht, was einen ordentlichen Banner ausmacht und welche Fehler wir in der Praxis häufig sehen.

Für Cookie-Banner sind in Deutschland vor allem zwei Regelwerke maßgeblich.

Das TDDDG

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, früher als TTDSG bekannt, regelt in § 25 den Schutz der Privatsphäre bei Endeinrichtungen, also etwa Computern und Smartphones. Laut dem Gesetzestext auf gesetze-im-internet.de ist das Speichern von Informationen auf dem Gerät des Nutzers oder der Zugriff darauf grundsätzlich nur zulässig, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat (Stand September 2026).

Eine Ausnahme gilt unter anderem, wenn das Speichern oder Auslesen unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann (§ 25 Abs. 2 Nr. 2 TDDDG).

Die DSGVO

Nach § 25 TDDDG haben Information und Einwilligung gemäß der Datenschutz-Grundverordnung zu erfolgen. Die DSGVO definiert in Artikel 4 Nr. 11 die Einwilligung als freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung. Laut Artikel 7 Abs. 3 DSGVO kann eine Einwilligung jederzeit widerrufen werden, und der Widerruf muss so einfach sein wie die Erteilung (Quelle: Verordnung (EU) 2016/679, EUR-Lex, Stand September 2026).

Die entscheidende Frage lautet nicht „Nutzt meine Website Cookies?“, sondern: Werden Informationen gespeichert oder ausgelesen, die für den gewünschten Dienst nicht unbedingt erforderlich sind? Und werden dabei personenbezogene Daten verarbeitet oder an Dritte übertragen?

In der Regel ohne Einwilligung möglich

• Technisch notwendige Funktionen: etwa der Warenkorb in einem Shop, eine Anmeldung im Kundenbereich oder die Speicherung der Cookie-Auswahl selbst.
• Sicherheitsfunktionen: die für den Betrieb der Seite erforderlich sind.

In der Regel mit Einwilligung

• Analyse- und Statistik-Tools: die das Verhalten der Besucher auswerten.
• Marketing- und Werbe-Pixel: etwa von Google, Meta oder anderen Werbenetzwerken.
• Eingebettete Inhalte von Drittanbietern: Videos, Karten, Social-Media-Beiträge oder extern geladene Schriften, bei denen Daten wie die IP-Adresse an Dritte übertragen werden können.

Die Einordnung im Einzelfall kann schwierig sein und hängt von der konkreten Technik ab. Lassen Sie im Zweifel prüfen, welche Dienste auf Ihrer Seite laufen und wie sie einzuordnen sind.

Nutzt eine Website ausschließlich technisch notwendige Funktionen, ist ein Einwilligungsbanner nach dieser Logik in der Regel nicht erforderlich. Die Informationspflichten der DSGVO, insbesondere eine vollständige Datenschutzerklärung, gelten trotzdem.

Ein Banner, der nur „Diese Seite verwendet Cookies. OK“ anzeigt, holt keine echte Einwilligung ein. Aus den Anforderungen an die Einwilligung ergeben sich einige Grundsätze, die ein guter Banner erfüllen sollte:

• Echte Wahl: Besucher können zustimmen oder ablehnen. Aus unserer Sicht sollte das Ablehnen genauso leicht erreichbar sein wie die Zustimmung.
• Keine vorausgewählten Häkchen: In Erwägungsgrund 32 der DSGVO heißt es, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen sollten.
• Verständliche Information: Welche Dienste werden genutzt, zu welchem Zweck, und wer ist der Anbieter?
• Auswahl nach Zwecken: etwa Statistik und Marketing getrennt, damit Besucher gezielt entscheiden können.
• Jederzeit änderbar: ein Link, zum Beispiel im Fußbereich der Seite, über den Besucher ihre Auswahl später anpassen oder widerrufen können.
• Nachweisbar: Die Einwilligung wird protokolliert, damit Sie sie belegen können.

Auch die Bedienbarkeit zählt. Der Banner ist oft das Erste, was Besucher sehen. Er sollte gut lesbar sein und sich auch per Tastatur bedienen lassen. Bei den Webseiten, die wir bauen, ist Barrierefreiheit nach WCAG 2.1 AA Standard, und das beziehen wir auf den Banner mit ein. Mehr zu diesem Thema lesen Sie in unserem Beitrag Barrierefreiheit im Web: Was für Ihre Website gilt.

Der sichtbare Banner ist nur die halbe Arbeit. Entscheidend ist, was im Hintergrund passiert. Einwilligungspflichtige Dienste dürfen erst dann geladen werden, wenn der Besucher zugestimmt hat. Das übernimmt in der Regel ein sogenanntes Consent-Management-Tool, das Skripte, Pixel und eingebettete Inhalte zurückhält, bis eine Zustimmung vorliegt.

So prüfen Sie Ihre Seite grob selbst

Öffnen Sie Ihre Website in einem privaten Browserfenster und klicken Sie im Banner auf „Ablehnen“. Werden danach trotzdem Videos von Drittanbietern angezeigt oder Karten geladen, ohne dass Sie zugestimmt haben, ist das ein Hinweis, dass die Technik nicht sauber arbeitet. Eine fachliche Prüfung ersetzt dieser Test nicht, er zeigt aber schnell, ob Handlungsbedarf besteht.

Banner und Datenschutzerklärung gehören zusammen

Die Angaben im Banner und in der Datenschutzerklärung müssen zueinander passen. Wird ein neues Tool eingebaut, etwa ein Chat oder ein neues Werbe-Pixel, müssen beide angepasst werden. Das wird in der Praxis häufig vergessen.

Viele Probleme entstehen nicht aus Absicht, sondern weil eine Website über Jahre gewachsen ist und niemand den Überblick behalten hat. Diese Punkte sehen wir bei Website-Checks immer wieder:

• Tracking läuft vor der Zustimmung: Der Banner erscheint, aber Analyse- oder Werbe-Codes sind bereits geladen.
• Nur ein „OK“-Button: Es gibt keine echte Möglichkeit abzulehnen.
• Vergessene Einbindungen: Ein Video, eine Karte oder extern geladene Schriften übertragen Daten, ohne dass der Banner sie erfasst.
• Veraltete Liste: Im Banner stehen Dienste, die längst entfernt wurden, neue fehlen.
• Kein Weg zurück: Besucher können ihre Einwilligung später nicht ändern oder widerrufen.

Checkliste für Ihre Website

• Liste aller eingebundenen Dienste und Tools erstellen
• Jeden Dienst als notwendig oder einwilligungspflichtig einordnen lassen
• Consent-Tool so einrichten, dass Nicht-Notwendiges erst nach Zustimmung lädt
• Datenschutzerklärung mit der Liste abgleichen
• Test mit „Ablehnen“ in einem privaten Browserfenster
• Einstellungen dauerhaft über einen Link erreichbar machen
• Ergebnis von Datenschutzbeauftragtem oder Fachanwalt prüfen lassen

Der einfachste Weg zu einem schlanken Banner ist eine Website, die von vornherein wenig externe Dienste nutzt. Das reduziert nicht nur den Abstimmungsaufwand, sondern macht die Seite oft auch schneller.

• Schriften lokal einbinden: statt sie bei jedem Aufruf von einem externen Server zu laden.
• Videos und Karten erst per Klick laden: mit einem Vorschaubild und einem kurzen Hinweis, dass beim Abspielen Daten an den Anbieter übertragen werden.
• Nur Tools, die wirklich genutzt werden: Jedes Werkzeug, das niemand auswertet, ist unnötiger Ballast.

Beim Aufbau neuer Seiten setzen wir externe Dienste bewusst und sparsam ein, auf beiden Wegen: Unsere Festpreis-Pakete (Basic, Advanced und Individual von 64 bis 329 €/Monat plus Setup, zzgl. MwSt.) sind in 5 bis 20 Werktagen online, Wartung, Updates, Backups und Sicherheit inklusive. Individualprojekte mit eigenem Konzept, eigenem Theme, Schnittstellen oder Konfiguratoren, wie die meisten unserer Referenzen, planen wir individuell, Corporate-Websites starten ab 10.000 € zzgl. MwSt. Ein Paket passt für eine klare Unternehmensseite mit wenigen Diensten, ein Individualprojekt, wenn viele Tools, Portale oder Anbindungen zusammenspielen. Die rechtliche Bewertung der eingesetzten Dienste bleibt dabei Aufgabe Ihres Datenschutzbeauftragten oder eines Fachanwalts, wir setzen die technische Seite um.

Brauche ich einen Cookie-Banner, wenn ich gar kein Tracking nutze?

Wenn Ihre Website ausschließlich technisch notwendige Funktionen verwendet und keine einwilligungspflichtigen Dienste einbindet, ist ein Einwilligungsbanner in der Regel nicht nötig. Prüfen Sie aber genau, ob wirklich keine Videos, Karten, externen Schriften oder Pixel geladen werden. Eine Datenschutzerklärung brauchen Sie in jedem Fall.

Reicht ein kostenloses Cookie-Plugin für WordPress?

Das hängt davon ab, ob es einwilligungspflichtige Dienste tatsächlich blockiert, bis zugestimmt wurde, und ob es sauber konfiguriert ist. Ein Plugin, das nur einen Hinweis anzeigt, reicht dafür nicht. Entscheidend ist die Einrichtung, nicht der Name des Tools.

Wer ist verantwortlich, wenn der Banner nicht korrekt ist?

Verantwortlich für die Website ist grundsätzlich der Betreiber, also Ihr Unternehmen. Eine Agentur kann die Technik umsetzen, die rechtliche Einschätzung sollte aber ein Datenschutzbeauftragter oder Fachanwalt vornehmen.

Wie oft sollte ich meinen Cookie-Banner überprüfen?

Immer dann, wenn neue Tools, Plugins oder eingebettete Inhalte hinzukommen, und darüber hinaus in regelmäßigen Abständen. Auch Updates von Plugins können verändern, welche Daten übertragen werden.