Cookie-Banner und Consent rechtssicher gestalten (§ 25 TDDDG)

Der Cookie-Banner ist das sichtbarste Datenschutz-Element jeder Website und zugleich eine der häufigsten Fehlerquellen. Aufsichtsbehörden prüfen Banner gezielt, Verbraucherverbände und Wettbewerber mahnen ab. Wir prüfen Ihren Consent-Banner und die eingebundenen Dienste, schlagen eine rechtssichere Konfiguration vor und stimmen sie mit der Datenschutzerklärung ab.

Zwei Gesetze, zwei Prüfungen

Beim Einsatz von Cookies und vergleichbaren Technologien (Local Storage, Pixel, Fingerprinting, SDKs in Apps) sind zwei Ebenen zu unterscheiden:

1. Zugriff auf das Endgerät – § 25 TDDDG: Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf sind nur mit Einwilligung zulässig, es sei denn, sie sind unbedingt erforderlich, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann (oder für die Übertragung einer Nachricht). Das gilt unabhängig davon, ob personenbezogene Daten betroffen sind. Das TDDDG hieß bis Mai 2024 TTDSG – mehr dazu auf der Seite TDDDG.
2. Weitere Verarbeitung – DSGVO: Für die anschließende Verarbeitung der Daten, etwa für Reichweitenmessung, Profilbildung oder Werbung, braucht es eine Rechtsgrundlage nach Art. 6 DSGVO; in der Praxis meist ebenfalls die Einwilligung.

Anforderungen an eine wirksame Einwilligung

Die Einwilligung richtet sich auch im TDDDG nach den Maßstäben der DSGVO (Art. 4 Nr. 11, Art. 7). Sie muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich erteilt werden. Der EuGH hat entschieden, dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung ist (Urteil vom 1. Oktober 2019, C-673/17, Planet49); der BGH ist dem gefolgt (Urteil vom 28. Mai 2020, I ZR 7/16, Cookie-Einwilligung II). Daraus ergeben sich in der Praxis folgende Anforderungen:

• Keine einwilligungsbedürftigen Cookies oder Skripte vor der Entscheidung des Nutzers,
• „Ablehnen“ muss auf der ersten Ebene ebenso einfach möglich sein wie „Akzeptieren“ – kein versteckter Link, keine irreführende Farbgebung,
• klare Angaben zu Zwecken, Anbietern, Speicherdauer und Drittlandübermittlungen,
• granulare Auswahl nach Zwecken bzw. Diensten,
• jederzeitiger, einfacher Widerruf, z. B. über einen dauerhaft erreichbaren Link,
• Nachweisbarkeit der Einwilligung (Art. 7 Abs. 1 DSGVO).

Was ist „unbedingt erforderlich“?

Ohne Einwilligung zulässig sind in der Regel Session-Cookies für Warenkorb und Login, Cookies zur Speicherung der Consent-Entscheidung selbst, Lastverteilung und sicherheitsrelevante Funktionen. Nicht dazu gehören nach der Auffassung der Aufsichtsbehörden regelmäßig Marketing- und Retargeting-Pixel, die meisten Analyse-Tools, eingebettete Videos und Karten von Drittanbietern oder Social-Media-Plugins. Hier kommt es auf die konkrete Konfiguration an – etwa bei datensparsam eingestellten, selbst gehosteten Reichweitenmessungen.

Consent Management, TCF und Consent Mode

Viele Websites setzen Consent-Management-Plattformen und das Transparency & Consent Framework (TCF) ein. Der EuGH hat entschieden, dass die im TCF erzeugte Zeichenfolge (TC-String) ein personenbezogenes Datum sein kann und der Branchenverband als gemeinsam Verantwortlicher in Betracht kommt (Urteil vom 7. März 2024, C-604/22, IAB Europe). Auch Mechanismen wie der Google Consent Mode entbinden nicht von der Prüfung, welche Daten vor und nach der Einwilligung tatsächlich übertragen werden.

Seit dem 1. April 2025 gilt außerdem die Einwilligungsverwaltungsverordnung (EinwV) auf Grundlage von § 26 TDDDG. Sie regelt anerkannte Dienste zur Einwilligungsverwaltung, über die Nutzer ihre Entscheidungen zentral verwalten können. Eine Pflicht, einen solchen Dienst einzusetzen, besteht nicht; der klassische Banner bleibt daneben maßgeblich.

Ausblick: Die EU berät im Rahmen des „Digital Omnibus“ über Erleichterungen bei den Cookie-Regeln, etwa für Reichweitenmessung. Beschlossen ist bislang nichts (Stand: November 2026); es gelten § 25 TDDDG und die DSGVO.

Risiken eines fehlerhaften Banners

• Anordnungen und Bußgelder der Aufsichtsbehörden,
• Abmahnungen und Unterlassungsklagen durch Verbraucherverbände und Wettbewerber,
• Schadensersatzforderungen von Nutzern, etwa wegen Übermittlungen an Drittanbieter,
• verfälschte Analysedaten und unwirksame Werbe-Einwilligungen.

Unser Cookie-Banner-Check

1. Technische Erfassung: Welche Cookies, Skripte und Datenflüsse entstehen vor und nach der Einwilligung?
2. Rechtliche Bewertung jedes Dienstes: erforderlich oder einwilligungsbedürftig, Drittlandbezug, AVV oder gemeinsame Verantwortlichkeit.
3. Prüfung von Gestaltung und Texten des Banners.
4. Abstimmung mit der Datenschutzerklärung.
5. Ergebnisbericht mit priorisierten Maßnahmen für Ihre Agentur oder IT.

Häufige Fragen

Brauche ich einen Cookie-Banner, wenn ich nur technisch notwendige Cookies nutze?

Nein, für unbedingt erforderliche Cookies ist keine Einwilligung nötig. Sie müssen aber in der Datenschutzerklärung darüber informieren. Prüfen Sie genau, ob wirklich keine Drittanbieter-Inhalte (Schriften, Videos, Karten) nachgeladen werden.

Ist ein „Pay or OK“-Modell zulässig?

Abo-Modelle als Alternative zur Einwilligung in Tracking werden von Aufsichtsbehörden unter strengen Voraussetzungen für möglich gehalten, insbesondere bei einem angemessenen Preis und einer gleichwertigen Alternative. Die Rechtslage ist im Fluss; wir prüfen Ihr Modell im Einzelfall.