Kaum ein Thema erzeugt so viel Unsicherheit wie das Cookie-Banner. Die einen bauen gar keins ein, die anderen ein solches, das mit einem Klick alles zulässt und das Ablehnen hinter drei Menüs versteckt. Beides ist angreifbar.
Dabei ist die Rechtslage seit dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz einigermaßen klar. Dieser Beitrag ordnet, was Pflicht ist und was nicht, und ist ausdrücklich keine Rechtsberatung.
Das Wichtigste in Kürze
Ein Banner ist nur nötig, wenn nicht notwendige Dienste eingesetzt werden.
Ablehnen muss genauso einfach sein wie Zustimmen, auf derselben Ebene.
Nichts darf vorangekreuzt sein, und Weiterscrollen ist keine Einwilligung.
Die Entscheidung muss widerrufbar sein, also jederzeit änderbar.
Dienste dürfen erst nach der Zustimmung laden, nicht vorher.
Wann Sie kein Banner brauchen
Wer nur technisch notwendige Dinge einsetzt, braucht keine Einwilligung und damit auch kein Banner. Technisch notwendig sind zum Beispiel eine Sitzungskennung für den Warenkorb, ein Schutz gegen automatisierte Formularmissbräuche und die Speicherung der Cookie-Entscheidung selbst.
Eine schlichte Unternehmensseite ohne Analyse, ohne eingebettete Karte, ohne Videoeinbindung und mit selbst ausgelieferten Schriften kommt ohne Banner aus. Die Datenschutzerklärung braucht sie trotzdem.
Praxistipp: Prüfen Sie zuerst, was Sie wirklich brauchen. Ein entferntes Werkzeug ist besser als ein zusätzlicher Einwilligungsdialog, und die Seite wird nebenbei schneller.
Wann ein Banner Pflicht ist
Sobald etwas geladen wird, das nicht für den Betrieb notwendig ist, braucht es eine vorherige Einwilligung. Typische Fälle:
Analysewerkzeuge, auch anonymisierte
Werbepixel von sozialen Netzwerken
Eingebettete Karten, Videos und Schriftarten von fremden Servern
Chatfenster und Terminbuchungen von Drittanbietern
Bewertungswidgets, die Daten an den Anbieter senden
Wie ein zulässiges Banner aussieht
Die Anforderungen lassen sich auf fünf Punkte verkürzen:
Der häufigste Fehler in der Praxis ist der versteckte Ablehnen-Knopf: klein, grau, unter „Einstellungen". Das ist genau der Punkt, an dem Aufsichtsbehörden und Abmahner ansetzen.
Anforderung | Was das heißt |
Gleichwertigkeit | Ablehnen genauso sichtbar wie Zustimmen, gleiche Größe und Ebene |
Keine Vorauswahl | Nichts angekreuzt außer notwendigen Diensten |
Aktive Handlung | Weiterscrollen oder Wegklicken gilt nicht als Zustimmung |
Information | Verständlich, welche Zwecke und welche Anbieter |
Widerruf | Jederzeit änderbar, etwa über einen Link im Fußbereich |
Der technische Teil, der oft vergessen wird
Ein Banner, das anzeigt, aber nichts blockiert, ist wertlos. Entscheidend ist, dass die Dienste erst nach der Zustimmung geladen werden.
Prüfen lässt sich das in den Entwicklerwerkzeugen des Browsers: Seite aufrufen, nichts anklicken, und im Netzwerk-Reiter schauen, ob bereits Anfragen an fremde Server gehen. Wenn dort vor jeder Entscheidung Aufrufe an Analyse- oder Werbedienste stehen, ist die Einrichtung fehlerhaft.
Praxistipp: Testen Sie im privaten Fenster. Im normalen Browser ist Ihre eigene Entscheidung meist schon gespeichert, und Sie sehen das Banner gar nicht mehr.
Was bei Verstößen droht
Zuständig sind die Datenschutzaufsichtsbehörden der Länder, die Beschwerden nachgehen und Bußgelder verhängen können. Daneben können Wettbewerber und Verbände abmahnen.
In der Praxis beginnen die meisten Fälle mit einer Beschwerde eines Besuchers oder mit einer automatisierten Prüfung, die auffällige Seiten findet. Die häufigsten Beanstandungen sind Dienste, die vor der Einwilligung laden, und fehlende Ablehnmöglichkeit.
Google Fonts als Sonderfall
Ein Sonderfall mit eigener Abmahnwelle sind Schriften, die direkt von Google-Servern geladen werden. Dabei wird die IP-Adresse des Besuchers ohne Einwilligung übertragen. Ein Landgericht hat dazu 2022 Schadenersatz zugesprochen, danach kamen massenhaft Abmahnschreiben.
Die Lösung ist einfach und nebenbei schneller: Schriften herunterladen und selbst ausliefern.
Wichtige Erkenntnisse
Punkt | Was zu tun ist |
Prüfen | Erst klären, welche Dienste wirklich gebraucht werden |
Gleichwertig | Ablehnen so einfach wie Zustimmen |
Blockieren | Dienste erst nach Einwilligung laden, im Netzwerk-Reiter prüfen |
Widerruf | Link im Fußbereich, jederzeit änderbar |
Schriften | Lokal einbinden statt von fremden Servern |
Was das in der Praxis heißt
Der pragmatische Weg führt über das Aufräumen: Was nicht gebraucht wird, fliegt raus. Danach ist die Einwilligung meist auf zwei oder drei Dienste beschränkt, und das Banner wird einfach.
Wer viele Werkzeuge einsetzt, braucht eine Lösung, die tatsächlich blockiert, und sollte den Zustand einmal fachkundig prüfen lassen. Dieser Beitrag ersetzt das nicht.
Wie wir das machen
Auf unserer eigenen Seite steht die Einwilligung standardmäßig auf abgelehnt, und Analyse wie Werbepixel laden erst nach Zustimmung. Ablehnen steht gleichberechtigt neben Zustimmen.
Wenn Sie wissen wollen, wie Ihre Seite dasteht, sehen wir uns das im Erstgespräch an.
Nützliche Quellen
Häufige Fragen
Reicht ein Hinweis ohne Auswahl?
Nein. Ein reiner Hinweis erfüllt die Anforderungen an eine Einwilligung nicht.
Darf ich Nutzer ohne Einwilligung aussperren?
Sogenannte Cookie-Paywalls sind umstritten und für normale Unternehmensseiten weder nötig noch empfehlenswert.
Brauche ich ein kostenpflichtiges Werkzeug?
Nicht zwingend. Entscheidend ist, dass tatsächlich blockiert wird, nicht welches Produkt das übernimmt.
Gilt das auch für kleine Seiten?
Ja. Die Pflichten hängen nicht von der Unternehmensgröße ab, sondern von den eingesetzten Diensten.
Passend dazu
Was sonst rechtlich auf jede Seite gehört, steht in Impressumspflicht und Datenschutzerklärung.
