Cookie-Banner-Pflicht in Deutschland: Rechtssicher umsetzen

Kurz gesagt:

• Ein Cookie-Banner ist in Deutschland für Websites Pflicht, die Cookies über technische Notwendigkeit hinaus verwenden. Es müssen Nachweise über Einwilligungen geführt, Daten korrekt dokumentiert und rechtskonforme Gestaltung umgesetzt werden. Verstöße können Bußgelder und Abmahnungen nach sich ziehen.

Ja, für die meisten Webseitenbetreiber in Deutschland ist ein Cookie-Banner Pflicht. Das gilt nicht nur für große E-Commerce-Plattformen oder Nachrichtenportale, sondern auch für kleine Firmenwebsites, Arztpraxen und lokale Dienstleister, sobald sie Cookies oder ähnliche Tracking-Technologien einsetzen, die nicht technisch unbedingt erforderlich sind. Die Rechtsgrundlage ist doppelt: §25 TDDDG (früher §25 TTDSG) regelt den Zugriff auf das Endgerät, die DSGVO regelt die anschließende Datenverarbeitung. Beide greifen ineinander, und ein berechtigtes Interesse reicht für den Gerätezugriff nicht aus.

Drei Sofortmaßnahmen, wenn Sie noch keinen rechtskonformen Banner haben:

1. Banner aktivieren und sicherstellen, dass vor der Einwilligung keine nicht notwendigen Skripte laden.

2. Prüfen, ob die Ablehnen-Option auf der ersten Banner-Ebene genauso sichtbar ist wie „Alle akzeptieren“.

3. Consent-Logging einschalten, damit Sie Einwilligungen gegenüber Behörden nachweisen können.

TL;DR für Eilige:

• Einwilligung ist Pflicht für Analytics, Werbung, Personalisierung und Social-Media-Widgets.

• Technisch notwendige Cookies (Warenkorb, Login, Spracheinstellung) sind ausgenommen, müssen aber dokumentiert sein.

• Dark Patterns wie vorausgewählte Checkboxen oder versteckte Ablehnen-Buttons sind verboten.

• Consent-Logs müssen aufbewahrt und auf Anfrage vorgelegt werden können.

• Verstöße können Bußgelder und Abmahnungen nach sich ziehen.

Inhaltsverzeichnis

• Was ist die rechtliche Grundlage für die Cookie-Banner-Pflicht?

• Welche Cookies brauchen eine Einwilligung, welche nicht?

• Wie muss ein rechtskonformes Cookie-Banner aussehen?

• Schritt für Schritt: Wie Sie einen rechtskonformen Banner umsetzen

• Was müssen Sie protokollieren und wie lange aufbewahren?

• Was sind PIMS und Browser-Signale, und was bedeuten sie für Sie?

• Wie Rheinmarketing Cookie-Compliance für Kunden umsetzt

• Wichtige Erkenntnisse

• Warum Cookie-Compliance auch wirtschaftlich sinnvoll ist

• Rheinmarketing unterstützt Sie bei der technischen Umsetzung

• Weiterführende Quellen und Orientierungshilfen

• FAQ

Was ist die rechtliche Grundlage für die Cookie-Banner-Pflicht?

Die Pflicht zur Cookie-Banner-Einholung ergibt sich aus zwei Normen, die zusammen gelesen werden müssen.

§25 TDDDG verbietet es, ohne Einwilligung auf einem Endgerät Informationen zu speichern oder abzurufen. Das betrifft Cookies, aber auch Fingerprinting, LocalStorage und ähnliche Techniken. Ausnahmen gelten nur, wenn der Zugriff „unbedingt erforderlich“ ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst erbracht werden kann. Der Begriff ist eng auszulegen: Komfort-Funktionen oder Reichweitenmessung fallen nicht darunter.

Die DSGVO setzt dann an, sobald personenbezogene Daten verarbeitet werden. Art. 4 Nr. 11 DSGVO definiert Einwilligung als freiwillige, informierte, unmissverständliche und spezifische Willensbekundung. Art. 6 regelt die Rechtmäßigkeit der Verarbeitung, Art. 7 die Bedingungen für die Einwilligung selbst, darunter die Nachweispflicht und das jederzeitige Widerrufsrecht.

„Die Einwilligung muss so einfach zu widerrufen sein, wie sie erteilt wurde. Wer Zustimmung per Klick einholt, muss Ablehnung und Widerruf ebenfalls per Klick ermöglichen.“

Aus der DSK-Orientierungshilfe für Anbieter digitaler Dienste (OH Digitale Dienste)

Als Auslegungsinstanzen sind drei Stellen besonders relevant:

• DSK (Datenschutzkonferenz): Koordiniert die deutschen Aufsichtsbehörden und veröffentlicht Orientierungshilfen, zuletzt die OH Digitale Dienste, die konkrete Anforderungen an Banner und Consent-Management formuliert.

• BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit): — Gibt Rundschreiben und Leitfäden heraus, die für Bundesbehörden verbindlich und für alle anderen als starkes Auslegungssignal zu verstehen sind.

Verstöße können teuer werden. Aufsichtsbehörden können Bußgelder nach Art. 83 DSGVO verhängen, Wettbewerber können wegen unlauteren Wettbewerbs abmahnen. Beides ist in Deutschland bereits vielfach passiert.

Welche Cookies brauchen eine Einwilligung, welche nicht?

Die entscheidende Trennlinie zieht §25 TDDDG: technisch unbedingt erforderlich versus alles andere.

Keine Einwilligung erforderlich:

• Session-Cookies für den Warenkorb oder den Login-Status

• Cookies zur Speicherung von Spracheinstellungen, die der Nutzer selbst gewählt hat

• Load-Balancing-Cookies, die ausschließlich der Serverinfrastruktur dienen

• Sicherheits-Cookies (z. B. CSRF-Token)

Einwilligung zwingend erforderlich:

• Google Analytics, Matomo (sofern nicht vollständig anonymisiert und ohne Tracking-Cookies), Adobe Analytics

• Meta Pixel, Google Ads Conversion-Tracking, LinkedIn Insight Tag

• Personalisierungs-Cookies für Produktempfehlungen

• Social-Media-Widgets (Like-Buttons, eingebettete Posts)

• Chatbot-Dienste mit externem Tracking

• A/B-Testing-Tools, die Nutzerverhalten über Sessions hinweg verfolgen

Eine häufige Falle: Viele Betreiber gehen davon aus, dass „anonyme“ Analysetools automatisch einwilligungsfrei sind. Das stimmt nur, wenn wirklich keine Cookies oder vergleichbare Techniken eingesetzt werden und keine Daten an externe Server übertragen werden. Matomo kann so konfiguriert werden, dass es ohne Einwilligung läuft, aber die Standardkonfiguration erfüllt diese Bedingungen nicht.

First-Party vs. Third-Party Cookies ist eine technische, keine rechtliche Unterscheidung. Auch ein First-Party-Cookie, der Daten an einen Drittanbieter weiterleitet, ist einwilligungspflichtig. Umgekehrt kann ein Third-Party-Cookie technisch notwendig sein, wenn er etwa für eine eingebettete Zahlungsabwicklung unbedingt gebraucht wird.

Profi-Tipp: Führen Sie ein Cookie-Inventar mit einem Scanner wie Cookiebot, Usercentrics oder OneTrust. Dokumentieren Sie für jeden Cookie: Name, Anbieter, Zweck, Laufzeit und ob er technisch notwendig ist. Diese Dokumentation ist Ihr Nachweis gegenüber Aufsichtsbehörden, wenn die Notwendigkeit bestritten wird. Die IHK Köln betont, dass Betreiber die technische Notwendigkeit aktiv nachweisen müssen, nicht nur behaupten dürfen.

Wie muss ein rechtskonformes Cookie-Banner aussehen?

Das Banner ist nicht nur ein Pflichtkasten, sondern ein Kommunikationsmittel. Und genau daran scheitern viele Umsetzungen.

Was auf der ersten Banner-Ebene stehen muss:

• Eine kurze, verständliche Erklärung, wofür Cookies eingesetzt werden

• Ein „Alle akzeptieren“-Button

• Ein „Alle ablehnen“-Button mit identischer visueller Gewichtung

• Ein Link zu den Details (zweite Ebene) oder zur Datenschutzerklärung

Die DSK-Orientierungshilfe ist hier eindeutig: Zustimmen und Ablehnen müssen gleichwertig sein. Ein grüner „Akzeptieren“-Button neben einem grauen Textlink „Einstellungen“ ist kein gleichwertiges Angebot.

Verbotene Dark Patterns:

• Vorausgewählte Checkboxen für nicht notwendige Kategorien

• Ablehnen-Option nur auf zweiter oder dritter Ebene versteckt

• Irreführende Formulierungen wie „Ich stimme zu, meine Daten nicht zu teilen“ (doppelte Verneinung)

• Farbliche oder größenmäßige Benachteiligung des Ablehnen-Buttons

• Automatisches Schließen des Banners nach Zeit ohne explizite Einwilligung

Die Verbraucherzentrale hält fest: Ablehnen muss ohne Mehraufwand möglich sein. Cookie-Walls, also das Sperren des Inhalts bis zur Zustimmung, sind nur unter sehr engen Voraussetzungen zulässig und rechtlich umstritten.

Formulierungsbeispiele für Buttons:

Profi-Tipp: Halten Sie den Bannertext kurz. Drei bis vier Sätze auf der ersten Ebene reichen. Alles Weitere gehört auf die zweite Ebene oder in die Datenschutzerklärung. Wer den Banner mit Rechtstexten überfrachtet, erreicht das Gegenteil von Transparenz: Nutzer klicken reflexartig auf „Akzeptieren“, weil sie den Text nicht lesen wollen. Das ist kein wirksames Opt-in.

Schritt für Schritt: Wie Sie einen rechtskonformen Banner umsetzen

Eine strukturierte Umsetzung verhindert die häufigsten Fehler. Gehen Sie diese Schritte der Reihe nach durch:

6. Datenschutzerklärung aktualisieren — Ergänzen Sie eine vollständige Cookie-Richtlinie: welche Cookies gesetzt werden, von wem, zu welchem Zweck, wie lange sie laufen und wie Nutzer widersprechen können.

Besonderheiten nach Website-Typ:

• Landingpages: Besonders kritisch, weil hier oft Conversion-Tracking und Retargeting-Pixel eingebunden sind. Ohne Consent kein rechtssicheres Tracking. Mehr dazu, wie sich Landingpages und Websites in ihren Anforderungen unterscheiden.

Was müssen Sie protokollieren und wie lange aufbewahren?

Der Nachweis ist genauso wichtig wie die Einwilligung selbst. Art. 7 Abs. 1 DSGVO legt die Beweislast beim Verantwortlichen: Wer keine Logs hat, kann keine wirksame Einwilligung belegen.

Ein Consent-Log sollte mindestens enthalten:

• Zeitstempel der Einwilligung (Datum, Uhrzeit, Zeitzone)

• Pseudonymisierte Nutzer-ID oder Session-ID (keine vollständige IP-Adresse)

• Version des Banners und der Datenschutzerklärung zum Zeitpunkt der Einwilligung

• Gewählte Kategorien (welche wurden akzeptiert, welche abgelehnt)

• Einwilligungs-ID (eindeutiger Bezeichner für diesen Consent-Vorgang)

• Kanal (Desktop, Mobil, App)

Aufbewahrung und Governance: Logs sollten mindestens drei Jahre aufbewahrt werden, da dies dem typischen Verjährungszeitraum für Datenschutzverstöße entspricht. Legen Sie fest, wer Zugriff auf die Logs hat, und sichern Sie den Prüfpfad gegen nachträgliche Änderungen.

Widerruf technisch umsetzen: Der Widerruf muss jederzeit und ohne Hürden möglich sein. Die bewährte Lösung ist ein dauerhafter Link im Footer der Website, der die ursprünglichen Consent-Einstellungen öffnet. Klick auf „Einstellungen ändern“ öffnet das Banner erneut mit den aktuell gespeicherten Präferenzen. Nach dem Widerruf müssen alle nicht mehr erlaubten Cookies sofort gelöscht und die entsprechenden Skripte deaktiviert werden. Eine Bestätigungsmeldung schließt den Vorgang ab.

Für Behördenprüfungen empfiehlt sich ein „Audit-Paket“: exportierte Consent-Logs, Screenshot der Banner-Konfiguration, Versionsverlauf der Datenschutzerklärung und das Cookie-Inventar. Das lässt sich in den meisten CMPs automatisiert exportieren.

Was sind PIMS und Browser-Signale, und was bedeuten sie für Sie?

Die Regulierungslandschaft entwickelt sich weiter. Zwei Entwicklungen sind für Webseitenbetreiber relevant, auch wenn sie noch keine unmittelbaren Handlungspflichten auslösen.

PIMS (Personal Information Management Systems) sind Werkzeuge, mit denen Nutzer ihre Datenschutzpräferenzen zentral verwalten und an Websites übermitteln können. Die Idee: Statt auf jedem Banner einzeln zu klicken, hinterlegt ein Nutzer seine Präferenzen einmal in einem PIMS, und Websites lesen dieses Signal automatisch aus. In Deutschland ist das Konzept bekannt, aber noch nicht flächendeckend eingeführt. Die DSK beobachtet die Entwicklung.

Browser-Signale wie das Global Privacy Control (GPC)-Signal funktionieren ähnlich: Der Browser sendet ein Opt-out-Signal an alle besuchten Websites. In einigen US-Bundesstaaten ist dieses Signal bereits rechtlich bindend. In Deutschland und der EU ist die Rechtslage noch nicht abschließend geklärt. Browser-Signale ersetzen derzeit keine rechtlich wirksame Einwilligung nach §25 TDDDG.

„Die EDPB-Cookie-Banner-Taskforce hat in ihrem Bericht festgestellt, dass viele Banner in der EU gegen die DSGVO verstoßen, insbesondere durch fehlende gleichwertige Ablehnen-Optionen und irreführende Gestaltung. Die Taskforce koordiniert grenzüberschreitende Durchsetzungsmaßnahmen.“

Quelle: BfDI-Informationsseite zu Cookie-Bannern

Empfehlung für Betreiber: Beobachten Sie die PIMS-Entwicklung, aber bauen Sie Ihre Compliance nicht darauf auf. Rechtssicher sind Sie heute nur mit einem vollständig konfigurierten Banner nach den aktuellen DSK- und EDPB-Vorgaben. Die eRecht24-Praxishinweise fassen die aktuellen Anforderungen an Opt-in und Opt-out-Mechaniken gut zusammen.

Wie Rheinmarketing Cookie-Compliance für Kunden umsetzt

Der typische Ablauf in Projekten, die Rheinmarketing für lokale Unternehmen und Dienstleister betreut, folgt einem klaren Prozess: Audit, Priorisierung, technische Umsetzung, Test, Dokumentation, Monitoring.

Drei Stolperfallen, die in der Praxis besonders häufig auftreten:

• Google Tag Manager ohne Consent-Layer betreiben. Der GTM lädt standardmäßig alle Tags sofort. Ohne eine korrekte Consent-API-Integration feuern Tracking-Tags vor der Einwilligung. Das ist einer der häufigsten Befunde bei Behördenprüfungen, wie Prüfaktionen des BayLDA zeigen.

• Datenschutzerklärung nicht synchron halten — Banner und Datenschutzerklärung müssen dieselben Anbieter und Zwecke nennen. Wer einen neuen Tracking-Dienst einbindet, muss beides gleichzeitig aktualisieren.

Der Prozess endet nicht mit dem Livegang. Rheinmarketing richtet für Kunden ein Monitoring ein, das bei Website-Änderungen automatisch prüft, ob neue Skripte ohne Consent-Abdeckung eingebunden wurden.

Profi-Tipp: Marketing-Metriken und Consent-Strategie müssen kein Widerspruch sein. Wer sauber eingewilligte Daten erhebt, hat zwar weniger Datenpunkte als mit einem unkonfigurierten Tracking-Setup, aber deutlich bessere Datenqualität. Freiwillig eingewilligte Nutzer konvertieren häufig besser als der Durchschnitt. Das macht rechtssaubere Einwilligungen auch wirtschaftlich interessant, nicht nur rechtlich notwendig.

Einen Überblick über abgeschlossene Projekte und die technische Bandbreite der Umsetzungen finden Sie in den Referenzen und Projekten von Rheinmarketing.

Wichtige Erkenntnisse

Ein Cookie-Banner ist in Deutschland für alle Webseitenbetreiber Pflicht, die nicht ausschließlich technisch notwendige Cookies einsetzen, und die Einwilligung muss nachweisbar, widerrufbar und gleichwertig gestaltet sein.

Warum Cookie-Compliance auch wirtschaftlich sinnvoll ist

Die verbreitete Sichtweise lautet: Cookie-Banner sind lästige Pflicht, die Conversions kostet. Das stimmt, wenn Banner schlecht umgesetzt sind. Wer Nutzer mit Dark Patterns zur Zustimmung drängt, erzeugt kurzfristig höhere Opt-in-Raten, aber schlechtere Datenqualität und ein Vertrauensdefizit, das sich langfristig in Absprungraten und schlechten Bewertungen niederschlägt.

Sauber eingewilligte Daten sind wertvoller. Ein Nutzer, der aktiv zugestimmt hat, ist mit höherer Wahrscheinlichkeit an dem interessiert, was Sie anbieten. Retargeting-Kampagnen auf Basis echter Einwilligungen zeigen in der Praxis bessere Klickraten als solche, die auf erzwungenen oder erschlichenen Consents basieren.

Das rechtliche Risiko ist real und kalkulierbar. Abmahnungen durch Wettbewerber, Bußgelder durch Aufsichtsbehörden und Reputationsschäden durch Presseberichte über Datenschutzverstöße sind keine theoretischen Szenarien. Wer die Compliance einmal sauber aufgesetzt hat, schläft ruhiger und spart die Kosten für nachträgliche Korrekturen.

Marketing- und Datenschutzverantwortliche sollten gemeinsam an der Consent-Strategie arbeiten, nicht gegeneinander. Die Frage ist nicht „Wie bekommen wir möglichst viele Zustimmungen?“, sondern „Wie gestalten wir den Banner so, dass Nutzer informiert entscheiden und wir trotzdem die Daten bekommen, die wir wirklich brauchen?“ Das ist eine Designaufgabe, keine Rechtsfrage.

Rheinmarketing unterstützt Sie bei der technischen Umsetzung

Wer einen rechtskonformen Cookie-Banner braucht, steht vor einer Aufgabe, die technisches Know-how, rechtliches Verständnis und sorgfältige Konfiguration verlangt. Rheinmarketing übernimmt genau das für Unternehmen in Monheim am Rhein und der Region.

Das Angebot umfasst den vollständigen Cookie-Audit, die Auswahl und Konfiguration einer passenden CMP, die technische Integration in bestehende Websites und Shops, die Aktualisierung der Datenschutzerklärung sowie ein laufendes Monitoring, das bei Änderungen an der Website anschlägt. Besonders für lokale Dienstleister, Praxen und kleine Unternehmen, die keine eigene Rechtsabteilung haben, ist das ein direkter Weg zu rechtssicherer Compliance ohne monatelange Eigenrecherche.

Der erste Schritt ist ein kostenloses Erstgespräch, in dem Rheinmarketing Ihre aktuelle Website-Situation einschätzt und zeigt, wo der dringendste Handlungsbedarf liegt. Mehr zu den technischen Leistungen und zur Webdesign-Integration finden Sie auf der Webdesign-Leistungsseite von Rheinmarketing. Sprechen Sie uns direkt an.

Weiterführende Quellen und Orientierungshilfen

Für die eigene Vertiefung und zur Überprüfung Ihrer Umsetzung sind diese Quellen besonders verlässlich:

• BfDI-Rundschreiben Telemedien 01/2023: Offizielle Auslegung zu §25 TDDDG, Tracking und Cookie-Bannern. Pflichtlektüre für jeden Betreiber.

• BfDI-Informationsseite Cookie-Banner: Kompakte Übersicht der Behörde zu Anforderungen und häufigen Fehlern.

• DSK-Orientierungshilfe Digitale Dienste (OH Digitale Dienste): Detaillierte Auslegung der Datenschutzkonferenz. Maßgeblich für Gestaltung und Konfiguration von Bannern.

• DSK-Pressemitteilung zur Orientierungshilfe Telemedien (Dezember 2021): Historischer Ausgangspunkt der aktuellen Auslegungspraxis.

• DSGVO-Volltext (dejure.org): Art. 4 Nr. 11, Art. 6 und Art. 7 sind die zentralen Normen für Einwilligungsanforderungen.

• IHK Köln: Regeln für Cookies nach TTDSG/TDDDG: Praxisnahe Zusammenfassung mit Hinweisen zur Nachweispflicht.

• Verbraucherzentrale: Cookie-Banner: Verbraucherschutz-Perspektive zu Dark Patterns und Cookie-Walls.

FAQ

Ist ein Cookie-Banner in Deutschland Pflicht?

Ja, für alle Webseitenbetreiber, die nicht ausschließlich technisch notwendige Cookies einsetzen. Die Pflicht ergibt sich aus §25 TDDDG in Verbindung mit der DSGVO.

Welche Cookies brauchen keine Einwilligung?

Nur Cookies, die technisch unbedingt erforderlich sind, damit ein vom Nutzer gewünschter Dienst funktioniert, zum Beispiel Warenkorb-Cookies oder Login-Session-Cookies. Analytics- und Werbe-Cookies sind immer einwilligungspflichtig.

Muss der Ablehnen-Button auf der ersten Banner-Ebene stehen?

Ja. Die DSK-Orientierungshilfe und der BfDI fordern, dass Ablehnen genauso einfach und sichtbar möglich sein muss wie Zustimmen, und zwar auf der ersten Ebene des Banners.

Bin ich verpflichtet, eine Datenschutzerklärung zu haben?

Ja, die DSGVO verpflichtet jeden Verantwortlichen zu einer Datenschutzerklärung. Sie muss alle eingesetzten Cookies und Drittanbieter benennen und muss mit dem Banner synchron gehalten werden.

Was passiert, wenn ich keinen rechtskonformen Banner habe?

Aufsichtsbehörden können Bußgelder verhängen, Wettbewerber können abmahnen. Beides ist in Deutschland bereits vielfach vorgekommen, auch gegen kleine Unternehmen und Einzelbetreiber.

Empfehlung

• Funnels & Landingpages | Monheim am Rhein | Rheinmarketing

• Was macht eigentlich eine gute Website aus? - Rheinmarketing | Monheim am Rhein

• Webdesign aus Monheim | Monheim am Rhein | Rheinmarketing

• Werbeagentur in Haan | Rheinmarketing

Artikel erstellt mit BabyLoveGrowth