Cookie-Banner nach DSGVO: Einwilligung fair und technisch wirksam einholen
Ein Cookie-Banner ist kein bloßer Hinweis. Es muss eine informierte Entscheidung ermöglichen und die Auswahl technisch umsetzen. Besonders wichtig sind eine gleichwertige Ablehnungsmöglichkeit, deaktivierte Voreinstellungen, eine vorherige Blockierung und ein einfacher Widerruf.
Kurzantwort
Eine Website braucht ein Einwilligungsbanner, wenn tatsächlich einwilligungsbedürftige Zugriffe auf Endgeräte oder darauf beruhende Datenverarbeitungen eingesetzt werden. Ausschließlich unbedingt erforderliche Vorgänge lösen dagegen nicht automatisch eine Bannerpflicht aus. Cookie-Banner nach DSGVO: Einwilligung fair und technisch wirksam einholen bedeutet, eine echte Auswahl anzubieten und Dienste vor Zustimmung zu blockieren.
Blockiert das Banner den Zugang zur Website, muss die Entscheidung gegen die Einwilligung grundsätzlich ebenso einfach möglich sein wie die Zustimmung. „Alle akzeptieren“ auf der ersten Ebene und „Ablehnen“ erst nach mehreren Schritten reichen regelmäßig nicht.
Freiwillige Dienste müssen bis zur Einwilligung deaktiviert bleiben. Außerdem müssen Nutzerinnen und Nutzer ihre Auswahl später einfach ändern oder widerrufen können.
Abgrenzung
Was unterscheidet diesen Beitrag von „Cookies und DSGVO“?
Der Beitrag Cookies und DSGVO behandelt die technische und rechtliche Bestandsaufnahme: Welche Cookies, Speichertechniken, Skripte und externen Dienste werden eingesetzt und welche Rechtsgrundlagen kommen in Betracht?
Hier geht es dagegen um die konkrete Einwilligungsoberfläche. Im Mittelpunkt stehen die erste Banner-Ebene, die Auswahlmöglichkeiten, Voreinstellungen, technische Blockierung, Widerruf und Nachweis.
Die Reihenfolge ist wichtig: Zuerst wird die Website geprüft. Anschließend lässt sich entscheiden, ob überhaupt ein Banner benötigt wird und welche Dienste darüber gesteuert werden müssen.
Erforderlichkeit
Wann braucht eine Website ein Cookie-Banner?
§ 25 Abs. 1 TDDDG verlangt grundsätzlich eine Einwilligung, wenn Informationen in einer Endeinrichtung gespeichert oder bereits gespeicherte Informationen ausgelesen werden. Die Vorschrift ist nicht auf klassische Cookies beschränkt.
Eine Ausnahme gilt insbesondere, wenn der Vorgang unbedingt erforderlich ist, damit ein ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. Entscheidend ist eine enge technische und funktionale Erforderlichkeit, nicht lediglich ein wirtschaftliches Interesse des Websitebetreibers.
Werden nur solche unbedingt erforderlichen Vorgänge eingesetzt, ist ein Einwilligungsbanner regelmäßig nicht notwendig. Ein unnötiges Banner wäre sogar missverständlich, wenn es eine Entscheidungsfreiheit vorspiegelt, obwohl die Vorgänge unabhängig von der Auswahl stattfinden.
Auch ohne Einwilligungsbanner müssen tatsächliche Datenverarbeitungen transparent erklärt werden. Dafür dienen insbesondere die Datenschutzhinweise.
Merksatz: Nicht jede Website braucht ein Cookie-Banner. Benötigt wird es erst, wenn die konkrete technische und datenschutzrechtliche Prüfung einwilligungsbedürftige Vorgänge ergibt.
Rechtsprüfung
Warum müssen TDDDG und DSGVO getrennt geprüft werden?
Die rechtliche Prüfung erfolgt in zwei Stufen. Zunächst ist zu klären, ob ein Speichern oder Auslesen auf dem Endgerät nach § 25 TDDDG zulässig ist. Anschließend muss bewertet werden, auf welcher Grundlage die damit verbundene Verarbeitung personenbezogener Daten nach der DSGVO erfolgt.
Beide Einwilligungen können über ein gemeinsames Banner eingeholt werden. Dann muss der Text jedoch verständlich erkennen lassen, dass sowohl der technische Zugriff als auch die anschließende Datenverarbeitung umfasst sind.
Fehlt ein Zugriff im Sinne des § 25 TDDDG, kann trotzdem eine personenbezogene Datenverarbeitung nach der DSGVO vorliegen. Umgekehrt schützt § 25 TDDDG auch Informationen, die für sich genommen nicht personenbezogen sein müssen.
Ein Bannertext, der lediglich pauschal von „Cookies“ spricht, ist deshalb häufig zu ungenau.
Transparenz
Was muss auf der ersten Ebene erkennbar sein?
Die erste Ebene darf kurz sein, muss aber die wesentliche Tragweite der Entscheidung verständlich vermitteln. Details können in einem mehrstufigen Konzept folgen.
Im Regelfall sollten insbesondere die konkreten Zwecke erkennbar sein. Bei profilbildenden Diensten, Verknüpfungen mit Daten anderer Websites, Verarbeitungen außerhalb des Europäischen Wirtschaftsraums oder einer größeren Zahl beteiligter Verantwortlicher müssen auch diese Punkte angemessen deutlich werden.
Unklare Sammelbegriffe wie „Komfort“, „Optimierung“, „Partner“ oder „bestes Erlebnis“ reichen nicht aus, wenn tatsächlich Reichweitenmessung, Profilbildung oder personalisierte Werbung gemeint sind.
Impressum und Datenschutzerklärung müssen trotz eingeblendetem Banner erreichbar bleiben. Außerdem dürfen die Angaben im Banner der Datenschutzerklärung nicht widersprechen.
Erkennbar muss sein, wer die Entscheidung über die eingesetzten Dienste trifft.
Statistik, Marketing oder externe Medien sollten nicht hinter beschönigenden Begriffen verschwinden.
Externe Anbieter müssen nachvollziehbar benannt und nicht nur als „Partner“ bezeichnet werden.
Bereits vor der Zustimmung muss deutlich sein, dass die Entscheidung später geändert werden kann.
Wahlfreiheit
Müssen „Akzeptieren“ und „Ablehnen“ gleich gestaltet sein?
Entscheidend ist nicht, dass beide Schaltflächen pixelgenau dieselbe Farbe, Größe und Gestaltung haben. Maßgeblich ist vielmehr, ob die Entscheidungsmöglichkeiten in ihrer Wirkung gleichwertig sind und die Nutzer nicht gezielt zur Zustimmung gedrängt werden.
Versperrt ein Banner den Zugriff auf Inhalte, muss die Ablehnung grundsätzlich ohne höheren Klick- und Aufmerksamkeitsaufwand möglich sein. Die Kombination „Alle akzeptieren“ und lediglich „Einstellungen“ auf der ersten Ebene genügt regelmäßig nicht, wenn die Ablehnung erst nach weiteren Schritten möglich wird.
Eine faire erste Ebene kann beispielsweise „Alle akzeptieren“, „Alle ablehnen“ und „Einstellungen“ anbieten. Die konkrete Bezeichnung darf variieren, muss den Effekt aber eindeutig erkennen lassen.
Kann ein nicht blockierender Hinweis einfach ignoriert oder ohne Zustimmung geschlossen werden und bleibt die Website vollständig nutzbar, ist die Gestaltung gesondert zu bewerten. Auch dann darf das Schließen keine Einwilligung auslösen.
Praktischer Maßstab: Ablehnung und Zustimmung müssen den Entscheidungsprozess mit vergleichbarem Aufwand beenden. Eine optische Hervorhebung allein ist nicht automatisch unzulässig; die Gesamtgestaltung darf jedoch nicht manipulativ wirken.
Aktive Entscheidung
Dürfen Statistik oder Marketing vorausgewählt sein?
Einwilligungsbedürftige Dienste und Kategorien dürfen nicht aktiv voreingestellt sein. Die Zustimmung muss durch eine eindeutige bestätigende Handlung erfolgen.
Vorangekreuzte Kästchen, bereits aktivierte Schalter, Schweigen, bloßes Weitersurfen oder Scrollen reichen nicht aus. Ebenso problematisch ist eine Schaltfläche „Akzeptieren“, wenn nur in einer versteckten Detailansicht erkennbar wird, welche Dienste dadurch aktiviert werden.
Unbedingt erforderliche Vorgänge können als notwendig gekennzeichnet werden. Sie sollten aber nicht so erscheinen, als erteile die Nutzerin oder der Nutzer dafür eine freiwillige Einwilligung.
Werden verschiedene Zwecke angeboten, müssen sie ausreichend granular auswählbar sein. Eine einzige Zustimmung zu Statistik, Werbung, Karten, Videos und Profilbildung kann zu pauschal sein.
Technische Umsetzung
Was darf vor der Einwilligung geladen werden?
Einwilligungsbedürftige Zugriffe, Skripte und nachgelagerte Datenverarbeitungen müssen bis zur Zustimmung blockiert bleiben. Das gilt unabhängig davon, ob das Banner optisch korrekt aussieht.
Typische Fehler entstehen, wenn Dienste bereits durch Theme, Plugin, Tag Manager oder eingebettete Inhalte starten. Das Consent-Plugin zeigt dann zwar eine Auswahl an, steuert die tatsächlichen Aufrufe aber nicht zuverlässig.
Eine technische Prüfung sollte mindestens vier Zustände erfassen:
- Erster Seitenaufruf ohne Auswahl,
- Nutzung nach vollständiger Ablehnung,
- Nutzung nach gezielter oder vollständiger Zustimmung,
- Nutzung nach späterem Widerruf.
Zusätzlich sollten mehrere Unterseiten, mobile Ansichten und eingebettete Inhalte getestet werden. Ein Dienst kann auf der Startseite korrekt blockiert sein und auf einer Unterseite trotzdem vorzeitig laden.
Praxisbeispiele
Was gilt für Matomo, Karten, Videos und externe Dienste?
Einzelne Produktnamen erlauben keine pauschale rechtliche Bewertung. Entscheidend sind Konfiguration, technische Zugriffe, Personenbezug, Anbieter, Zwecke und mögliche Empfänger.
Matomo ist nicht automatisch einwilligungsfrei. Zu prüfen sind Cookies oder andere Endgerätezugriffe sowie die konkrete personenbezogene Datenverarbeitung. Selbsthosting und datensparsame Einstellungen sind wichtige Faktoren, ersetzen aber nicht die Einzelfallprüfung.
Werden externe Inhalte erst durch eine aktive Auswahl geladen, kann ein Platzhalter oder eine Zwei-Klick-Lösung den vorzeitigen Datenfluss verhindern.
Ein Tag Manager ist nur dann hilfreich, wenn seine Regeln sicher verhindern, dass einwilligungsbedürftige Tags vor der Zustimmung ausgelöst werden.
Sie sind nicht automatisch ein Cookie-Thema. Dennoch können externe Abrufe personenbezogene Daten übertragen und müssen nach der DSGVO gesondert geprüft werden.
Auch ein „cookieloses“ Werkzeug kann Informationen aus dem Endgerät auslesen oder personenbezogene Daten verarbeiten. Umgekehrt führt nicht jede technische Speicherung zwangsläufig zu einer Einwilligungspflicht, wenn die enge Ausnahme des § 25 Abs. 2 TDDDG erfüllt ist.
Entscheidung ändern
Wie muss der Widerruf umgesetzt werden?
Der Widerruf muss so einfach möglich sein wie die Erteilung. Wurde die Einwilligung auf der Website über einen Banner erteilt, muss sie dort auch ohne Umweg über E-Mail, Brief oder ein umfangreiches Kontaktformular zurückgenommen werden können.
Geeignet sind ein ständig sichtbares Symbol oder ein direkter Link „Cookie-Einstellungen“ im Footer. Ein Link innerhalb der Datenschutzerklärung kann ausreichen, wenn er unmittelbar zur Auswahl führt und keine längere Suche erforderlich ist.
Nach dem Widerruf dürfen die betroffenen Dienste nicht weiter eingesetzt werden. Bereits gespeicherte Einwilligungsinformationen und nachgelagerte personenbezogene Daten müssen anhand ihrer jeweiligen Rechtsgrundlage und Speicherfrist behandelt werden.
Das Löschen eines Cookies auf dem Endgerät ist technisch nicht in jeder Konstellation unmittelbar möglich. Der Verantwortliche muss jedoch steuerbare Speicherzeiten begrenzen und weitere Zugriffe beziehungsweise Verarbeitungen beenden.
Rechenschaftspflicht
Was muss dokumentiert werden und wann ist eine neue Einwilligung nötig?
Der Verantwortliche muss nachweisen können, dass eine wirksame Einwilligung vorlag. Ein bloßer Zeitstempel ohne Bezug zum damaligen Bannertext genügt dafür häufig nicht.
Dokumentiert werden sollten insbesondere:
- Zeitpunkt und ausgewählte Kategorien oder Dienste,
- damals angezeigte Banner- und Informationstexte,
- beteiligte Anbieter, Zwecke und Speicherzeiten,
- technische Konfiguration der Einwilligungssteuerung,
- spätere Änderungen und Widerrufe.
Eine allgemeine starre Gültigkeitsdauer der Einwilligung besteht nicht. Ändern sich jedoch Zwecke, Dienste, Anbieter oder andere wesentliche Umstände, bezieht sich die frühere Entscheidung möglicherweise nicht mehr auf den neuen Fall. Dann ist eine neue Einwilligung einzuholen.
Die Nachweisdaten selbst müssen datensparsam gespeichert und geschützt werden. Ein Consent-Log darf nicht zu einem zusätzlichen Nutzertracking führen.
Öffentliche Stellen
Was sollten Kommunen besonders beachten?
Kommunale Websites sollten bereits bei ihrer Gestaltung möglichst wenige einwilligungsbedürftige Dienste einsetzen. Datenminimierung ist häufig zuverlässiger als ein komplexes Banner mit zahlreichen Drittanbietern.
Externe Karten, Videos, Veranstaltungskalender, Analysewerkzeuge, Captcha-Dienste und Formulare sind technisch einzeln zu prüfen. Eine allgemeine Zusage des Webdienstleisters, das eingesetzte Plugin sei „DSGVO-konform“, reicht nicht aus.
Bei personenbezogenen Folgeprozessen können sich öffentliche Stellen im Rahmen ihrer öffentlichen Aufgaben nicht auf Art. 6 Abs. 1 Buchst. f DSGVO berufen. Je nach Verarbeitung sind insbesondere Einwilligung, Vertrag, rechtliche Pflicht oder öffentliche Aufgabe zu prüfen.
Die Kommune bleibt verantwortlich, auch wenn Agentur, Hostinganbieter oder Softwaredienstleister die Website technisch betreuen. Zuständigkeiten und Änderungen sollten daher dokumentiert und regelmäßig kontrolliert werden.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD verlangt eine zweistufige Prüfung: Zunächst geht es um das Speichern oder Auslesen nach § 25 TDDDG, anschließend um die Verarbeitung personenbezogener Daten nach der DSGVO.
Seine Orientierungshilfe wurde noch unter der früheren Bezeichnung TTDSG veröffentlicht. Das Gesetz heißt inzwischen TDDDG; der Inhalt des § 25 wurde bei der Umbenennung nicht grundlegend geändert.
Sind auf beiden Stufen Einwilligungen erforderlich, können sie gemeinsam über ein Banner eingeholt werden. Zwecke und Datenverarbeitungen müssen jedoch differenziert erklärt werden.
Der BayLfD empfiehlt öffentlichen Stellen außerdem, die Zahl der Cookies und Drittdienste bereits bei der Websitegestaltung kritisch zu reduzieren. Dadurch sinken technische Risiken und die Abhängigkeit von komplexen Einwilligungsdialogen.
Bayerische Unternehmen
Was sagt der BayLDA?
Das BayLDA hat bei einer automatisierten Prüfung von mehr als 350 bayerischen Websites insbesondere untersucht, ob neben „Alle akzeptieren“ eine gleichwertige Möglichkeit auf der ersten Banner-Ebene angeboten wird, die Website ohne Einwilligung zu nutzen.
Nach seiner Auffassung muss die Option, keine Einwilligung zu erteilen, bei den üblichen blockierenden Bannern bereits auf der ersten Ebene vorhanden sein. Andernfalls ist die Zustimmung nicht ebenso einfach wie die Ablehnung.
Das BayLDA prüft außerdem, ob einwilligungsbedürftige Vorgänge vor einer Interaktion mit dem Banner stattfinden. Verantwortliche müssen deshalb sowohl die Oberfläche als auch die tatsächlichen Netzwerkaufrufe und Datenflüsse kontrollieren.
Für Unternehmen bedeutet das: Ein CMP-Plugin ist kein Konformitätsnachweis. Ausschlaggebend sind die konkrete Gestaltung, die technische Blockierung und die dokumentierte Konfiguration.
Praxisfehler
Typische Fehler bei Cookie-Bannern
Es wird eine Entscheidung abgefragt, obwohl nur unbedingt erforderliche Vorgänge eingesetzt werden.
„Alle akzeptieren“ beendet die Abfrage sofort, während die Ablehnung mehrere Schritte erfordert.
Statistik, Marketing oder externe Medien sind bereits aktiviert.
Bezeichnungen wie „Komfort“ oder „Partner“ verschleiern die konkreten Zwecke und Anbieter.
Theme, Plugin oder Tag Manager startet Dienste bereits vor der Einwilligung.
Die Auswahl lässt sich nur über eine lange Suche, E-Mail oder ein Kontaktformular ändern.
Neue Dienste oder Zwecke werden hinzugefügt, ohne die Entscheidung erneut einzuholen.
Anbieter, Zwecke oder Rechtsgrundlagen unterscheiden sich zwischen CMP und Datenschutzhinweisen.
Prüfpunkte
Checkliste für ein Cookie-Banner nach DSGVO
Wurde technisch geprüft, welche Speicherungen, Zugriffe, Skripte und Drittdienste tatsächlich stattfinden?
Ist für jeden Vorgang getrennt geprüft, ob § 25 Abs. 2 TDDDG greift?
Ist die anschließende Verarbeitung personenbezogener Daten nach der DSGVO bewertet?
Wird ein Banner nur eingesetzt, wenn tatsächlich eine Einwilligung benötigt wird?
Erklärt die erste Ebene die wesentlichen Zwecke verständlich und konkret?
Kann bei einem blockierenden Banner ebenso einfach abgelehnt wie zugestimmt werden?
Sind freiwillige Kategorien und Dienste zunächst deaktiviert?
Können unterschiedliche Zwecke ausreichend getrennt ausgewählt werden?
Bleiben einwilligungsbedürftige Skripte und externe Inhalte vor der Zustimmung blockiert?
Sind Impressum und Datenschutzerklärung trotz Banner erreichbar?
Ist die Auswahl über einen Direktlink oder ein Icon einfach widerrufbar?
Werden Dienste nach dem Widerruf zuverlässig beendet?
Sind Bannertext, Einwilligungsstand und technische Konfiguration nachweisbar?
Wird nach neuen Diensten, Plugins oder wesentlichen Zweckänderungen erneut geprüft?
Häufige Fragen
FAQ zum Cookie-Banner nach DSGVO
Braucht jede Website ein Cookie-Banner?
Nein. Ein Einwilligungsbanner ist nur erforderlich, wenn tatsächlich einwilligungsbedürftige Zugriffe oder Datenverarbeitungen eingesetzt werden. Ausschließlich unbedingt erforderliche Vorgänge lösen nicht automatisch eine Bannerpflicht aus.
Muss „Alle ablehnen“ auf der ersten Ebene stehen?
Bei einem Banner, das die Website bis zu einer Entscheidung blockiert, muss die Ablehnung grundsätzlich ebenso einfach möglich sein wie die Zustimmung. Eine Ablehnung erst nach mehreren zusätzlichen Schritten genügt regelmäßig nicht.
Müssen Akzeptieren und Ablehnen identisch aussehen?
Nicht zwingend pixelgenau. Entscheidend ist die Gesamtwirkung. Die Ablehnung darf weder versteckt noch durch Schriftgröße, Kontrast, Bezeichnung oder zusätzlichen Aufwand deutlich benachteiligt werden.
Dürfen Statistik und Marketing vorausgewählt sein?
Nein. Einwilligungsbedürftige Kategorien müssen zunächst deaktiviert bleiben. Vorangekreuzte Felder, aktive Schalter, Schweigen oder bloßes Weitersurfen stellen keine wirksame Einwilligung dar.
Braucht Matomo immer eine Einwilligung?
Das lässt sich nicht allein anhand des Produktnamens beantworten. Zu prüfen sind insbesondere Cookies oder andere Endgerätezugriffe, die konkrete Konfiguration, Personenbezug, Zwecke und Rechtsgrundlage der Datenverarbeitung.
Reicht die Installation eines Consent-Plugins aus?
Nein. Das Plugin muss alle einwilligungsbedürftigen Dienste technisch steuern. Erforderlich sind Tests vor der Auswahl, nach Ablehnung, nach Zustimmung und nach Widerruf.
Wann muss eine Einwilligung erneut eingeholt werden?
Eine starre allgemeine Frist gibt es nicht. Ändern sich jedoch Zwecke, Anbieter, Dienste oder andere wesentliche Umstände, kann sich die frühere Einwilligung nicht mehr auf den neuen Fall beziehen.
Ergebnis
Fazit
Ein Cookie-Banner ist nur dann wirksam, wenn Bedarf, Information, Auswahl und Technik zusammenpassen. Ein schönes Design oder die Installation eines Plugins reichen dafür nicht aus.
Besonders wichtig sind eine gleichwertige Entscheidung gegen die Einwilligung, deaktivierte Voreinstellungen, konkrete Zwecke, eine zuverlässige Vorabblockierung und ein leicht zugänglicher Widerruf.
Vor jeder Banner-Konfiguration sollte deshalb eine technische Bestandsaufnahme stehen. Häufig ist es sinnvoller, unnötige Drittanbieter zu entfernen, statt immer komplexere Einwilligungsdialoge aufzubauen.
Weiterlesen
Passende Themen auf der Website
Nachweise
Quellen
Cookie-Banner technisch und rechtlich prüfen?
Entscheidend ist, ob die sichtbare Auswahl mit den tatsächlichen Netzwerkaufrufen, Skripten und eingebundenen Diensten übereinstimmt. Eine technische Prüfung zeigt, ob Ablehnung und Widerruf wirklich umgesetzt werden.
Webseiten-Check starten