Recht & DSGVO

Cookie-Banner richtig gemacht: Wann du wirklich einen brauchst

Jurij Meehs · Digitale Agentur

Der Mythos: Jede Website braucht einen Cookie-Banner

Kaum ein Thema sorgt bei Website-Betreibern für so viel Verunsicherung wie der Cookie-Banner. Die verbreitete Annahme lautet: Ohne Banner drohen Abmahnungen, also lieber sicherheitshalber überall einen einbauen. Das Problem dabei: Ein Banner, der nicht zur eigenen Website passt, kann selbst wieder ein rechtliches Risiko sein, etwa wenn er nach Cookies fragt, die es auf der Seite gar nicht gibt, oder wenn er so gebaut ist, dass Ablehnen faktisch unmöglich ist.

Die Wahrheit liegt dazwischen: Ob du einen Banner brauchst, hängt nicht davon ab, was andere Websites machen, sondern ausschließlich davon, welche Cookies und externen Dienste deine eigene Website tatsächlich einsetzt.

Wann du wirklich eine Einwilligung brauchst

Nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TTDSG) und der DSGVO brauchst du eine aktive Einwilligung, sobald auf deiner Website Cookies oder ähnliche Technologien gesetzt werden, die nicht zwingend für den technischen Betrieb nötig sind. Das betrifft in der Praxis die meisten Websites, weil viele gängige Tools genau solche Cookies mitbringen.

Typische Auslöser sind:

• Analyse-Tools wie Google Analytics, die das Nutzerverhalten auswerten
• eingebettete Inhalte wie Google Maps oder YouTube-Videos, die beim Laden Cookies des jeweiligen Anbieters setzen
• Marketing- und Retargeting-Pixel, etwa von Google Ads oder Meta
• Social-Media-Plugins, die den Besuch an ein anderes Netzwerk melden

Sobald einer dieser Punkte zutrifft, reicht ein Hinweis in der Datenschutzerklärung nicht mehr aus, die Einwilligung muss aktiv eingeholt werden, bevor die jeweilige Technologie überhaupt lädt.

Wann du keinen Banner brauchst

Rein technisch notwendige Cookies, ohne die die Website schlicht nicht funktioniert, sind einwilligungsfrei. Dazu zählen zum Beispiel ein Session-Cookie für den Warenkorb, die gespeicherte Spracheinstellung oder ein Cookie, der verhindert, dass ein Kontaktformular doppelt abgeschickt wird. Für solche Cookies genügt ein Hinweis in der Datenschutzerklärung, ein Banner ist nicht vorgeschrieben. Kommt deine Website sogar ganz ohne Cookies und externe Einbettungen aus, brauchst du unter Umständen überhaupt keinen Banner, ein kurzer Satz in der Datenschutzerklärung reicht dann aus.

Das kommt in der Praxis seltener vor, als man denkt, weil schon eine eingebundene Google-Schriftart oder ein Kartenausschnitt reichen kann, um die Grenze zu überschreiten. Ein ehrlicher Blick auf die tatsächlich eingesetzten Tools lohnt sich deshalb, bevor du entscheidest, ob du überhaupt einen Banner brauchst.

Was einen rechtskonformen Banner ausmacht

Ein Banner allein reicht nicht, er muss auch richtig gebaut sein. Entscheidend ist vor allem, dass Ablehnen genauso einfach ist wie Zustimmen: ein gleichwertiger Button, kein Wegklicken über mehrere Untermenüs. Nicht notwendige Kategorien dürfen zudem nicht vorausgewählt sein, die Besucherin oder der Besucher muss aktiv zustimmen.

Technisch mindestens genauso wichtig: Skripte für Analyse oder Marketing dürfen erst nach der Zustimmung laden, nicht schon im Hintergrund während die Seite aufgebaut wird. Läuft Google Analytics bereits, bevor überhaupt eine Entscheidung getroffen wurde, ist die danach eingeholte Einwilligung wirkungslos.

Die häufigsten Fehler in der Praxis

• Cookie-Walls, bei denen die Website erst nach Zustimmung überhaupt nutzbar ist
• ein Ablehnen-Button, der optisch oder funktional benachteiligt ist
• Tracking-Skripte, die schon vor dem ersten Klick im Hintergrund laufen
• eine Entscheidung, die nicht gespeichert wird und bei jedem Besuch erneut abgefragt werden muss

Jeder dieser Punkte für sich genügt, um eine an sich vorhandene Einwilligung ungültig zu machen.

So setzt du es praktisch um

Datenschutzerklärung. It's also worth remembering that the setup isn't a one-time task: if a new tool is added, for example an additional marketing pixel, the banner needs to be updated along with it. If you're unsure whether your own solution meets these requirements, it's better to check it once too often than once too rarely.">Am zuverlässigsten funktioniert ein Aufbau, bei dem die Entscheidung der Besucherin oder des Besuchers zentral gespeichert wird und tatsächlich darüber entscheidet, ob Tracking-Skripte überhaupt geladen werden, nicht nur, ob sie sichtbar aktiv sind. Genau so ist es auch auf dieser Website umgesetzt: Erst nach „Akzeptieren" wird das Tracking geladen, bei „Nur notwendige" bleibt es komplett aus. Details dazu findest du in der Datenschutzerklärung. Wichtig ist außerdem, die Lösung nicht einmalig einzurichten und dann zu vergessen: Kommt ein neues Tool hinzu, etwa ein zusätzliches Marketing-Pixel, muss der Banner mit aktualisiert werden. Wer unsicher ist, ob die eigene Lösung diesen Anforderungen entspricht, sollte sie lieber einmal zu viel prüfen lassen als einmal zu wenig.