Cookie-Banner richtig umsetzen: Was 2026 gilt

26. Juli 2026·5 Min. Lesezeit·STRUCTON Redaktion

Webentwickler arbeitet in einem hellen Büro am Laptop, Blick über die Schulter

Ein Cookie-Banner richtig umsetzen heißt vor allem zweierlei: Vor der Zustimmung lädt kein Dienst, und Ablehnen ist so einfach wie Zustimmen. Hier lesen Sie, was § 25 TDDDG verlangt, wie die Datenschutzbehörden das auslegen und wie Sie es technisch sauber lösen.

Was das Gesetz verlangt: § 25 TDDDG

Die zentrale Regel steht in § 25 TDDDG. Das Gesetz hieß bis Mai 2024 TTDSG. Seit dem 14. Mai 2024 trägt es den Namen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, inhaltlich hat sich an der Cookie-Regel nichts geändert.

Die Regel ist kurz: Wer Informationen auf dem Gerät eines Besuchers speichert oder dort ausliest, braucht dafür eine Einwilligung. Das betrifft Cookies, aber auch den lokalen Speicher des Browsers und ähnliche Techniken. Für die Einwilligung gelten die Anforderungen der DSGVO.

Es gibt nur zwei Ausnahmen. Keine Einwilligung braucht es, wenn der Zugriff allein der Übertragung einer Nachricht dient. Oder wenn er unbedingt erforderlich ist, damit Sie einen Dienst bereitstellen können, den der Besucher ausdrücklich gewünscht hat. Typische Beispiele sind der Warenkorb im Shop, die Anmeldung im Kundenbereich oder das Speichern der Banner-Entscheidung selbst.

Verstöße gegen § 25 Abs. 1 können nach § 28 TDDDG mit einem Bußgeld von bis zu 300.000 € geahndet werden. Dazu kommen Abmahnungen und Schadensersatzforderungen von Besuchern.

Wann eine Einwilligung wirksam ist

Ein Banner allein sagt noch nichts. Wirksam ist eine Einwilligung nur, wenn sie diese Bedingungen erfüllt:

Vorher: Einwilligungspflichtige Dienste dürfen erst nach der Zustimmung laden. Werden Cookies schon beim ersten Aufruf gesetzt und die Frage erst danach gestellt, ist das nach Ansicht der Datenschutzkonferenz unzulässig.
Aktiv: Der Besucher muss selbst handeln. Ein vorab gesetzter Haken reicht nicht. Das hat der Europäische Gerichtshof 2019 im Fall Planet49 entschieden, der Bundesgerichtshof hat es 2020 bestätigt.
Informiert: Besucher müssen erkennen können, welche Dienste zu welchem Zweck laden. „Wir nutzen Cookies für ein besseres Erlebnis“ genügt nicht.
Getrennt wählbar: Wer mehrere Zwecke abfragt, muss auch getrennt zustimmen oder ablehnen lassen.
Widerrufbar: Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung. In der Praxis heißt das: ein gut sichtbarer Link, etwa im Footer, der den Banner wieder öffnet.

Wichtig ist auch das Nichtstun. Besucher dürfen erwarten, dass sie einfach untätig bleiben können, wenn sie nicht einwilligen wollen. Wer den Banner ignoriert und weiterliest, hat also nicht zugestimmt.

Eine Einwilligung gilt außerdem nur für den Fall, für den sie erteilt wurde. Binden Sie später einen weiteren Dienst ein oder ändern sich die Zwecke, müssen Sie neu fragen. Viele Werkzeuge zur Einwilligungsverwaltung lösen das über eine Versionsnummer: Ändert sich die Konfiguration, erscheint der Banner bei allen Besuchern erneut. Die Pflicht trifft übrigens jeden Betreiber, unabhängig von der Größe des Unternehmens.

Ablehnen muss so einfach sein wie Zustimmen

Das häufigste Problem liegt in der Gestaltung. Oben steht ein großer Knopf „Alle akzeptieren“, daneben ein unscheinbarer Link „Einstellungen“. Wer ablehnen will, muss erst in eine zweite Ebene und dort Schalter umlegen.

Die Datenschutzkonferenz sieht darin in ihrer Orientierungshilfe Digitale Dienste (Version 1.2, November 2024) einen Mangel an Freiwilligkeit. Verdeckt der Banner Inhalte, muss die Ablehnung ohne Mehraufwand an Klicks möglich sein. Gibt es keinen sachlichen Grund, warum auf der ersten Ebene keine gleichwertige Ablehnung angeboten wird, werten die Behörden das als treuwidrige Beeinflussung.

Farben und Größen sind nicht fest vorgeschrieben. Eine gewisse Lenkung durch Gestaltung ist erlaubt. Die Grenze ist erreicht, wenn Besucher die Ablehnung nicht mehr als gleichwertige Möglichkeit erkennen. Sicher fahren Sie so:

„Alle akzeptieren“ und „Alle ablehnen“ stehen auf derselben Ebene.
Beide Knöpfe sind gleich groß und gleich gut lesbar.
Die Beschriftung sagt klar, was passiert. „Weiter“ oder „Okay“ lassen offen, wozu man zustimmt.

Welche Dienste eine Einwilligung brauchen

Viele Betreiber wissen nicht genau, was ihre Website beim Aufruf alles lädt. Häufig kommen Verbindungen über das Theme, über Erweiterungen oder über eingebettete Inhalte dazu. Diese Übersicht hilft bei der Einordnung:

Dienst	Einwilligung nötig?
Warenkorb, Login, gespeicherte Banner-Wahl	In der Regel nein, weil unbedingt erforderlich
Analyse-Werkzeuge mit Cookies oder Geräte-Kennungen	In der Regel ja
Werbe- und Konversions-Pixel sozialer Netzwerke	Ja
Eingebettete Videos und Karten von Drittanbietern	In der Regel ja
Schriften, die von fremden Servern geladen werden	Besser vermeiden: lokal einbinden

Bei Schriften ist die Lage besonders klar. Das Landgericht München I hat im Januar 2022 einem Besucher 100 € Schadensersatz zugesprochen, weil eine Website Google Fonts ohne Einwilligung vom Google-Server lud und so seine IP-Adresse übermittelte. Werden die Schriften auf dem eigenen Server abgelegt, entfällt dieses Problem.

Eine pauschale Freigabe für „Reichweitenmessung“ gibt die Datenschutzkonferenz bewusst nicht. Ob ein Statistikwerkzeug ohne Einwilligung auskommt, hängt davon ab, was genau es speichert und wofür die Daten genutzt werden.

Bestand aufnehmen: Öffnen Sie die Website in einem frischen Browserfenster und schauen Sie in den Entwicklerwerkzeugen nach, welche Verbindungen vor jedem Klick entstehen. Jeder fremde Server gehört auf die Liste.
Dienste reduzieren: Was niemand auswertet, fliegt raus. Schriften und Symbole binden Sie lokal ein, Karten und Videos erst nach einem Klick.
Banner technisch sauber einbinden: Ein Werkzeug zur Einwilligungsverwaltung muss Skripte blockieren, bis zugestimmt wurde. Ein Banner, der nur darüber liegt, reicht nicht.
Nachweis sichern: Sie müssen belegen können, wie die Einwilligung eingeholt wurde. Dafür genügt nach der Orientierungshilfe in der Regel eine Beschreibung der Abläufe. Bewahren Sie auch ältere Banner-Texte und Einstellungen auf.
Datenschutzerklärung anpassen: Jeder Dienst wird mit Zweck, Anbieter und Speicherdauer genannt.

Prüfen Sie das Ergebnis danach selbst: Nach „Alle ablehnen“ darf in den Entwicklerwerkzeugen keine Verbindung zu einem einwilligungspflichtigen Dienst mehr auftauchen. Wiederholen Sie die Prüfung, sobald ein neuer Dienst eingebunden wird.

Seit dem 1. April 2025 gibt es zudem die Einwilligungsverwaltungsverordnung. Sie regelt Dienste, bei denen Nutzer ihre Entscheidungen zentral hinterlegen. Solche Dienste erkennt die Bundesdatenschutzbeauftragte an. Die Einbindung ist für Website-Betreiber nach § 18 der Verordnung freiwillig, der eigene Banner bleibt also vorerst nötig.

Je weniger fremde Dienste eine Seite lädt, desto einfacher wird der Banner. Eine Firmenwebsite mit lokal eingebundenen Schriften, ohne Werbe-Pixel und mit Karten erst nach Klick kommt oft mit sehr wenigen oder gar keinen einwilligungspflichtigen Zugriffen aus. Dann entfällt die Abfrage für diese Zwecke ganz.

Das spart nicht nur Aufwand. Besucher sehen Ihre Inhalte sofort, ohne erst ein Fenster wegzuklicken. Wenn wir eine Website neu aufbauen, planen wir die eingesetzten Dienste deshalb von Anfang an mit: Welche braucht es wirklich, und welche lassen sich ohne fremden Server lösen?

Keine Rechtsberatung. Dieser Beitrag gibt den Stand von Oktober 2026 wieder und ersetzt keine Prüfung Ihres Einzelfalls. Für verbindliche Auskünfte wenden Sie sich an eine Kanzlei oder Ihre Steuerberatung.

Häufige Fragen

Brauche ich überhaupt ein Cookie-Banner?

Nur wenn Ihre Website Informationen auf dem Gerät der Besucher speichert oder ausliest, die nicht unbedingt erforderlich sind. Das betrifft etwa Analyse-Werkzeuge mit Cookies, Werbe-Pixel oder eingebettete Videos von Drittanbietern. Nutzt die Seite nur technisch notwendige Cookies, etwa für Warenkorb oder Login, braucht es dafür nach § 25 Abs. 2 TDDDG keine Einwilligung und damit auch keine Abfrage.

Muss es im Cookie-Banner einen Button „Alle ablehnen“ geben?

Das Gesetz nennt keinen bestimmten Button. Die Datenschutzkonferenz verlangt aber in ihrer Orientierungshilfe, dass die Ablehnung ohne Mehraufwand möglich ist, wenn der Banner Inhalte verdeckt. Ein Knopf „Alle akzeptieren“ auf der ersten Ebene und das Ablehnen erst in den Einstellungen gilt dort als Mangel an Freiwilligkeit. Sicher ist deshalb ein gleichwertiger Ablehnen-Button auf derselben Ebene.

Darf ich Google Analytics ohne Einwilligung nutzen?

In aller Regel nicht. Google Analytics speichert Kennungen im Browser und überträgt Nutzungsdaten an Google. Dieser Zugriff ist für den Betrieb Ihrer Website nicht unbedingt erforderlich und braucht deshalb nach § 25 TDDDG eine Einwilligung. Das Skript darf also erst laden, wenn der Besucher aktiv zugestimmt hat. Vorher darf auch keine Verbindung zu Google-Servern entstehen.

Was droht bei einem fehlerhaften Cookie-Banner?

Die Datenschutzaufsicht kann nach § 28 TDDDG ein Bußgeld von bis zu 300.000 € verhängen, wenn ohne Einwilligung auf Endgeräte zugegriffen wird. Daneben sind Abmahnungen und Schadensersatzforderungen möglich. Das Landgericht München I sprach 2022 einem Besucher 100 € zu, weil eine Website Google Fonts ohne Einwilligung vom Google-Server lud. Viele kleine Forderungen können sich summieren.

Gilt das TTDSG noch?

Nicht mehr unter diesem Namen. Seit dem 14. Mai 2024 heißt das Gesetz Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG. Die Cookie-Regel steht weiterhin in § 25 und ist inhaltlich gleich geblieben. Wer in Datenschutzerklärung oder Banner noch „TTDSG“ oder „Telemedien“ schreibt, sollte die Bezeichnungen bei der nächsten Überarbeitung anpassen, auch wenn sich an den Pflichten nichts geändert hat.

Quellen: § 25 TDDDG, § 28 TDDDG (Bußgeldvorschriften), DSGVO, Art. 4 Nr. 11 und Art. 7, DSK: Orientierungshilfe Digitale Dienste, Version 1.2 (November 2024), EuGH, Urteil vom 01.10.2019, C-673/17 (Planet49), § 18 EinwV (Einbindung freiwillig), BfDI: Einwilligungsverordnung gilt ab 2025

Redaktion: Dieser Beitrag wird vor der Veröffentlichung geprüft und freigegeben. Redaktionell verantwortlich ist Niklas Lorey (§ 18 Abs. 2 MStV, Anschrift im Impressum). Wo wir beim Entwurf KI-Werkzeuge einsetzen, ändert das nichts an dieser Verantwortung. Der Beitrag ist eine Einordnung nach bestem Wissen und ersetzt keine Rechts- oder Steuerberatung.