Cookie-Banner: Wann eines nötig ist und wie es korrekt aussieht
§ 25 TDDDG, echte Blockierung statt Deko-Banner, und warum ein Banner ohne Ablehnen-Schaltfläche das Problem verschlimmert.
Cookie-Banner sind der sichtbarste Teil der Datenschutz-Umsetzung – und der am häufigsten falsch gebaute. Die Rechtsgrundlage ist § 25 TDDDG: Speichern von oder Zugreifen auf Informationen im Endgerät ist nur mit Einwilligung erlaubt, es sei denn, es ist für den vom Nutzer gewünschten Dienst unbedingt erforderlich.
Wann kein Banner nötig ist
Wer nur technisch notwendige Cookies setzt – Sitzungs-Cookie, Warenkorb, Spracheinstellung, CSRF-Schutz – braucht kein Einwilligungsbanner. Ein Hinweis in der Datenschutzerklärung genügt. Auch cookiefreie Reichweitenmessung ohne geräteübergreifende Kennung kommt je nach Ausgestaltung ohne Einwilligung aus.
Die einfachste Lösung
Kein Banner ist besser als ein Banner. Wenn du auf Analytics mit Cookies verzichten kannst und Schriften, Karten und Videos datensparsam einbindest, entfällt das Thema komplett – samt Wartungsaufwand und Absprüngen.
Wann ein Banner nötig ist
- Google Analytics, Matomo mit Cookies, Hotjar, Clarity und ähnliche Analysewerkzeuge
- Werbe-Pixel von Meta, Google Ads, LinkedIn, TikTok
- Eingebettete YouTube-Videos, Google Maps, Social-Plugins
- Extern geladene Schriften und CDN-Skripte (zumindest informationspflichtig)
Die vier Anforderungen an ein korrektes Banner
- 1Vorherige Einwilligung: Die Dienste dürfen erst nach der Zustimmung laden. Ein Banner, das nur informiert, während die Tags bereits laufen, erfüllt gar nichts.
- 2Echte Wahlfreiheit: „Ablehnen“ muss auf derselben Ebene und mit gleicher Gestaltung erreichbar sein wie „Akzeptieren“. Ein grauer Textlink neben einem grünen Button ist keine gleichwertige Wahl.
- 3Granularität: Zustimmung nach Zweck (Statistik, Marketing) statt pauschal – zumindest über einen leicht erreichbaren zweiten Schritt.
- 4Widerrufbarkeit: Die Entscheidung muss jederzeit änderbar sein, üblicherweise über einen dauerhaften Link im Seitenfuß.
Der häufigste technische Fehler
Das Banner ist eingebaut, blockiert aber nichts. Erkennbar daran, dass beim ersten Seitenaufruf bereits Cookies wie _ga oder _fbp gesetzt werden – noch bevor jemand geklickt hat. Das ist einer der am leichtesten nachweisbaren Verstöße überhaupt.
Tags korrekt blockieren
<!-- Falsch: läuft sofort, Banner hin oder her -->
<script src="https://www.googletagmanager.com/gtag/js?id=G-XXX"></script>
<!-- Richtig: type="text/plain" verhindert die Ausführung.
Das Consent-Tool schaltet den Typ nach der Zustimmung um. -->
<script
type="text/plain"
data-consent="statistics"
src="https://www.googletagmanager.com/gtag/js?id=G-XXX"></script>Zwei-Klick-Lösung für Einbettungen
Für YouTube, Maps und ähnliche Einbettungen ist die Zwei-Klick-Lösung der pragmatische Weg: Zuerst erscheint ein Platzhalter mit Vorschaubild vom eigenen Server und einem Hinweis, welche Daten übertragen werden. Erst nach einem bewussten Klick wird das iframe eingefügt.
<div class="video-placeholder">
<img src="/vorschau/imagefilm.jpg" alt="Vorschaubild des Imagefilms">
<p>
Beim Abspielen werden Daten an YouTube (Google) übertragen.
Näheres in unserer <a href="/datenschutz">Datenschutzerklärung</a>.
</p>
<button type="button" data-embed="youtube" data-id="ABC123">
Video laden und abspielen
</button>
</div>Keine Rechtsberatung
Dieser Text erklärt technisch messbare Anforderungen und ist nach bestem Wissen erstellt. Er ersetzt keine rechtliche Beratung im Einzelfall.