Cookie-Banner: Brauchst du einen und wie machst du es rechtlich richtig?
Die kurze Antwort zuerst, weil sie viele ueberrascht: Nicht jede Website braucht einen Cookie-Banner. Ob du einen brauchst, haengt nicht davon ab, ob du eine Website hast, sondern davon, was diese Website im Hintergrund laedt. Wir bauen Webseiten und Tools zum Festpreis und betreiben sieben eigene Marken in Produktion. Diese Frage beantworten wir deshalb staendig, und meistens fuer uns selbst. Hier die ehrliche Praxis-Version ohne Panikmache.
Wann du keinen Banner brauchst
Wenn deine Website nur das tut, was sie technisch tun muss, um zu funktionieren, brauchst du keine Einwilligung und damit keinen Banner mit Buttons. Das gilt fuer:
- Technisch notwendige Cookies wie Session-Cookies, Login-Status, Warenkorb oder ein Sprach-Speicher.
- Sicherheitsfunktionen wie ein CSRF-Token oder ein Cookie, das einen Lastverteiler steuert.
- Reine Inhaltsseiten, die keine externen Dienste einbinden: kein Google Analytics, keine Werbe-Pixel, kein eingebettetes YouTube, keine externen Schriftarten, die nachgeladen werden.
Eine schlanke One-Pager-Visitenkarte, die ihre Schriften lokal ausliefert und auf Tracking verzichtet, kommt oft voellig ohne Consent-Banner aus. Du brauchst trotzdem eine korrekte Datenschutzerklaerung und ein Impressum, aber kein nerviges Pop-up.
Wann du einen Banner brauchst
Sobald du etwas einbindest, das nicht zwingend fuer den Betrieb noetig ist und das auf den Geraeten deiner Besucher Informationen speichert oder ausliest, brauchst du eine Einwilligung bevor es laedt. In Deutschland regelt das der Paragraf 25 TTDSG, parallel dazu greift die DSGVO fuer die Verarbeitung der Daten. Typische Ausloeser:
- Statistik und Analyse wie Google Analytics oder Matomo (ausser im anonymisierten Cookieless-Modus).
- Marketing- und Werbe-Pixel wie Meta Pixel, Google Ads oder LinkedIn Insight.
- Eingebettete Inhalte von Dritten: YouTube, Google Maps, Vimeo, manche Chat-Widgets.
- Externe Schriftarten und Fonts, die zur Laufzeit von einem fremden Server geladen werden.
Die Faustregel ist simpel: Im Zweifel braucht alles, was nicht zum reinen Funktionieren der Seite noetig ist, eine aktive Zustimmung.
Was ein rechtssicherer Banner koennen muss
Wenn du einen Banner einsetzt, dann richtig. Ein Banner, der nur einen grossen Akzeptieren-Knopf zeigt, ist rechtlich angreifbar und faellt regelmaessig durch. Diese Punkte sollten erfuellt sein:
- Ablehnen muss genauso einfach sein wie Akzeptieren. Beide Optionen gleichwertig, auf derselben Ebene, im selben Stil. Kein verstecktes Ablehnen hinter mehreren Klicks.
- Keine vorangekreuzten Haekchen. Optionale Cookies muessen standardmaessig aus sein. Schweigen ist keine Zustimmung.
- Nichts laedt vor der Einwilligung. Das ist der haeufigste Fehler: Der Banner ist da, aber Analytics feuert trotzdem schon beim ersten Seitenaufruf. Dann ist der Banner wertlos.
- Granulare Auswahl. Besucher sollten Kategorien wie Statistik und Marketing getrennt zustimmen koennen, nicht nur alles oder nichts.
- Widerruf jederzeit moeglich. Ein kleiner Link im Footer, der die Einstellungen erneut oeffnet, reicht.
- Dokumentation der Einwilligung. Du solltest nachweisen koennen, wer wann wozu zugestimmt hat.
Der oft uebersehene Punkt: Reihenfolge
Viele Banner sehen sauber aus und sind technisch trotzdem falsch eingebaut. Entscheidend ist die Lade-Reihenfolge. Drittanbieter-Skripte duerfen erst dann starten, wenn die Einwilligung tatsaechlich vorliegt. Das bedeutet, dass deine Tracking-Schnipsel nicht fest im Quelltext stehen duerfen, sondern erst nach dem Klick nachgeladen werden. Wer das ueberspringt, hat formal einen Banner und materiell trotzdem ein Datenschutzproblem. Genau hier trennt sich saubere Umsetzung von Augenwischerei.
Fertige Tools oder selbst bauen?
Fuer die meisten KMU-Seiten ist ein etabliertes Consent-Tool die pragmatische Wahl. Es nimmt dir die Pflege der Dienste-Liste, die Versionierung der Einwilligungen und die Anbindung an einen Tag-Manager ab. Bei sehr schlanken Seiten ohne Tracking ist die ehrlichste Loesung dagegen, schlicht auf die ausloesenden Dienste zu verzichten und gar keinen Banner zu brauchen. Das ist schneller, freundlicher fuer deine Besucher und entlastet dich rechtlich.
Bei unseren eigenen Projekten gehen wir genau diesen Weg: lokale Schriften statt nachgeladener Fonts, datensparsame oder anonymisierte Statistik wo moeglich, und ein vollwertiger Consent-Mechanismus nur dort, wo wirklich Marketing-Tracking laeuft. Diese Entscheidung treffen wir bei jeder Website bewusst, statt reflexartig ueberall ein Pop-up zu verbauen.
Kurz zusammengefasst
- Kein Tracking, keine externen Einbettungen? Dann brauchst du keinen Consent-Banner, nur Datenschutzerklaerung und Impressum.
- Analyse, Werbung oder Drittanbieter-Inhalte? Dann brauchst du eine echte Einwilligung vor dem Laden.
- Wenn Banner, dann fair: Ablehnen gleich einfach wie Akzeptieren, nichts laedt vorab, Widerruf moeglich.
Ein Cookie-Banner ist kein Selbstzweck und schon gar kein Qualitaetsmerkmal. Das beste Ergebnis ist oft eine Seite, die ihn gar nicht braucht.
Brauchst du selbst eine Website, ein Tool oder eine SaaS?Wir bauen sie zum Festpreis - vom Team, das sieben eigene Marken live betreibt. Klarer Scope, klarer Preis, klarer Zeitrahmen.
Projekt startenLeistungen & Preise Unterschaetzte Ausloeser: Karten, Videos und Buchungstools
Ein Punkt, der in der Praxis häufig für Verwirrung sorgt: Auch scheinbar harmlose Funktionen wie eine eingebettete Google-Karte, ein YouTube-Video oder ein Kontaktformular mit externem Spam-Schutz können bereits eine Einwilligung erfordern, weil sie beim Laden Verbindungen zu fremden Servern aufbauen und dabei Daten wie die IP-Adresse übertragen. Wer eine Landkarte auf der Kontaktseite einbindet, sollte deshalb prüfen, ob sie erst nach Zustimmung lädt oder ob es eine datensparsamere Alternative gibt, etwa ein statisches Bild mit einem Link zur Karte.
Ein weiterer oft übersehener Bereich sind Buchungs- und Terminsysteme, Live-Chats oder Bewertungswidgets von Drittanbietern. Diese Tools werden meist mit wenigen Klicks eingebunden und laufen dann unbemerkt im Hintergrund mit, oft inklusive eigener Cookies und eigener Datenverarbeitung durch den jeweiligen Anbieter. Bevor ein solches Tool eingebaut wird, lohnt sich ein kurzer Blick in dessen Datenschutzhinweise, damit klar ist, ob es unter die zustimmungspflichtigen Dienste fällt oder tatsächlich technisch notwendig ist.
Für Website-Betreiber, die mehrere Sprachversionen oder mehrere Marken über dieselbe technische Basis betreiben, kommt eine zusätzliche Schwierigkeit hinzu: Die eingebundenen Dienste können sich zwischen den Versionen unterscheiden, etwa weil in einem Land ein anderes Zahlungssystem oder ein anderer Kartenanbieter genutzt wird. Die Dienste-Liste im Consent-Tool muss dann pro Version gepflegt werden, sonst zeigt der Banner Dienste an, die auf der jeweiligen Seite gar nicht laufen, oder es fehlen welche.
Nachweispflicht und regelmaessige Kontrolle
Neben der reinen Technik lohnt sich ein Blick auf die Dokumentationspflicht. Wer nachweisen muss, dass eine Einwilligung tatsächlich erteilt wurde, braucht ein sogenanntes Consent-Log, also eine Aufzeichnung, wann welcher Besucher welcher Kategorie von Diensten zugestimmt hat. Die meisten etablierten Consent-Tools bringen das automatisch mit, bei einer selbst gebauten Lösung wird dieser Nachweis oft vergessen und fehlt genau dann, wenn er gebraucht würde.
Ein häufiger Grenzfall betrifft interne Analyse-Tools, die Betreiber als datensparsam einstufen, ohne es im Detail geprüft zu haben. Nicht jedes als datenschutzfreundlich beworbene Statistik-Tool ist automatisch von der Einwilligungspflicht befreit, das hängt von der konkreten technischen Umsetzung ab, etwa ob IP-Adressen gekürzt werden und ob überhaupt ein Cookie gesetzt wird. Im Zweifel lohnt sich eine kurze rechtliche Einschätzung, statt sich auf Marketingaussagen des Tool-Anbieters zu verlassen.
Schließlich sollte der Banner selbst regelmäßig überprüft werden, nicht nur einmal beim Einbau. Neue Tools, neue Plugins oder ein Wechsel des Hosting-Anbieters können unbemerkt neue Drittanbieter-Verbindungen hinzufügen, die dann nicht in der Dienste-Liste des Banners auftauchen. Eine halbjährliche Kontrolle mit den Entwicklertools des Browsers, welche Verbindungen eine Seite tatsächlich lädt, deckt solche Lücken zuverlässig auf und schützt vor bösen Überraschungen. Wer eine Agentur oder externe Dienstleister mit Änderungen an der Seite beauftragt, sollte diese Kontrolle fest in die Abnahme jeder neuen Version einbauen, statt sie dem Zufall zu überlassen.
Häufig gestellte Fragen
Brauche ich einen Cookie-Banner, wenn ich nur Google Fonts einbinde?
Wenn du Google Fonts über die Google-Server einbindest, wird beim Laden die IP-Adresse des Besuchers an Google übertragen, was grundsätzlich eine Einwilligung erfordert. Lädst du die Schriften stattdessen lokal von deinem eigenen Server, entfällt dieses Problem vollständig.
Reicht ein Hinweis in der Datenschutzerklärung statt eines Banners?
Nein. Für alles, was nicht technisch notwendig ist, verlangt das Gesetz eine aktive, vorherige Zustimmung. Ein reiner Informationstext in der Datenschutzerklärung ersetzt diese aktive Einwilligung nicht.
Was passiert, wenn ich gar keinen Banner habe, aber eigentlich einen bräuchte?
Das ist ein rechtliches Risiko, das im Zweifel abgemahnt oder von Aufsichtsbehörden beanstandet werden kann. Wie hoch das tatsächliche Risiko im Einzelfall ist, hängt von der konkreten Situation ab und sollte im Zweifel rechtlich geprüft werden.
Darf ich Statistik-Cookies auch ohne Einwilligung nutzen, wenn ich anonymisiere?
Es kommt auf die konkrete technische Umsetzung an. Manche datensparsamen Analyse-Verfahren gelten als nicht einwilligungspflichtig, andere trotz Anonymisierungsversprechen weiterhin als zustimmungspflichtig. Das lässt sich nicht pauschal beantworten und sollte im Einzelfall geprüft werden.
Muss der Banner auf jeder Unterseite neu erscheinen?
Nein, eine einmal getroffene Entscheidung gilt in der Regel für die gesamte Website, solange sie über ein technisches System wie einen Cookie oder lokalen Speicher gespeichert wird. Der Banner erscheint dann erst wieder, wenn die Einwilligung abläuft oder widerrufen wird.
Wie oft muss ich die Einwilligung erneut einholen?
Eine feste gesetzliche Frist dafür gibt es nicht, üblich ist aber eine Gültigkeit von einigen Monaten bis zu einem Jahr, danach fragen die meisten Consent-Tools automatisch erneut. Änderungen an der Dienste-Liste sollten ebenfalls eine erneute Abfrage auslösen.
Kann ich Besuchern die Ablehnung genauso leicht machen wie die Zustimmung?
Das ist sogar Pflicht: Ablehnen muss genauso einfach und mit derselben Anzahl an Klicks möglich sein wie Zustimmen. Banner, bei denen die Ablehnung erst über ein Untermenü erreichbar ist, gelten als nicht rechtskonform.