Cookie-Banner-Pflicht: Wann ist ein Banner nötig?
Ist ein Cookie-Banner Pflicht? Prüfen Sie anhand von § 25 TDDDG, eingesetzten Diensten und technischem Ladeverhalten, ob eine Einwilligung nötig ist.
Ein Cookie-Banner ist nicht pauschal Pflicht. Nach § 25 TDDDG braucht eine Website grundsätzlich eine informierte Einwilligung, wenn sie Informationen auf dem Endgerät speichert oder daraus ausliest. Absatz 2 nennt Ausnahmen für die reine Nachrichtenübertragung und für Zugriffe, die für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich sind. Entscheidend sind deshalb die tatsächlich eingesetzten Dienste; welche Ausnahme greift, sollte im Einzelfall fachlich geprüft werden.
Kurz gesagt:
- Inventarisieren Sie zuerst Cookies, lokale Speicherzugriffe und eingebundene Drittanbieter.
- Prüfen Sie für jeden Zugriff, ob eine Einwilligung erforderlich ist oder eine Ausnahme nach § 25 Absatz 2 TDDDG in Betracht kommt.
- Ein Banner allein genügt technisch nicht, wenn einwilligungspflichtige Dienste schon vorher laden.
- Zustimmung, Ablehnung und Widerruf müssen dem tatsächlich eingesetzten Prozess entsprechen und verständlich erklärt werden.
- KDS kann die technische Umsetzung und Prüfung unterstützen, übernimmt aber keine rechtliche Einzelfallberatung oder Rechtssicherheitsgarantie.
Inhaltsverzeichnis
- Kurzcheck: Brauchen Sie auf Ihrer Seite ein Cookie Banner?
- Rechtliche Grundlagen: TDDDG § 25, DSGVO und Aufsichtsstellen
- Gestaltung: Eine verständliche Auswahloberfläche planen
- Technische Umsetzung und Funktionsprüfung
- Praxischeckliste und Textbausteine für KMU
- Unterschiede je nach Branche und Website-Typ
- Praktische Prüfperspektive für kleine Unternehmen
- Technische Unterstützung für Consent-Einstellungen
- FAQ
- Quellen
Kurzcheck: Brauchen Sie auf Ihrer Seite ein Cookie Banner?
Prüfen Sie nicht nur, ob eine Datei den Namen „Cookie“ trägt. Entscheidend ist, ob die Website Informationen auf dem Endgerät speichert oder daraus ausliest und ob dafür eine Ausnahme nach § 25 Absatz 2 TDDDG greift. Auch lokale Speicherverfahren, eingebettete Medien oder externe Skripte können relevant sein.
Gehen Sie dienstweise vor:
- Erfassen Sie Cookies, lokale Speicherzugriffe und externe Verbindungen beim ersten Aufruf.
- Ordnen Sie jedem Zugriff einen konkreten Zweck und Anbieter zu.
- Prüfen Sie, ob der Zugriff für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist oder eine Einwilligung benötigt.
- Entfernen Sie Dienste, deren Nutzen den zusätzlichen Prüf- und Betriebsaufwand nicht rechtfertigt.
Produktkategorien wie „Analytics“, „Video“ oder „Shop“ erlauben keine pauschale Antwort. Konfiguration, Einbindung und Zweck entscheiden im Einzelfall. Ein vorsorglich eingebautes Banner behebt außerdem keinen Dienst, der schon vor einer erforderlichen Auswahl lädt.
Rechtliche Grundlagen: TDDDG § 25, DSGVO und Aufsichtsstellen
§ 25 TDDDG schützt Informationen auf Endeinrichtungen. Einwilligung ist der Grundfall; ausgenommen sind nach Absatz 2 die reine Nachrichtenübertragung und Zugriffe, die für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich sind. Die Vorschrift spricht nicht nur über klassische Cookies. Auch andere Verfahren zum Speichern oder Auslesen können erfasst sein.
Werden dabei personenbezogene Daten verarbeitet, kommen zusätzlich Anforderungen der DSGVO in Betracht. Die Zwecke, beteiligten Anbieter und Datenflüsse sollten deshalb vor der Gestaltung dokumentiert werden. Die Orientierungshilfe der Datenschutzkonferenz für Telemedien erläutert die damalige gemeinsame Aufsichtspraxis. Da sich Technik, Dienste und Rechtsauslegung ändern können, ersetzt dieser Beitrag keine Prüfung des konkreten Einsatzes.
Gestaltung: Eine verständliche Auswahloberfläche planen
Die Oberfläche sollte verständlich benennen, welche nicht erforderlichen Zwecke oder Dienste aktiviert werden sollen. Vorangekreuzte Auswahlfelder oder ein bloßes Weitersurfen bilden keine aktive Einwilligung ab. Eine Ablehnmöglichkeit muss eindeutig bezeichnet und praktisch erreichbar sein; die konkrete Anordnung ist anhand des tatsächlichen Einwilligungsfalls und aktueller Vorgaben zu prüfen.
Sinnvolle Prüffragen:
- Sind Zwecke und beteiligte Anbieter verständlich beschrieben?
- Bleiben nicht erforderliche Dienste bis zur erforderlichen Entscheidung deaktiviert?
- Ist erkennbar, welche Auswahl gespeichert wurde?
- Kann die Auswahl später wieder geändert oder widerrufen werden?
- Stimmen Oberfläche, Datenschutzhinweise und technisches Verhalten überein?
Ein mehrstufiger Dialog kann Details zugänglich machen, darf aber wichtige Informationen und Auswahlwege nicht verstecken.
Technische Umsetzung und Funktionsprüfung
Die technische Prüfung beginnt vor jeder Auswahl. Öffnen Sie die Website in einer neuen Browsersitzung und kontrollieren Sie, welche externen Anfragen, Cookies oder lokalen Speicherzugriffe bereits stattfinden. Einwilligungspflichtige Dienste dürfen nicht nur optisch verdeckt werden, während ihre Skripte schon laden.
Testen Sie mindestens diese Zustände:
- erster Aufruf ohne Auswahl,
- Zustimmung zu einzelnen angebotenen Zwecken,
- vollständige Ablehnung,
- spätere Änderung oder Widerruf,
- neue oder geänderte Plugins und Einbettungen.
Wie eine Auswahl dokumentiert und wie lange Informationen aufbewahrt werden müssen, hängt vom konkreten Verfahren und der rechtlichen Einordnung ab. Legen Sie deshalb keine pauschale Protokollpflicht oder Aufbewahrungsdauer allein anhand dieses Beitrags fest.
Praxischeckliste und Textbausteine für KMU
Für die eigene Umsetzung hilft eine feste Reihenfolge. Der Aufwand hängt von den eingesetzten Diensten, dem Website-System und den notwendigen Prüfungen ab.
- Erstellen Sie ein Inventar der Dienste und Speicherzugriffe.
- Halten Sie Zweck, Anbieter, Ladezeitpunkt und technische Abhängigkeiten fest.
- Lassen Sie Rechtsgrundlage und erforderliche Informationen für den konkreten Einsatz prüfen.
- Übertragen Sie die geprüften Vorgaben in verständliche Auswahltexte und Bedienwege.
- Testen Sie den ersten Aufruf, jede angebotene Auswahl sowie Änderung und Widerruf.
- Dokumentieren Sie Testdatum, Konfiguration und Ergebnis für den späteren Betrieb.
Allgemeine Textbausteine ersetzen keine Angaben zu den tatsächlich eingesetzten Diensten. Auch eine feste monatliche Prüffrist passt nicht zu jeder Website. Sinnvoll ist ein Prüfplan, der mindestens Änderungen an Plugins, Einbettungen, Analyse- oder Marketingdiensten erfasst.
Unterschiede je nach Branche und Website-Typ
Der Prüfaufwand richtet sich nach den tatsächlichen Komponenten. Ein Shop, eine Terminbuchung, eine Karte oder ein eingebettetes Video können jeweils andere Anbieter, Zwecke und Speicherzugriffe mitbringen. Die bloße Zahl der Seiten oder eine Branchenbezeichnung entscheidet nicht, ob eine Einwilligung erforderlich ist.
Bei mehreren Sprachversionen müssen Auswahltexte und Detailinformationen in jeder angebotenen Sprache konsistent sein. Bei mehreren Standorten oder Redaktionszugängen sollte außerdem klar sein, wer neue Dienste freigibt und die technische Prüfung nach Änderungen veranlasst.
Praktische Prüfperspektive für kleine Unternehmen
Eine wartbare Lösung bildet nur die Dienste ab, die tatsächlich eingesetzt werden. Prüfen Sie deshalb nicht die Länge der Anbieterliste, sondern das reale Verhalten der Website nach Zustimmung, Ablehnung und Widerruf. Jede neue Einbettung oder Erweiterung kann eine erneute Bestandsaufnahme auslösen.
Dokumentieren Sie technisch, was geprüft wurde, wann der Test stattfand und welche Konfiguration zugrunde lag. Diese Betriebsdokumentation unterstützt spätere Änderungen, ersetzt aber keine rechtliche Einzelfallprüfung.
Technische Unterstützung für Consent-Einstellungen
KDS kann vorhandene Consent-Vorgaben technisch umsetzen, eingesetzte Dienste inventarisieren und das Ladeverhalten vor und nach einer Auswahl testen. Welche Rechtsgrundlage gilt und welche Texte erforderlich sind, muss das Unternehmen mit einer dafür qualifizierten Stelle klären. Eine rechtliche Einzelfallberatung oder Rechtssicherheitsgarantie ist nicht Bestandteil der Website-Leistung.
Für eine technische Bestandsaufnahme können Sie die betroffene URL und die eingesetzten Analyse-, Marketing- oder Einbettungsdienste über die schriftliche Anfrage senden.
FAQ
Braucht jede Website ein Cookie-Banner?
Nein. Entscheidend ist, ob Informationen auf Endgeräten gespeichert oder ausgelesen werden und ob eine Ausnahme nach § 25 Absatz 2 TDDDG greift. Die konkrete Einordnung hängt von den eingesetzten Diensten ab.
Reicht es, ein Banner sichtbar einzubauen?
Nein. Die technische Auslieferung muss zur Auswahl passen. Ein Dienst, der bereits vor einer erforderlichen Einwilligung lädt, wird nicht durch ein darüberliegendes Banner korrigiert.
Ist eine technische Umsetzung automatisch rechtskonform?
Nein. Technik kann Vorgaben abbilden und getestet werden. Rechtsgrundlage, Informationspflichten und konkrete Texte müssen für den jeweiligen Einsatz fachlich geprüft werden.
Was sollte nach einer Änderung getestet werden?
Prüfen Sie den ersten Aufruf, Zustimmung, Ablehnung, Widerruf und das Verhalten neu hinzugefügter Dienste in einer frischen Browsersitzung.
Quellen
- § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
- Datenschutzkonferenz – Orientierungshilfe für Anbieter von Telemedien
- BfDI – Rundschreiben Telemedien 01/2023