Cookie-Banner-Pflicht 2026: Wann deine Website eins braucht

Die Rechtslage: TDDDG und DSGVO

Viele Website-Betreiber denken bei Cookies zuerst an die DSGVO. Die eigentliche Pflicht zur Einwilligung kommt aber aus einem anderen Gesetz: dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG. Es setzt die europäische ePrivacy-Richtlinie in deutsches Recht um. § 25 TDDDG regelt, dass das Speichern von Informationen auf dem Endgerät und der Zugriff darauf eine Einwilligung brauchen, sofern sie nicht unbedingt erforderlich sind.

Das betrifft nicht nur klassische Cookies. Gemeint sind auch andere Techniken, die Informationen auf dem Gerät speichern oder auslesen, zum Beispiel der Local Storage im Browser oder Tracking-Pixel. Entscheidend ist der Zugriff auf das Gerät deiner Besucher, nicht der Name der Technik.

Die DSGVO kommt ins Spiel, sobald danach personenbezogene Daten verarbeitet werden, zum Beispiel IP-Adressen oder Nutzerprofile. Du hast es also mit zwei Ebenen zu tun:

1. TDDDG: Darfst du überhaupt etwas auf dem Gerät speichern oder auslesen?

2. DSGVO: Darfst du die so gewonnenen Daten anschließend verarbeiten?

Ein Detail wird oft übersehen: Laut Orientierungshilfe der Datenschutzkonferenz (DSK) muss die Einwilligung von der Person kommen, die das Endgerät tatsächlich nutzt. Wem das Gerät gehört oder wer den Vertrag dafür abgeschlossen hat, spielt grundsätzlich keine Rolle.

Wann ist ein Cookie-Banner erforderlich?

Die Kernfrage lautet: Setzt deine Website irgendetwas ein, das nicht unbedingt erforderlich ist? Der Landesbeauftragte für den Datenschutz Baden-Württemberg beantwortet die Frage nach der Banner-Pflicht klar: Solange keine einwilligungsbedürftigen Verarbeitungen stattfinden, ist kein Cookie-Banner nötig.

Technisch notwendig oder einwilligungspflichtig?

Als technisch notwendig gelten Cookies, die eine grundlegende Funktion deiner Website umsetzen. Die Datenschutzaufsicht Hessen nennt als Beispiel den Warenkorb. Tracking-Cookies, die dafür nicht gebraucht werden, benötigen eine ausdrückliche vorherige Einwilligung.

Hier eine Übersicht, wie ich typische Bausteine kleiner Websites und Shops in der Praxis einordne:

– Baustein auf deiner Website – Typische Einordnung – Einwilligung nötig?

– Warenkorb im Onlineshop – grundlegende Funktion – nein

– Login-Session für Kundenkonto – grundlegende Funktion – nein

– Speichern der Banner-Entscheidung selbst – erforderlich, um die Wahl zu merken – nein

– Sprachauswahl, die der Nutzer aktiv trifft – vom Nutzer gewünschte Funktion – in der Regel nein

– Google Analytics oder vergleichbare Statistik – Reichweitenmessung, nicht erforderlich – ja

– Meta-Pixel, Google Ads Conversion Tracking – Werbung und Profilbildung – ja

– Eingebettete YouTube-Videos – Inhalte eines Drittanbieters – ja, sofern beim Laden Daten fließen

– Google Maps im iFrame – Inhalte eines Drittanbieters – ja, sofern beim Laden Daten fließen

– Chat-Widgets externer Anbieter – meist mit Tracking verbunden – in der Regel ja

Die Tabelle gibt dir eine Orientierung, ersetzt aber keine Prüfung im Einzelfall. Ob ein Dienst bei dir wirklich unbedingt erforderlich ist, hängt davon ab, wie er eingebunden ist und was er überträgt. Bei Grenzfällen wie einem Buchungssystem oder einem Zahlungsanbieter im Shop lohnt sich ein Blick in die Dokumentation des Anbieters. Im Zweifel klärst du es mit einem Datenschutzbeauftragten oder einer auf IT-Recht spezialisierten Kanzlei.

Auch ohne Banner hast du Informationspflichten

Auch wenn du nur notwendige Cookies einsetzt, hast du Pflichten. Nach der DSK-Orientierungshilfe darfst du technisch notwendige Technologien zwar ohne Einwilligung einsetzen. Du musst deine Besucher aber darüber informieren, zum Beispiel in der Datenschutzerklärung. Ein Banner brauchst du dafür nicht, eine vollständige Datenschutzerklärung schon.

Was ein rechtskonformes Cookie-Banner können muss

Wenn du ein Banner brauchst, reicht ein Hinweis wie „Diese Seite verwendet Cookies“ nicht aus. Es muss eine echte, wirksame Einwilligung einholen. Laut DSK muss diese freiwillig, für den bestimmten Fall, informiert und unmissverständlich durch eine eindeutige bestätigende Handlung erfolgen.

Daraus ergibt sich diese Checkliste:

• Ablehnen so einfach wie Zustimmen: Der Bundesbeauftragte für den Datenschutz (BfDI) stellt klar: Nutzer müssen die Verarbeitung ebenso einfach ablehnen können, wie sie ihr zustimmen. Ein Banner mit nur einem „Zustimmen“-Button erfüllt die Anforderungen nicht.
• Keine vorangekreuzten Häkchen: Vorausgewählte Checkboxen sind nach dem EuGH-Urteil „Planet49“ unzulässig, wie der LfD Baden-Württemberg zum Planet49-Urteil erläutert.
• Klare Informationen: Deine Besucher müssen erfahren, wer auf ihr Gerät zugreift, in welcher Form und zu welchem Zweck. Dazu gehört auch, wie lange die Cookies aktiv bleiben und ob Dritte Zugriff erhalten.
• Einfacher Widerruf: Die Einwilligung muss sich jederzeit leicht zurücknehmen lassen. In der Praxis heißt das: Du brauchst einen dauerhaft erreichbaren Link, etwa im Footer, über den sich die Cookie-Einstellungen wieder öffnen lassen.
• Kein Laden vor der Entscheidung: Einwilligungspflichtige Cookies dürfen nicht schon beim ersten Seitenaufruf gesetzt werden.
• Konsequenz bei Ablehnung: Lehnt jemand ab, dürfen die betreffenden Cookies laut Datenschutzaufsicht Hessen nicht verwendet werden.

Fair gestalten statt zur Zustimmung drängen

Die Good-Practice-Leitlinien des Bundesumweltministeriums zum Einwilligungsmanagement vom Januar 2023 empfehlen, Banner nicht so zu gestalten, dass sie zur bedenkenlosen Zustimmung verleiten. Das Banner soll als eigenes, gut sichtbares Element auf der ersten Seite erscheinen und über Zwecke und Wahlmöglichkeiten informieren. Der Zugang zur Website soll nicht von der Zustimmung abhängen.

Konkret bedeutet das für dein Design: Setz keinen knallgrünen „Alle akzeptieren“-Button neben einen blassgrauen Textlink zum Ablehnen. Beide Optionen gehören auf dieselbe Ebene, in vergleichbarer Größe und Optik.

Typische Fehler, die ich in der Praxis sehe

Bei der Betreuung von WordPress-Seiten und WooCommerce-Shops begegnen mir immer wieder dieselben Probleme. Oft ist ein Banner vorhanden, es funktioniert aber nicht so, wie der Betreiber glaubt.

1. Das Banner ist nur Deko: Es erscheint, aber Analytics, Pixel und Co. laden trotzdem sofort. Das passiert, wenn Tracking-Codes direkt im Theme oder über ein separates Plugin eingebaut und nicht an das Consent-Tool gekoppelt sind.
2. Neue Plugins, altes Banner: Jemand installiert ein Kontaktformular mit externem Captcha oder ein Bewertungs-Widget, aber das Banner weiß davon nichts.
3. Externe Schriften und Skripte: Schriftarten, Icon-Bibliotheken oder JavaScript-Dateien werden von fremden Servern geladen. Dabei geht die IP-Adresse an Dritte, oft ohne dass es jemand bemerkt.
4. Eingebettete Medien ohne Vorschaltung: YouTube-Videos oder Google Maps werden direkt eingebunden statt erst nach einem Klick des Nutzers.
5. Banner auf jeder Unterseite: Der LfD Baden-Württemberg empfiehlt, Einwilligungsbanner nur dort einzusetzen, wo sie wirklich nötig sind, und nicht pauschal überall.
6. Kein Weg zurück: Wer einmal zugestimmt hat, findet keine Möglichkeit mehr, die Einstellungen zu ändern.

So prüfst du, was deine Website wirklich lädt

Bevor du über ein Banner entscheidest, musst du wissen, was deine Seite tatsächlich tut. Das kannst du mit einem normalen Browser selbst prüfen:

1. Öffne ein privates Fenster: So startest du ohne gespeicherte Cookies und ohne frühere Einwilligung.

2. Öffne die Entwicklertools: In Chrome, Edge oder Firefox geht das mit F12. Wechsle in den Reiter „Netzwerk“ und lade deine Startseite neu.

3. Achte auf fremde Domains: Jede Anfrage an eine Domain, die nicht deine eigene ist, solltest du prüfen. Typisch sind Adressen von Google, Meta, YouTube oder Schrift-Anbietern.

4. Sieh dir die Cookies an: Im Reiter „Anwendung“ (Chrome, Edge) oder „Web-Speicher“ (Firefox) findest du Cookies und Local Storage. Notiere, was schon gesetzt ist, bevor du mit dem Banner interagiert hast.

5. Lehne im Banner ab und lade neu: Danach dürfen keine einwilligungspflichtigen Cookies und keine Anfragen an Drittanbieter auftauchen.

6. Wiederhole das auf wichtigen Unterseiten: Prüf Kontaktseite, Shop, Checkout und Blogartikel mit eingebetteten Videos. Probleme verstecken sich oft nicht auf der Startseite.

Die DSK formuliert die Grenze eindeutig: Einwilligungsbedürftige Cookies dürfen nicht schon beim ersten Aufruf gesetzt werden, bevor eine Einwilligung vorliegt. Genau das deckt dieser Test auf.

Cookie-Banner einrichten: Schritt für Schritt

Ob WordPress-Website oder WooCommerce-Shop, der Ablauf ist im Kern immer gleich.

1. Bestandsaufnahme machen

Liste jeden Dienst auf, den du beim Test gefunden hast, mit Anbieter, Zweck und Speicherdauer. Diese Liste brauchst du für das Banner und für die Datenschutzerklärung.

2. Aussortieren, was du nicht brauchst

Jeder Dienst, den du entfernst, ist einer weniger im Banner. Läuft noch ein Tracking-Code von einer Kampagne, die längst beendet ist? Brauchst du wirklich drei Statistik-Tools? Schriftarten lassen sich in vielen Fällen lokal von deinem eigenen Server ausliefern.

3. Consent-Tool auswählen

Es gibt Consent-Management-Plattformen als Cloud-Dienst und Plugins, die direkt in WordPress laufen. Achte auf diese Punkte:

• Es blockiert Skripte zuverlässig, bis eine Einwilligung vorliegt.
• Ablehnen und Zustimmen sind auf der ersten Ebene gleichwertig.
• Es bietet eine Zwei-Klick-Lösung für Videos, Karten und andere Einbettungen.
• Es lässt sich nachträglich über einen Link wieder öffnen.
• Es dokumentiert die Einwilligungen nachvollziehbar.
• Es passt zu deinem Theme und bremst die Ladezeit nicht unnötig aus.

4. Dienste an das Banner koppeln

An diesem Schritt scheitern die meisten Banner. Jeder einwilligungspflichtige Dienst muss so eingebunden sein, dass er erst nach der Zustimmung lädt. Bei Analytics und Pixeln geschieht das über das Consent-Tool oder einen Tag-Manager. Videos und Karten bindest du über einen Platzhalter ein, der den echten Inhalt erst nach einem Klick nachlädt.

5. Texte schreiben und Design anpassen

Schreib verständlich, wofür du welche Daten nutzt. Vermeide Floskeln wie „für das beste Nutzererlebnis“, denn sie informieren niemanden. Gestalte „Ablehnen“ und „Akzeptieren“ gleichwertig.

6. Datenschutzerklärung aktualisieren

Banner und Datenschutzerklärung müssen zusammenpassen. Jeder Dienst im Banner gehört auch in die Datenschutzerklärung, mit Zweck, Rechtsgrundlage und Empfänger.

7. Testen und regelmäßig nachprüfen

Wiederhole den Browser-Test von oben, sobald die Einrichtung fertig ist. Danach prüfst du nach jedem Plugin-Update, jedem neuen Widget und jeder neuen Marketing-Kampagne erneut. Das Banner richtest du nicht einmal ein und vergisst es dann: Es gehört zur laufenden Pflege deiner Website.

Unsere Sicht: Das beste Banner ist oft das, das du nicht brauchst

Wir betreuen seit über elf Jahren Websites und Shops und haben mehr als 120 WordPress-Seiten im laufenden Betrieb begleitet, unter anderem im Projekt ICH&ER. Dabei sehen wir immer wieder dasselbe Muster: Das Cookie-Banner gilt als lästige Pflicht und wird irgendwann obendrauf gesetzt. Kaum jemand stellt die eigentliche Frage, welche Dienste die Seite überhaupt braucht.

Wir gehen andersherum vor. Bevor wir ein Consent-Tool einrichten, schauen wir uns an, was auf der Website wirklich einen Mehrwert bringt. Vielen Handwerksbetrieben und Selbstständigen reicht eine schlanke Seite mit lokal eingebundenen Schriften, einer Zwei-Klick-Karte und einem sauberen Kontaktformular. Solche Seiten laden schneller, sind leichter zu warten und kommen häufig ganz ohne Banner aus. Das deckt sich mit der Empfehlung des LfD Baden-Württemberg, möglichst auf einwilligungsbedürftige Verarbeitungen zu verzichten.

Bei Onlineshops sieht es anders aus. Wer Werbung schaltet und Conversions messen will, kommt an einem Banner nicht vorbei. Dann muss es aber richtig funktionieren: technisch sauber an jeden Dienst gekoppelt, fair gestaltet und nach jedem Update geprüft. Ein Banner, das nur so aussieht, als wäre alles in Ordnung, gibt dir keine Sicherheit.

— Nick Vogel

Website oder Shop datenschutzkonform aufsetzen lassen

Wenn du keine Lust hast, Netzwerk-Tabs zu durchsuchen und Skripte einzeln an ein Consent-Tool zu koppeln, übernehme ich das für dich. Bei neuen Projekten plane ich die DSGVO-Konformität von Anfang an mit ein. Das gilt für eine Website für deinen Betrieb genauso wie für den Fall, dass du einen Onlineshop erstellen lassen willst.

Für bestehende WordPress-Seiten und WooCommerce-Shops gibt es meine WordPress-Wartung mit Hosting. Updates, Monitoring und Sicherheit sind inklusive. Dabei behalte ich auch im Blick, ob neue Plugins dein Banner aushebeln. Schreib mir einfach über die Kontaktseite für ein Erstgespräch.

Häufige Fragen zur Cookie-Banner-Pflicht

Brauche ich ein Cookie-Banner, wenn ich nur notwendige Cookies nutze?

Nein. Setzt deine Website nur technisch notwendige Cookies ein, etwa für den Warenkorb oder den Login, brauchst du keine Einwilligung und damit kein Banner. Du musst deine Besucher aber in der Datenschutzerklärung darüber informieren.

Reicht ein Hinweis „Diese Website verwendet Cookies“ mit OK-Button?

Nein. Mit einem reinen Hinweis holst du keine wirksame Einwilligung ein. Deine Besucher müssen ebenso einfach ablehnen wie zustimmen können, und bevor sie entschieden haben, dürfen keine einwilligungspflichtigen Dienste laden.

Darf ich den Zugang zur Website von der Zustimmung abhängig machen?

Die Good-Practice-Leitlinien empfehlen ausdrücklich, den Zugang nicht an eine Zustimmung zu koppeln. Eine Einwilligung muss freiwillig sein, und das lässt sich schwer begründen, wenn Besucher ohne Zustimmung gar nichts sehen. Wenn du ein solches Modell planst, sprich vorher mit einer auf Datenschutzrecht spezialisierten Kanzlei.

Gilt die Pflicht auch für Apps?

Ja, § 25 TDDDG betrifft den Zugriff auf Endgeräte allgemein, also auch Smartphones und Tablets. Nutzt deine App Analyse- oder Werbe-SDKs, die nicht unbedingt erforderlich sind, brauchst du dafür ebenfalls eine Einwilligung.

Dazu passt die Leistung Webdesign: Websites für Handwerk, Handel und Selbstständige – schnell, DSGVO-konform, mit Wartung aus einer Hand.