Kaum ein Element im Web sorgt für so viel Unmut wie das Cookie-Banner. Für Besucherinnen und Besucher ist es ein Hindernis, für Unternehmen oft eine Pflichtübung mit rechtlichem Risiko. Dabei kann ein gut gestaltetes Banner beides sein: rechtskonform und respektvoll gegenüber den Menschen, die Ihre Website besuchen. Dieser Beitrag erklärt, worauf es ankommt – und wann Sie vielleicht gar kein Banner brauchen.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche Prüfung Ihrer konkreten Website.
Wann ist eine Einwilligung nötig?
Maßgeblich ist in Deutschland § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das bis Mai 2024 TTDSG hieß. Danach ist das Speichern von Informationen auf dem Endgerät oder der Zugriff darauf grundsätzlich nur mit Einwilligung erlaubt – es sei denn, es ist unbedingt erforderlich, um einen ausdrücklich gewünschten Dienst bereitzustellen. Das gilt nicht nur für Cookies, sondern auch für vergleichbare Techniken wie Local Storage oder Fingerprinting.
Zusätzlich gilt für die anschließende Verarbeitung personenbezogener Daten die DSGVO. Für Analyse- und Marketingwerkzeuge, die Nutzungsprofile erstellen oder Daten an Dritte übermitteln, ist in der Praxis meist eine Einwilligung die Rechtsgrundlage.
Typischerweise ohne Einwilligung möglich
- Session-Cookies für einen Warenkorb oder einen Login,
- Speichern der Cookie-Entscheidung selbst,
- sicherheitsrelevante Cookies, etwa zum Schutz vor Missbrauch von Formularen,
- Spracheinstellungen, die die Nutzerin oder der Nutzer aktiv gewählt hat.
Typischerweise einwilligungspflichtig
- Reichweitenmessung mit Cookies oder Gerätekennungen (etwa Google Analytics),
- Conversion-Tracking und Remarketing für Werbeanzeigen,
- eingebettete Inhalte Dritter, die beim Laden Daten setzen oder auslesen, etwa Videos oder Karten,
- Social-Media-Pixel.
Die Anforderungen an ein faires Banner
Datenschutzaufsichtsbehörden und Gerichte haben in den vergangenen Jahren deutlich gemacht, was sie von Einwilligungsbannern erwarten. Die wichtigsten Punkte:
- Gleichwertige Optionen: Ablehnen muss so einfach sein wie Zustimmen. Ein gut sichtbarer Knopf „Ablehnen“ oder „Nur notwendige“ auf der ersten Ebene ist der sichere Weg.
- Keine Vorauswahl: Nicht notwendige Kategorien dürfen nicht vorab angehakt sein.
- Kein Laden vor der Entscheidung: Einwilligungspflichtige Dienste dürfen erst nach der Zustimmung geladen werden.
- Verständliche Information: Wer setzt welche Technik zu welchem Zweck ein? Gibt es Übermittlungen in Drittländer?
- Keine Täuschung durch Gestaltung: Ein knallbunter „Alle akzeptieren“-Knopf neben einem grauen, kaum lesbaren Link „Einstellungen“ gilt als problematisch.
- Jederzeit widerrufbar: Ein dauerhaft erreichbarer Link, etwa im Footer, öffnet die Einstellungen erneut.
Stellen Sie sich vor, Ihre Mutter oder Ihr Vater besucht die Website zum ersten Mal. Verstehen sie in zehn Sekunden, worum es geht, und finden sie ohne Suchen die Möglichkeit abzulehnen? Dann sind Sie auf einem guten Weg.
Texte, die man versteht
Viele Banner verstecken sich hinter Formulierungen wie „Wir verwenden Cookies, um Ihr Erlebnis zu verbessern“. Das ist weder informativ noch ehrlich. Ein besserer Einstieg könnte lauten:
„Wir möchten mit Ihrer Zustimmung messen, wie unsere Website genutzt wird, und Anzeigen auswerten. Dafür setzen wir Dienste von Drittanbietern ein, die Daten auch außerhalb der EU verarbeiten können. Sie können ablehnen, ohne dass Ihnen Nachteile entstehen.“
Auf der zweiten Ebene folgen dann die einzelnen Kategorien und Dienste mit Zweck, Anbieter, Speicherdauer und einem Link zur jeweiligen Datenschutzinformation.
Technische Umsetzung
Ein Banner ist nur so gut wie seine technische Anbindung. Prüfen Sie nach der Einrichtung:
- Vor der Entscheidung: Öffnen Sie die Website in einem privaten Browserfenster und schauen Sie in den Entwicklerwerkzeugen nach, welche Cookies gesetzt und welche Anfragen an Drittanbieter gestellt werden. Es dürfen nur notwendige sein.
- Nach dem Ablehnen: Laden auch nach einem Seitenwechsel keine Tracking-Dienste?
- Nach der Zustimmung: Werden die gewählten Dienste korrekt geladen?
- Eingebettete Inhalte: Videos und Karten lassen sich mit einer Zwei-Klick-Lösung einbinden, bei der zunächst nur ein Vorschaubild erscheint.
- Werbeplattformen: Wer Google-Dienste im Europäischen Wirtschaftsraum für Werbung nutzt, muss die Einwilligungssignale über den Consent Mode übermitteln.
Viele Unternehmen nutzen dafür eine Consent-Management-Plattform. Achten Sie auch hier auf einen Auftragsverarbeitungsvertrag und darauf, dass das Werkzeug selbst datensparsam arbeitet.
Die Alternative: Weniger ist mehr
Die eleganteste Lösung ist manchmal, auf einwilligungspflichtige Dienste ganz zu verzichten. Fragen Sie sich bei jedem eingebundenen Werkzeug: Nutzen wir die Daten wirklich? Treffen wir auf ihrer Grundlage Entscheidungen?
- Für Reichweitenmessung gibt es datensparsame, cookielose Werkzeuge mit aggregierten Statistiken.
- Schriftarten lassen sich lokal einbinden, statt sie bei jedem Aufruf von externen Servern zu laden.
- Karten können als statisches Bild mit Link zum Kartendienst dargestellt werden.
- Videos lassen sich über eine Zwei-Klick-Lösung oder selbst gehostet einbinden.
Wer konsequent auf solche Lösungen setzt, braucht unter Umständen nur noch einen kurzen Hinweis statt eines Einwilligungsbanners. Auch diese Website verzichtet auf Tracking-Cookies.
Dokumentation nicht vergessen
Die Einwilligungen müssen nachweisbar sein. Eine Consent-Management-Plattform protokolliert die Entscheidungen in der Regel pseudonymisiert. Halten Sie außerdem in Ihrem Verzeichnis der Verarbeitungstätigkeiten fest, welche Dienste Sie einsetzen, und aktualisieren Sie Banner und Datenschutzerklärung, sobald Sie ein neues Werkzeug einbinden.
Checkliste für Ihr Banner
- „Ablehnen“ und „Akzeptieren“ sind auf der ersten Ebene gleichwertig gestaltet.
- Keine nicht notwendige Kategorie ist vorausgewählt.
- Vor der Entscheidung laden ausschließlich notwendige Dienste.
- Alle Dienste sind mit Zweck, Anbieter und Speicherdauer beschrieben.
- Die Einstellungen lassen sich über einen Link im Footer jederzeit ändern.
- Das Banner ist per Tastatur bedienbar und mit Screenreadern nutzbar.
Auswirkungen auf Ihre Daten
Ein faires Banner führt dazu, dass ein Teil der Besucherinnen und Besucher ablehnt. Ihre Analysezahlen werden dadurch kleiner – aber ehrlicher. Planen Sie diese Lücke bei der Interpretation ein und ergänzen Sie Ihre Auswertung um andere Quellen, etwa die Frage „Wie sind Sie auf uns aufmerksam geworden?“ im Erstgespräch. Mehr dazu im Beitrag Marketing-Kennzahlen verstehen.
Das Wichtigste in Kürze
- Einwilligung ist nötig, sobald nicht unbedingt erforderliche Informationen auf dem Gerät gespeichert oder ausgelesen werden.
- „Ablehnen“ muss auf der ersten Ebene genauso einfach sein wie „Zustimmen“.
- Keine Vorauswahl und kein Laden von Diensten vor der Entscheidung.
- Die Umsetzung technisch testen – vor, nach Ablehnung und nach Zustimmung.
- Prüfen, ob datensparsame Alternativen das Banner überflüssig machen.
Reicht ein Hinweis „Mit der Nutzung stimmen Sie Cookies zu“?
Nein, für einwilligungspflichtige Dienste nicht. Eine Einwilligung muss aktiv erteilt werden; das bloße Weitersurfen genügt nicht.
Muss ich Google Fonts in das Banner aufnehmen?
Besser ist es, Schriftarten lokal auf dem eigenen Server einzubinden. Dann findet keine Übertragung an Dritte statt und das Thema erledigt sich.
Wie oft darf das Banner erneut erscheinen?
Nach einer Ablehnung sollte das Banner nicht bei jedem Seitenaufruf wieder auftauchen. Eine erneute Abfrage ist sinnvoll, wenn sich die eingesetzten Dienste wesentlich ändern.