Cookie-Banner: Wann deine Website wirklich einen braucht

Viele Betriebe haben einen Cookie-Banner, weil man das eben so macht. Ob er nötig ist, hängt aber davon ab, was deine Seite tatsächlich tut. Vorab: Das ist keine Rechtsberatung. Im Einzelfall hilft eine Fachanwältin oder ein Fachanwalt für IT-Recht.

Die Rechtsgrundlage

In Deutschland regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG) den Zugriff auf Endgeräte. Kurz gesagt: Wer Informationen auf dem Gerät eines Besuchers speichert oder dort ausliest, braucht dafür eine Einwilligung. Das betrifft Cookies, aber auch den lokalen Speicher des Browsers und ähnliche Techniken. Die Ausnahme: Die Speicherung ist unbedingt erforderlich, damit ein Dienst funktioniert, den der Nutzer ausdrücklich gewünscht hat (§ 25 Abs. 2 Nr. 2 TDDDG).

Dazu kommt die DSGVO, sobald personenbezogene Daten verarbeitet werden, zum Beispiel die IP-Adresse beim Laden von Inhalten fremder Server.

Wann du keinen Banner brauchst

Typische Beispiele für unbedingt erforderliche Speicherungen sind der Warenkorb in einem Shop, die Anmeldung in einem Kundenbereich oder das Speichern der Cookie-Entscheidung selbst. Für eine normale Firmenwebsite heißt das: Ohne Analyse-Tools, Werbe-Pixel und eingebettete Inhalte von Drittanbietern kommst du oft ganz ohne Banner aus.

Wann du einen brauchst

• Besucherstatistiken wie Google Analytics, die Daten auf dem Gerät speichern.
• Werbe-Pixel von Meta, Google Ads oder anderen Netzwerken.
• Eingebettete YouTube-Videos, Google Maps oder Instagram-Feeds, die beim Laden Daten an den Anbieter übertragen.

Ein Sonderfall sind Schriften von fremden Servern wie Google Fonts. Dort geht es weniger um Cookies als um die Übertragung der IP-Adresse. Die bessere Lösung als ein Banner ist hier, die Schriften auf dem eigenen Server abzulegen.

Wenn Banner, dann richtig

Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat in ihrer Orientierungshilfe für Anbieter digitaler Dienste beschrieben, was eine wirksame Einwilligung braucht (Quelle: datenschutzkonferenz-online.de). Die wichtigsten Punkte:

• Ablehnen muss nach Auffassung der Behörden genauso einfach möglich sein wie Zustimmen.
• Keine vorausgewählten Häkchen. Das hat der Europäische Gerichtshof 2019 entschieden (Rechtssache C-673/17, „Planet49“).
• Vor der Einwilligung darf nichts geladen werden, das eine Einwilligung braucht.
• Die Einwilligung muss jederzeit widerrufbar sein, zum Beispiel über einen Link im Footer.

Der beste Banner ist keiner

Für die meisten kleinen Betriebe ist der einfachste Weg, die Seite so zu bauen, dass sie keine Einwilligung braucht: Schriften lokal, keine Tracking-Pixel, Karten und Videos erst nach einem Klick laden. Das ist datenschutzfreundlich, die Seite lädt schneller, und Besucher werden nicht zuerst von einem Fenster begrüßt.

Häufige Fragen

Reicht ein Hinweis „Diese Seite nutzt Cookies“ mit OK-Knopf?

Wenn einwilligungspflichtige Dienste laufen, nein. Ein reiner Hinweis ist keine Einwilligung, und die Dienste dürften erst nach einer echten Zustimmung starten.

Brauche ich ohne Banner trotzdem eine Datenschutzerklärung?

Ja. Auch eine Seite ohne Banner verarbeitet Daten, etwa in den Logdateien des Servers oder über das Kontaktformular. Das gehört in die Datenschutzerklärung.