Cookie-Banner: Wann ist es Pflicht?

Kurz gesagt

• Kein Gesetz schreibt ein „Banner“ vor. Pflicht ist eine Einwilligung, sobald deine Website Informationen auf dem Gerät der Besuchenden speichert oder ausliest, die nicht unbedingt erforderlich sind (§ 25 TDDDG). Das Banner ist nur das übliche Werkzeug, um sie einzuholen.
• Ohne Banner geht es, wenn deine Website nur so auf das Gerät der Besuchenden zugreift, wie es für den Betrieb unbedingt nötig ist, und vor einer Entscheidung nichts von fremden Servern lädt. In unserer Messung kontaktierte fast jede dritte Website (32,2 %) vor dem ersten Klick keinen einzigen fremden Server. Die Aufsichtsbehörden raten dann sogar ausdrücklich von einem Banner ab.
• Der häufigste Grund für ungefragte Verbindungen ist kein Tracking, sondern Google-Schriften, Google-Karten und der Spamschutz reCAPTCHA. Lokal eingebunden oder erst per Klick geladen, fällt dieser Grund weg.
• Wenn Banner, dann richtig: Ablehnen muss so einfach sein wie Zustimmen, nichts darf vorausgewählt sein, und vor der Einwilligung darf nichts laden. In unserer Messung schickten 76 % der Websites mit fremden Diensten nach „Ablehnen“ nicht weniger Daten an fremde Server als nach „Akzeptieren“, meist, weil es kein wirksames Ablehnen gab.
• Abgeschafft ist nichts: Die EU berät über neue Cookie-Regeln, beschlossen ist davon nichts. Bis dahin gilt das heutige Recht unverändert (Stand 14. Oktober 2026).

Was das Gesetz wirklich verlangt

Der Begriff „Cookie-Banner“ steht in keinem Gesetz. Die Pflicht dahinter kommt aus zwei Regelwerken, die oft vermischt werden. Die Aufsichtsbehörden prüfen sie getrennt nacheinander.

§ 25 TDDDG, der Zugriff auf das Gerät: Wer Informationen auf dem Endgerät der Nutzenden speichert oder dort bereits gespeicherte Informationen ausliest, braucht deren Einwilligung. Das betrifft Cookies, aber genauso Local Storage, Zählpixel, Skripte, die Geräteeigenschaften abfragen, oder Fingerprinting. Ob dabei personenbezogene Daten im Spiel sind, ist egal. Ausgenommen ist nur, was unbedingt erforderlich ist, damit du einen Dienst bereitstellen kannst, den die Nutzenden ausdrücklich wünschen (§ 25 Abs. 2 Nr. 2 TDDDG). Das Gesetz hieß bis Mai 2024 TTDSG; am Inhalt hat sich mit der Umbenennung nichts geändert.

DSGVO, die Weitergabe von Daten: Lädt deine Website eine Schriftart, eine Karte oder ein Skript von einem fremden Server, erfährt dieser Anbieter die IP-Adresse der Besuchenden. Dafür brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO. Ein berechtigtes Interesse scheidet oft aus, etwa wenn es eine lokale Alternative gibt oder der Anbieter die Daten auch für eigene Zwecke nutzt. Dann bleibt nur die Einwilligung.

Eine wirksame Einwilligung muss freiwillig, informiert, eindeutig und durch eine aktive Handlung erteilt werden (Art. 4 Nr. 11 DSGVO). Ein vorausgewähltes Häkchen reicht nicht, das haben der Europäische Gerichtshof (Planet49, 2019) und der Bundesgerichtshof (Cookie-Einwilligung II, 2020) entschieden. Weitersurfen oder Scrollen ist ebenfalls keine Einwilligung. Und der Widerruf muss so einfach sein wie die Zustimmung (Art. 7 Abs. 3 DSGVO).

Brauchst du ein Cookie-Banner? Die Entscheidungshilfe

Ob du ein Banner brauchst, entscheidet nicht deine Branche oder deine Unternehmensgröße, sondern allein, was deine Website technisch tut. Gehe die Liste mit allem durch, was auf deiner Website eingebunden ist:

Die Faustregel daraus: Lädt vor einer Entscheidung nichts von fremden Servern und greift deine Website nur so auf das Gerät zu, wie es für den Betrieb unbedingt nötig ist (Cookies, Local Storage, Skripte), brauchst du kein Einwilligungsbanner. Die Datenschutzkonferenz rät in diesem Fall sogar ausdrücklich davon ab, trotzdem eins zu zeigen, weil es den falschen Eindruck einer Wahl erweckt. Eine Datenschutzerklärung brauchst du trotzdem, denn sie informiert auch über technisch notwendige Verarbeitungen.

Was „unbedingt erforderlich“ bedeutet

Die Ausnahme ist eng. Die Datenschutzaufsichtsbehörden legen sie in ihrer Orientierungshilfe für digitale Dienste streng technisch aus: Erforderlich ist, ohne was der gewünschte Dienst nicht funktionieren würde. Dass ein Werkzeug nützlich, wirtschaftlich sinnvoll oder üblich ist, genügt nicht. Und „gewünscht“ ist zunächst nur die Website selbst. Zusatzfunktionen wie ein Kontaktformular, ein Chat, eine Karte oder ein Video wünscht jemand erst, wenn er sie aktiv nutzt.

• Typischerweise erforderlich: Warenkorb und Login ab dem Moment der Nutzung, die gespeicherte Einwilligungsentscheidung, nicht identifizierende Einstellungen wie die Sprache, Lastverteilung, Schutz vor Missbrauch wie wiederholten Fehlversuchen beim Login.
• Typischerweise nicht erforderlich: Reichweitenmessung und Statistik, Werbung und Retargeting, eingebettete Inhalte Dritter, Bewertungs- oder Chat-Widgets, die schon beim Seitenaufruf laden.

Vorsicht bei Webanalyse „ohne Cookies“: Viele Anbieter werben damit, kein Banner zu brauchen. Die Bundesdatenschutzaufsicht (BfDI) sieht das am Beispiel Matomo anders; ihre Bewertung richtet sich an Bundesbehörden, gilt nach eigener Aussage aber analog für gleichartige Dienste. Sobald ein Skript ausgeliefert wird, das Informationen vom Gerät erhebt, braucht es danach grundsätzlich eine Einwilligung. Einwilligungsfrei nach dem TDDDG ist nur die Auswertung der Server-Logfiles, die ohnehin anfallen. Für sie gilt aber die DSGVO, und eine pauschale Freigabe für Reichweitenmessung gibt es auch von der Datenschutzkonferenz nicht.

Der unterschätzte Grund: Schriften, Karten und Spamschutz

Viele denken bei Cookie-Bannern an Tracking. Unsere Messung an 10.389 deutschen Websites für den Datenschutzreport 2026 zeigt ein anderes Bild:

• 68 % der Websites kontaktieren fremde Server, bevor Besuchende irgendetwas anklicken können.
• 21 % aller Websites melden den Besuch an Google, allein wegen Schriftarten, Karten oder reCAPTCHA. Messen will der Betreiber dabei meist nichts, die IP-Adresse geht trotzdem an Google.
• 9,1 % aller Websites wären zusätzlich vor dem Klick vollständig ruhig, wenn sie nur diese drei Google-Dienste lokal oder per Klick einbinden würden.

Das ist der günstigste Weg zu weniger Banner-Pflicht: Schriften vom eigenen Server ausliefern, Karten und Videos durch ein Vorschaubild ersetzen, das erst auf Klick lädt, und für den Spamschutz ein Verfahren ohne Drittkontakt wählen. Für Besuchende ändert sich danach kaum etwas.

Rechtlich ist das vor allem eine Frage der DSGVO. Das Landgericht München I sprach einem Besucher 100 € Schadensersatz zu, weil eine Website Google-Schriften ohne Einwilligung von Google-Servern lud und es eine lokale Alternative gab (Urteil vom 20. Januar 2022, 3 O 17493/20). Ganz geklärt ist die Lage noch nicht: Der Bundesgerichtshof hat dem Europäischen Gerichtshof 2025 unter anderem die Frage vorgelegt, ob eine IP-Adresse für den Empfänger überhaupt ein personenbezogenes Datum ist und ob absichtlich provozierte Besuche einen Schadensersatz begründen (Beschluss vom 28. August 2025, VI ZR 258/24). Bis dahin ist die lokale Einbindung der sichere Weg.

Ob deine Website solche Dienste lädt, zeigt dir der kostenlose Website-Scanner im DSGVO Check-up in unter einer Minute.

Wenn du ein Banner brauchst: Das muss es können

Bleiben nach dem Aufräumen Dienste übrig, die eine Einwilligung brauchen, etwa Analyse, Werbung oder ein Baukasten, muss das Banner diese Anforderungen erfüllen:

1. 1Vor der Entscheidung lädt nichts Einwilligungspflichtiges. Skripte, Pixel und Inhalte von fremden Servern starten erst nach der Zustimmung.
2. 2Ablehnen ist so einfach wie Zustimmen. Bietest du auf der ersten Ebene „Alle akzeptieren“ an, gehört dort auch eine gleichwertige Möglichkeit zum Ablehnen hin, ähnlich groß und gut sichtbar. Ein Knopf „Einstellungen oder Ablehnen“, hinter dem das Ablehnen erst auf einer zweiten Ebene kommt, reicht der Datenschutzkonferenz nicht.
3. 3Nichts ist vorausgewählt. Alle Kästchen für nicht notwendige Zwecke starten leer.
4. 4Zwecke und Anbieter sind einzeln benannt. Wer zustimmt, muss wissen, wozu und gegenüber wem. „Unsere Partner“ genügt nicht.
5. 5Impressum und Datenschutzerklärung bleiben erreichbar. Das Banner darf sie nicht verdecken.
6. 6Der Widerruf ist jederzeit möglich, am besten über einen dauerhaft sichtbaren Link „Cookie-Einstellungen“ im Footer.
7. 7Die Einwilligung ist nachweisbar. Du musst belegen können, dass zugestimmt wurde (Art. 7 Abs. 1 DSGVO). Gängige Consent-Tools protokollieren das.

Ganz einheitlich ist die Linie beim Ablehnen-Knopf nicht. Die Datenschutzkonferenz verlangt eine Ablehnoption auf der ersten Ebene jedenfalls dann, wenn man das Banner wegklicken muss, um die Seite zu nutzen, und hält das bei gängigen Bannern für sehr häufig gegeben. Die niedersächsische Aufsicht verlangt sie ausdrücklich, sobald es „Alle akzeptieren“ gibt, und das Verwaltungsgericht Hannover hat ihre Anordnung nach Angaben der Behörde bestätigt (Urteil vom 19. März 2025, 10 A 5385/22). Das Oberlandesgericht Köln hat einem Website-Betreiber ein Banner untersagt, das auf der ersten Ebene gar keine Ablehnoption bot (Urteil vom 19. Januar 2024, 6 U 80/23). Wer neben „Alle akzeptieren“ ein gleichwertiges „Alles ablehnen“ anbietet, ist auf der sicheren Seite.

Wirkt dein Ablehnen-Button? Der Fünf-Minuten-Test

Ein Banner, das nichts blockiert, macht Arbeit ohne Schutz. In unserer Messung kontaktierten 76 % der Websites mit fremden Diensten nach einem Klick auf „Ablehnen“ nicht weniger fremde Server als nach „Akzeptieren“. Darin stecken vor allem Websites ohne erkennbares Consent-Tool. Aber auch bei Websites mit Consent-Tool blieb das Nein je nach Werkzeug in 22 bis 86 % der Fälle ohne messbare Wirkung. Websites mit erkennbarem Consent-Tool kontaktierten vor dem Klick zudem im Schnitt 8,4 fremde Server, Websites ohne erkennbares Tool 3,9. Das liegt vor allem daran, dass ein Banner meist dort steht, wo auch mehr eingebunden ist. Nach unserer Einschätzung ist ein wirkungsloses Ablehnen selten Absicht: Oft wurde das Tool nie mit den eingebundenen Diensten verbunden.

So prüfst du deine eigene Website:

1. 1Öffne deine Website in einem privaten Browserfenster.
2. 2Öffne die Entwicklerwerkzeuge (Taste F12, am Mac Wahl + Befehl + I) und dort den Reiter „Netzwerk“.
3. 3Lade die Seite neu, klicke im Banner auf „Ablehnen“, leere dann die Liste im Reiter „Netzwerk“ und öffne eine Unterseite.
4. 4Sieh nach, welche Adressen fremder Anbieter trotzdem auftauchen, etwa google-analytics.com, googletagmanager.com, fonts.googleapis.com oder facebook.net.

Taucht dort etwas auf, das eine Einwilligung braucht, ist dein Banner nicht richtig angeschlossen.

Werden Cookie-Banner abgeschafft?

Die kurze Antwort: nicht jetzt, und vielleicht nie ganz. Die EU-Kommission hat im November 2025 mit dem Digital Omnibus vorgeschlagen, die Cookie-Regeln, soweit personenbezogene Daten betroffen sind, in die DSGVO zu überführen. Auch dieser Vorschlag hält an der Einwilligung als Grundregel fest. Geplant sind im Kommissionsentwurf vor allem:

• Weniger Fragen: Für eine kurze Liste von Zwecken soll keine Einwilligung mehr nötig sein, etwa für die technische Übertragung, einen ausdrücklich angeforderten Dienst, eine eng gefasste eigene Reichweitenmessung und die Sicherheit des Angebots.
• Ruhe nach dem Nein: Ablehnen soll mit einem Klick möglich sein, und wer abgelehnt hat, soll für denselben Zweck mindestens sechs Monate lang nicht erneut gefragt werden.
• Ein Signal aus dem Browser: Besuchende sollen ihre Entscheidung einmal maschinenlesbar hinterlegen können, und Websites müssten sie beachten.

Beschlossen ist davon nichts. Im Europäischen Parlament haben die zuständigen Ausschüsse noch nicht abgestimmt, im Rat gibt es noch keine bestätigte gemeinsame Position, und Verhandlungen zwischen beiden haben nicht begonnen (Stand 14. Oktober 2026). Das Browser-Signal hat der Rat nach Angaben der damaligen Bundesbeauftragten für den Datenschutz nicht weiterverfolgt. Sie hat im August 2026 dafür geworben, solche Signale europaweit verbindlich zu machen, und ein Bündnis von Organisationen um noyb fordert dasselbe. Ob es kommt, ist offen, und selbst nach einer Einigung sähe der Entwurf Übergangsfristen vor.

In Deutschland gibt es seit dem 1. April 2025 zudem die Einwilligungsverwaltungsverordnung. Sie regelt anerkannte Dienste, bei denen Nutzende ihre Entscheidungen zentral hinterlegen können. Für Websites ist die Einbindung freiwillig, und bisher ist ein einziger Dienst anerkannt. Das Banner ersetzt ein solcher Dienst heute nicht.

Eine Entwarnung für den häufigsten Fall gibt es ohnehin nicht: Die geplanten Ausnahmen betreffen den Zugriff auf das Gerät. Ob Google-Schriften, Karten oder Videos, die beim Seitenaufruf laden, eine Rechtsgrundlage brauchen, bleibt eine Frage der DSGVO. Ob die ebenfalls geplante Neufassung des Begriffs „personenbezogene Daten“ und das EuGH-Verfahren zur IP-Adresse daran etwas ändern, ist offen.

Was passiert ohne korrektes Banner?

Verstöße gegen § 25 TDDDG können mit einem Bußgeld von bis zu 300.000 € geahndet werden, Verstöße gegen die DSGVO nach Art. 83 DSGVO. Öffentlich dokumentierte Bußgelder gegen kleine Unternehmen wegen Cookie-Bannern haben wir bei unserer Recherche nicht gefunden. Die belegten Fälle sehen anders aus: Anordnungen der Aufsichtsbehörden, Unterlassungsklagen von Verbraucherverbänden (im Kölner Fall mit 260 € Abmahnkosten) und Schadensersatzforderungen von Besuchenden (im Münchner Fall 100 €). Mitbewerber können Datenschutzverstöße außerdem wettbewerbsrechtlich verfolgen: Der Europäische Gerichtshof hat 2024 entschieden, dass die DSGVO dem nicht entgegensteht (Urteil vom 4. Oktober 2024, C-21/23), der Bundesgerichtshof hat das 2025 für das deutsche Recht bestätigt (Urteile vom 27. März 2025, I ZR 222/19 und I ZR 223/19). Die Beträge im Einzelfall sind meist klein, der Aufwand für eine Auseinandersetzung ist es nicht.

Die häufigsten Fehler

• Ein Banner kaufen statt aufzuräumen. Wer Schriften lokal einbindet und Karten per Klick lädt, braucht oft gar keins.
• Ein Banner zeigen, obwohl nichts zu entscheiden ist. Ohne einwilligungspflichtige Dienste verwirrt es nur.
• Ablehnen in die zweite Ebene verstecken. „Alle akzeptieren“ als Knopf, „Ablehnen“ nur über „Einstellungen“: Das beanstanden die Aufsichtsbehörden, und Gerichte haben es in Einzelfällen bestätigt.
• Ein Banner einbauen, das nichts blockiert. Das Plugin fragt, aber die Skripte laden trotzdem. Mit dem Fünf-Minuten-Test oben siehst du es sofort.
• „Mit der Nutzung stimmst du zu“-Hinweise. Weitersurfen ist keine Einwilligung.
• „Cookielos“ mit „einwilligungsfrei“ verwechseln. Auch Skripte und Pixel greifen auf das Gerät zu.
• Alte Werkzeuge vergessen. Abgeschaltete Analysekonten oder Reste eines früheren Themes setzen weiter Cookies, ohne dass jemand die Daten nutzt.
• Banner und Datenschutzerklärung passen nicht zusammen. Dienste im Banner, die in der Erklärung fehlen, oder umgekehrt.

Cookie-Banner und Website mit Dieter prüfen

Bevor du über ein Banner entscheidest, solltest du wissen, was deine Website wirklich lädt. Genau das zeigt der kostenlose Website-Scanner im DSGVO Check-up: derselbe Drei-Zustands-Scan wie in unserer Studie, also ohne Klick, nach „Akzeptieren“ und nach „Ablehnen“. Die Cookie-Banner-Risikoanalyse zeigt, ob einwilligungspflichtige Dienste schon vor der Zustimmung aktiv werden, und zu jedem Befund steht, was in Banner, Datenschutzerklärung oder Technik zu ändern ist.

Was danach auf der Website bleibt, gehört in die Datenschutzerklärung. Der Datenschutzerklärung-Generator von Dieter erkennt eingebundene Dienste per Website-Scan, kennt über 1.000 davon und hält deine Erklärung über die Live-Einbindung aktuell: Ergänzt oder entfernst du später ein Tool, passt du es in Dieter an, und die Änderung erscheint automatisch auf deiner Website.

Fazit

Ein Cookie-Banner ist kein Pflichtbauteil jeder Website, sondern die Folge dessen, was eine Website einbindet. Wer nur so auf das Gerät zugreift, wie es technisch nötig ist, und vor einer Entscheidung nichts von fremden Servern lädt, braucht keins. Der schnellste Weg dahin ist oft unspektakulär: Schriften lokal, Karten und Videos per Klick, alte Werkzeuge raus. Brauchst du für Analyse, Werbung oder deinen Baukasten trotzdem eine Einwilligung, dann muss das Banner echt funktionieren, mit gleichwertigem Ablehnen und ohne vorzeitiges Laden. Auf die EU-Reform zu warten, lohnt sich nicht: Sie ist nicht beschlossen, und ob sie den häufigsten Fall überhaupt berührt, ist offen.