Dieser Artikel ist keine Rechtsberatung. Er beschreibt die Rechtslage und die Haltung der Aufsichtsbehörden nach dem Stand vom Oktober 2026. Für deine konkrete Website fragst du im Zweifel eine Anwältin, einen Anwalt oder deine Datenschutzbeauftragte.
Was § 25 TDDDG verlangt
Die Grundregel steht in § 25 Abs. 1 TDDDG, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Informationen auf dem Gerät eines Nutzers zu speichern oder dort auszulesen, ist nur mit Einwilligung zulässig. Die Einwilligung muss auf klaren und umfassenden Informationen beruhen.
Das betrifft nicht nur Cookies. Auch der Local Storage im Browser und andere Techniken, die auf das Gerät zugreifen, fallen darunter. Die deutschen Aufsichtsbehörden (DSK) nennen in ihrer Orientierungshilfe zum Beispiel auch das Browser-Fingerprinting.
§ 25 Abs. 2 TDDDG kennt zwei Ausnahmen. Keine Einwilligung brauchst du, wenn der Zugriff allein der Übertragung einer Nachricht dient. Oder wenn er unbedingt erforderlich ist, damit du einen Dienst bereitstellen kannst, den der Nutzer ausdrücklich wünscht.
Die DSK legt „unbedingt erforderlich“ eng aus. Ein Warenkorb-Cookie ist zum Beispiel in der Regel erst nötig, wenn jemand tatsächlich etwas in den Warenkorb legt, nicht schon beim Stöbern. Eine pauschale Aussage, dass Reichweitenmessung ohne Einwilligung erlaubt sei, trifft die DSK ausdrücklich nicht.
Brauchst du überhaupt ein Banner?
Ein Banner ist kein Selbstzweck. Du brauchst es nur, wenn deine Website etwas einsetzt, das eine Einwilligung erfordert. Diese Übersicht hilft bei der ersten Einordnung:
| Was deine Website macht | Einwilligung nach § 25 TDDDG nötig? |
|---|---|
| Speichert die Auswahl im Cookie-Banner | in der Regel nein |
| Warenkorb oder Login, nachdem der Nutzer sie verwendet | in der Regel nein |
| Google Analytics oder ähnliche Statistik mit Cookies | ja |
| Werbe-Pixel, zum Beispiel für Anzeigen in sozialen Netzwerken | ja |
| Inhalte von Dritten wie Videos, Karten oder Schriften von fremden Servern | im Einzelfall, zusätzlich braucht es nach DSGVO eine Rechtsgrundlage |
Die letzte Zeile ist ein Sonderfall. Laut DSK werden beim Einbinden von Drittinhalten regelmäßig personenbezogene Daten an den fremden Server übermittelt. Dafür brauchst du eine Rechtsgrundlage nach der DSGVO, unabhängig von § 25 TDDDG. Am einfachsten ist es, Schriften selbst zu hosten und Videos oder Karten erst nach einem Klick zu laden.
Wer auf Statistik mit Cookies und auf eingebettete Fremdinhalte verzichtet, kommt oft ganz ohne Einwilligungsbanner aus. In der Datenschutzerklärung informieren musst du trotzdem.
So sieht ein faires Banner aus
Die europäischen Aufsichtsbehörden haben sich im Ausschuss EDSA auf gemeinsame Positionen geeinigt. Die Taskforce zu Cookie-Bannern hat 2023 typische Fehler beschrieben. Die deutschen Behörden haben ihre Sicht in der Orientierungshilfe der DSK von November 2024 festgehalten. Daraus ergeben sich diese Regeln:
- Ablehnen auf der ersten Ebene. Die große Mehrheit der Behörden in der EDSA-Taskforce sieht es als Verstoß, wenn auf keiner Ebene mit Zustimmen-Button eine Ablehnung angeboten wird. Die DSK sagt: Verdeckt das Banner Inhalte, muss die Ablehnung ohne Mehraufwand an Klicks möglich sein.
- Gleichwertige Buttons. „Alle akzeptieren“ neben „Einstellungen“ reicht laut DSK nicht. Beide Optionen müssen den gleichen Effekt haben, also sofort eine Entscheidung abschließen.
- Keine vorausgewählten Häkchen. Vorab angekreuzte Kästchen führen laut EDSA-Taskforce nicht zu einer wirksamen Einwilligung.
- Keine Tricks mit Farbe und Kontrast. Einen festen Standard für Farben gibt es nicht. Die Taskforce prüft aber im Einzelfall, ob die Gestaltung offensichtlich in die Irre führt, etwa wenn „Ablehnen“ kaum lesbar ist.
- Ablehnen nicht als versteckter Link. Ist die einzige Alternative zum Zustimmen ein unauffälliger Link im Fließtext oder außerhalb des Banners, liegt laut Taskforce keine wirksame Einwilligung vor.
- Widerruf so einfach wie Zustimmung. Die EDSA-Taskforce nennt als Beispiele ein dauerhaft sichtbares Symbol oder einen Link an einer gut sichtbaren, festen Stelle. Üblich ist ein Link „Cookie-Einstellungen“ im Footer jeder Seite.
Die Taskforce nennt noch zwei weitere Fehler: Cookies, die als „notwendig“ eingestuft sind, obwohl sie es nicht sind. Und das Berufen auf ein „berechtigtes Interesse“, wo eigentlich eine Einwilligung nötig wäre.
Google Consent Mode v2: Basic oder Advanced
Wer Google Analytics oder Google Ads nutzt, stößt auf den Consent Mode. Er übermittelt Google, welche Einwilligungen ein Besucher erteilt hat. Google unterscheidet dabei unter anderem die Kategorien analytics_storage für Statistik sowie ad_storage, ad_user_data und ad_personalization für Werbung.
Google beschreibt zwei Varianten:
| Frage | Basic | Advanced |
|---|---|---|
| Wann laden die Google-Tags? | erst nach der Einwilligung | sofort beim Seitenaufruf |
| Daten vor der Einwilligung | laut Google keine, nicht einmal der Einwilligungsstatus | Einwilligungsstatus und Signale ohne Cookies |
| Modellierung fehlender Daten | keine Verhaltensmodellierung in GA4, Conversion-Modellierung nur eingeschränkt | Verhaltens- und Conversion-Modellierung möglich |
| Prüfaufwand beim Datenschutz | geringer | höher, weil schon vor der Einwilligung Daten an Google gehen |
Der Advanced-Modus liefert vollständigere Statistiken, weil Google Lücken hochrechnet. Dafür fließen schon vor der Einwilligung Daten an Google. Ob das für deine Website mit § 25 TDDDG und der DSGVO vereinbar ist, musst du selbst prüfen oder prüfen lassen. Wer auf Nummer sicher gehen will, nimmt den Basic-Modus. Die Zahlen in Google Analytics zeigen dann nur Besucher mit Einwilligung. Das ist ehrlich und reicht für die meisten kleinen Betriebe.
Einwilligung nachweisen und widerrufen
Du musst nachweisen können, dass eine Einwilligung vorliegt. Laut DSK brauchst du dafür keine langlebigen Cookies mit Nutzerkennung. Es genügt in der Regel, die eingesetzten Abläufe zu dokumentieren und die Auswahl in einem Cookie ohne Kennung zu speichern. Die DSK empfiehlt außerdem, auch alte Banner-Texte und Einstellungen aufzubewahren. So kannst du später zeigen, was ein Besucher zum Zeitpunkt seiner Einwilligung gesehen hat.
Beim Widerruf gilt: Er muss so einfach sein wie die Zustimmung. Nach einem Widerruf sollten keine weiteren Daten an den Dienst fließen. Bereits gesetzte Cookies, etwa die _ga-Cookies von Google Analytics, solltest du dabei löschen.
Was sich ändern könnte
Zwei Entwicklungen solltest du im Blick behalten:
- Digital Omnibus der EU. Die EU-Kommission hat am 19. November 2025 vorgeschlagen, die Cookie-Regeln in die DSGVO zu verschieben. Vorgesehen sind unter anderem eine Ablehnung mit einem Klick und eine Pause von mindestens sechs Monaten nach einer Ablehnung, bevor erneut gefragt werden darf. Laut Europäischem Parlament ist der Vorschlag mit Stand 20. September 2026 nicht beschlossen.
- Dienste zur Einwilligungsverwaltung. Nach § 26 TDDDG können Dienste anerkannt werden, die Einwilligungen zentral für Nutzer verwalten. Laut BfDI ist bisher ein solcher Dienst anerkannt, seit dem 17. Oktober 2025.
Bis sich etwas ändert, gilt das bestehende Recht. Die Ablehnung mit einem Klick, die der Vorschlag vorsieht, setzt ein faires Banner nach den Regeln oben schon heute um.
Deine Prüfliste in sechs Schritten
- Bestand aufnehmen. Öffne deine Website in einem privaten Browserfenster und sieh in den Entwicklerwerkzeugen nach, welche Cookies und Anfragen an fremde Server vor jedem Klick entstehen.
- Einordnen. Ordne jedes Cookie und jeden Dienst zu: unbedingt erforderlich oder einwilligungspflichtig.
- Reduzieren. Entferne, was du nicht brauchst. Hoste Schriften selbst und lade Videos oder Karten erst nach Klick.
- Banner prüfen. Stehen Ablehnen und Zustimmen gleichwertig auf der ersten Ebene? Sind alle Häkchen anfangs leer?
- Laden prüfen. Lädt Google Analytics wirklich erst nach der Zustimmung? Teste auch das Ablehnen.
- Widerruf und Nachweis. Ist der Link „Cookie-Einstellungen“ auf jeder Seite erreichbar? Ist dokumentiert, welche Banner-Version wann aktiv war?
So setzt ZEHO Webvision das um
Jede Website von ZEHO Webvision ist datenschutzfreundlich aufgebaut und hat ein Cookie-Banner. Auf unserer eigenen Website lädt Google Analytics nur nach Einwilligung im Basic-Modus. Ob deine bestehende Seite schon vor der Einwilligung Daten sendet, zeigt dir der Website-Check.