Ein Cookie-Banner wird erst Pflicht, sobald die Website über technisch notwendige Funktionen hinausgeht. Wer Google Analytics, ein Werbe-Pixel oder eingebettete Dienste wie Google Maps nutzt, braucht vor dem Laden dieser Dienste eine wirksame Einwilligung nach § 25 TDDDG. Ein reiner Cookie-Hinweis ohne Ablehnen-Möglichkeit erfüllt diese Pflicht nicht. Reine Session- oder Warenkorb-Funktionen dagegen lösen keine Bannerpflicht aus. Für Handwerks- und Gewerbebetriebe mit klassischer Firmenwebsite reicht meist ein einziger Blick auf die eingebundenen Tools, um die eigene Lage einzuschätzen.
Was ein Cookie-Banner ist und was es leisten muss
Ein Cookie-Banner ist der Einwilligungsdialog, der beim ersten Aufruf einer Website erscheint, bevor einwilligungspflichtige Dienste geladen werden. Rechtlich ist er das Werkzeug, mit dem eine Website die Einwilligung nach § 25 TDDDG einholt und so dokumentiert, dass sie den Anforderungen aus Artikel 7 DSGVO genügt. Daraus ergibt sich, was der Banner können muss: Er hält die betroffenen Dienste zurück, bis der Besucher entschieden hat, und benennt dabei, welche Dienste zu welchem Zweck laufen sollen. Zustimmen und Ablehnen stehen als gleichwertige Wahl nebeneinander, die getroffene Entscheidung wird gespeichert, damit sie im Streitfall nachweisbar bleibt, und ein Widerruf ist später genauso einfach möglich wie die ursprüngliche Zustimmung.
Ein Fenster, das nur informiert und die Dienste trotzdem sofort lädt, erfüllt keine dieser Aufgaben und bleibt damit ein bloßer Hinweis ohne rechtliche Wirkung. Genauso wenig hilft ein Banner, der zwar nach der Einwilligung fragt, während die Skripte längst vor dem ersten Klick laufen, ein in der Praxis häufiger Konfigurationsfehler: Das Consent-Tool ist eingebaut, die Analyse-Tools laden aber unabhängig davon weiter. Ob ein Banner tatsächlich blockiert, lässt sich prüfen, indem du die Seite in einem privaten Browserfenster öffnest, nichts anklickst und in den Entwicklerwerkzeugen des Browsers unter Netzwerk nachsiehst, ob trotzdem Verbindungen zu Analyse- oder Werbediensten aufgebaut werden.
Welches Gesetz gilt: TDDDG statt TTDSG
Bis Mai 2024 hieß das einschlägige Gesetz TTDSG, seither TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Inhaltlich hat sich an der Cookie-Regelung nichts geändert, nur der Name. Maßgeblich ist § 25 TDDDG: Wer Informationen auf dem Endgerät eines Nutzers speichert oder darauf zugreift, braucht dafür eine Einwilligung, außer die Speicherung oder der Zugriff ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Das betrifft nicht nur klassische Cookies, sondern auch vergleichbare Technologien wie Local Storage oder Fingerprinting-Verfahren.
Sobald anschließend personenbezogene Daten verarbeitet werden, kommt zusätzlich die DSGVO ins Spiel, meist Artikel 6 Absatz 1 Buchstabe a als Rechtsgrundlage. Die Einwilligung selbst muss den Anforderungen aus Artikel 7 DSGVO genügen: freiwillig, informiert, eindeutig und im Zweifel nachweisbar. Praktisch heißt das, § 25 TDDDG prüft die Speicher- und Zugriffsseite auf dem Gerät, die DSGVO prüft, was mit den dabei anfallenden Daten danach passiert. Beide Ebenen greifen bei den meisten Firmenwebsites gleichzeitig.
Wann ein Banner nötig ist und wann nicht
Nicht jede Website braucht dieselbe Lösung. Entscheidend ist, welche Dienste tatsächlich eingebunden sind.
| Einsatz | Bannerpflicht | Begründung |
|---|---|---|
| Reines Kontaktformular ohne externe Analyse-Tools | Nein | Technisch notwendig, keine Speicherung zu Analyse- oder Werbezwecken |
| Session-Cookie für Login-Bereich | Nein | Unbedingt erforderlich für den gewünschten Dienst |
| Google Analytics oder vergleichbare Statistik-Tools | Ja | Reine Analyse ist keine unbedingt erforderliche Funktion |
| Google Maps eingebettet | In der Regel ja | Beim Laden fließen bereits Daten an Google, oft vor jeder Nutzerinteraktion |
| Externe Schriftarten von Drittanbieter-Servern | Im Einzelfall prüfen | Überträgt technische Daten an den Drittanbieter, gilt aber als Grenzfall |
| Werbe-Pixel wie Meta Pixel oder Google Ads Conversion-Tracking | Ja | Tracking und Profilbildung sind nie unbedingt erforderlich |
Für die meisten Handwerksbetriebe mit Website reicht ein Blick in den Quellcode oder ins Tag-Management: Läuft dort etwas, das über die reine Funktion der Seite hinausgeht, braucht es vor dem Laden eine Einwilligung. Läuft dort nichts dergleichen, kann der Banner entfallen, ein kurzer Datenschutzhinweis reicht dann aus.
Wann du gar kein Cookie-Banner brauchst
Kein Banner ist nötig, wenn die Website ausschließlich Funktionen nutzt, die für ihren Betrieb unbedingt erforderlich sind. Eine Firmenwebsite, die ihre Schriften vom eigenen Server lädt, ohne Analyse- und Werbedienste auskommt und Karten oder Videos erst nach einem Klick des Besuchers nachlädt, speichert nichts auf dem Endgerät, was nach § 25 TDDDG eine Einwilligung verlangen würde. Die Information über die wenigen notwendigen Cookies gehört dann in die Datenschutzerklärung, ein Balken auf jeder Seite hat keine rechtliche Funktion mehr. Ein Banner ohne einwilligungspflichtige Dienste dahinter schadet sogar eher, weil er Besucher eine Entscheidung treffen lässt, die technisch folgenlos bleibt, und weil er den Eindruck erweckt, die Seite verarbeite mehr Daten, als sie es tatsächlich tut.
Erreichen lässt sich dieser Zustand am leichtesten, wenn die Website von Anfang an so gebaut wird. Die Seiten im Mr.Site-Abo sind dafür ein Beispiel: statisch ausgeliefert, Schriften lokal geladen statt von Google-Servern, Hosting in Deutschland und keine Tracking-Cookies, die ein Cookie-Banner nötig machen würden. Ob das so bleibt, entscheidet sich allerdings bei jeder Änderung neu: Ein nachträglich eingebautes Buchungstool oder ein Werbe-Pixel für eine Kampagne holt die Einwilligungspflicht zurück auf die Seite. Diese Prüfung gehört deshalb zur laufenden Pflege der Website, zusammen mit der Anpassung der Datenschutzerklärung, sobald ein neues Werkzeug dazukommt.
Cookie-Hinweis oder Cookie-Banner: Wo der Unterschied liegt
Der klassische Cookie-Hinweis ist der schmale Balken mit einem Satz wie „Diese Website verwendet Cookies” und einem einzelnen OK-Knopf. Er informiert nur und lässt keine Wahl, weder zum Ablehnen noch zur Auswahl einzelner Dienste. Als Einwilligung im Sinne von § 25 TDDDG ist er deshalb unwirksam, sobald einwilligungspflichtige Dienste wie Analyse-Tools oder Werbe-Pixel laufen: Genau diese Gestaltung ohne echte Wahl haben Gerichte und Aufsichtsbehörden in den Entscheidungen, um die es im nächsten Abschnitt geht, wiederholt beanstandet.
Umgekehrt gilt: Wer auf der Website ausschließlich technisch Notwendiges einsetzt, braucht gar keine Einwilligung und darf beim schlichten Hinweis bleiben oder ihn komplett weglassen. Die Information über notwendige Cookies gehört ohnehin in die Datenschutzerklärung, ein zusätzlicher Balken auf jeder Seite hat dann keine rechtliche Funktion. Kurz gefasst: Banner mit echter Auswahl bei einwilligungspflichtigen Diensten, schlanker Hinweis oder gar kein Balken bei einer rein technischen Seite.
Wie eine wirksame Einwilligung aussehen muss
Ein Banner allein reicht nicht, wenn er die Wahl faktisch vorwegnimmt. Gerichte und Aufsichtsbehörden haben in den vergangenen Jahren mehrfach klargestellt, welche Gestaltung als unwirksam gilt: ein großer, farblich hervorgehobener Zustimmen-Button neben einem kaum sichtbaren Ablehnen-Link, vorangehakte Kästchen bei optionalen Diensten oder ein Banner, das sich erst nach mehreren Klicks durch Untermenüs ablehnen lässt. Als Faustregel gilt die sogenannte Gleichwertigkeit: Zustimmen und Ablehnen müssen auf derselben Ebene, mit vergleichbarer Gestaltung und ohne Umweg erreichbar sein. Zusätzlich muss die Einwilligung protokolliert werden, damit sie im Streitfall nachweisbar ist, und ein Widerruf muss jederzeit genauso leicht möglich sein wie die ursprüngliche Zustimmung, meist über ein dauerhaft erreichbares Icon oder einen Link im Footer.
Was ohne Einwilligung droht
Ein fehlender oder unwirksamer Cookie-Banner ist ein Bußgeldtatbestand nach § 28 TDDDG mit einem Rahmen bis zu 300.000 Euro. Belastbare Zahlen zu tatsächlich verhängten Bußgeldern speziell wegen Cookie-Bannern liegen für Deutschland bislang kaum vor, anders als in Spanien und Frankreich: Die spanische Aufsichtsbehörde AEPD hat 2020 unter anderem 30.000 Euro gegen ein Unternehmen wegen eines fehlerhaften Cookie-Banners verhängt, kleinere Fälle lagen im Bereich von wenigen Tausend Euro. In Frankreich hat die CNIL 2021 Google und Facebook mit 150 beziehungsweise 60 Millionen Euro belegt, weil das Ablehnen von Cookies deutlich schwerer gemacht wurde als das Zustimmen, wenn auch bei einem völlig anderen Unternehmensmaßstab als beim durchschnittlichen Handwerksbetrieb. Für kleinere Firmenwebsites ist ein Bußgeldverfahren derzeit eher die Ausnahme, das eigentliche Risiko liegt öfter bei Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände, die auf offensichtlich fehlerhafte Banner reagieren.
Typische Cookie-Fallen bei Handwerker-Websites
Die Bannerpflicht entscheidet sich selten am offensichtlichen Fall, sondern an Bausteinen, die viele Betriebe eher beiläufig einbinden. Ein eingebettetes YouTube-Video vom letzten Referenzprojekt lädt beim reinen Aufruf der Seite bereits Google-Dienste im Hintergrund, selbst wenn niemand auf Play klickt, sofern es nicht im erweiterten Datenschutzmodus eingebunden ist. Ein Live-Chat-Widget speichert häufig eine eigene Kennung im Browser, um Gespräche über mehrere Seitenaufrufe hinweg zuzuordnen, das zählt in der Regel nicht mehr als unbedingt erforderlich. Auch ein eingebetteter Instagram-Feed auf der Startseite lädt beim Aufruf Inhalte direkt von den Servern des Anbieters und überträgt dabei technische Daten, ähnlich wie bei Google Maps. Wer solche Bausteine nutzt, um Google-Bewertungen einzubinden oder einen WhatsApp-Button auf der Website anzubieten, sollte diese Dienste in der eigenen Cookie-Übersicht genauso auflisten wie Analyse-Tools, auch wenn sie auf den ersten Blick wie reine Anzeige-Elemente wirken.
Ein Sonderfall sind selbst gehostete Elemente: Wer Schriftarten, Icons oder Skripte lokal auf dem eigenen Server statt von einem Drittanbieter lädt, reduziert die Zahl der einwilligungspflichtigen Dienste spürbar, weil dabei keine Daten an fremde Server abfließen. Für kleinere Firmenwebsites lohnt sich dieser Schritt oft mehr als ein besonders ausgefeiltes Consent-Tool, weil er die Bannerpflicht an der Wurzel reduziert statt sie nur zu verwalten.
Wie ein Consent-Tool zur eigenen Website passt
Am Markt gibt es sowohl kostenlose als auch kostenpflichtige Consent-Management-Lösungen, die sich in Content-Management-Systeme wie WordPress oder Typo3 einbinden lassen. Für eine klassische Handwerker-Website mit überschaubarer Zahl an eingebundenen Diensten reicht in aller Regel eine einfache Variante, die Kategorien wie notwendig, Statistik und Marketing unterscheidet und Dienste erst nach Zustimmung nachlädt. Wichtiger als der Funktionsumfang ist, dass die Kategorisierung zur tatsächlichen Nutzung passt: Ein Banner mit zehn Kategorien wirkt unübersichtlich, wenn die Seite in Wahrheit nur zwei oder drei Dienste einsetzt. Bei statisch generierten Websites, wie sie etwa im Mr.Site-Abo zum Einsatz kommen, lässt sich die Zahl der externen Dienste von vornherein klein halten, was die Einwilligungslösung entsprechend einfacher macht.
Was sich 2026 ändert und was nicht
Die seit Jahren angekündigte EU-ePrivacy-Verordnung, die die Cookie-Regeln europaweit vereinheitlichen sollte, ist auch 2026 nicht in Kraft getreten, die Verhandlungen liegen weiterhin auf Eis. Neu ist dagegen die Einwilligungsverwaltungsverordnung (EinwV), die seit dem 1. April 2025 gilt: Sie schafft die rechtliche Grundlage für zentrale Einwilligungsdienste, bei denen Nutzer ihre Cookie-Präferenzen einmal hinterlegen und Websites diese automatisch respektieren sollen. Bislang ist die praktische Verbreitung solcher Dienste noch gering, für Betreiber einer Firmenwebsite ändert sich dadurch kurzfristig nichts an der Pflicht, selbst eine funktionierende Einwilligungslösung bereitzustellen.
Praxis-Checkliste für den eigenen Auftritt
- Auflisten, welche Tools auf der Website tatsächlich laufen, am besten direkt im Tag-Manager oder Quellcode nachsehen statt zu raten.
- Jeden Dienst einer der beiden Kategorien zuordnen: unbedingt erforderlich oder nicht.
- Bei mindestens einem nicht erforderlichen Dienst ein Consent-Tool einsetzen, das Dienste erst nach Zustimmung lädt, nicht danach mit nachträglichem Opt-out.
- Zustimmen- und Ablehnen-Button gleichwertig gestalten, keine vorangehakten Kästchen bei optionalen Kategorien.
- Widerrufslink dauerhaft erreichbar platzieren, meist im Footer oder als kleines Icon am Bildschirmrand.
- Die Datenschutzerklärung an die tatsächlich eingesetzten Tools anpassen, nicht an eine generische Vorlage.
Wer eine neue Website plant oder die Betreuung der bestehenden Seite auslagert, sollte den Cookie-Banner als Teil der laufenden Pflege behandeln, nicht als einmaliges Häkchen beim Launch: Neue Tools, ein gewechseltes Analyse-Werkzeug oder ein neues Werbekonto ändern die Einordnung schnell wieder. Im Artikel Impressum und Datenschutz auf der Firmenwebsite steht der Banner im Kontext der übrigen Pflichtangaben, und wer diese laufende Prüfung nicht selbst übernehmen will, findet sie als festen Bestandteil der Betreuung im Abo bei Mr.Site.