Brauche ich einen Cookie-Banner?

Wann ein Cookie-Banner Pflicht ist

Pflicht nach § 25 TDDDG (dem Gesetz, das bis Mai 2024 TTDSG hieß — Inhalt und Paragraf sind unverändert): Sobald Ihre Website Cookies oder ähnliche Technologien setzt die nicht technisch zwingend erforderlich sind, brauchen Sie eine ausdrückliche Einwilligung des Besuchers BEVOR die Cookies gesetzt werden.

Nicht-zwingend erforderlich (Opt-In nötig):

• Google Analytics; Matomo, sobald es Cookies setzt oder Kennungen auf dem Endgerät ablegt
• Facebook-Pixel, LinkedIn-Insight-Tag
• Google Maps Embeds
• YouTube/Vimeo Video-Einbindungen (no-cookie-Modus ausgenommen)
• Marketing-Cookies (Remarketing, etc.)
• A/B-Testing-Tools
• Chat-Widgets (Tawk.to, Intercom)

Technisch zwingend erforderlich (kein Opt-In nötig):

• Session-Cookies für eingeloggte Bereiche
• WordPress-Login-Session-Cookies
• Sprachauswahl-Cookies
• Cookie-Consent-Speicherung selbst
• Warenkorb-Cookies bei Shops

Sonderfall Google Fonts: Schriften, die direkt von Googles Servern geladen werden, gehören in keine der beiden Listen – und der Banner löst das Problem nicht. § 25 TDDDG regelt die Speicherung von Informationen auf dem Endgerät des Besuchers und den Zugriff auf dort bereits gespeicherte Informationen; eine Schrift-Anfrage setzt keinen Cookie. Was dabei zu Google geht, ist die IP-Adresse des Besuchers – das ist eine Frage der Rechtsgrundlage nach Art. 6 DSGVO, nicht des Cookie-Banners. Auffangen kann der Banner es technisch ohnehin nicht, weil die Schriften laden, bevor er erscheint. Der Weg dahin ist die lokale Einbindung der Schriften.

Wie ein konformer Cookie-Banner aussieht

Anforderungen nach aktueller Rechtsprechung:

• Erst NACH Einwilligung dürfen Tracking-Cookies geladen werden. Das ist die Kernpflicht aus § 25 TDDDG – und ein häufiger Verstoß.
• „Alle akzeptieren“- und „Alle ablehnen“-Button gleich prominent. Wenn „Akzeptieren“ groß und farbig ist und „Ablehnen“ winzig in Grau – Verstoß.
• Keine vorgeklickten Checkboxen außer für technisch notwendige Cookies.
• Detail-Auswahl pro Kategorie: notwendig / Statistik / Marketing / Funktional. Nutzer muss granular wählen können.
• Klarer Link zur Datenschutz-Erklärung.
• Möglichkeit zur späteren Änderung: Footer-Link „Cookie-Einstellungen ändern“.
• Die Einwilligung gilt nicht unbegrenzt: Nach längerer Zeit wird erneut gefragt. Eine feste Höchstdauer nennt das Gesetz nicht – die Frist stellen Sie im Consent-Tool selbst ein.

Welche Tools empfohlen sind

WordPress-Plugins:

• Borlabs Cookie (Premium, Jahreslizenz) – auf deutschen WordPress-Seiten weit verbreitet, mit Blocker für externe Dienste. Ob der Banner am Ende konform ist, entscheidet die Konfiguration, nicht das Plugin.
• Real Cookie Banner (Free + Premium) – deckt die üblichen Dienste über vorbereitete Vorlagen ab, die Free-Version reicht für einfache Sites.
• Cookiebot (kostenpflichtig ab kleinen Sites) – internationale Lösung.
• Complianz (Free + Premium) – niederländische Lösung, sehr gepflegt.

Eigenbau ist riskant. Cookie-Banner-Logik wirkt simpel, ist es aber nicht. Tracking-Scripts müssen tatsächlich erst nach Consent laden – das ist Plugin-Code-intensiv. Lieber eine seriöse Lösung kaufen. Auch ein gekauftes Tool bleibt Pflege-Aufwand: Nach jedem neuen Plugin muss die Cookie-Liste nachgezogen werden, was zur laufenden Website-Betreuung gehört.

Häufige Fehler die Abmahnungen kosten

• „Akzeptieren“-Button hervorgehoben, „Ablehnen“ versteckt: Verstoß gegen das Prinzip der Wahlfreiheit. Beide Buttons müssen gleichberechtigt sein.
• Tracking lädt schon vor Klick. Wenn Sie F12 → Network öffnen, dürfen vor dem ersten Klick KEINE Google-Analytics-, Facebook-Pixel- oder ähnliche Requests gehen.
• „Nur weiterlesen“-Strategie. Manche Sites zeigen einen Hinweis „Mit Weiternutzen stimmen Sie zu“ ohne echte Wahl. Definitiv unzulässig.
• Vorgeklickte Marketing-Box. Bei der granularen Auswahl darf die „Marketing“-Checkbox nicht vorgeklickt sein.
• Vergessen, Google Maps oder YouTube-Embeds einzubeziehen. Auch diese Einbindungen legen in ihrer Standard-Variante beim Aufruf Informationen auf dem Endgerät ab – damit greift § 25 TDDDG, und die Einwilligung muss vorher vorliegen.

Häufige Fragen zum Cookie-Banner

Muss ich für einen Cookie-Banner bezahlen?

Nicht zwingend. Free-Lösungen wie Real Cookie Banner Free oder Complianz Free reichen für die meisten Mittelstandsbetriebe. Premium-Lösungen wie Borlabs Cookie werden als Jahreslizenz verkauft und bieten dafür bessere Anpassbarkeit und schnelleren Support.

Brauche ich Cookie-Banner wenn ich nur einen Kontaktformular habe?

Wenn das Kontaktformular ein Captcha (Google reCAPTCHA, hCaptcha) nutzt: ja – Captcha setzt Cookies. Wenn nicht: meist nein, das Formular selbst ist technisch zwingend erforderlich.

Reicht ein „Hinweis-Banner“ ohne Akzeptieren-Button?

Nein. Reine Information genügt nicht. Es muss eine aktive Einwilligung erfolgen (Klick auf „Akzeptieren“). „Mit Weiternutzen akzeptieren Sie“ ist nicht zulässig.

Was passiert bei Verstoß?

Abmahnung mit Anwaltskosten der Gegenseite, dazu die Pflicht zur Unterlassungserklärung. Behörden können theoretisch Bußgelder verhängen – passiert bei Mittelstand selten, aber möglich.

Verfasst von David Rupa, Inhaber von Bergstraße Digital. Diese Inhalte sind eine praktische Übersicht und ersetzen keine Rechtsberatung.