Kurz zusammengefasst

§ 25 TDDDG verlangt eine Einwilligung, wenn Informationen auf dem Gerät des Besuchers gespeichert oder von dort ausgelesen werden, außer das ist unbedingt erforderlich.
Technisch notwendig sind etwa Warenkorb, Login und Sicherheitsfunktionen. Statistik, Werbepixel und viele Einbettungen gehören nicht dazu.
Ein Einwilligungswerkzeug muss die Dienste wirklich erst nach der Zustimmung laden. Ablehnen sollte so einfach sein wie Zustimmen.
Wer auf Analytics und Pixel verzichtet, braucht häufig gar kein Banner.
Unabhängig vom Banner verlangt Art. 13 DSGVO eine Datenschutzerklärung, die zu den tatsächlich eingesetzten Diensten passt.

Die Rechtsgrundlage: zwei Ebenen

Für Cookies und ähnliche Technik gelten zwei Regelwerke. Das erste ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Es regelt den Zugriff auf das Endgerät: Wer Informationen dort speichert oder ausliest, braucht die Einwilligung des Nutzers. Ausgenommen ist, was für die Übertragung einer Nachricht nötig ist oder unbedingt erforderlich, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert. Die Vorschrift ist technikneutral und betrifft deshalb nicht nur Cookies, sondern auch den lokalen Speicher des Browsers und ähnliche Verfahren.

Das zweite Regelwerk ist die DSGVO. Sie greift, sobald dabei personenbezogene Daten verarbeitet werden, etwa die IP-Adresse oder eine Kennung, mit der ein Besucher wiedererkannt wird. Dann braucht es eine Rechtsgrundlage, und wo diese eine Einwilligung ist, gelten deren Anforderungen: informiert, freiwillig, für einen bestimmten Zweck und widerrufbar. Aufsichtsbehörden und Gerichte legen einzelne Punkte unterschiedlich aus, gerade bei der Frage, was unbedingt erforderlich ist.

Technisch notwendige und andere Cookies

Was ohne Einwilligung geht

Als unbedingt erforderlich gilt, was der Besucher für den gewünschten Dienst braucht und was ohne diese Technik nicht funktioniert. Dazu zählen der Warenkorb in einem Shop, die Sitzung nach dem Login, ein Sicherheits-Cookie, das ein Formular vor gefälschten Anfragen schützt, die Lastverteilung auf Servern und die Speicherung der Cookie-Auswahl selbst. Die Auslegung ist eng. Dass etwas für den Betreiber bequem oder nützlich ist, genügt nicht. Schutzdienste wie Google reCAPTCHA, die dafür Daten an einen Fremdanbieter senden, werden deshalb meist kritischer gesehen als ein Token vom eigenen Server.

Was Einwilligung braucht

Reichweitenmessung, Werbe- und Remarketing-Pixel, Heatmaps, Social-Media-Plugins mit Verfolgung und Einbettungen von Fremdanbietern fallen in der Regel nicht unter die Ausnahme. Ein Friseursalon mit einem Buchungsmodul eines Drittanbieters sollte genau nachsehen, ob das Modul eigene Cookies oder Verfolgung mitbringt, und sich das vom Anbieter erklären lassen.

Analytics und Pixel

Wer Statistikdienste oder Pixel von Werbenetzwerken einsetzt, braucht dafür in der Regel eine Einwilligung und muss die Dienste in der Datenschutzerklärung nennen. Ein Handwerksbetrieb, der Analytics nur „zum Reinschauen“ eingebaut hat, steht vor derselben Anforderung wie ein großer Shop. Die Konsequenz: Lehnen Besucher ab, fehlen deren Daten, und die Statistik wird unvollständig. Das ist die Folge der Rechtslage. Umgehen lässt sie sich nicht, indem man das Skript vor der Entscheidung trotzdem lädt.

Worauf es bei Einwilligungswerkzeugen ankommt

Ein Consent-Banner ist nur so gut wie seine Technik. Prüfen Sie diese Punkte:

Die Einwilligung wird vor dem Laden der betroffenen Dienste eingeholt. Ein Banner, das nur angezeigt wird, während die Skripte schon laufen, erfüllt den Zweck nicht.
Die Information nennt Zwecke und Anbieter verständlich. Vorangekreuzte Kästchen gelten nicht als Einwilligung.
Die Ablehnung ist auf der ersten Ebene so leicht zu erreichen wie die Zustimmung. So sehen es die Aufsichtsbehörden, und auch Gerichte haben Banner beanstandet, bei denen das Ablehnen erst eine Ebene tiefer möglich war.
Die Entscheidung lässt sich jederzeit ändern, zum Beispiel über einen Link in der Fußzeile.
Die Einwilligung ist nachweisbar dokumentiert.

Testen Sie das selbst: Öffnen Sie die Seite in einem frischen Browserfenster mit den Entwicklerwerkzeugen (F12, Reiter Netzwerk) und sehen Sie nach, welche Verbindungen vor einem Klick auf das Banner aufgebaut werden. Bedenken Sie außerdem, dass auch das Einwilligungswerkzeug selbst oft von einem Fremdserver kommt. Wählen Sie einen Anbieter, bei dem Sie wissen, welche Daten fließen. Das Banner sollte zudem die Links zu Impressum und Datenschutz nicht verdecken, mehr dazu bei Impressum und Datenschutz verlinken.

Banner vermeiden durch Verzicht

Der sauberste Weg besteht darin, nichts einzusetzen, was eine Einwilligung braucht. Eine Seite ohne Werbepixel, ohne Fremdskripte, mit selbst ausgelieferten Schriften (siehe Google Fonts und DSGVO) und mit Karten als Bild samt Link (siehe YouTube und Google Maps) kommt oft ohne Banner aus. Das macht die Seite ruhiger und schneller. Die Datenschutzerklärung muss trotzdem alles beschreiben, was verarbeitet wird, etwa Server-Protokolle und das Kontaktformular.

Wer dennoch Zahlen zur Nutzung braucht, kann auf Verfahren ohne Cookies ausweichen. Es gibt Statistikwerkzeuge, die ohne Cookies und ohne Speicherung auf dem Endgerät arbeiten, oft auf dem eigenen Server, und nur zusammengefasste Werte liefern. Ob dafür im Einzelfall keine Einwilligung nötig ist, hängt von der genauen Ausgestaltung ab, vor allem davon, ob personenbezogene Daten verarbeitet oder an Dritte weitergegeben werden. Das sollte vor dem Einsatz geklärt werden.

So prüfen Sie, was Ihre Seite setzt

Öffnen Sie die Entwicklerwerkzeuge des Browsers (F12) und sehen Sie im Bereich für gespeicherte Daten nach, welche Cookies und Einträge im lokalen Speicher nach dem Laden einer Seite vorhanden sind, ohne dass Sie das Banner angeklickt haben. Jeder Eintrag, den Sie nicht erklären können, ist eine Frage an den Anbieter oder die Agentur. Die Hersteller von Diensten beschreiben ihre Cookies meist in der Dokumentation. Notieren Sie das Ergebnis, denn es ist die Grundlage für eine Datenschutzerklärung, die zur Seite passt.

Häufige Fehler

Das Banner erscheint, die Dienste laden aber trotzdem sofort.
Ablehnen ist hinter einem zweiten Menü versteckt, Zustimmen steht groß im Vordergrund.
Nach einem Relaunch kommt ein neues Chat-Fenster dazu, das im Banner nicht erscheint.
Die Datenschutzerklärung nennt Dienste, die längst entfernt wurden, und verschweigt neue.
Es gibt keine Möglichkeit, die Entscheidung später zu ändern.

Seite prüfen

Der kostenlose DSGVO-Check sucht im Quelltext nach bekannten Diensten wie Google Analytics und Tag Manager, Meta-Pixel, TikTok-Pixel, LinkedIn Insight Tag, Microsoft Clarity, Hotjar und reCAPTCHA. Er erkennt verbreitete Einwilligungs-Tools wie Cookiebot, Usercentrics oder Borlabs Cookie und listet fremde Server auf, von denen Skripte oder Stylesheets kommen. Bei Cookies sieht er nur, was der Server schon mit der ersten Antwort setzt. Cookies, die erst Skripte im Browser anlegen, und den lokalen Speicher erfasst er nicht, und ob Dienste wirklich erst nach der Einwilligung laden, kann er nicht feststellen. Sein Ergebnis ist ein technischer Hinweis, und wie dieser Text ersetzt es keine Rechtsberatung.

Wer eine neue Seite ohne unnötige Fremddienste plant, findet unter Webdesign, wie Bemuar Schriften und Skripte auf dem eigenen Server einbindet.

Cookies und Einwilligung: wann Ihre Website ein Banner braucht