Cookie-Banner: Wann ist er Pflicht?
Wann eine Website einen Cookie-Banner braucht, welche Cookies ohne Einwilligung erlaubt sind und was TDDDG und DSGVO verlangen. Mit Checkliste.
Ob Online-Shop, Praxis-Website oder Blog: Die Frage nach dem Cookie-Banner stellt sich fast jeder Website. Die kurze Antwort lautet: Sobald Ihre Seite Informationen auf dem Gerät der Besucher speichert oder ausliest, die für den Betrieb nicht unbedingt nötig sind, brauchen Sie vorher eine Einwilligung. Und die holen Sie in der Praxis über einen Cookie-Banner ein.
Die Rechtsgrundlage: § 25 TDDDG
In Deutschland regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, früher TTDSG) den Zugriff auf Endgeräte. Er gilt nicht nur für Cookies, sondern für jede Technik, die etwas auf dem Gerät ablegt oder ausliest, also auch für Local Storage, Tracking-Pixel oder Fingerprinting.
Der Grundsatz: Speichern und Auslesen ist nur mit Einwilligung erlaubt. Eine Ausnahme gilt, wenn der Zugriff unbedingt erforderlich ist, damit Sie einen Dienst bereitstellen können, den der Besucher ausdrücklich nutzen möchte.
Welche Cookies ohne Einwilligung erlaubt sind
Unbedingt erforderlich sind typischerweise:
- der Warenkorb in einem Online-Shop
- die Sitzung nach einem Login
- die Speicherung der Cookie-Entscheidung selbst
- Sicherheitsfunktionen, etwa gegen Formular-Spam oder Angriffe
- die Lastverteilung zwischen Servern
Nicht unbedingt erforderlich sind dagegen Reichweitenmessung, Marketing-Pixel, Remarketing, eingebettete Videos und Karten von Drittanbietern oder Chat-Widgets, die schon beim Seitenaufruf Daten übertragen. Für all das brauchen Sie eine Einwilligung, bevor der Dienst lädt.
Wann Sie keinen Banner brauchen
Kommt Ihre Website ausschließlich mit unbedingt erforderlichen Cookies aus, brauchen Sie keinen Einwilligungs-Banner. Das ist realistisch bei einfachen Seiten ohne Statistik, ohne eingebettete Inhalte von Drittanbietern und mit lokal eingebundenen Schriften. Informieren müssen Sie in der Datenschutzerklärung trotzdem.
Auch eine cookielose Statistik kann ohne Einwilligung auskommen, wenn sie weder etwas auf dem Gerät speichert noch personenbezogene Daten an Dritte weitergibt. Prüfen Sie das beim jeweiligen Anbieter genau.
TDDDG und DSGVO greifen zusammen
Das TDDDG regelt den Zugriff auf das Gerät, die DSGVO die anschließende Verarbeitung personenbezogener Daten. Für die Einwilligung gelten die Anforderungen der DSGVO: Sie muss freiwillig, informiert, eindeutig und für einen bestimmten Zweck erteilt werden, und Sie müssen sie nachweisen können (Art. 7 DSGVO). Was das für Ihren Banner bedeutet, lesen Sie in unserem Beitrag zu den Anforderungen an einen DSGVO-konformen Cookie-Banner.
Was bei Verstößen droht
Verstöße gegen § 25 TDDDG können die Aufsichtsbehörden mit Bußgeldern bis 300.000 Euro ahnden, bei Datenschutzverstößen nach der DSGVO liegt der Rahmen deutlich höher. In der Praxis häufiger sind Abmahnungen von Wettbewerbern oder Verbraucherverbänden und Auskunftsersuchen von Besuchern.
Checkliste: Brauche ich einen Cookie-Banner?
- Nutzen Sie Statistik- oder Analyse-Tools wie Google Analytics, Matomo mit Cookies oder Hotjar?
- Binden Sie Marketing-Tags ein, etwa Meta Pixel, Google Ads oder TikTok Pixel?
- Zeigen Sie Inhalte von Drittanbietern, etwa YouTube, Vimeo, Google Maps oder Instagram?
- Laden Sie Schriften, Chat-Widgets oder Buchungstools von externen Servern?
Wenn Sie eine dieser Fragen mit Ja beantworten, brauchen Sie einen Cookie-Banner, der die Dienste bis zur Einwilligung blockiert. Welche Dienste Ihre Website tatsächlich nutzt, zeigt Ihnen ein Scan oft schneller als jede Liste: Cookie2Go ruft Ihre Unterseiten auf, erkennt eingebundene Dienste und ordnet sie der passenden Kategorie zu. Die erste Domain ist kostenlos.
*Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.*