Eine Website braucht einen Cookie-Banner, wenn sie Informationen auf dem Gerät der Besucher speichert oder dort ausliest. So regelt es § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Ohne Einwilligung ist ein solcher Zugriff nur erlaubt, wenn er für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).
Eine Firmenwebsite kann deshalb ohne Banner auskommen. Voraussetzung ist, dass sie keine Statistik und keine Werbemessung nutzt, Schriften vom eigenen Server lädt und Karten oder Videos erst nach einem Klick zeigt. Startet beim Seitenaufruf ein Dienst für Statistik oder Werbung, ist in der Regel vorher eine Einwilligung nötig. Für Inhalte fremder Server braucht der Betreiber eine Rechtsgrundlage, und greift der fremde Dienst auf das Gerät zu, ist ebenfalls eine Einwilligung nötig.
Gibt es einen Banner, muss das Ablehnen so einfach sein wie das Zustimmen. Verstöße gegen § 25 Abs. 1 TDDDG kann die Behörde mit einem Bußgeld von bis zu 300.000 € ahnden (§ 28 TDDDG).
Was § 25 TDDDG für Websites regelt
§ 25 TDDDG erlaubt das Speichern von Informationen auf dem Gerät der Besucher und das Auslesen nur mit einer Einwilligung, die auf klaren und umfassenden Informationen beruht. Das gilt für Cookies ebenso wie für den lokalen Speicher des Browsers oder das Wiedererkennen eines Geräts an seinen Merkmalen, das sogenannte Fingerprinting.
Ob dabei personenbezogene Daten anfallen, spielt für diese Regel keine Rolle. Der Europäische Gerichtshof hat im Urteil Planet49 vom 01.10.2019 (C-673/17) entschieden, dass die Einwilligung unabhängig vom Personenbezug der gespeicherten Informationen nötig ist.
Das Gesetz gilt seit 01.12.2021 und trägt seit 14.05.2024 den Namen TDDDG, vorher hieß es TTDSG. Für Information und Einwilligung verweist es auf die Datenschutz-Grundverordnung (DSGVO), die eine eindeutige bestätigende Handlung verlangt (Art. 4 Nr. 11 DSGVO).
Ohne Einwilligung erlaubt das Gesetz nur zwei Fälle. Der erste ist die reine Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz (§ 25 Abs. 2 Nr. 1 TDDDG). Der zweite ist der unbedingt erforderliche Zugriff für einen ausdrücklich gewünschten Dienst (Nr. 2).
Die Datenschutzkonferenz (DSK), das gemeinsame Gremium der Datenschutzaufsichtsbehörden von Bund und Ländern, legt „unbedingt erforderlich“ eng aus. Maßgeblich ist nach ihrer Orientierungshilfe für digitale Dienste die technische Notwendigkeit für den gewünschten Dienst, nicht der wirtschaftliche Nutzen für das Unternehmen. Ein Warenkorb-Cookie ist danach erst erforderlich, wenn jemand tatsächlich etwas in den Warenkorb legt. Die Randnummern (Rn.) in den Tabellen und Absätzen unten beziehen sich auf die Version 1.2 dieser Orientierungshilfe vom November 2024.
Welche Dienste einer Firmenwebsite eine Einwilligung brauchen
Eine Einwilligung brauchen vor allem Statistik, Werbe-Tracking und fremde Dienste, die beim Seitenaufruf auf das Gerät zugreifen. Dienste, die der Besucher erst selbst startet, dürfen auch erst dann laden.
| Baustein der Website | Einwilligung vor dem Laden? | Grundlage |
|---|---|---|
| Texte, Bilder und Schriften vom eigenen Server, ohne Cookies | nein | § 25 Abs. 1 TDDDG; LG München I, 3 O 17493/20 (Schriften lokal einbinden) |
| Kontaktformular, das nur die Eingaben absendet | nein; die Verarbeitung der Anfrage richtet sich nach Art. 6 DSGVO | § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 DSGVO |
| Warenkorb oder Kundenlogin, wenn der Besucher die Funktion nutzt | nein, meist nur für die Dauer der Sitzung | § 25 Abs. 2 Nr. 2 TDDDG; DSK-Orientierungshilfe Rn. 75–80 |
| Schriften, die von Google-Servern laden | Rechtsgrundlage nötig; ohne Einwilligung vom LG München I als rechtswidrig bewertet | LG München I, Urteil vom 20.01.2022, 3 O 17493/20 |
| Karte oder Video, das beim Seitenaufruf lädt | Rechtsgrundlage nötig, bei Zugriff auf das Gerät eine Einwilligung; alternativ erst nach Klick laden | DSK-Orientierungshilfe Rn. 76 und 101 |
| Chat-Fenster eines Fremdanbieters, das beim Seitenaufruf lädt | ja; der Chat ist ein Zusatzdienst | DSK-Orientierungshilfe Rn. 75–80 und 101 |
| Statistik und Reichweitenmessung | in der Regel ja, keine pauschale Ausnahme | DSK-Orientierungshilfe Rn. 87–90 |
| Werbe- und Konversions-Tracking | ja | § 25 Abs. 1 TDDDG; BfDI |
Für Inhalte fremder Server wie Schriften, Stadtpläne, Videos oder Social-Media-Beiträge stellt die DSK fest, dass beim Laden regelmäßig personenbezogene Daten an den fremden Server gehen. Dafür braucht der Betreiber der Website eine Rechtsgrundlage nach Art. 6 DSGVO (Rn. 101).
Eine Karte oder ein Video kann deshalb zunächst als Vorschaubild mit Hinweis auf den Anbieter erscheinen und erst nach einem Klick laden. Maßgeblich ist, was die einzelne Website tatsächlich lädt, und das zeigt eine Bestandsaufnahme aller Cookies, Skripte und eingebundenen Inhalte.
Wann eine Firmenwebsite ohne Cookie-Banner auskommt
Ohne Banner kommt eine Website aus, wenn sie nur unbedingt erforderliche Zugriffe nutzt und nichts von fremden Servern lädt, bevor der Besucher es anfordert. Bei einer Firmenwebsite mit Leistungsseiten, Kontaktformular und Stellenanzeigen betrifft das diese Punkte:
- Schriften und Symbole liegen auf dem eigenen Server.
- Karten und Videos zeigen zuerst ein Vorschaubild und laden erst nach einem Klick.
- Es läuft keine Statistik oder Werbemessung, die Cookies setzt oder Geräte wiedererkennt.
- Ein Chat oder Buchungskalender eines Fremdanbieters startet erst, wenn der Besucher ihn öffnet.
- Das Kontaktformular sendet die Eingaben ab, ohne Skripte fremder Server zu laden.
Eine Datenschutzerklärung braucht die Website trotzdem. Art. 13 DSGVO verlangt Angaben zu Zwecken, Rechtsgrundlagen, Empfängern und Speicherdauer, sobald Daten erhoben werden, etwa über das Kontaktformular.
Wenn Sie auf Statistik nicht verzichten wollen, brauchen Sie in der Regel eine Einwilligung und damit einen Banner. Die Aufsichtsbehörden lehnen eine pauschale Aussage ab, nach der Reichweitenmessung ohne Einwilligung zulässig wäre.
Bei einer neuen Firmenwebsite lässt sich das von Anfang an so planen. Bei einem Relaunch gehört die Bestandsaufnahme aller eingebundenen Dienste in die Vorbereitung.
Was „Ablehnen“ auf der ersten Ebene verlangt
Muss der Besucher mit dem Banner etwas tun, bevor er die Seite nutzen kann, gehört „Ablehnen“ auf die erste Ebene, gleich groß und gleich auffällig wie „Akzeptieren“. So sehen es die DSK, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und mehrere Gerichte.
Die DSK hält eine Ablehnfunktion auf der ersten Ebene nicht in jedem Fall für erforderlich (Rn. 124 f.). Nötig wird sie, wenn Nutzer mit dem Banner interagieren müssen, und das ist bei gängigen Bannern nach ihrer Einschätzung sehr häufig der Fall. Kostet das Ablehnen mehr Klicks oder mehr Aufmerksamkeit als das Zustimmen, fehlt es regelmäßig an der Freiwilligkeit (Rn. 59).
Der BfDI empfiehlt, auf oberster Ebene neben „zustimmen“ eine Schaltfläche „alles ablehnen“ anzubieten. Einen Banner, der nur einen Knopf zum Zustimmen enthält, hält die Behörde für unzureichend.
| Gestaltung des Banners | Bewertung | Fundstelle |
|---|---|---|
| „Akzeptieren“ und „Ablehnen“ auf der ersten Ebene, vergleichbar in Größe, Farbe, Kontrast und Schrift | erfüllt die Anforderung an gleichwertige Wahl | DSK Rn. 135; BfDI |
| nur „OK“ oder nur „Zustimmen“ | keine wirksame Einwilligung | DSK Rn. 47; BfDI |
| „Ablehnen“ erst in den Einstellungen, obwohl der Banner eine Entscheidung erzwingt | regelmäßig nicht freiwillig | DSK Rn. 59 und 124 f. |
| Schaltfläche „Akzeptieren & Schließen X“ ohne gleichwertige Ablehnung | zur Unterlassung verurteilt | OLG Köln, Urteil vom 19.01.2024, 6 U 80/23 |
| „Alle akzeptieren“ auf der ersten Ebene ohne „Alles ablehnen“ | unzulässig nach Lesart des Landesdatenschutzbeauftragten | VG Hannover, Urteil vom 19.03.2025, 10 A 5385/22; LfD Niedersachsen |
| vorab gesetzte Häkchen | keine wirksame Einwilligung | EuGH C-673/17 (Planet49); BGH, Urteil vom 28.05.2020, I ZR 7/16 |
| Weitersurfen gilt als Zustimmung | keine eindeutige bestätigende Handlung | Art. 4 Nr. 11 DSGVO |
Ein Urteil des Europäischen Gerichtshofs, das „Alles ablehnen“ auf der ersten Ebene ausdrücklich vorschreibt, ist nicht bekannt. Im Bericht der Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses vom 17.01.2023 werten die meisten Aufsichtsbehörden der EU eine fehlende Ablehnung auf einer Ebene mit Zustimmungsknopf aber als Verstoß.
Wie ein zulässiger Cookie-Banner aufgebaut ist
Ein zulässiger Banner informiert vor der Entscheidung über Zwecke, Anbieter und Speicherdauer, lädt bis zur Zustimmung keine einwilligungspflichtigen Dienste und lässt sich jederzeit wieder öffnen. Ein allgemeiner Text mit Auszügen aus dem Gesetz reicht nach Auffassung des BfDI nicht.
- Information vorab: Zwecke, beteiligte Anbieter, Funktionsdauer der Cookies und Zugriff Dritter (EuGH Planet49; Art. 13 DSGVO).
- Nichts vorab laden: Vor der Einwilligung laden keine einwilligungspflichtigen Skripte oder Inhalte fremder Server (DSK Rn. 121).
- Rechtliche Seiten frei: Impressum und Datenschutzerklärung bleiben erreichbar und werden vom Banner nicht verdeckt (DSK Rn. 121).
- Widerruf: jederzeit und so einfach wie die Zustimmung (Art. 7 Abs. 3 DSGVO), etwa über einen Link „Cookie-Einstellungen“ im Fußbereich.
- Nachweis: Der Betreiber muss belegen können, dass eine Einwilligung vorliegt (Art. 7 Abs. 1 DSGVO).
- Cookie-Wall: Eine Sperre, die die Seite erst nach einer Entscheidung freigibt, ist nach Auffassung des BfDI nur mit einer Alternative zulässig.
Fällt die Website unter das Barrierefreiheitsstärkungsgesetz, gehört auch der Banner zu den Teilen, die mit Tastatur und Vorleseprogramm bedienbar sein müssen. Kommen nach dem Livegang neue Dienste hinzu, wird der Banner angepasst, und diese Pflege gehört zur Betreuung der Website.
Google Fonts und Abmahnungen wegen Schriften
Schriften, die beim Seitenaufruf von Google-Servern laden, übermitteln die IP-Adresse der Besucher an Google. Das Landgericht München I hat das ohne Einwilligung am 20.01.2022 für rechtswidrig erklärt und dem Kläger 100 € Schadensersatz zugesprochen (3 O 17493/20).
Das Gericht verwies darauf, dass sich Google Fonts auch ohne Verbindung zu Google-Servern nutzen lassen. Wer die Schriftdateien auf dem eigenen Server ablegt, braucht für sie deshalb weder Banner noch Einwilligung.
Nach dem Urteil verschickten einzelne Absender Abmahnungen in großer Zahl. Die Polizei Berlin meldete am 21.12.2022 Durchsuchungen bei einem Berliner Rechtsanwalt und seinem Mandanten wegen des Verdachts auf Abmahnbetrug und Erpressung in mindestens 2.418 Fällen. Verlangt wurden jeweils 170 € als Vergleich, und die Besuche auf den Websites waren nach Angaben der Polizei per Software erzeugt.
Das Landgericht München I stellte am 30.03.2023 fest, dass ein Abmahner, der Websites per Crawler besucht, weder Unterlassung noch Schmerzensgeld verlangen kann (4 O 13063/22). Ein Anspruch auf Schadensersatz setzt nach dem Europäischen Gerichtshof außerdem einen Schaden voraus (C-300/21). Der Bundesgerichtshof hat am 18.11.2024 allerdings entschieden, dass schon ein kurzer Verlust der Kontrolle über eigene Daten ein solcher Schaden sein kann (VI ZR 10/24).
Erhalten Sie eine Abmahnung wegen Google Fonts, notieren Sie die Frist und lassen Sie den Anspruch von einem Fachanwalt oder Ihrer Kammer prüfen, bevor Sie zahlen. Für die Website selbst ist die Lösung einfach, denn die Schriften kommen auf den eigenen Server.
Welche Bußgelder TDDDG und DSGVO vorsehen
Wer ohne Einwilligung Informationen auf dem Gerät der Besucher speichert oder ausliest, handelt ordnungswidrig, und das Bußgeld beträgt nach § 28 TDDDG bis zu 300.000 €. Die DSGVO sieht für unwirksame Einwilligungen und fehlende Informationen höhere Rahmen vor.
| Verstoß | Höchstbetrag | Fundstelle |
|---|---|---|
| Speichern oder Auslesen auf dem Gerät ohne Einwilligung | 300.000 € | § 28 Abs. 1 Nr. 13, Abs. 2 TDDDG |
| Verarbeitung ohne Rechtsgrundlage, unwirksame Einwilligung, fehlende Information | 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist | Art. 83 Abs. 5 DSGVO |
| andere Pflichten, etwa Datenschutz durch Technikgestaltung | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | Art. 83 Abs. 4 DSGVO |
Die Beträge sind Obergrenzen, die Behörde bemisst das Bußgeld im Einzelfall. Daneben kommen Ansprüche auf Unterlassung in Betracht, wie das Urteil des OLG Köln zu einem Banner ohne gleichwertige Ablehnung zeigt.
Was sich durch EinwV und Digital Omnibus ändert
Für Websites gilt weiter § 25 TDDDG. Die Einwilligungsverwaltungsverordnung (EinwV) ermöglicht seit 01.04.2025 anerkannte Dienste, die Einwilligungen zentral verwalten, ihre Einbindung ist aber freiwillig (§ 18 Abs. 1 EinwV).
Solche Dienste speichern die Entscheidungen eines Nutzers an einer Stelle, der BfDI erkennt sie an und führt ein Register (§§ 8, 13 EinwV). Wer einen anerkannten Dienst einbindet, berücksichtigt die dort gespeicherten Einstellungen (§ 19 EinwV). Für Information und wirksame Einwilligung bleibt der Betreiber der Website trotzdem selbst verantwortlich (§ 1 Abs. 2 EinwV).
Die EU-Kommission hat am 19.11.2025 mit dem Digital Omnibus vorgeschlagen, die Cookie-Regeln in die DSGVO zu verlagern (COM(2025) 837). Beschlossen ist das nicht, nach dem Informationsstand des Europäischen Parlaments vom 20.09.2026 liegt der Vorschlag ohne Einigung vor.
Was über Cookie-Banner oft falsch behauptet wird
Einige Aussagen zu Cookie-Bannern werden häufig wiederholt und halten der Rechtslage nicht stand.
- „Cookies ohne personenbezogene Daten brauchen keine Einwilligung.“ Der EuGH stellt in Planet49 nicht auf den Personenbezug ab, und § 25 TDDDG erfasst jeden Zugriff auf das Gerät.
- „Wer weitersurft, willigt ein.“ Die DSGVO verlangt eine eindeutige bestätigende Handlung, und das OLG Köln hat selbst eine Schaltfläche „Akzeptieren & Schließen X“ verworfen.
- „Statistik ist technisch notwendig.“ Die Aufsichtsbehörden lehnen diese Pauschalaussage ab, maßgeblich ist der vom Besucher gewünschte Dienst.
- „Mit der EinwV fallen Cookie-Banner weg.“ Die Einbindung anerkannter Dienste ist freiwillig, und der Betreiber bleibt für die Einwilligung verantwortlich.
- „Die EU hat Cookie-Banner abgeschafft.“ Der Digital Omnibus ist ein Vorschlag im Gesetzgebungsverfahren und gilt nicht.
- „Google Fonts sind verboten.“ Beanstandet wurde das Nachladen von Google-Servern ohne Einwilligung, lokal eingebundene Schriften hat das LG München I gerade als zumutbaren Weg genannt.
Cookie-Fragen beim Bau der Website klären
Bei einer neuen Website oder einem Relaunch klären wir im ersten Gespräch, welche Dienste die Seite wirklich braucht und welche davon eine Einwilligung erfordern. Daraus ergibt sich, ob ein Banner nötig ist und welche Einträge die Datenschutzerklärung bekommt.
Schicken Sie die Adresse Ihrer Website und die Namen der Werkzeuge für Statistik, Karten oder Chat an kontakt@firmenwebsite-berlin.de, oder rufen Sie an unter 030 8379 0231. Über das Formular erreichen Sie uns ebenso, wir antworten am nächsten Werktag, und das erste Gespräch ist kostenlos.
