Cookie-Banner richtig umsetzen: Pflichten, Fehler und was die Ablehnquote mit Ihren Daten macht

Ein Cookie-Banner ist rechtlich nur dann sauber, wenn er eine echte Wahl lässt. Eine Einwilligung nach § 25 Absatz 1 TDDDG brauchen Sie für jeden Zugriff auf das Endgerät, der nicht unbedingt erforderlich ist — aktiv erteilt, informiert, nach Zwecken getrennt, mit gleichwertiger Ablehnung und einfachem Widerruf. Was einwilligungspflichtig ist, darf vorher nicht laden.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Maßgeblich sind § 25 TDDDG und die DSGVO; die Auslegung konkretisieren Aufsichtsbehörden und Gerichte laufend. Stand: August 2026.

1. Was ist ein Cookie-Banner — und wann brauchen Sie einen?

Ein Cookie-Banner ist der Dialog, mit dem eine Website die Einwilligung in das Speichern von Informationen auf dem Endgerät des Besuchers einholt. Der Name führt allerdings in die Irre, denn es geht längst nicht nur um Cookies. Der Europäische Datenschutzausschuss hat 2024 klargestellt, welche Techniken ebenfalls unter die Regel fallen (Quelle: EDSA, Leitlinien 2/2023, Version 2.0, angenommen am 7. Oktober 2024):

• URL- und Pixel-Tracking, etwa Zählpixel in Seiten und E-Mails
• lokale Verarbeitung im Browser, zum Beispiel über Local Storage oder JavaScript-Variablen
• Tracking allein auf Basis der IP-Adresse
• Meldungen von Geräten aus dem Internet der Dinge
• eindeutige Kennungen jeder Art

Wer also glaubt, mit dem Verzicht auf Cookies das Thema erledigt zu haben, irrt. Entscheidend ist nicht die Technologie, sondern ob Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden.

Umgekehrt gilt: Ein Banner ist kein Pflicht-Accessoire. Die Datenschutzkonferenz — das Gremium der deutschen Aufsichtsbehörden — rät ausdrücklich davon ab, Einwilligungsbanner ohne Anlass einzusetzen. Andernfalls entstehe der missverständliche Eindruck, Besucher hätten eine Wahl, obwohl ihre Entscheidung technisch gar nichts ändert (Quelle: DSK, Orientierungshilfe für Anbieter:innen von digitalen Diensten, November 2024). Ein Banner auf einer Website, die nichts Einwilligungspflichtiges lädt, ist damit kein Sicherheitsnetz, sondern ein eigener Mangel.

2. Wann ist die Einwilligung Pflicht — und wann nicht?

§ 25 Absatz 1 TDDDG stellt den Grundsatz auf: Speicherung und Zugriff sind „nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat". Absatz 2 kennt genau zwei Ausnahmen — die reine Nachrichtenübertragung und den Fall, dass der Zugriff „unbedingt erforderlich" ist, damit ein „vom Nutzer ausdrücklich gewünschter digitaler Dienst" bereitgestellt werden kann (Quelle: gesetze-im-internet.de).

Die Aufsichtsbehörden legen „unbedingt erforderlich" technisch und eng aus. Ein Satz aus der Orientierungshilfe verdient dabei besondere Beachtung: Eine Ausnahme lässt sich nicht damit begründen, dass der Zugriff wirtschaftlich für das Geschäftsmodell erforderlich ist. Werbefinanzierung ist also kein Freibrief.

Genauso wichtig ist die granulare Betrachtung. Die DSK unterscheidet zwischen dem Basisdienst, den ein Besucher mit dem Seitenaufruf bewusst anfordert, und Zusatzfunktionen wie Chat, Kartendienst oder Merkliste. Letztere sind erst dann „gewünscht", wenn jemand sie aktiv nutzt. Daraus folgt eine Regel, die in der Praxis oft übersehen wird: Auch ein technisch notwendiger Cookie darf einen zeitlichen Rahmen haben. Ein Warenkorb-Cookie ist beim bloßen Stöbern noch nicht erforderlich — er wird es, sobald der erste Artikel im Korb landet.

Einordnung nach der DSK-Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2, Stand November 2024. Sie ersetzt keine Einzelfallprüfung.

Eine Frage beantwortet die DSK bewusst nicht: ob Reichweitenmessung generell ohne Einwilligung erlaubt ist. Ihre Begründung ist bemerkenswert ehrlich — der Begriff sei zu unbestimmt und die verfolgten Zwecke zu unterschiedlich. Eine Festlegung könne allenfalls für eine genau definierte Konfiguration getroffen werden und wäre hinfällig, sobald weitere Auswertungen hinzukommen. Wer also liest, „Statistik-Cookies sind einwilligungsfrei", sollte skeptisch werden: Diese Pauschalaussage gibt es von den deutschen Aufsichtsbehörden nicht.

Ein anschauliches Beispiel für die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG ist das Chat-Widget. Öffnet der Besucher den Chat per Klick selbst, spricht viel für einen ausdrücklich gewünschten Dienst; lädt dasselbe Widget beim Seitenaufruf mit, setzt Kennungen und spricht proaktiv an, greift die Ausnahme nicht mehr. Der praktische Ausweg ist deshalb technisch: das Skript erst beim Klick laden. Wie sich das auf Betrieb, Ladezeit und Anbieterauswahl auswirkt, zeigen wir im Beitrag zum Live-Chat im Onlineshop.

3. Ist ein Cookie-Banner DSGVO-konform? Acht Anforderungen

Ob eine Einwilligung wirksam ist, entscheidet sich an den Kriterien der DSGVO: freiwillig, für den bestimmten Fall, informiert und unmissverständlich (Artikel 4 Nummer 11). In der Praxis lässt sich das in acht prüfbare Punkte übersetzen — jeweils mit der Stelle, an der es in unseren Projekten am häufigsten hakt:

Zwei Punkte lohnen einen genaueren Blick. Erstens die Informationstiefe auf der ersten Ebene: Wenn dort schon ein Button steht, mit dem in mehrere Zwecke gleichzeitig eingewilligt wird, müssen dort auch konkrete Angaben zu allen einzelnen Zwecken stehen. Die DSK nennt sogar ein Negativbeispiel im Wortlaut — „Um Ihnen ein besseres Nutzungserlebnis bieten zu können, verwenden wir Cookies" sei zu unbestimmt. Nötig sind laut Orientierungshilfe außerdem Angaben dazu, ob Profile über mehrere Websites hinweg angereichert werden, ob Daten außerhalb des EWR verarbeitet werden und an wie viele Verantwortliche sie offengelegt werden. Drittdienste sind einzeln zu benennen; „unsere Partner" genügt nicht.

Zweitens der Widerruf. Er muss laut Artikel 7 Absatz 3 Satz 4 DSGVO so einfach möglich sein wie die Erteilung. Die DSK wird dabei ungewöhnlich konkret: Ein Verweis auf E-Mail, Fax oder Brief genügt nicht. Ein Kontaktformular genügt ebenfalls nicht, weil die Hürde höher liegt als bei der Erteilung und dabei Daten erhoben würden, die für den Widerruf gar nicht nötig sind. Und wer erst die Datenschutzerklärung öffnen und zur richtigen Stelle scrollen muss, erlebt einen Suchvorgang — das ist eine unzulässige Erschwerung. Ein dauerhaft sichtbarer Link oder ein Icon, das direkt die Einstellungen öffnet, löst das Problem.

4. Die häufigsten Fehler — und was Aufsicht und Gerichte dazu sagen

Gestaltung, die Nutzer in eine Richtung lenkt, ist nicht automatisch verboten. Die DSK stellt klar, dass eine gewisse Verhaltenssteuerung — Nudging — nicht generell unzulässig ist und allein eine andere Farbwahl die Freiwilligkeit noch nicht beseitigt. Die Grenze liegt dort, wo die Einwilligung ihre Wirksamkeit verliert. Und: Unzulässiges Nudging entsteht laut den Prüferfahrungen der Behörden selten durch ein einzelnes Merkmal, sondern durch das Zusammenspiel mehrerer. Diese Muster fallen dabei am häufigsten auf:

• Ablehnen kostet mehr Aufwand als Zustimmen. Steckt die Ablehnung hinter einer zweiten Ebene, muss der Nutzer zusätzlich lesen, verstehen und auswählen. Die DSK bewertet diesen Mehraufwand als künstlich konstruiert — sachlich begründen lasse er sich in der Regel nicht.
• Der Ablehn-Button ist da, aber nicht gleichwertig. Verlangt wird ein Button, der in Größe, Farbe, Kontrast und Schriftbild vergleichbar ist. Ein grauer Textlink im Fließtext des Banners erfüllt das nicht — und eine Sammelschaltfläche „Einstellungen oder Ablehnen" laut DSK ausdrücklich auch nicht.
• Vorangekreuzte Schalter. Auswahlmöglichkeiten dürfen nicht aktiv voreingestellt sein. Zustimmung durch Weitersurfen oder Scrollen ist keine eindeutige bestätigende Handlung.
• Es lädt schon, bevor entschieden wurde. Solange der Banner angezeigt wird, dürfen keine einwilligungspflichtigen Skripte und keine Inhalte von fremden Servern geladen werden. Impressum und Datenschutzerklärung müssen trotzdem erreichbar bleiben.
• Alles in einem Schalter. Fehlt die Granularität, leidet die Freiwilligkeit: Erwägungsgrund 43 der DSGVO verlangt getrennte Einwilligungen, wo das angemessen ist. Zwecke bündeln dürfen Sie nur, wenn sie in sehr engem Zusammenhang stehen.
• Die alte Einwilligung wird ewig weitergeführt. Ändert sich der Sachverhalt — neue Cookies, neue Drittdienste —, wird die ursprüngliche Einwilligung laut DSK gegenstandslos und muss für den neuen Fall neu eingeholt werden. Nach jedem Tool-Wechsel gehört dieser Punkt auf die Liste.

Für uns in der Region Hannover ist ein Verfahren dabei besonders lehrreich, weil es die zuständige Aufsichtsbehörde und das örtliche Gericht betrifft. Der Landesbeauftragte für den Datenschutz Niedersachsen war gegen die Einwilligungsabfrage eines Medienhauses vorgegangen; das Verwaltungsgericht Hannover entschied darüber am 19. März 2025 (Az. 10 A 5385/22). Die Behörde fasst das Ergebnis so zusammen, dass Betreiber eine gut sichtbare „Alles ablehnen"-Schaltfläche auf der ersten Ebene anbieten müssen, wenn es eine „Alle akzeptieren"-Option gibt (Quelle: LfD Niedersachsen). Beanstandet wurden unter anderem der höhere Aufwand für die Ablehnung, wiederkehrende Banner-Einblendungen, eine beschönigende Überschrift und Hinweise zu Widerruf und Drittstaaten, die erst nach Scrollen sichtbar wurden.

Wichtig für die Einordnung: Wie weit dieses Urteil über den Einzelfall hinaus trägt, wird in der Fachliteratur unterschiedlich bewertet. Die zitierte Zusammenfassung ist die Lesart der Aufsichtsbehörde — und weil genau diese Behörde niedersächsische Unternehmen prüft, ist sie der praktisch relevante Maßstab. Die DSK selbst formuliert übrigens vorsichtiger als viele Ratgeber: Eine Ablehnfunktion auf der ersten Ebene sei nicht generell erforderlich, sondern dann, wenn Nutzer mit dem Banner interagieren müssen, um die Website weiter zu nutzen. Da genau das die übliche Gestaltung ist, seien die Voraussetzungen „sehr häufig" erfüllt. Wer sein Banner als frei ignorierbaren Hinweis am Seitenrand baut, der nichts verdeckt, bewegt sich in einem anderen Rahmen.

5. Cookie-Banner erstellen: 6 Schritte, die wirklich zählen

Die Auswahl des Consent-Tools ist selten das Problem. Schwierig wird es bei der Frage, was das Tool überhaupt blockieren soll — und ob es das im Live-Betrieb tatsächlich tut. Wir gehen deshalb immer in dieser Reihenfolge vor:

Zum Nachweis noch ein entlastender Hinweis, der selten die Runde macht: Die DSK hält für die Nachweispflicht keine langlebigen Cookies mit eindeutiger Kennung für nötig. In der Regel genüge es, darlegen zu können, welche Prozesse zur Einholung implementiert wurden, und das Ergebnis in einem Cookie ohne Kennung abzulegen. Dazu gehören allerdings auch Beschreibungen der technischen Abläufe und die Informationen, die zum Zeitpunkt der Einwilligung angezeigt wurden — überholte Banner-Texte und Konfigurationen sollten Sie deshalb aufbewahren.

6. Hohe Ablehnquote: Was das mit Analytics und Ads macht

Ein korrekt gebautes Banner hat eine unbequeme Konsequenz: Ein Teil Ihrer Besucher lehnt ab, und dieser Teil verschwindet aus Ihren Berichten. Ihre Zahlen werden dadurch nicht falsch — sie werden unvollständig, und zwar nicht zufällig. Wer ablehnt, unterscheidet sich systematisch von wer zustimmt: nach Gerät, Herkunftskanal und oft auch nach Kaufabsicht. Das trifft absolute Werte und kanalübergreifende Attribution deutlich stärker als Trendvergleiche innerhalb derselben Einwilligungsbasis.

Der legitime Umgang damit hat einen Namen: Einwilligungsmodus. Statt Tags komplett zu unterdrücken, senden sie bei fehlender Einwilligung nur Signale ohne Identifikatoren; auf dieser Basis modelliert Google fehlende Werte. Eingerichtet wird der Einwilligungsmodus technisch über den Google Tag Manager, der das Consent-Signal an alle Tags weiterreicht, bevor sie feuern. Nur: Die Modellierung greift erst ab dokumentierten Schwellen. Nach Googles eigener Hilfe braucht eine Property mindestens 1.000 Ereignisse pro Tag mit abgelehnter Analyse-Speicherung über mindestens 7 Tage sowie mindestens 1.000 tägliche Nutzer mit Einwilligung an mindestens 7 der letzten 28 Tage (Quelle: Google-Analytics-Hilfe, Stand August 2026).

Für die meisten mittelständischen B2B-Websites und viele Nischenshops heißt das schlicht: Diese Schwellen werden nie erreicht. Modellierung ist dort keine Option, sondern eine Fußnote — die Lücke bleibt eine Lücke. Und selbst wo modelliert wird, stehen die Werte laut Google nicht überall zur Verfügung: nicht für Zielgruppen und Remarketing, nicht im Nutzer-Explorer, nicht für Kohorten, Segmente mit Sequenzen, Bindungsberichte, Prognosemesswerte und den BigQuery-Export. Wer seine Aussteuerung auf Zielgruppen aufbaut, gewinnt durch Modellierung also wenig.

Bei Visualisierungswerkzeugen wirkt dieselbe Lücke sogar ohne jede Ausgleichsmöglichkeit. Für Heatmaps und Sitzungsaufzeichnungen gibt es kein Gegenstück zum Einwilligungsmodus — Microsoft hält für Clarity ausdrücklich fest, dass im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz ohne Einwilligung keine Cookies gesetzt werden können. Anders als eine als geschätzt gekennzeichnete Berichtszahl sieht eine eingefärbte Karte trotzdem vollständig aus: Die fehlende Gruppe weist sie nirgends aus. Welche Fehlschlüsse daraus entstehen und welche vier weiteren Fehlerquellen dazukommen, zeigt unser Beitrag Website-Heatmaps richtig lesen.

Und jetzt der Punkt, der klar dastehen muss: Serverseitiges Tagging ist kein Einwilligungs-Ersatz. Es verlagert die Datenverarbeitung von Browser auf einen eigenen Server und bringt echte Vorteile — stabilere Datenqualität, weniger Ladelast im Frontend, mehr Kontrolle darüber, welche Felder überhaupt an Dritte gehen. Am Einwilligungserfordernis ändert es nichts. § 25 TDDDG knüpft an den Zugriff auf das Endgerät an, nicht an den Ort des Containers: Wer serverseitig eine Kennung setzt oder ausliest, greift weiterhin auf die Endeinrichtung zu. Und die anschließende Verarbeitung personenbezogener Daten braucht ohnehin eine Rechtsgrundlage nach Artikel 6 DSGVO. Wie eine saubere serverseitige Architektur aussieht, beschreiben wir ausführlich im Beitrag zum Server-Side-Tracking; die Einrichtung begleiten wir in der Stape-Beratung.

Was stattdessen wirklich hilft, ist unspektakulär und wirksam:

• Die Zahl einwilligungspflichtiger Dienste senken. Selbst gehostete Schriften, ein eingebettetes Video, das erst auf Klick lädt, ein Kartendienst hinter einer Vorschaugrafik: Jeder eingesparte Drittdienst verkürzt den Banner und reduziert das Risiko.
• Das Banner ehrlich und verständlich machen. Konkrete Zwecke statt Marketing-Nebel, benannte Empfänger, ein klarer Ablehn-Button. Eine höhere Zustimmung durch Vertrauen ist zulässig — eine höhere Zustimmung durch Erschwerung ist es nicht.
• Einwilligungsfreie Basiswerte nutzen. Serverseitige Logfile-Auswertungen greifen nicht auf das Endgerät zu und fallen damit nicht unter § 25 TDDDG. Die datenschutzrechtliche Bewertung nach DSGVO bleibt davon unberührt — IP-Adressen sind personenbezogen.
• Die Einwilligungsrate selbst als Kennzahl führen. Wer sie vor und nach jeder Banner-Änderung misst, sieht Einbrüche in den Berichten sofort als das, was sie sind — und interpretiert nicht versehentlich einen Consent-Effekt als Traffic-Einbruch.
• Alternativen prüfen. Ob eine datensparsamere Analyse-Lösung Ihren Bedarf deckt, klären wir im Vergleich Matomo gegen Google Analytics — die Einwilligungsfrage nimmt Ihnen aber auch kein Tool pauschal ab.

Wie Sie die verbleibenden Daten sauber schneiden, damit sie trotz Lücken tragfähige Entscheidungen stützen, zeigt unser Leitfaden zum Einrichten von Google Analytics 4. Und wenn Sie Ihre Messung ohnehin auf Conversions ausrichten wollen: Welche Stellschrauben im Shop tatsächlich wirken, haben wir in der Übersicht zur Conversion-Rate-Optimierung gesammelt.

7. Kann man Cookie-Banner loswerden?

Der einzige verlässliche Weg ist der unbequeme: keine einwilligungspflichtige Technik einsetzen. Alles andere sind Erleichterungen — mehr oder weniger nah an der Umsetzung.

Anerkannte Einwilligungsverwaltungsdienste. § 26 TDDDG sieht Dienste vor, bei denen Nutzer ihre Einstellungen zentral verwalten, statt sie auf jeder Website erneut zu treffen. Die Einwilligungsverwaltungsverordnung (EinwV) füllt das aus; sie wurde am 6. Februar 2025 ausgefertigt (BGBl. 2025 I Nr. 32) und ist am 1. April 2025 in Kraft getreten. Anerkennungsstelle ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Im offiziellen Register steht bislang ein einziger Dienst: „Consenter" der Law & Innovation Technology GmbH, anerkannt am 17. Oktober 2025 (Quelle: BfDI). Entscheidend für Ihre Planung ist § 18 Absatz 1 EinwV im Wortlaut: „Die Einbindung von anerkannten Diensten zur Einwilligungsverwaltung durch Anbieter von digitalen Diensten erfolgt freiwillig." Es besteht also keine Pflicht — und mit einem einzigen anerkannten Dienst ist die praktische Reichweite derzeit begrenzt.

Der Digital Omnibus — ein Vorhaben, kein Recht. Die EU-Kommission hat am 19. November 2025 ein Vereinfachungspaket vorgelegt: Vorschlag COM(2025) 837 final, Verfahren 2025/0360(COD). Er würde unter anderem die Regeln zum Zugriff auf Endgeräte aus der ePrivacy-Richtlinie in die DSGVO überführen. Das Paket durchläuft das ordentliche Gesetzgebungsverfahren, Parlament und Rat verhandeln noch; es ist weder verabschiedet noch in Kraft (Quelle: EUR-Lex, Stand August 2026). Für Ihre Website heißt das: Bis eine beschlossene Fassung im Amtsblatt steht, gilt § 25 TDDDG unverändert. Bauen Sie kein Konzept auf einem Entwurf auf, dessen Text sich im Verfahren noch ändern kann — beobachten Sie ihn, mehr nicht.

Übrigens berührt das Thema die gleiche Frage wie ein weiteres EU-Vorhaben zur Gestaltung digitaler Oberflächen: Wann wird aus Gestaltung Manipulation? Wer Einwilligungsdialoge sauber baut, arbeitet damit auch schon an Anforderungen, die die Transparenzpflichten aus dem Digital Services Act an Shop-Oberflächen stellen.

8. Fazit: Ehrlich messen schlägt kreativ tricksen

Ein rechtssicheres Cookie-Banner ist kein Design-Problem, sondern ein Inventar-Problem. Wer weiß, welcher Dienst wozu auf das Endgerät zugreift, kann sauber trennen, konkret informieren und die Ablehnung gleichwertig anbieten. Der Rest — Widerruf, Nachweis, Nachdokumentation bei neuen Tools — ist Handwerk, das einmal aufgesetzt kaum Aufwand kostet.

Die eigentliche unternehmerische Entscheidung liegt danach: Sie werden weniger Daten sehen als früher, und Sie sollten diese Lücke offen einplanen, statt sie durch technische Umwege zu kaschieren. Serverseitiges Tagging und der Einwilligungsmodus sind sinnvolle Werkzeuge — als Ersatz für eine Einwilligung taugen sie nicht. Wenn Sie Ihr Setup einmal gemeinsam durchgehen möchten: In unserer Beratung zu Google Analytics 4 und Web-Analytics prüfen wir Banner, Tag-Auslösung und Berichte im Zusammenhang — mit Blick darauf, welche Zahlen Sie danach wirklich belastbar interpretieren können. Wie Sie personenbezogene Daten in KI-Werkzeugen sauber handhaben, ist übrigens dieselbe Denkweise in einem anderen Anwendungsfall: nachzulesen in unserem Beitrag zu ChatGPT und Datenschutz im Unternehmen.

Grundlagen: § 25 TDDDG und die DSK-Orientierungshilfe für digitale Dienste (PDF, November 2024) (öffnen in neuem Tab). Stand: August 2026 — Angaben ohne Gewähr. Die vollständige Quellenliste finden Sie am Ende des Beitrags.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Die genannten Pflichten und Auslegungen aus § 25 TDDDG, der DSGVO, den Orientierungshilfen der Aufsichtsbehörden und den EDSA-Leitlinien entsprechen dem Stand August 2026; sie können sich durch neue Rechtsprechung, behördliche Praxis und laufende EU-Gesetzgebung ändern. Für Ihren konkreten Fall ziehen Sie bitte die offiziellen Quellen oder eine fachkundige Rechtsberatung heran.

9. Häufige Fragen zu Cookie-Bannern

Was ist ein Cookie-Banner?

Ein Cookie-Banner ist der Dialog, über den eine Website die Einwilligung in das Speichern von Informationen auf dem Endgerät einholt — etwa Cookies für Analyse oder Werbung. Rechtsgrundlage ist § 25 Absatz 1 TDDDG zusammen mit der DSGVO. Solange keine Einwilligung vorliegt, dürfen einwilligungspflichtige Dienste nicht laden (Quelle: gesetze-im-internet.de).

Sind Cookie-Banner noch notwendig?

Ja — aber nur, solange Sie Technik einsetzen, die auf das Endgerät zugreift und nicht unbedingt erforderlich ist. Für rein notwendige Cookies brauchen Sie keinen Banner. Die Aufsichtsbehörden raten sogar ausdrücklich davon ab, Banner ohne Anlass zu zeigen: Das erweckt einen falschen Eindruck von Wahlfreiheit (Quelle: DSK, November 2024).

Ist ein Cookie-Banner DSGVO-konform?

Nur wenn die Einwilligung freiwillig, informiert, granular und durch aktives Handeln erfolgt. Nichts darf vorangekreuzt sein, vor der Entscheidung darf kein einwilligungspflichtiges Skript laden, und der Widerruf muss so einfach sein wie die Zustimmung (Artikel 7 Absatz 3 DSGVO). Der Banner allein macht nichts rechtmäßig — die Technik dahinter entscheidet.

Wie erstelle ich ein Cookie-Banner?

Zuerst inventarisieren Sie alle Cookies, Skripte und Drittdienste und ordnen jedem einen konkreten Zweck zu. Dann wählen Sie ein Consent-Tool, das Tags erst nach der Einwilligung freigibt, formulieren die Texte konkret statt allgemein und prüfen technisch nach: Nach einem Klick auf „Ablehnen" darf kein Marketing-Tag mehr feuern.

Wie kann ich Cookie-Banner loswerden?

Nur, indem Sie auf einwilligungspflichtige Technik verzichten — etwa Drittdienste selbst hosten oder auf eine Messung ohne Zugriff auf das Endgerät umstellen. Anerkannte Einwilligungsverwaltungsdienste nach § 26 TDDDG sind eine Alternative; ihre Einbindung ist laut § 18 Absatz 1 EinwV aber ausdrücklich freiwillig (Quelle: gesetze-im-internet.de).

Soll man Cookies akzeptieren oder ablehnen?

Das entscheiden Ihre Besucher — genau darin liegt der Sinn einer Einwilligung. Als Betreiber dürfen Sie informieren und gestalten, aber nicht drängen: Wer die Ablehnung erschwert, riskiert unwirksame Einwilligungen. Rechnen Sie realistisch damit, dass ein Teil ablehnt, und richten Sie Ihre Messung von Anfang an darauf aus.

Braucht ein Cookie-Banner einen Alles-ablehnen-Button?

Die Datenschutzkonferenz sieht eine Ablehnfunktion auf der ersten Ebene nicht generell als Pflicht, sondern dann, wenn Nutzer mit dem Banner interagieren müssen, um weiterzulesen. Weil genau das die übliche Gestaltung ist, sind die Voraussetzungen laut DSK „sehr häufig" erfüllt (Quelle: DSK, November 2024).

10. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf folgende offizielle Quellen (Stand August 2026). Externe Quellen öffnen in einem neuen Tab.

• Gesetze im Internet — § 25 TDDDG (Schutz der Privatsphäre bei Endeinrichtungen) — amtlicher Gesetzestext mit Einwilligungsgrundsatz und den beiden Ausnahmen (Primärquelle).
• Gesetze im Internet — § 26 TDDDG (Anerkannte Dienste zur Einwilligungsverwaltung) — Rechtsgrundlage der Einwilligungsverwaltungsdienste (Primärquelle).
• Gesetze im Internet — § 18 EinwV (Einbindung durch Anbieter digitaler Dienste) — regelt ausdrücklich die Freiwilligkeit der Einbindung (Primärquelle).
• EUR-Lex — Verordnung (EU) 2016/679 (DSGVO) — Artikel 4 Nummer 11, 5, 6 und 7 sowie Erwägungsgrund 43 (Primärquelle).
• DSK — Orientierungshilfe für Anbieter:innen von digitalen Diensten (PDF) — Version 1.2, Stand November 2024: Auslegung von § 25 TDDDG, Banner-Gestaltung, Ablehnoption, Widerruf und Nachweis (Aufsichtsbehörden).
• BfDI — Cookie-Banner — Anforderungen des Bundesbeauftragten an Information, Ablehnung und Widerruf (offizielle Stelle).
• BfDI — Anerkannte Dienste zur Einwilligungsverwaltung — offizielles Register nach § 26 TDDDG mit Anerkennungsdatum (offizielle Stelle).
• EDSA — Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 ePrivacy-Richtlinie — Version 2.0, angenommen am 7. Oktober 2024: Anwendungsfälle jenseits klassischer Cookies (EU-Datenschutzausschuss).
• LfD Niedersachsen — Urteil zu manipulativem Cookie-Banner — Darstellung der Aufsichtsbehörde zum Urteil des VG Hannover vom 19.03.2025, Az. 10 A 5385/22 (Aufsichtsbehörde).
• EUR-Lex — Vorschlag COM(2025) 837 final (Digital Omnibus) — Kommissionsvorschlag vom 19.11.2025, Verfahren 2025/0360(COD); Vorhaben, kein geltendes Recht (Primärquelle).
• Google-Analytics-Hilfe — Verhaltensmodellierung für den Einwilligungsmodus — Voraussetzungen, Schwellenwerte und nicht unterstützte Funktionen (Herstellerangabe, Stand August 2026).