Wann ist ein Cookie-Banner Pflicht?
Kurz: wenn Ihre Website auf dem Gerät Ihrer Besucher etwas speichert oder ausliest, das für die gewünschte Funktion nicht unbedingt nötig ist. Hier steht, was das genau heißt und wie Sie Ihre eigene Seite prüfen.
Stand:
Kurz gesagt
- Nicht der Banner ist Pflicht, sondern die Einwilligung, und zwar nur für bestimmte Zugriffe auf das Gerät Ihrer Besucher.
- Keine Einwilligung braucht, was für die ausdrücklich gewünschte Funktion unbedingt erforderlich ist, etwa ein Warenkorb.
- Unabhängig davon verlangt die DSGVO eine Rechtsgrundlage, sobald Daten wie die IP-Adresse an fremde Server gehen.
- Eine Website, die nichts Unnötiges speichert und nichts von fremden Servern lädt, kommt in der Regel ohne Banner aus.
Was das Gesetz sagt
Die Regel steht in § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), bis Mai 2024 hieß es TTDSG.1 Der entscheidende Teil:
„(1) Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. […]
(2) Die Einwilligung nach Absatz 1 ist nicht erforderlich, […] 2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.“
„Endeinrichtung“ ist das Gerät Ihrer Besucher: Smartphone, Laptop, Browser. Dass eine Einwilligung aktiv erteilt werden muss und ein vorab gesetztes Häkchen nicht genügt, hat der Europäische Gerichtshof 2019 entschieden.3 Der Bundesgerichtshof hat das 2020 für Deutschland übernommen.4
Was „unbedingt erforderlich“ heißt
Die Ausnahme ist eng. Es reicht nicht, dass etwas nützlich ist oder dass Sie als Betreiber es gern hätten. Erforderlich muss es für die Funktion sein, die der Besucher selbst aufruft.
In der Regel ohne Einwilligung möglich:
- der Warenkorb in einem Shop
- die Anmeldung in einem Kundenkonto
- eine Spracheinstellung, die der Besucher selbst gewählt hat
In der Regel nur mit Einwilligung:
- Besucherstatistik mit Cookies, etwa Google Analytics
- Werbe- und Remarketing-Pixel
- eingebettete Inhalte Dritter, die im Browser speichern oder auslesen
Es geht nicht nur um Cookies
Das Gesetz spricht von „Informationen“, nicht von Cookies. Gemeint ist jede Speicherung im Browser, also auch Local Storage, Session Storage oder IndexedDB, und jedes Auslesen von Informationen vom Gerät. Eine Seite, die statt Cookies den Local Storage für Statistik nutzt, braucht deshalb genauso eine Einwilligung.
Daneben gilt die DSGVO
Lädt Ihre Website etwas von einem fremden Server, schickt der Browser dabei die IP-Adresse Ihres Besuchers dorthin. Die IP-Adresse ist ein personenbezogenes Datum, für die Übermittlung braucht es eine Rechtsgrundlage nach Art. 6 DSGVO.2
Das Landgericht München I hat 2022 einem Kläger Schadensersatz zugesprochen, weil eine Website seine IP-Adresse beim Laden von Google Fonts ohne Einwilligung an Google übermittelt hatte. Das Gericht wies darauf hin, dass sich die Schriften auch vom eigenen Server laden lassen.5
Das ist der zweite Grund für viele Banner: nicht die Cookies selbst, sondern Schriften, Videos, Karten und Skripte, die von Servern Dritter kommen.
Typische Auslöser für einen Banner
Diese Dienste finden wir bei Firmenwebsites am häufigsten. Für jeden gibt es einen Ersatz ohne Einwilligung.
| Dienst | Was passiert | Ersatz |
|---|---|---|
| Google Analytics | Setzt Cookies und sendet Nutzungsdaten an Google. | Statistik ohne Cookies, z. B. Plausible |
| Google Fonts vom Google-Server | Der Browser schickt beim Laden die IP-Adresse an Google. | Schriften auf dem eigenen Server |
| YouTube-Einbettung | Verbindung zu Google schon beim Seitenaufruf, Speicherung im Browser. | Vorschaubild, Video lädt erst nach Klick |
| Google Maps | Verbindung zu Google beim Seitenaufruf. | Statische Karte mit Link |
| Meta-Pixel, Werbe-Tags | Setzen Cookies und senden Daten zu Werbezwecken. | Weglassen oder nur mit Einwilligung |
| Google reCAPTCHA | Liest Informationen aus dem Browser und sendet sie an Google. | Unsichtbares Prüffeld, Prüfung auf dem Server |
Wie ein Kontaktformular mit Spam-Schutz ohne Einwilligung auskommt, steht in unserem Beitrag Kontaktformular ohne Cookie-Banner.
Selbsttest in fünf Minuten
Sie brauchen dafür nur einen Desktop-Browser wie Chrome, Edge oder Firefox.
- Öffnen Sie Ihre Website in einem privaten Fenster, damit nichts von früheren Besuchen gespeichert ist.
- Öffnen Sie die Entwicklerwerkzeuge mit der Taste F12 und wechseln Sie zum Tab „Netzwerk“.
- Laden Sie die Seite neu. Jede Adresse in der Liste, die nicht zu Ihrer Domain gehört, ist ein fremder Server.
- Wechseln Sie zum Tab „Anwendung“ (Chrome, Edge) oder „Web-Speicher“ (Firefox) und schauen Sie unter Cookies, Local Storage und Session Storage nach.
- Wiederholen Sie das auf Unterseiten mit Videos, Karten oder Formularen.
Sind beide Listen leer, braucht Ihre Seite in aller Regel keinen Banner. Wenn nicht, haben Sie jetzt die Liste der Dienste, um die es geht. Genau so prüfen wir auch.
Und die Besucherstatistik?
Werkzeuge wie Plausible oder Fathom speichern nichts auf dem Gerät Ihrer Besucher, § 25 TDDDG ist damit nicht berührt. Die Auswertung auf dem Server braucht trotzdem eine Rechtsgrundlage nach der DSGVO, in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f, und einen Abschnitt in Ihrer Datenschutzerklärung. Diese Seite verzichtet ganz auf eine Besucherstatistik.
Dieser Beitrag erklärt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall. Wir sind Webentwickler, keine Anwälte: Wir sorgen dafür, dass Ihre Website technisch nichts tut, wofür sie eine Einwilligung bräuchte.