Cookie-Banner: Pflicht oder nicht?

Ein Banner ist kein Selbstzweck. Entscheidend ist, ob eine Seite auf das Endgerät zugreift oder Dienste einbindet, die nicht unbedingt erforderlich sind.

Die Frage „Banner ja oder nein“ hängt an einer einzigen Prüfung: Greift die Seite ohne technische Notwendigkeit auf das Endgerät zu? Eine reine Info-Seite mit lokal ausgelieferten Schriften, ohne Analyse, ohne eingebettete Videos und ohne Marketing-Pixel braucht kein Consent-Banner — auch kein „wir verwenden nur technisch notwendige Cookies“-Hinweis, wenn gar keine Cookies gesetzt werden. Umgekehrt genügt schon ein einziger einwilligungspflichtiger Dienst (Google Fonts von Google, ein YouTube-Embed, Google Analytics), um die Bannerpflicht auszulösen.

Eine aktive, informierte Einwilligung und die Sperre einwilligungspflichtiger Zugriffe sind entscheidend. Die große Mehrheit der im EDPB-Bericht beteiligten Behörden beanstandet fehlende Ablehnmöglichkeiten auf einer Ebene mit Zustimmungsbutton. Irreführende Gestaltung kann die Einwilligung beeinträchtigen; der konkrete Fall und nationale Vorgaben sind zu prüfen.

Der häufigste technische Fehler ist das „kosmetische“ Banner: Es wird angezeigt, aber die Tracking-Skripte laufen im Hintergrund bereits. Wirksam ist nur eine Lösung, die die Skripte tatsächlich blockiert, bis eine Kategorie freigegeben wird — entweder über einen Skript-Blocker oder über die Consent-APIs der jeweiligen Tools. Nach dem Setup im privaten Fenster prüfen: Lädt nach einem Klick auf „Ablehnen“ wirklich nichts von google-analytics.com, connect.facebook.net oder ähnlichen Hosts?

Ist das ein Risiko?

Nach § 25 Abs. 1 TDDDG braucht jeder nicht zwingend erforderliche Zugriff auf das Endgerät eine vorherige Einwilligung. Nur unbedingt erforderliche Vorgänge (§ 25 Abs. 2) sind ausgenommen. Ein Banner, das trotz „Ablehnen“ Tracker lädt oder „Ablehnen“ versteckt, erfüllt die Anforderungen nicht.

Was du tun kannst

• Prüfen, welche Dienste wirklich technisch notwendig sind — nur diese ohne Einwilligung.
• Wenn nichts Einwilligungspflichtiges eingebunden ist: kein Banner nötig.
• Sonst ein Consent-Tool, das ablehnen so einfach macht wie akzeptieren und Dienste erst nach Zustimmung lädt.
• Nach dem Setup testen, ob nach „Ablehnen“ tatsächlich nichts Einwilligungspflichtiges lädt.

Häufige Fragen

Brauche ich ein Cookie-Banner, wenn ich gar keine Cookies setze?

Nur, wenn trotzdem auf das Endgerät zugegriffen wird — etwa durch das Auslesen von Kennungen, LocalStorage für nicht notwendige Zwecke oder das Laden externer Ressourcen, die die IP übertragen. Wird wirklich nichts Nicht-Notwendiges geladen, ist kein Banner nötig.

Reicht ein Banner mit nur einem „Akzeptieren“-Button?

Eine aktive, informierte Einwilligung und die Sperre einwilligungspflichtiger Zugriffe sind entscheidend. Die große Mehrheit der im EDPB-Bericht beteiligten Behörden beanstandet fehlende Ablehnmöglichkeiten auf einer Ebene mit Zustimmungsbutton. Irreführende Gestaltung kann die Einwilligung beeinträchtigen; der konkrete Fall und nationale Vorgaben sind zu prüfen.

Sind technisch notwendige Cookies wirklich ausgenommen?

Ja, nach § 25 Abs. 2 TDDDG — aber nur, wenn der Zugriff für einen ausdrücklich vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Warenkorb, Login-Session und Spracheinstellung fallen darunter; Analyse, Marketing und A/B-Tests nicht.

Wie teste ich, ob mein Banner wirksam ist?

Im privaten Fenster die Seite öffnen, Entwicklertools, Tab „Netzwerk“, dann auf „Ablehnen“ klicken und die Seite neu laden. Erscheinen danach Anfragen an Analyse- oder Marketing-Hosts, blockiert das Banner nicht wirksam.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.