Brauche ich einen Cookie-Banner?

Die kurze Antwort

Einen Banner brauchen Sie, sobald Ihre Seite etwas tut, das sie zum Funktionieren nicht braucht – und dabei entweder etwas im Browser des Besuchers speichert oder Daten an andere Unternehmen schickt. Die typischen Fälle: Besucherstatistik mit Google Analytics, Werbe-Pixel von Meta oder Google, eingebettete YouTube-Videos, Google-Karten, Instagram-Feeds.

Keinen Banner brauchen Sie, wenn Ihre Seite nur tut, was für den Besuch nötig ist: Seiten anzeigen, ein Kontaktformular abschicken, einen Warenkorb oder eine Anmeldung merken. Dafür verlangt das Gesetz keine Einwilligung – und ein Banner, der um Zustimmung zu etwas bittet, das gar nicht passiert, ist schlicht überflüssig.

Zwei Gesetze, eine Frage

Beim Thema Cookies greifen zwei Regeln ineinander, und eine Seite muss beide einhalten:

• § 25 TDDDG: was im Browser gespeichert wirdWer etwas auf dem Gerät des Besuchers ablegt oder dort ausliest – Cookies, aber auch den Speicher des Browsers –, braucht dafür eine Einwilligung. Ausgenommen ist nur, was unbedingt nötig ist, damit die Seite tut, was der Besucher ausdrücklich will. Bis Mai 2024 hieß das Gesetz TTDSG; an dieser Regel hat sich nichts geändert.
• DSGVO: welche Daten wohin gehenSobald personenbezogene Daten fließen, braucht es eine Rechtsgrundlage – und schon die IP-Adresse zählt dazu. Lädt Ihre Seite beim Aufruf etwas von den Servern eines anderen Anbieters, erfährt dieser die IP-Adresse Ihres Besuchers. Für Statistik und Werbung bei Dritten ist die Rechtsgrundlage in der Praxis fast immer eine Einwilligung.

Was ohne Einwilligung geht

• Technisch nötige CookiesWarenkorb, Anmeldung, Spracheinstellung, Schutz vor Missbrauch – und das Cookie, in dem sich ein Banner die Entscheidung des Besuchers merkt.
• Ein Kontaktformular auf dem eigenen ServerEs gehört in die Datenschutzerklärung, braucht aber keinen Banner.
• Schriften, Bilder und Skripte vom eigenen ServerSolange nichts von fremden Servern nachgeladen wird, erfährt auch niemand anderes etwas über Ihre Besucher.
• Links zu Ihren ProfilenEin Link auf Ihr Instagram- oder Facebook-Profil ist unproblematisch – Daten fließen erst, wenn jemand darauf klickt. Ein eingebetteter Feed dagegen lädt schon beim Öffnen der Seite.
• Besucherzählung ohne Cookies auf dem eigenen ServerEtwa die Auswertung der Server-Protokolle oder ein sparsames Zählwerkzeug, das keine Profile bildet und nichts weitergibt. Viele Fachleute halten das ohne Einwilligung für zulässig; ganz einig sind sich die Aufsichtsbehörden im Detail aber nicht.

Was eine Einwilligung braucht

• Statistik mit Cookies oder bei DrittenGoogle Analytics, Hotjar, Microsoft Clarity und ähnliche Dienste. Daran ändert auch eine gekürzte IP-Adresse nichts.
• Werbe-PixelMeta-Pixel, Google-Ads-Conversion, LinkedIn, TikTok. Sie sind genau dafür gebaut, Besucher wiederzuerkennen.
• Eingebettete Videos und KartenYouTube, Vimeo, Google Maps. Auch der „datenschutzfreundliche“ Modus von YouTube lädt beim Aufruf Daten von Google-Servern.
• Feeds, Like-Knöpfe und fremde Chat-FensterAlles, was beim Öffnen der Seite Inhalte eines sozialen Netzwerks oder eines anderen Anbieters lädt.

Wenn Banner, dann richtig

Ein Banner ist kein Schild, das man aufstellt und vergisst. Eine Einwilligung zählt nur, wenn sie echt ist – und daran scheitern viele Banner:

• Erst fragen, dann ladenSolange niemand zugestimmt hat, darf nichts starten, wofür es die Zustimmung braucht. Der häufigste Fehler überhaupt: Der Banner erscheint, aber die Statistik läuft im Hintergrund längst.
• Ablehnen so leicht wie ZustimmenDie Aufsichtsbehörden verlangen, dass „Ablehnen“ auf den ersten Blick genauso erreichbar ist wie „Alle akzeptieren“ – nicht versteckt hinter „Einstellungen“ oder als blasser Link.
• Keine vorausgewählten HäkchenEin Häkchen, das schon gesetzt ist, ist keine Einwilligung. So haben es der Europäische Gerichtshof 2019 und der Bundesgerichtshof 2020 entschieden.
• Jederzeit widerrufbarWer zugestimmt hat, muss es genauso leicht wieder zurücknehmen können. Üblich ist ein Link „Cookie-Einstellungen“ im Fuß jeder Seite.
• Konkret sagen, wofürWelche Dienste, zu welchem Zweck, von welchem Anbieter. Und dieselben Dienste müssen in der Datenschutzerklärung stehen.

So prüfen Sie Ihre Seite selbst

Das geht ohne Fachwissen in einer Minute. Öffnen Sie Ihre Seite am Rechner in einem privaten Fenster, damit keine frühere Zustimmung mitspielt, und rühren Sie den Banner nicht an. Drücken Sie F12 (am Mac: Cmd + Option + I), wählen Sie den Reiter „Netzwerk“ und laden Sie die Seite neu.

Die Liste zeigt alles, was die Seite nachlädt. Tauchen dort Adressen wie google-analytics.com, googletagmanager.com, facebook.net, doubleclick.net, youtube.com oder fonts.googleapis.com auf, obwohl Sie nichts angeklickt haben, geht schon etwas ohne Zustimmung hinaus.

Bequemer geht es mit unserem Website-Check: Er ruft Ihre Seite auf, ohne den Banner anzurühren, und zeigt, welche Dienste dabei trotzdem Daten bekommen.

Der beste Banner ist keiner

Für viele kleine Betriebe ist das die ehrlichste Lösung: Die Seite tut einfach nichts, wofür sie fragen müsste. Schriften kommen vom eigenen Server, Videos laden erst auf Klick, statt der Google-Karte steht ein Link zur Anfahrt. Ihre Besucher danken es Ihnen – niemand klickt gern Banner weg.

So machen wir es auch hier: Diese Website zählt ihre Besucher selbst, auf dem eigenen Server, ohne Cookies und ohne im Browser etwas abzulegen. Einen Banner braucht sie deshalb nicht.

Wenn Sie Werbung schalten und deren Erfolg messen wollen, kommen Sie um eine Einwilligung nicht herum. Dann aber mit einem Banner, der richtig eingestellt ist – und nicht mit einem, der nur so aussieht.