Cookie-Banner Pflicht in Deutschland

Inhalt in Kürze

• Ist ein Cookie-Banner Pflicht? Ja — § 25 TDDDG und Art. 6/7 DSGVO verlangen eine Einwilligung vor dem Setzen technisch nicht notwendiger Cookies. Verstöße drohen mit Bußgeldern bis 20 Mio. Euro.
• Der Ablehnen-Button muss gleichwertig sein: Dark Patterns wie ein großer „Akzeptieren”-Button neben einem versteckten Ablehnen-Link sind rechtswidrig — die Datenschutz-Grundverordnung und der EDSA stellen das klar.
• 70 % aller Cookie-Banner sind fehlerhaft: Häufigste Fehler sind vorangekreuzte Checkboxen, fehlende Blockierung vor Consent und Banner ohne technische Funktion.
• Hugo Check prüft Ihren Cookie-Banner automatisch — nicht nur optisch, sondern ob Cookies tatsächlich erst nach Einwilligung gesetzt werden dürfen.

Cookie-Banner: Pflicht, Umsetzung und typische Fehler

Kaum ein Thema im Online-Datenschutz sorgt für so viel Unsicherheit wie das Cookie Banner. Braucht man eins? Wie muss es aussehen? Und reicht es, einfach ein Plugin zu installieren? Die Antworten sind klarer, als viele denken – aber die korrekte Umsetzung hat Tücken. Wer die Cookie Banner Pflicht ignoriert, riskiert eine Geldbuße und Abmahnungen. Ein DSGVO-konformes Cookie-Banner ist keine Kür, sondern gesetzliche Pflicht für jeden Webseitenbetreiber, dessen Website Cookies nutzt.

Für Hamburger Unternehmen ist das Thema besonders relevant: Die Hansestadt ist ein Zentrum für E-Commerce, Medien und digitale Dienstleistungen. Fehlerhafte Cookie Banner auf hochfrequentierten Websites erzeugen ein erhebliches Haftungsrisiko. Ein Verstoß gegen die Cookie-Banner-Anforderungen kann zu empfindlichen Bußgeldern führen — die Aufsichtsbehörden prüfen systematisch.

Die rechtliche Grundlage: TDDDG und DSGVO im Datenschutz

Zwei Gesetze bilden den Rahmen für Cookie-Banner in Deutschland:

TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz)

Das TDDDG (Nachfolger des TTDSG) setzt die ePrivacy-Richtlinie in deutsches Recht um. § 25 TDDDG regelt den Zugriff auf Informationen im Endgerät des Nutzers:

• Einwilligung erforderlich für das Setzen und Lesen von Cookies und vergleichbaren Technologien (Local Storage, Fingerprinting, Tracking-Pixel)
• Ausnahme: Technisch zwingend erforderliche Cookies (Session-Cookies, Warenkorb, Spracheinstellungen)
• Die Einwilligung muss aktiv, informiert und freiwillig erfolgen

DSGVO (Datenschutz-Grundverordnung)

Die DSGVO ergänzt das TDDDG um die Anforderungen an die Verarbeitung personenbezogener Daten. Art. 6 und Art. 7 DSGVO definieren die Einwilligung:

• Eindeutige bestätigende Handlung – kein Opt-out, keine vorangekreuzten Boxen
• Zweckbindung – der Nutzer muss wissen, wofür er einwilligt
• Widerrufbarkeit – die Einwilligung muss jederzeit so einfach widerrufbar sein, wie sie erteilt wurde
• Nachweispflicht – Sie müssen nachweisen können, dass eine gültige Einwilligung vorlag

Was Ihr Cookie-Banner können muss

Ein rechtskonformes Cookie-Banner erfüllt folgende Anforderungen:

Erste Ebene (sofort sichtbar)

• Klare Information: Was sind Cookies, welche Kategorien setzen Sie ein, zu welchen Zwecken?
• Gleichwertige Optionen: Sowohl „Alle akzeptieren” als auch „Alle ablehnen” auf der ersten Ebene
• Verweis auf Details: Link zu einer zweiten Ebene mit granularen Einstellmöglichkeiten
• Link zur Datenschutzerklärung und zum Impressum

Zweite Ebene (Detaileinstellungen)

• Granulare Wahlmöglichkeit: Einzelne Cookie-Kategorien (Notwendig, Statistik, Marketing, Drittanbieter) separat wählbar
• Voreinstellung: Nur notwendige Cookies vorausgewählt
• Einzelne Dienste: Idealerweise Auflistung der einzelnen Dienste pro Kategorie mit Anbieter, Zweck und Speicherdauer

Technische Umsetzung

• Blocking: Es muss sichergestellt sein, dass Cookies erst nach Einwilligung geladen werden — das heißt, dass Cookies ohne vorherige Zustimmung nicht gesetzt werden dürfen
• Consent-Speicherung: Die Einwilligung wird gespeichert und bei erneutem Besuch nicht erneut abgefragt
• Widerruf: Nutzer müssen ihre Einstellungen jederzeit ändern können (z. B. über ein Widget im Footer)
• Dokumentation: Jede Einwilligung wird mit Zeitstempel protokolliert

Dark Patterns: Was verboten ist

Die Datenschutzbehörden und das EDSA (Europäischer Datenschutzausschuss) haben klare Leitlinien zu manipulativen Gestaltungsmustern veröffentlicht. Folgende Praktiken sind rechtswidrig:

Visuelles Ungleichgewicht

Ein großer, farbiger „Alle akzeptieren”-Button neben einem kleinen, grauen oder versteckten „Ablehnen”-Link. Die Ablehn-Option muss visuell gleichwertig sein.

Guilt-Tripping

Formulierungen wie „Sind Sie sicher? Sie werden weniger relevante Inhalte sehen” oder „Durch Ablehnung unterstützen Sie uns nicht”. Die Einwilligung muss frei von psychologischem Druck sein.

Labyrinth-Navigation

Den Ablehnen-Button hinter mehreren Klicks und Untermenüs verstecken. Wenn die Zustimmung mit einem Klick möglich ist, muss auch die Ablehnung mit einem Klick möglich sein.

Vorauswahl

Tracking-Kategorien oder einzelne Dienste vorangekreuzt darstellen. Die Standardeinstellung muss „aus” sein – der Nutzer muss aktiv zustimmen.

Cookie-Walls

Den Zugang zur Website komplett sperren, wenn der Nutzer nicht einwilligt. Dies ist in den meisten Fällen unzulässig, da die Einwilligung dann nicht freiwillig ist.

Consent-Tools im Vergleich: Cookie-Richtlinie umsetzen

Die Wahl des richtigen Consent-Management-Tools hängt von Ihrem Setup ab:

Cookiebot (Usercentrics)

• Automatisches Cookie-Scanning
• Gut für kleine bis mittlere Websites
• DSGVO- und TDDDG-konform konfigurierbar
• Cloud-basiert, Datenverarbeitung in der EU

Usercentrics

• Umfangreiche Konfigurationsmöglichkeiten
• Geeignet für größere Websites und Konzerne
• Detailliertes Reporting und Nachweis-Funktionen
• Integration in gängige Tag-Manager

Borlabs Cookie (WordPress)

• Speziell für WordPress optimiert
• Selbst gehostet – keine Drittanbieter-Verbindung
• Volle Kontrolle über die Konfiguration
• Erfordert technisches Know-how bei der Einrichtung

Klaro (Open Source)

• Kostenlos und quelloffen, selbst gehostet
• Leichtgewichtig, erfordert aber Entwickler-Kenntnisse

Unabhängig vom gewählten Anbieter gilt: Das Tool allein macht Sie nicht konform. Entscheidend ist die korrekte Konfiguration.

Hugo Check prüft Ihren Cookie-Banner automatisch

Ob Ihr Cookie-Banner tatsächlich funktioniert, können Sie nicht durch bloßes Anschauen feststellen. Der Hugo Check analysiert die technische Realität:

• Werden Cookies vor der Einwilligung gesetzt?
• Wird Tracking tatsächlich blockiert, wenn der Nutzer ablehnt?
• Gibt es Drittanbieter-Requests ohne Einwilligung?
• Ist die Consent-Speicherung korrekt implementiert?

Diese automatisierte Prüfung gibt Ihnen Sicherheit – oder zeigt Ihnen genau, wo Sie nachbessern müssen.

Was droht bei einem Verstoß gegen die Cookie-Banner-Pflicht in Hamburg?

Der HmbBfDI hat in seiner Tätigkeit wiederholt auf die Bedeutung korrekter Cookie-Banner hingewiesen. Hamburger Unternehmen in Medien, E-Commerce und digitaler Wirtschaft stehen dabei besonders im Fokus, da ihre Websites häufig hohe Besucherzahlen und umfangreiche Tracking-Setups aufweisen. Auch die Verbraucherzentrale Hamburg mahnt regelmäßig Websites ab, deren Nutzung von Cookies nicht den gesetzlichen Anforderungen der Europäischen Union entspricht. Eine Geldbuße droht insbesondere dann, wenn die Website Cookies nutzt, ohne dass der Benutzer eine informierte Einwilligung erteilt hat.

Jetzt Ihren Cookie-Banner prüfen

Sind Sie sicher, dass Ihr Cookie-Banner wirklich funktioniert? Finden Sie es heraus.

Kostenlosen Website-Check starten

Ist ein Cookie-Hinweis DSGVO-konform? Verstoß oder korrekt?

Ein bloßer Cookie-Hinweis („Diese Website verwendet Cookies”) ist nicht DSGVO-konform. Die Datenschutz-Grundverordnung und das TDDDG verlangen eine aktive Zustimmung — ein reiner Hinweis ohne Ablehn-Möglichkeit erfüllt die gesetzlichen Anforderungen nicht. Die Aufsichtsbehörde unterscheidet klar:

• Cookie-Hinweis: Informiert nur — keine Einwilligung, kein Opt-In. Nicht ausreichend gemäß DSGVO. Solche Cookie-Hinweise reichen seit dem TTDSG (jetzt TDDDG) nicht mehr aus.
• Cookie-Banner mit Consent: Bietet gleichwertige Optionen (Akzeptieren/Ablehnen), blockiert Cookies vor Zustimmung und dokumentiert die Einwilligung. Das ist die Cookie-Banner-Pflicht.
• Cookie-Richtlinie: Detaillierte Auflistung aller Cookies mit Zweck, Anbieter und Speicherdauer — als Bestandteil oder Ergänzung der Datenschutzerklärung.

Der Webseitenbetreiber muss den Nutzer darüber informieren, welche sogenannten Cookies auf der Website gesetzt werden und welche personenbezogene Daten verarbeitet werden. Nutzerinnen und Nutzer müssen die Möglichkeit haben, von nicht notwendigen Cookies abzulehnen — auf der ersten Ebene, gut sichtbar und ohne Dark Pattern. Die DSGVO-konforme Cookie-Richtlinie regelt den verantwortungsvollen Umgang mit Cookies und stellt sicher, dass der Nutzer darüber informiert wird, wie die Nutzung von Cookies auf der jeweiligen Website erfolgt.

Was ist das Cookie-Banner im Zusammenhang mit der DSGVO?

Das Cookie-Banner ist die technische Umsetzung der Einwilligungspflicht. Die DSGVO sieht vor, dass personenbezogene Daten nur mit einer aktiven und informierten Einwilligung des Nutzers verarbeitet werden dürfen. Der Webseitenbetreiber muss sicherstellen, dass:

1. Vor dem Setzen von Cookies die Einwilligung des Nutzers eingeholt wird — Nutzer müssen aktiv zustimmen
2. Die Einwilligung informiert erfolgt — der Nutzer wird darüber informiert, wie seine Daten gesammelt und verwendet werden
3. Technisch notwendige Cookies ohne Einwilligung gesetzt werden dürfen — der Einsatz von Cookies für den technischen Betrieb ist ausgenommen
4. Die Einwilligung jederzeit widerrufen werden kann — genauso einfach wie erteilt, über eine Schaltfläche im Footer
5. Jede Einwilligung mit Zeitstempel protokolliert wird — als Nachweis für die Aufsichtsbehörde

Die DSGVO gilt für alle Website-Besucher in der Europäischen Union. Dass Cookies personenbezogene Daten verarbeiten, ist bei Tracking Cookies, Marketing-Cookies und Cookies für personalisierte Werbung oder Werbezwecke praktisch immer der Fall. Für solche Cookies eine Einwilligung einholen ist daher Pflicht — für alle Cookies erforderlich, die über technisch notwendige Cookies hinausgehen.

Arten von Cookies: Wann ist eine Einwilligung erforderlich?

Nicht alle Cookies verwenden gleich viele Daten. Die Unterscheidung einzelner Cookies nach Kategorien ist entscheidend für Ihr Cookie Consent Banner:

• Technisch notwendige Cookies: Session-Management, Warenkorb, Login-Status. Keine Einwilligung erforderlich, da sie für den Betrieb der Website zwingend nötig sind.
• Statistik-Cookies: Google Analytics, Matomo. Erfassen Nutzerdaten zur Analyse. Die DSGVO gilt — Einwilligung des Nutzers gespeichert werden muss.
• Marketing- und Tracking Cookies: Facebook Pixel, Google Ads, LinkedIn Insight Tag. Verfolgen Nutzer über Websites hinweg. Einwilligung zwingend erforderlich, da personenbezogene Daten verarbeitet werden.
• Drittanbieter-Cookies: Eingebettete Videos, Maps, Social-Media-Plugins. Cookies werden auf dem Gerät des Nutzers durch externe Dienste gesetzt.

Wenn Ihre Website Cookies verwendet, die über technisch notwendige Cookies hinausgehen, ist ein DSGVO-konformes Cookie Consent Banner Pflicht. Die Vorgaben der DSGVO und des TDDDG müssen dabei gleichzeitig erfüllt werden.

Wie muss ein DSGVO-konformes Cookie-Banner aussehen?

Ein rechtskonformes Cookie-Banner nach den Vorgaben der DSGVO muss folgende Elemente enthalten:

• Gleichwertige Buttons: Zwei Schaltflächen — „Alle akzeptieren” und „Alle ablehnen” — in gleicher Größe und Farbe. Keine versteckten Links statt Buttons.
• Detaillierte Cookie-Richtlinie: Eine zweite Ebene mit einzelnen Cookies und deren Zweck, Anbieter und Speicherdauer.
• Keine Vorauswahl: Nur technisch notwendige Cookies dürfen vorausgewählt sein.
• Widerruf-Möglichkeit: Ein Widget oder Link im Footer, über den Nutzer ihre Einstellungen jederzeit verwalten können.
• Privacy by Default: Solange keine Zustimmung oder Ablehnung von Cookies erfolgt, dürfen nur technisch notwendige Cookies auf der Website gesetzt werden.

Ist real Cookie Banner DSGVO-konform?

Viele Unternehmen fragen sich, ob ihr aktuelles Cookie Banner tatsächlich den Anforderungen der DSGVO entspricht. Die Erfahrung zeigt: In den meisten Fällen nicht. Ein Verstoß liegt bereits vor, wenn das Cookie Banner zwar angezeigt wird, aber die technische Blockierung fehlt — das heißt, dass Cookies trotz Ablehnung gesetzt werden. Auch ein visuell manipulatives Design (Dark Pattern) macht das Cookie Banner rechtswidrig. Lassen Sie Ihr Cookie Banner mit dem Hugo Check automatisch prüfen, um sicherzustellen, dass es den aktuellen Anforderungen entspricht.

Brauchen auch mobile Apps ein Cookie-Banner?

Ja. Die Cookie Banner Pflicht gilt nicht nur für Websites, sondern für alle digitalen Dienste, die Informationen auf dem Endgerät speichern oder darauf zugreifen. Mobile Apps, die Tracking-SDKs, Werbe-IDs oder Analyse-Tools verwenden, benötigen ein Consent-Management — analog zum Web. Auch WordPress-Plugins, die Cookies setzen, benötigen eine entsprechende Konfiguration.

Wenn Ihr Cookie Banner diese Anforderungen nicht erfüllt, drohen Abmahnungen und ein Bußgeld. Strafen von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes sind gemäß der DSGVO möglich. Lassen Sie Ihren Cookie-Banner mit dem Hugo Check automatisch prüfen — oder beauftragen Sie eine professionelle Datenschutzberatung mit der datenschutzkonformen Konfiguration.

Oder buchen Sie ein Erstgespräch mit Nils Oehmichen. Als Ihr externer Datenschutzbeauftragter analysieren wir Ihren Cookie-Banner und zeigen Ihnen, wo Handlungsbedarf besteht — pragmatisch und verständlich. Ergänzend prüft ein DSGVO-Audit Ihre gesamte Datenschutz-Compliance. Erreichen Sie uns auch über unser Kontaktformular.

Der richtige Umgang mit Cookies: Zusammenfassung

Ob Ihr Unternehmen eine einfache Firmenwebsite, einen Online-Shop oder eine komplexe Anwendungssoftware betreibt — die Cookie-Banner-Pflicht betrifft Sie. Sobald Ihre Website Cookies nutzt, die nicht technisch notwendig sind, muss der Benutzer vorab darüber informiert werden. Die Benutzerfreundlichkeit des Cookie-Banners spielt dabei eine entscheidende Rolle: Ein Pop-up, das Schaltflächen für Zustimmung oder Ablehnung gleichwertig anzeigt, erfüllt die gesetzlichen Anforderungen besser als ein manipulatives Design. Achten Sie auf eine vollständige Cookie-Richtlinie, die einzelne Cookies mit Zweck und Speicherdauer auflistet, und stellen Sie sicher, dass die Nutzung von Cookies erst nach einer wirksamen Einwilligung beginnt. So vermeiden Sie eine Geldbuße und schaffen Vertrauen bei Ihren Website-Besuchern.