Wann ein Cookie-Banner Pflicht ist
Ein Cookie-Banner ist immer dann erforderlich, wenn eine Website Informationen auf dem Endgerät speichert oder darauf zugreift, die nicht technisch notwendig sind. Das ergibt sich aus § 25 des TDDDG (vormals TTDSG). Betroffen sind insbesondere Cookies für Analyse, Marketing, Retargeting und eingebundene Drittinhalte.
Technisch notwendige Cookies – etwa für den Warenkorb, die Login-Sitzung oder die Sprachwahl – brauchen keine Einwilligung. Für alles andere gilt: erst fragen, dann laden. Das Banner darf entsprechende Dienste also nicht vor der Zustimmung aktivieren.
Was eine wirksame Einwilligung ausmacht
Damit die per Banner eingeholte Einwilligung wirksam ist, muss sie die Anforderungen der DSGVO erfüllen. Sie muss:
- freiwillig sein – ohne Nachteil bei Ablehnung,
- informiert erfolgen – mit klarer Angabe, welche Dienste eingebunden werden,
- durch eine aktive Handlung erteilt werden – kein vorausgewähltes Häkchen,
- so einfach widerrufbar sein, wie sie erteilt wurde,
- gleichwertige Schaltflächen für "Akzeptieren" und "Ablehnen" bieten.
Manipulative Gestaltungen, sogenanntes Dark Pattern Design – etwa ein gut sichtbarer Akzeptieren-Button neben einem versteckten Ablehnen-Link – machen die Einwilligung unwirksam und sind ein häufiger Beanstandungsgrund.
Consent-Management und Dokumentation
Ein Consent-Management-System (CMP) übernimmt das Einholen, Speichern und Verwalten der Einwilligungen. Wichtig ist die Nachweisbarkeit: Sie müssen belegen können, dass und wie ein Besucher zugestimmt hat. Außerdem sollte das System bei Ablehnung tatsächlich verhindern, dass die betreffenden Dienste laden – ein Banner, das nur den Schein wahrt, schützt Sie nicht.
In der Praxis hängen Cookie-Banner, Datenschutzerklärung und das tatsächlich eingesetzte Tracking eng zusammen. Ich prüfe diese drei Ebenen am liebsten gemeinsam, damit sie konsistent sind – eine Datenschutzberatung umfasst genau diesen Abgleich.