Die Rechtslage in zwei Sätzen
Zwei Regelwerke greifen ineinander. § 25 TDDDG – das Gesetz, das Ende 2024 aus dem TTDSG hervorgegangen ist – regelt das Speichern von Informationen auf dem Endgerät und den Zugriff darauf. Dafür ist grundsätzlich eine Einwilligung nötig, unabhängig davon, ob personenbezogene Daten betroffen sind. Die DSGVO regelt anschließend, was mit den so erhobenen Daten geschehen darf.
Praktisch heißt das: Für jedes Setzen eines Cookies oder Auslesen von Geräteinformationen brauchen Sie eine Einwilligung – es sei denn, es ist für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich.
Was ohne Einwilligung erlaubt ist
- Session-Cookies, die den Warenkorb oder eine Anmeldung aufrechterhalten
- Sicherheitsmechanismen wie CSRF-Schutz und Spam-Abwehr im Formular
- Speicherung der Cookie-Entscheidung selbst
- Lastverteilung und funktionale Grundeinstellungen wie Sprachwahl
- Nicht erlaubt ohne Einwilligung: Analyse-Tools, Werbepixel, eingebettete Karten und Videos von Drittanbietern, Schriften von externen Servern, Chat-Widgets, A/B-Testing
Der teuerste Irrtum
Anforderungen an das Banner
- Gleichwertigkeit: „Alle ablehnen“ muss auf der ersten Ebene stehen und optisch gleichrangig zu „Alle akzeptieren“ sein – gleiche Größe, gleiche Auffälligkeit, gleiche Klickdistanz.
- Keine Vorauswahl: Alle nicht notwendigen Kategorien sind standardmäßig deaktiviert.
- Kein Nudging: Kein grauer Ablehnen-Link neben einem leuchtenden Akzeptieren-Button, keine versteckte Ablehnung hinter „Einstellungen“.
- Transparenz: Zweck, eingesetzte Dienste, Empfänger, Speicherdauer und Drittlandtransfer müssen erkennbar sein.
- Granularität: Nutzer müssen einzelne Kategorien getrennt wählen können.
- Kein Zwang: Ein Weiterscrollen oder Klick auf die Seite gilt nicht als Einwilligung, ebenso wenig ein Schließen per X ohne klare Ablehnwirkung.
- Widerruf jederzeit und ebenso einfach wie die Erteilung – üblicherweise über einen dauerhaften Link im Seitenfuß.
Technische Umsetzung
Der häufigste Verstoß ist technischer Natur: Das Banner sieht korrekt aus, aber im Hintergrund lädt bereits alles. Prüfen Sie deshalb nicht das Banner, sondern den Netzwerkverkehr.
- Vor der Einwilligung dürfen keine Anfragen an Drittanbieter-Domains gehen – auch nicht an Schrift- oder CDN-Dienste
- Skripte erst nach Einwilligung nachladen, nicht nur „stumm schalten“
- Karten und Videos als Vorschaubild einbinden, das erst auf Klick den externen Dienst lädt
- Schriften lokal hosten – damit erübrigt sich die Einwilligungsfrage vollständig
- Für Google-Dienste den Consent Mode korrekt einbinden; ohne ihn dürfen im EWR keine Werbe- und Analysedaten verarbeitet werden
- Server-seitiges Tracking ändert nichts an der Einwilligungspflicht, wenn dabei auf das Endgerät zugegriffen wird
Dokumentation und Widerruf
Sie müssen nachweisen können, dass eine Einwilligung erteilt wurde. Ein Consent-Management-Tool sollte daher je Einwilligung Zeitpunkt, gewählte Kategorien, die angezeigte Banner-Version und eine Kennung protokollieren – ohne dafür selbst unnötige personenbezogene Daten zu sammeln.
Seit April 2025 gibt es zudem den Rahmen für anerkannte Einwilligungsverwaltungsdienste. Deren Nutzung ist freiwillig; wer sie einsetzt, kann Nutzern wiederholte Banner ersparen. Für die meisten mittelständischen Websites bleibt ein sauber konfiguriertes Consent-Tool der pragmatische Weg.
Selbsttest in zehn Minuten
- Website in einem frischen privaten Fenster öffnen, Entwicklertools auf den Netzwerk-Tab stellen.
- Ohne zu klicken prüfen: Werden Anfragen an fremde Domains gesendet? Werden Cookies gesetzt?
- Banner ansehen: Steht „Ablehnen“ gleichwertig auf der ersten Ebene?
- Auf „Ablehnen“ klicken und erneut den Netzwerk-Tab prüfen – jetzt darf nichts Zusätzliches laden.
- Im Seitenfuß nach dem Link zum Widerruf der Einwilligung suchen.
- Datenschutzerklärung gegen die tatsächlich eingesetzten Dienste abgleichen – hier klaffen Anspruch und Realität am häufigsten auseinander.
Fazit
Rechtssichere Einwilligungen sind vor allem eine Frage der sauberen technischen Umsetzung, nicht der Bannergestaltung. Wer Schriften lokal hostet, Einbettungen erst auf Klick lädt und ein korrekt konfiguriertes Consent-Tool nutzt, hat den größten Teil erledigt – und nebenbei eine schnellere Website. Für die individuelle rechtliche Bewertung bleibt der Anwalt zuständig; die technische Umsetzung übernehmen wir im Rahmen von Webdesign.