Cookie-Hinweis Pflicht: Wann du wirklich einen Cookie-Banner brauchst

Du hast Zeit und Geld in deine Website gesteckt – und dann stolperst du über die Frage, ob überhaupt eine Cookie-Hinweis Pflicht für dich gilt. Die kurze Antwort: In fast allen Fällen ja, sobald deine Seite mehr als nur technisch notwendige Cookies setzt. Die längere Antwort ist deutlich spannender, denn zwischen „gar kein Banner nötig" und „aufwendiges Consent-Tool" liegt genau die Grauzone, in der die meisten Unternehmen Fehler machen. Genau diese Fehler kosten im Ernstfall Abmahnungen, Bußgelder und Vertrauen.

In diesem Beitrag klären wir Schritt für Schritt, wann ein Cookie-Banner Pflicht ist, was DSGVO und TTDSG konkret von dir verlangen und wie du deinen Hinweis rechtssicher umsetzt – ohne Verkaufsshow, dafür mit klaren Kriterien, die du sofort auf deine eigene Seite anwenden kannst.

Was bedeutet die Cookie-Hinweis Pflicht überhaupt?

Die Cookie-Hinweis Pflicht beschreibt die rechtliche Verpflichtung, Besucher deiner Website über den Einsatz von Cookies zu informieren und – bei nicht notwendigen Cookies – vorab ihre aktive Einwilligung einzuholen. Ein Cookie ist dabei nichts Geheimnisvolles: Es ist eine kleine Textdatei, die dein Browser speichert, damit die Website dich beim nächsten Besuch wiedererkennt, deinen Warenkorb behält oder dein Verhalten für Statistiken auswertet.

Entscheidend ist, dass nicht jedes Cookie gleich behandelt wird. Ein Session-Cookie, das nur dafür sorgt, dass du im Login-Bereich eingeloggt bleibst, unterliegt anderen Regeln als ein Tracking-Cookie von Google Analytics oder dem Facebook-Pixel. Die Cookie-Hinweis Pflicht knüpft also nicht am Wort „Cookie" an, sondern an der Frage: Wird hier auf Informationen im Endgerät des Nutzers zugegriffen, die für den Betrieb der Seite nicht zwingend gebraucht werden?

Genau hier setzt der häufigste Irrtum an. Viele glauben, ein kleiner Hinweis-Balken mit „Diese Seite verwendet Cookies. OK" reiche aus. Das war einmal – seit den Urteilen von EuGH und BGH ist diese Praxis überholt und im Zweifel abmahnfähig.

Rechtliche Grundlagen: DSGVO und TTDSG im Zusammenspiel

Zwei Gesetze regeln die Cookie-Hinweis Pflicht in Deutschland gemeinsam. Die Datenschutz-Grundverordnung (DSGVO) legt fest, wie personenbezogene Daten verarbeitet werden dürfen und dass eine Einwilligung freiwillig, informiert und aktiv erfolgen muss. Das TTDSG – seit Mai 2024 offiziell in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt – konkretisiert speziell den Zugriff auf Endgeräte und damit das Setzen von Cookies.

Der Kern steht in § 25 TTDSG/TDDDG: Das Speichern von Informationen im Endgerät und der Zugriff darauf sind nur mit Einwilligung des Nutzers erlaubt. Eine Ausnahme gilt ausschließlich für Cookies, die „unbedingt erforderlich" sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert. Alles andere braucht ein Opt-in.

Wegweisend war das EuGH-Urteil „Planet49" von 2019: Vorangekreuzte Kästchen sind keine wirksame Einwilligung. Der Bundesgerichtshof zog 2020 nach und bestätigte, dass eine aktive Zustimmung erforderlich ist. Seitdem gilt: Schweigen oder Weiterscrollen ist keine Zustimmung – der Nutzer muss bewusst klicken.

Merke: Ohne aktive Einwilligung dürfen nicht notwendige Cookies gar nicht erst geladen werden. Das Consent-Tool muss also verhindern, dass Tracking-Skripte schon vor dem Klick feuern.

Wann ist ein Cookie-Banner verpflichtend – und wann nicht?

Ob für deine Website ein Cookie-Banner Pflicht ist, hängt einzig davon ab, welche Cookies und Dienste du einsetzt. Es gibt tatsächlich Seiten, die ohne Banner auskommen – nämlich reine Informationsseiten, die ausschließlich technisch notwendige Cookies verwenden und keinerlei Tracking, keine eingebetteten Karten, keine Videos von Drittanbietern und keine Marketing-Tools nutzen.

Sobald aber auch nur eines der folgenden Elemente auf deiner Seite läuft, entsteht die Cookie-Banner Pflicht:

• Webanalyse wie Google Analytics, Matomo (im Cookie-Modus) oder etracker
• Marketing-Pixel von Google Ads, Meta/Facebook oder LinkedIn
• Eingebettete Inhalte wie YouTube-Videos, Google Maps oder Instagram-Feeds
• Externe Schriftarten oder Skripte, die beim Laden die IP-Adresse an einen Drittanbieter übertragen
• Chat-Widgets, A/B-Testing-Tools oder Remarketing-Funktionen

Die Praxis zeigt: Nahezu jede geschäftliche Website fällt unter die Pflicht. Schon ein einziges eingebundenes Google-Font oder ein YouTube-Video im „Standard-Modus" reicht aus. Deshalb ist die ehrlichste Empfehlung meistens, von Anfang an ein sauberes Consent-Management aufzusetzen, statt später nachzubessern – gerade wenn dir deine professionelle Unternehmenswebsite als Aushängeschild dient.

Technisch notwendige Cookies vs. einwilligungspflichtige Cookies

Die wichtigste Unterscheidung der gesamten Cookie-Hinweis Pflicht ist die zwischen technisch notwendigen und einwilligungspflichtigen Cookies. Wer diese Trennlinie sauber zieht, hat die halbe Rechtssicherheit schon erreicht.

Technisch notwendige Cookies

Technisch notwendige Cookies – auch essenzielle Cookies genannt – dürfen ohne Einwilligung gesetzt werden, weil ohne sie die Grundfunktion der Seite nicht läuft. Dazu gehören das Session-Cookie für den Login, der Warenkorb in einem Onlineshop, Cookies zur Lastverteilung und die Speicherung der Cookie-Auswahl selbst. Über diese Cookies musst du zwar in der Datenschutzerklärung informieren, aber du brauchst kein vorheriges Opt-in.

Einwilligungspflichtige Cookies

Alle Cookies, die nicht zwingend für den Betrieb gebraucht werden, sind einwilligungspflichtig. Das betrifft in erster Linie Marketing-Cookies und Tracking-Cookies, die das Verhalten der Besucher analysieren oder für Werbezwecke auswerten. Auch Komfort- und Statistik-Cookies fallen häufig darunter. Für diese Kategorie gilt strikt das Opt-in-Verfahren: Erst nach dem aktiven Klick auf „Akzeptieren" darf das jeweilige Skript starten.

Ein praktischer Grenzfall sind Statistik-Tools ohne personenbezogene Daten. Selbst wenn du Analytics anonymisiert betreibst, greift beim Setzen des Cookies bereits § 25 TTDSG – die Einwilligung bleibt also nötig, solange überhaupt ein Cookie geschrieben wird. Nur echte cookielose Messverfahren können hier eine Ausnahme bilden, und auch die solltest du datenschutzrechtlich prüfen lassen.

Ein hilfreicher Selbsttest: Frage dich bei jedem Cookie ehrlich, ob die Seite ohne dieses Cookie für den Besucher spürbar kaputt wäre. Bleibt der Warenkorb leer oder fliegt der Nutzer aus dem Login? Dann ist es technisch notwendig. Geht es dagegen nur darum, das Verhalten zu messen, Reichweite auszuwerten oder Werbung besser auszuspielen? Dann ist es einwilligungspflichtig. Diese eine Frage klärt in der Praxis viele Zweifelsfälle – und genau an dieser Stelle scheitern die meisten selbstgebauten Banner, weil sie Bequemlichkeits-Cookies fälschlich als „notwendig“ einstufen.

Checkliste: So gestaltest du deinen Cookie-Banner rechtskonform

Ein rechtssicherer Cookie-Hinweis nach DSGVO muss mehr leisten, als nur hübsch auszusehen. Damit dein Banner der Prüfung standhält, sollte er die folgenden Punkte erfüllen:

1. 1Gleichwertige Buttons: „Alle akzeptieren" und „Alle ablehnen" müssen auf der ersten Ebene sichtbar und gleich leicht erreichbar sein – kein versteckter Ablehnen-Link im Kleingedruckten.
2. 2Kein Vorabladen: Nicht notwendige Cookies und Skripte dürfen erst nach der Einwilligung laden.
3. 3Granulare Auswahl: Der Nutzer kann einzelne Kategorien (Statistik, Marketing, externe Medien) getrennt an- und abwählen.
4. 4Klare Informationen: Zweck, Anbieter, Speicherdauer und mögliche Drittlandübermittlung werden verständlich benannt.
5. 5Widerruf jederzeit: Die einmal erteilte Einwilligung lässt sich genauso einfach wieder zurücknehmen (Art. 7 DSGVO) – meist über einen dauerhaften „Cookie-Einstellungen"-Button.
6. 6Dokumentation: Die Einwilligungen werden nachweisbar protokolliert, damit du im Streitfall belegen kannst, dass alles korrekt lief.

Umgesetzt wird das in der Regel über ein Consent Management Tool wie Cookiebot, Usercentrics, Complianz oder Borlabs Cookie. Ein guter Cookie-Banner-Generator nimmt dir die technische Arbeit ab – die inhaltliche Verantwortung, welche Dienste du überhaupt einbindest, bleibt jedoch bei dir. Wenn du bei der sauberen Einbindung solcher Cookie-Consent-Tools Unterstützung brauchst, hilft dir eine erfahrene Digitalagentur dabei, Technik und Datenschutz zusammenzubringen.

Häufige Fehler bei Cookie-Bannern vermeiden

Viele Cookie-Banner sind zwar vorhanden, aber trotzdem nicht rechtskonform. Diese Fehler tauchen in der Praxis am häufigsten auf – und lassen sich alle vermeiden:

Dark Patterns: Ein grün leuchtender „Akzeptieren"-Button neben einem blassgrauen, kaum lesbaren „Ablehnen"-Link ist eine bewusste Manipulation. Die Verbraucherzentrale und die Datenschutzbehörden gehen genau gegen solche Gestaltungen vor. Beide Optionen müssen optisch gleichwertig sein.

• Nur „Akzeptieren", kein „Ablehnen": Ein Banner ohne echte Ablehnen-Möglichkeit auf der ersten Ebene ist unwirksam. Der Nutzer muss ohne Umwege Nein sagen können.
• Skripte feuern zu früh: Der wohl folgenschwerste Fehler. Wenn Analytics oder der Meta-Pixel schon beim Seitenaufruf laden, hilft der schönste Banner nichts – die Daten sind bereits geflossen, bevor eingewilligt wurde.
• Fehlende Datenschutzerklärung: Der Banner ersetzt nicht die ausführliche Datenschutzerklärung. Beide gehören zusammen und müssen aufeinander verweisen.

Wer diese Punkte beachtet, ist rechtlich auf der sicheren Seite und signalisiert zugleich Seriosität. Denn ein transparenter Umgang mit Daten zahlt direkt auf das Vertrauen deiner Besucher ein – und Vertrauen ist am Ende genau die Währung, die aus Besuchern Anfragen macht. Willst du wissen, ob deine Seite hier sauber aufgestellt ist? Ein unverbindliches Erstgespräch bringt schnell Klarheit.