Ein Cookie-Banner ist nach § 25 TDDDG (dem früheren TTDSG) für fast jede deutsche Webseite Pflicht, sobald sie Cookies oder ähnliche Technologien für Statistik, Marketing oder eingebettete Dienste einsetzt. Ausgenommen sind nur technisch notwendige Cookies wie ein Login oder ein Warenkorb. Was viele nicht wissen: Irgendein Banner reicht dafür nicht. In diesem Artikel zeige ich dir, welche Anforderungen § 25 TDDDG konkret stellt, welche Cookie-Banner Gerichte bereits gekippt haben und warum ausgerechnet Homepage-Baukästen wie Wix oder Jimdo in der Standardeinstellung oft nicht rechtssicher sind.
Letzte Aktualisierung: Juli 2026
Was verlangt die Cookie-Banner-Pflicht nach § 25 TDDDG genau?
Was ist die TDDDG-Cookie-Pflicht?
Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) hat zum 14. Mai 2024 das TTDSG abgelöst. Inhaltlich hat sich für Cookies wenig geändert, die entscheidende Vorschrift heißt weiterhin § 25 und regelt, wann eine Webseite auf das Endgerät eines Besuchers zugreifen darf. Wer online noch von der "TTDSG-Cookie-Pflicht" liest, meint in der Sache dasselbe Gesetz, nur unter neuem Namen.
„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf Grundlage von klaren und umfassenden Informationen eingewilligt hat.": § 25 Abs. 1 TDDDG
Diese Formulierung ist bewusst technologieneutral. Sie erfasst nicht nur klassische Cookies, sondern auch Local Storage, Fingerprinting-Techniken und andere Verfahren, mit denen eine Webseite Informationen auf dem Gerät eines Besuchers speichert oder ausliest. Die Einwilligung selbst muss zusätzlich den Anforderungen der DSGVO genügen, also freiwillig, informiert, unmissverständlich und vor der Datenverarbeitung erteilt werden.
Für dich als Webseiten-Betreiber bedeutet das konkret: Bevor ein Google-Analytics-Skript, ein eingebettetes YouTube-Video oder ein Marketing-Pixel überhaupt lädt, muss dein Besucher aktiv zugestimmt haben. Ein Banner, das nur informiert statt zu fragen, oder das Skript vorab lädt und die Einwilligung nachträglich einholt, erfüllt § 25 TDDDG nicht.
Den vollständigen, amtlichen Gesetzestext findest du beim Bundesministerium der Justiz auf gesetze-im-internet.de. Ein Blick lohnt sich vor allem, wenn du dir unsicher bist, ob eine bestimmte Funktion deiner Webseite unter die Einwilligungspflicht fällt oder als technisch notwendig gilt.
Welche Cookies brauchen wirklich eine Einwilligung?
Nicht jedes Cookie ist einwilligungspflichtig. Das Gesetz unterscheidet zwischen technisch notwendigen Cookies, die ohne Zustimmung gesetzt werden dürfen, und allen anderen Cookies, die eine aktive Einwilligung voraussetzen.
Ohne Einwilligung erlaubt: Session-Cookies für den Warenkorb, Login-Cookies, Cookies zur Lastverteilung des Servers, Sicherheits-Cookies gegen CSRF-Angriffe.
Einwilligungspflichtig: Statistik- und Tracking-Cookies (z.B. Google Analytics), Marketing- und Retargeting-Pixel (z.B. Meta Pixel, Google Ads), eingebettete Videos von YouTube oder Vimeo im Standardmodus, Chat-Widgets und Social-Media-Plugins mit Drittanbieter-Verbindung, Schriftarten oder Karten, die von einem externen Server nachgeladen werden und dabei die IP-Adresse übertragen.
Ein häufiges Missverständnis: Auch scheinbar harmlose Komfortfunktionen wie eine eingebettete Google Maps-Karte oder eine Google Fonts-Einbindung ohne lokales Hosting zählen technisch nicht zu den notwendigen Cookies, weil dabei Daten an einen Drittanbieter fließen, bevor der Nutzer zugestimmt hat. Genau an dieser Stelle scheitern viele Baukasten-Webseiten, weil Karten und Schriften standardmäßig extern eingebunden sind.
Eine einfache Faustregel hilft bei der Einordnung: Sobald eine Funktion Daten an einen Server außerhalb deiner eigenen Domain sendet, bevor der Besucher aktiv zugestimmt hat, ist im Zweifel von Einwilligungspflicht auszugehen. Das gilt selbst dann, wenn keine klassischen Cookies im technischen Sinn gesetzt werden, etwa bei reinen Tracking-Pixeln ohne dauerhafte Speicherung, denn § 25 TDDDG erfasst nach seinem Wortlaut auch den bloßen Zugriff auf die Endeinrichtung, nicht nur die Speicherung von Cookies.
Diese Cookie-Banner gelten vor Gericht als unwirksam
Die Rechtsprechung zu Cookie-Bannern ist in den letzten Jahren deutlich strenger geworden. Das Landgericht München I entschied bereits 2022 (Az. 33 O 14776/19) auf Klage des Verbraucherzentrale Bundesverbands, dass das Consent-Management von Focus Online rechtswidrig war. Nutzer konnten mit einem Klick allen Cookies zustimmen, mussten sich beim Ablehnen aber durch mehrere Einzeleinstellungen klicken. Genau dieses Ungleichgewicht zwischen Zustimmen und Ablehnen ist bis heute der häufigste Grund, warum Cookie-Banner vor Gericht scheitern.
Das Oberlandesgericht Köln bestätigte diese Linie mit Urteil vom 19. Januar 2024 (Az. 6 U 80/23) und beanstandete die Gestaltung eines Cookie-Banners unter den Aspekten Aufgeklärtheit, Eindeutigkeit, Transparenz und Freiwilligkeit der Einwilligung. Das Verwaltungsgericht Hannover stellte am 19. März 2025 klar, dass ein "Alle ablehnen"-Button bereits auf der ersten Bannerebene erscheinen und optisch gleichwertig zum "Alle akzeptieren"-Button gestaltet sein muss. Ein grau hinterlegter, kaum sichtbarer Ablehnen-Link reicht damit nicht mehr aus.
Was sind Dark Patterns bei Cookie-Bannern?
Als Dark Patterns bezeichnet man Gestaltungstricks, die Nutzer gezielt zur "bequemeren" Option drängen, ohne eine echte, gleichwertige Wahl zu lassen. Bei Cookie-Bannern äußert sich das typischerweise durch einen auffällig farbigen "Akzeptieren"-Button neben einem grauen, kaum lesbaren "Ablehnen"-Link, durch vorab angehakte Kästchen bei einzelnen Kategorien oder durch eine Formulierung, die Ablehnen als Nachteil darstellt ("Ohne Zustimmung funktioniert die Seite eventuell nicht richtig"). Genau solche Muster stehen im Zentrum der aktuellen Rechtsprechung, weil sie die nach der DSGVO geforderte Freiwilligkeit der Einwilligung faktisch aushebeln.
Bußgelder bei Verstößen gegen die Cookie-Einwilligungspflicht erreichen in den schwersten Fällen bis zu 300.000 Euro, verhängt durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit: § 28 TDDDG
Neben dem behördlichen Bußgeld kommt bei einem unwirksamen Cookie-Banner regelmäßig auch eine wettbewerbsrechtliche Abmahnung durch Mitbewerber oder klagebefugte Verbände in Betracht, ähnlich wie bei fehlerhaften KI-generierten Datenschutzerklärungen. Beide Risiken treffen denselben wunden Punkt: sichtbare, für jeden Besucher nachprüfbare Fehler direkt auf der Webseite.
Der teure Standardfehler bei Homepage-Baukästen
Die meisten Cookie-Banner-Verstöße entstehen nicht aus Absicht, sondern aus der Standardeinstellung eines Homepage-Baukastens. Bei Jimdo Creator muss die Opt-in-Funktion für den Cookie-Hinweis erst unter Einstellungen aktiv eingeschaltet werden, in der Werkseinstellung ist sie es nicht immer. Wix hat auf diesen Druck reagiert und bindet neue Webseiten inzwischen an die Consent-Management-Plattform des Drittanbieters Usercentrics an, mit granularer Kategorienauswahl statt einem reinen Alles-oder-nichts-Banner.
Bei klassischen WordPress-Installationen ist es oft umgekehrt: Ein installiertes Cookie-Plugin allein reicht nicht, wenn Google Fonts oder eingebettete Karten trotzdem ungefragt von einem externen Server geladen werden, weil das Theme sie fest verdrahtet hat. Das Plugin zeigt dann zwar einen Banner an, verhindert aber technisch nicht den vorherigen Datenabfluss.
Drei Muster tauchen dabei besonders häufig auf: ein Ablehnen-Button, der optisch unter "Einstellungen" versteckt statt gleichwertig neben "Akzeptieren" platziert ist, ein Skript, das bereits vor dem Klick des Besuchers lädt, und eine fehlende Möglichkeit, die einmal erteilte Einwilligung später wieder zu widerrufen. Alle drei Punkte sind in aktuellen Urteilen ausdrücklich als unzulässig bewertet worden.
Wie lange musst du Einwilligungen nachweisen können?
Die DSGVO verlangt nicht nur eine wirksame Einwilligung, sondern auch, dass du sie im Zweifel nachweisen kannst. Das ergibt sich aus dem Rechenschaftsprinzip nach Art. 5 Abs. 2 DSGVO: Wer Cookies auf Grundlage einer Einwilligung setzt, muss dokumentieren können, wann, wie und mit welchem konkreten Bannertext ein Besucher zugestimmt hat. Ein reines "wird schon jemand zugestimmt haben" reicht bei einer Prüfung nicht aus.
In der Praxis übernehmen professionelle Consent-Management-Plattformen diese Protokollierung automatisch, meist inklusive Zeitstempel, verwendeter Bannerversion und ausgewählter Kategorien. Wer stattdessen eine selbst gebastelte Banner-Lösung ohne Protokollierung einsetzt, hat im Streitfall ein Beweisproblem, selbst wenn der Banner inhaltlich korrekt war. Ein weiterer Punkt, der oft übersehen wird: Ändert sich die eingesetzte Software, etwa weil ein neues Marketing-Tool hinzukommt, muss die bestehende Einwilligung erneut eingeholt werden, eine alte Zustimmung deckt keine neuen Verarbeitungszwecke automatisch mit ab.
Für Webseiten mit Google-Diensten kommt seit der Umstellung auf Google Consent Mode ein weiterer technischer Baustein dazu: Google-Tags passen ihr Verhalten automatisch an die im Banner erteilte oder verweigerte Einwilligung an, senden bei Ablehnung aber weiterhin anonymisierte, sogenannte Cookieless Pings. Das ersetzt die Einwilligungspflicht selbst nicht, verändert aber, wie technisch sauber ein Banner mit Google Analytics oder Google Ads zusammenspielen muss, damit keine Daten am Banner vorbei fließen.
Checkliste: Ist dein Cookie-Banner TDDDG-konform?
Bevor du deinen Cookie-Banner als erledigt abhakst, hilft ein kurzer, ehrlicher Check anhand dieser Punkte:
Erscheint ein "Alle ablehnen"-Button auf der ersten Bannerebene, optisch gleichwertig zum "Alle akzeptieren"-Button, nicht erst nach einem Klick auf "Einstellungen"?
Laden Statistik-, Marketing- und Drittanbieter-Skripte erst nach der Einwilligung, nicht schon beim Seitenaufruf?
Lässt sich die Einwilligung pro Kategorie granular erteilen, statt nur pauschal für alle Cookies gemeinsam?
Kann ein Besucher seine Einwilligung jederzeit widerrufen oder ändern, etwa über einen dauerhaft erreichbaren Link im Footer?
Sind eingebettete Karten, Videos und Schriftarten geprüft, ob sie ungefragt Daten an Drittserver senden?
Ist keine Checkbox vorab angehakt, keine Farbe oder Kontrast-Trick, der zum Akzeptieren drängt?
Je mehr dieser Fragen mit Nein beantwortet werden, desto größer ist das Risiko, dass der eigene Cookie-Banner einer gerichtlichen Prüfung nicht standhält.
Cookie-Banner-Lösungen im Vergleich
Lösung | Aufwand | Geeignet für |
|---|---|---|
Baukasten-eigenes Consent-Tool (z.B. Wix/Usercentrics) | Gering, muss aber aktiv geprüft werden | Baukasten-Webseiten ohne Individualentwicklung |
WordPress-Plugin (z.B. Real Cookie Banner, Complianz) | Mittel, korrekte Blockierung aller Skripte prüfen | WordPress-Seiten mit mehreren Drittanbieter-Diensten |
Individuell entwickelte Lösung im Rahmen eines Neubaus | Höher, dafür von Anfang an technisch sauber | Neu gebaute Webseiten mit klarer Skript-Struktur |
Bei einem professionellen Webseiten-Projekt zum Festpreis wird die Cookie-Einwilligung direkt in die technische Struktur eingeplant, statt sie nachträglich über ein einzelnes Plugin auf eine bestehende Seite zu setzen. Das reduziert genau die Fehlerquelle, an der Baukasten-Seiten am häufigsten scheitern: Skripte, die technisch schon laufen, bevor der Banner überhaupt reagiert hat.
Häufige Fragen zur Cookie-Banner-Pflicht
Brauche ich als kleines Unternehmen wirklich einen Cookie-Banner?
Ja, sobald deine Webseite auch nur ein einwilligungspflichtiges Cookie setzt, etwa Google Analytics oder ein Marketing-Pixel. Die Unternehmensgröße spielt bei § 25 TDDDG anders als beim BFSG keine Rolle.
Reicht ein Cookie-Banner, das nur informiert, aber nicht aktiv fragt?
Nein. § 25 TDDDG verlangt eine aktive Einwilligung vor dem Setzen des Cookies, ein reiner Hinweistext ohne Zustimmungsmöglichkeit erfüllt die Anforderung nicht.
Muss der Ablehnen-Button genauso gut sichtbar sein wie der Akzeptieren-Button?
Ja. Nach der aktuellen Rechtsprechung, unter anderem des Verwaltungsgerichts Hannover, muss "Alle ablehnen" auf derselben Bannerebene und optisch gleichwertig zu "Alle akzeptieren" erscheinen.
Was passiert, wenn eingebettete Google Maps-Karten ohne Einwilligung laden?
Das gilt als Verstoß gegen die Cookie-Einwilligungspflicht, weil dabei die IP-Adresse an Google übertragen wird, bevor der Nutzer zugestimmt hat. Eine Lösung ist eine Klick-zum-Laden-Vorschau statt der direkten Einbindung.
Reicht ein einmal installiertes Cookie-Plugin dauerhaft aus?
Nein. Neue Tools, Tracking-Pixel oder eingebettete Dienste müssen im Banner nachgepflegt werden, sonst entsteht wieder genau die Lücke zwischen angezeigtem Banner und tatsächlich geladenen Skripten.
Wer haftet, wenn der Cookie-Banner meines Webseiten-Baukastens fehlerhaft ist?
Verantwortlich bleibt der Betreiber der Webseite, nicht der Anbieter des Baukastens. Ein Baukasten stellt lediglich das Werkzeug bereit, die korrekte Konfiguration und laufende Pflege der Einwilligung bleibt Teil deiner eigenen Pflicht als datenschutzrechtlich Verantwortlicher, auch wenn die technische Grundlage von einem Drittanbieter stammt.
Fazit: Cookie-Banner-Pflicht ernst nehmen, bevor es teuer wird
Die Cookie-Banner-Pflicht nach § 25 TDDDG ist keine Formalie, die mit einem beliebigen Plugin erledigt ist, sondern verlangt einen gleichwertigen Ablehnen-Button, eine Einwilligung vor dem Laden der Skripte und eine granulare Kategorienauswahl. Gerichte prüfen das inzwischen regelmäßig, und die Standardeinstellung vieler Homepage-Baukästen reicht dafür oft nicht aus. Wenn du unsicher bist, ob dein aktueller Cookie-Banner diesen Anforderungen standhält, vereinbare ein kostenloses Erstgespräch, dann schauen wir uns deine Webseite gemeinsam an und klären, ob eine Nachbesserung reicht oder ein technisch sauberer Neuaufbau der sicherere Weg ist.
