Recht und Einwilligung bei Cookies

Für Cookies gilt in Deutschland § 25 TDDDG: Speichern und Auslesen auf deinem Gerät brauchen eine Einwilligung, außer sie sind für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Was danach mit personenbezogenen Daten geschieht, regelt die DSGVO. Dieser Bereich erklärt die Einwilligung, die Gestaltung von Cookie-Bannern, die Ausnahmen und den Betrieb ohne Banner.

Eine alte Messingwaage auf einem Holzschreibtisch neben einem kleinen Teller mit runden Keksen im Fensterlicht
Bild: KI-generiert

Für Cookies gelten in Deutschland zwei Regelwerke nebeneinander. § 25 TDDDG legt fest, ob eine Website überhaupt etwas auf deinem Gerät speichern oder dort auslesen darf. Die DSGVO regelt, was anschließend mit personenbezogenen Daten geschieht, etwa wenn aus den Cookie-Daten ein Werbeprofil entsteht [1]. Die Ratgeber in diesem Bereich erklären beide Ebenen für Besucher und für Betreiber von Websites, mit den maßgeblichen Urteilen und den Auslegungen der Datenschutzaufsicht.

Einwilligung als Grundregel

Nach § 25 Abs. 1 TDDDG ist das Speichern und Auslesen von Informationen auf dem Gerät nur zulässig, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat [2]. Das gilt unabhängig davon, ob im Cookie personenbezogene Daten stehen [1]. Der Europäische Gerichtshof hat am 01.10.2019 im Fall Planet49 entschieden, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung ergibt [3]. Wer vorsätzlich oder fahrlässig ohne nötige Einwilligung Informationen speichert oder ausliest, handelt ordnungswidrig; die Geldbuße kann bis zu 300.000 Euro betragen [5]. Welche Anforderungen sonst gelten, wie sich das Gesetz vom TMG über das TTDSG zum TDDDG entwickelt hat und was bei Verstößen droht, steht unter Wann eine Website für Cookies eine Einwilligung braucht.

Ausnahmen für notwendige Cookies

Ohne Einwilligung geht es nur, wenn der Zugriff unbedingt erforderlich ist, damit die Website einen ausdrücklich gewünschten Dienst bereitstellen kann [2]. Die Datenschutzkonferenz (DSK) legt das eng und technisch aus: Ein Warenkorb-Cookie ist erst nötig, wenn jemand etwas in den Warenkorb legt, und wirtschaftliche Gründe zählen nicht [1]. Beispiele, Grenzfälle und häufige Fehleinstufungen erklärt Technisch notwendige Cookies.

Ein Banner ist das übliche Werkzeug, um die Einwilligung einzuholen. Versperrt es die Seite, muss das Ablehnen ohne Mehraufwand gegenüber dem Zustimmen möglich sein [1]. Das Oberlandesgericht Köln hat am 19.01.2024 ein Banner untersagt, das weder auf der ersten noch auf der zweiten Ebene eine gleichwertige Möglichkeit zum Ablehnen bot [4]. Was auf die erste Ebene gehört, wo Farben und Kontraste an Grenzen stoßen und wie Consent-Tools arbeiten, beschreibt Cookie-Banner: was erlaubt ist. Seit dem 01.04.2025 regelt außerdem die Einwilligungsverwaltungsverordnung, wie Dienste anerkannt werden, die deine Einstellungen speichern und an Websites weitergeben. Für Websitebetreiber ist die Einbindung solcher Dienste freiwillig [6].

Eine geöffnete Haustür, vom hellen Flur aus gesehen, Morgenlicht fällt auf eine schlichte Fußmatte
Bild: KI-generiert

Die DSK rät, ein Einwilligungsbanner nur einzusetzen, wenn tatsächlich eine Einwilligung nötig ist [1]. Wie eine Website mit Statistik ohne Cookies, Schriften vom eigenen Server und Videos per Zwei-Klick-Lösung ohne Banner auskommt, zeigt Website ohne Cookie-Banner betreiben.

Selbst nachsehen

Welche Cookies eine Website beim ersten Aufruf setzt, mit Laufzeit, Domain und Sicherheitsmerkmalen, zeigt der Cookie-Checker. Die technischen Grundlagen, von Sitzungs-Cookies bis Local Storage, stehen im Bereich Cookies verstehen. Wer eine Website betreibt, sollte auch den Vertrag mit dem Hoster im Blick haben; was die DSGVO dazu verlangt, steht unter Hosting und DSGVO.

  1. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
  2. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
  3. Behörde Pressemitteilung Nr. 125/19 zum Urteil in der Rechtssache C-673/17 (Planet49). Gerichtshof der Europäischen Union. Stand 01.10.2019. abgerufen am 29.10.2026
  4. Behörde Urteil vom 19.01.2024, 6 U 80/23. Oberlandesgericht Köln (Justiz NRW, NRWE). Stand 19.01.2024. abgerufen am 29.10.2026
  5. Gesetz § 28 TDDDG: Bußgeldvorschriften. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
  6. Gesetz Verordnung über Dienste zur Einwilligungsverwaltung nach dem TDDDG (EinwV), BGBl. 2025 I Nr. 32. Bundesministerium der Justiz, gesetze-im-internet.de. Stand 06.02.2025. abgerufen am 29.10.2026

Alle Artikel im Bereich Recht und Einwilligung bei Cookies

Weitere Artikel