Cookie-Banner: was erlaubt ist

Das Hinweisfenster, das beim ersten Besuch einer Website erscheint, holt eine Einwilligung ein, wenn eine Website Cookies oder ähnliche Techniken nutzt, für die § 25 TDDDG eine Einwilligung verlangt. Wann das der Fall ist, erklärt Wann eine Website für Cookies eine Einwilligung braucht. Maßstab für die Gestaltung sind vor allem die Orientierungshilfe der Datenschutzkonferenz (DSK) in der Fassung vom November 2024 und ein Bericht der europäischen Aufsichtsbehörden von 2023 ^{[1, 2]}.

Wann überhaupt ein Banner nötig ist

Nicht jeder Cookie und nicht jede Auswertung braucht eine Einwilligung. Die DSK rät deshalb, ein Einwilligungsbanner nur einzusetzen, wenn tatsächlich eine Einwilligung nötig ist. Sonst entsteht der Eindruck, Besucher hätten eine Wahl, obwohl ihre Entscheidung an den technischen Abläufen nichts ändert ^[1]. Ein Fenster mit dem einzigen Knopf "OK" ist ohnehin keine unmissverständliche Erklärung ^[1].

Setzt deine Website nur Cookies, die für den gewünschten Dienst unbedingt erforderlich sind, brauchst du kein Banner. Welche das sind, steht unter Technisch notwendige Cookies. Wie eine Website ganz ohne Einwilligungsabfrage auskommt, zeigt Website ohne Cookie-Banner betreiben.

Was auf die erste Ebene gehört

Die Informationen dürfen auf mehrere Ebenen verteilt werden. Auf der ersten Ebene, also dort, wo die Einwilligung abgefragt wird, erwartet die DSK im Regelfall vier Angaben ^[1]:

• die konkreten Zwecke der Verarbeitung,
• einen Hinweis, wenn individuelle Profile angelegt und mit Daten anderer Websites angereichert werden,
• einen Hinweis, wenn Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden,
• die Zahl der Verantwortlichen, denen die Daten offengelegt werden.

Drittdienste müssen einzeln benannt werden. Ein allgemeiner Satz über die Weitergabe an "Partner" genügt nicht ^[1]. Ebenso zu unbestimmt sind Formeln wie "Um Ihnen ein besseres Nutzungserlebnis bieten zu können, verwenden wir Cookies", wenn auf derselben Ebene eine Schaltfläche für mehrere Zwecke steht ^[1]. Solange das Banner offen ist, sollen keine Skripte laufen und keine Inhalte von fremden Servern laden, die eine Einwilligung brauchen. Impressum und Datenschutzerklärung müssen erreichbar bleiben ^[1].

Banner und Datenschutzerklärung müssen zueinander passen. Die Aufsicht stößt nach eigener Darstellung regelmäßig auf Websites, deren Banner andere Rechtsgrundlagen, andere Drittanbieter oder andere Zwecke nennt als die Datenschutzerklärung ^[1]. Wer ein Consent-Tool einrichtet, gleicht beide Texte deshalb am besten Zeile für Zeile ab und wiederholt das nach jeder Änderung an den eingebundenen Diensten. Das Banner erscheint beim ersten Aufruf auf jeder Seite, über die jemand einsteigt, ob Startseite oder Unterseite ^[1].

Ablehnen auf der ersten Ebene

Die DSK verlangt eine Ablehnmöglichkeit auf der ersten Ebene, wenn du mit dem Banner interagieren musst, um die Seite weiter zu nutzen. Versperrt das Banner nichts und bleiben alle Inhalte zugänglich, kann sie entbehrlich sein ^[1]. Gängige Banner erfüllen aber nach Einschätzung der DSK sehr häufig die Voraussetzungen, unter denen ein Ablehnen auf der ersten Ebene nötig ist ^[1]. Auch auf kleinen Smartphone-Displays darf das Banner keine Bereiche der Seite verdecken, wenn es ohne Ablehnen auskommen soll ^[1].

Musst du mit dem Banner interagieren, darf das Ablehnen nicht mehr Klicks verlangen als das Zustimmen ^[1]. Ein Knopf "Alle akzeptieren" neben einem Knopf "Einstellungen" erfüllt das nicht, weil nur der erste die Entscheidung sofort beendet ^[1]. Eine Schaltfläche "Einstellungen oder Ablehnen", die zu einer weiteren Ebene führt, reicht ebenfalls nicht ^[1]. Im Bericht der europäischen Aufsichtsbehörden vom 17.01.2023 hielt eine große Mehrheit ein Banner für rechtswidrig, das auf keiner Ebene mit Zustimmknopf eine Möglichkeit zum Ablehnen anbietet ^[2].

Das Urteil des Oberlandesgerichts Köln

Am 19.01.2024 entschied das OLG Köln (6 U 80/23) über das Banner eines werbefinanzierten Portals ^[3]. Die erste Ebene enthielt überhaupt keine Ablehnungsoption, über "Einstellungen" kam man nur auf eine zweite Ebene. Dort standen "Alles Akzeptieren" und "Speichern" zur Wahl, ohne dass ein durchschnittlicher Nutzer erkennen konnte, welcher Knopf ablehnt. Oben rechts saß ein Kreuz mit der Funktion "Akzeptieren & Schließen". Das Gericht hielt diese Verknüpfung für irreführend, weil Nutzer beim Schließkreuz nicht mit einer Einwilligung rechnen. Es untersagte beide Gestaltungen ^[3].

Farben, Kontraste und Nudging

Einen allgemeinen Standard für Farbe, Größe oder Kontrast eines Banners gibt es nicht ^{[1, 2]}. Eine Lenkung durch Gestaltung, oft Nudging genannt, ist deshalb nicht von vornherein verboten ^[1]. Die Grenze liegt dort, wo die Einwilligung nicht mehr freiwillig oder nicht mehr informiert ist. Nach den Prüferfahrungen der Aufsicht entsteht das selten durch ein einzelnes Merkmal, meist wirken mehrere zusammen ^[1].

Eine unterschiedliche Farbe der Knöpfe macht eine Einwilligung nicht automatisch unwirksam ^[1]. Kritisch wird es in diesen Fällen ^{[1, 2]}:

• Der Text auf dem Knopf zum Ablehnen hebt sich so wenig vom Hintergrund ab, dass ihn praktisch niemand lesen kann.
• Das Ablehnen ist nur ein Link im Fließtext ohne optische Hervorhebung, während das Zustimmen als Knopf erscheint.
• Die Alternative steht außerhalb des Banners irgendwo auf der Seite.
• Der Knopf zum Ablehnen wird erst sichtbar, wenn man durch den Text scrollt, der Zustimmknopf steht sofort oben.

Als gleichwertig sieht die DSK es an, wenn neben "Einwilligung erteilen" ein Knopf wie "Weiter ohne Einwilligung" steht, der in Größe, Farbe, Kontrast und Schriftbild vergleichbar ist ^[1]. Zur weiteren Orientierung verweist sie auf die Leitlinien 3/2022 des Europäischen Datenschutzausschusses zu Dark Patterns ^[1].

Voreinstellungen und Kategorien

Häkchen, die schon gesetzt sind, ergeben keine wirksame Einwilligung. Das gilt nach dem Bericht der europäischen Aufsichtsbehörden auch für vorangekreuzte Kästchen auf der zweiten Ebene, die erst nach einem Klick auf "Einstellungen" erscheint ^[2]. Die DSK verlangt, dass die Auswahlmöglichkeiten nicht aktiv voreingestellt sind ^[1]. Verschiedene Zwecke müssen sich auch einzeln annehmen oder ablehnen lassen, selbst wenn es einen Knopf für alle gibt ^[1].

Manche Banner führen in tieferen Ebenen eine eigene Liste von Zwecken, für die sich der Betreiber auf sein "berechtigtes Interesse" beruft, etwa personalisierte Werbung. Die Taskforce der europäischen Aufsichtsbehörden hielt es für möglich, dass das Nutzer verwirrt, weil sie glauben könnten, sie müssten zweimal ablehnen. Für das Setzen und Auslesen von Cookies scheidet das berechtigte Interesse als Grundlage aus ^[2].

Widerruf und erneute Abfrage

Der Widerruf muss so einfach sein wie die Einwilligung ^[1]. Ein Widerruf nur per E-Mail, Brief oder Kontaktformular genügt nach der DSK nicht, ebenso wenig der Umweg, erst in der Datenschutzerklärung nach der richtigen Stelle zu suchen ^[1]. Viele Websites lösen das mit einem dauerhaft sichtbaren Link oder einem kleinen Symbol, das direkt zu den Einstellungen führt ^[1]. Die europäischen Aufsichtsbehörden nennen ein solches Symbol oder einen Link an einer sichtbaren, festen Stelle als Beispiel, schreiben aber keine bestimmte Lösung vor ^[2]. Ändert der Betreiber die eingesetzten Cookies oder Drittdienste, muss er erneut fragen ^[1].

Consent-Tools: wie sie arbeiten

Consent-Management-Plattformen, kurz CMP, sind fertige Werkzeuge für das Banner. Sie zeigen das Fenster an und speichern die Entscheidung. Dabei müssen sie dafür sorgen, dass einwilligungspflichtige Skripte und fremde Inhalte erst laden, wenn eine Einwilligung vorliegt ^[1]. Für das Speichern der Entscheidung reicht ein Cookie ohne eindeutige Kennung. Setzt ein Tool trotzdem einen Cookie mit einer solchen Kennung, liegt nach Ansicht der DSK die Vermutung nahe, dass er auch für Marketingdienste desselben Anbieters genutzt werden kann ^[1].

Der Betreiber muss nachweisen können, wie er die Einwilligung eingeholt hat. Dazu gehören eine Beschreibung der technischen Abläufe und die Informationen, die beim Klick angezeigt wurden. Die DSK empfiehlt, auch alte Bannertexte und Einstellungen aufzubewahren ^[1].

Verarbeitet der Anbieter des Tools Daten im Auftrag des Betreibers, braucht es einen Vertrag nach Art. 28 DSGVO mit festen Mindestinhalten, etwa Verarbeitung nur auf dokumentierte Weisung ^[4]. Verarbeitet der Dienstleister die Daten auch zu eigenen Zwecken, wird der Rahmen einer Auftragsverarbeitung überschritten ^[1]. Was in einen solchen Vertrag gehört, erklärt Hosting und DSGVO: Serverstandort und Auftragsverarbeitung. IAB Europe hat das Transparency & Consent Framework entwickelt, mit dem Werbeplattformen Einwilligungen von Nutzern austauschen. Der EuGH entschied am 07.03.2024 (C-604/22), dass die dabei gespeicherte Zeichenkette (TC-String) ein personenbezogenes Datum ist, wenn sie mit einer Kennung wie der IP-Adresse verknüpft werden kann, und dass IAB Europe für das Speichern der Einwilligungspräferenzen als gemeinsam Verantwortlicher anzusehen ist ^[5].

Dienste zur Einwilligungsverwaltung

§ 26 TDDDG sieht vor, dass Dienste, die Einwilligungen für Nutzer verwalten, von einer unabhängigen Stelle anerkannt werden können ^[6]. Die Einzelheiten regelt die Einwilligungsverwaltungsverordnung (EinwV), die am 01.04.2025 in Kraft trat. Zuständig für die Anerkennung ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, die ein öffentliches Register der anerkannten Dienste führt ^[7]. Ein solcher Dienst speichert deine Einstellungen und übermittelt sie an Websites. Frühestens nach einem Jahr darf er dich bitten, sie zu überprüfen, wenn du nichts anderes festgelegt hast ^[7]. Für Websitebetreiber ist die Einbindung freiwillig ^[7]. Das Banner bleibt also überall dort, wo ein Betreiber keinen anerkannten Dienst einbindet.

Ob ein Banner schon vor deiner Entscheidung Cookies setzt, kannst du mit dem Cookie-Checker prüfen.

1. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
2. Behörde Report of the work undertaken by the Cookie Banner Taskforce. Europäischer Datenschutzausschuss (EDSA). Stand 17.01.2023. abgerufen am 29.10.2026
3. Behörde Urteil vom 19.01.2024, 6 U 80/23. Oberlandesgericht Köln (Justiz NRW, NRWE). Stand 19.01.2024. abgerufen am 29.10.2026
4. Gesetz Art. 28 DSGVO Auftragsverarbeiter (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
5. Behörde Pressemitteilung Nr. 44/24 zum Urteil in der Rechtssache C-604/22 (IAB Europe). Gerichtshof der Europäischen Union. Stand 07.03.2024. abgerufen am 29.10.2026
6. Gesetz § 26 TDDDG: Anerkannte Dienste zur Einwilligungsverwaltung, Endnutzereinstellungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
7. Gesetz Verordnung über Dienste zur Einwilligungsverwaltung nach dem TDDDG (EinwV), BGBl. 2025 I Nr. 32. Bundesministerium der Justiz, gesetze-im-internet.de. Stand 06.02.2025. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.