Wann eine Website für Cookies eine Einwilligung braucht

Ob eine Website für einen Cookie fragen muss, hängt in Deutschland an einer einzigen Vorschrift: § 25 TDDDG. Sie verlangt eine Einwilligung, bevor ein Anbieter Informationen auf deinem Gerät speichert oder auf dort gespeicherte Informationen zugreift ^[1]. Von dieser Regel gibt es zwei enge Ausnahmen. Welche Cookies ohne Einwilligung erlaubt sind, behandelt Technisch notwendige Cookies ausführlich.

Die Rechtsgrundlage: § 25 TDDDG

Nach § 25 Abs. 1 TDDDG ist das Speichern und Auslesen nur zulässig, wenn du "auf der Grundlage von klaren und umfassenden Informationen eingewilligt" hast ^[1]. Wie diese Informationen aussehen und welche Form die Einwilligung haben muss, richtet sich nach der DSGVO ^[1]. Die Vorschrift setzt Art. 5 Abs. 3 der europäischen ePrivacy-Richtlinie um ^[2].

Der Name hat sich zweimal geändert. Bis Ende November 2021 galt § 15 TMG, den die Aufsichtsbehörden für keine ausreichende Umsetzung der Richtlinie hielten. Am 01.12.2021 trat § 25 TTDSG in Kraft. Seit dem 14.05.2024 heißt das Gesetz Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), weil der Begriff "Telemedien" durch "digitale Dienste" ersetzt wurde. Inhaltlich entspricht der neue § 25 TDDDG dem alten § 25 TTDSG ^[2]. Urteile, die noch das TTDSG nennen, lassen sich deshalb weiter heranziehen.

Die Vorschrift ist technikneutral formuliert. Sie erfasst Cookies, aber auch Local Storage und Session Storage im Browser ^[2]. Liest ein Skript Eigenschaften deines Geräts aus und schickt sie an einen Server, um daraus einen Fingerabdruck zu berechnen, ist das ebenfalls ein Zugriff im Sinne der Vorschrift ^[2]. Der Europäische Datenschutzausschuss zählt auch Tracking-Pixel und Links mit angehängter Kennung dazu ^[8]. Mehr zu den Speicherarten neben dem Cookie steht unter Local Storage, Session Storage und Fingerprinting.

Personenbezug spielt keine Rolle

Auch ein Cookie, der weder Namen noch E-Mail-Adresse enthält, braucht eine Einwilligung, wenn keine Ausnahme greift. Der Europäische Gerichtshof hat 2019 entschieden, dass es keinen Unterschied macht, ob die gespeicherten oder abgerufenen Informationen personenbezogene Daten sind ^[3]. Das Unionsrecht schützt die Privatsphäre gegen jeden Eingriff in das Gerät, etwa durch versteckte Kennungen ^[3]. Die deutschen Aufsichtsbehörden wenden das auf § 25 TDDDG an: Die Einwilligungspflicht greift unabhängig davon, ob im Cookie eine Kennung steckt ^[2].

Rechtlich laufen zwei Schritte nebeneinander. Das Setzen und Auslesen des Cookies fällt unter § 25 TDDDG. Was danach mit personenbezogenen Daten geschieht, etwa ein Profil für Werbung, misst sich an der DSGVO ^[2]. Werden gar keine personenbezogenen Daten verarbeitet, gilt nur § 25 TDDDG ^[2]. Beide Schritte hängen zusammen: Fehlt die nötige Einwilligung nach § 25 TDDDG oder ist sie unwirksam, kann auch die anschließende Verarbeitung nicht rechtmäßig sein ^[2]. Die europäischen Aufsichtsbehörden halten außerdem fest, dass ein berechtigtes Interesse des Betreibers als Grundlage für das Setzen von Cookies ausscheidet ^[7].

Was eine wirksame Einwilligung ausmacht

Für die Einwilligung gilt die Begriffsbestimmung aus Art. 4 Nr. 11 DSGVO: eine freiwillige Willensbekundung für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben, durch eine Erklärung oder eine eindeutige bestätigende Handlung ^[2]. Die Datenschutzkonferenz (DSK) leitet daraus die Punkte ab, an denen sie Einwilligungen auf Websites misst ^[2]:

Vage Zwecke wie "Um Ihnen ein besseres Nutzungserlebnis bieten zu können, verwenden wir Cookies" hält die DSK für zu unbestimmt, sobald auf derselben Ebene eine Schaltfläche für mehrere Zwecke steht ^[2]. Wie ein Hinweisfenster das alles umsetzt, beschreibt Cookie-Banner: was erlaubt ist.

Einwilligen muss die Person, die das Gerät gerade benutzt. Wem der Laptop gehört oder wer den Internetvertrag abgeschlossen hat, spielt nach Ansicht der DSK grundsätzlich keine Rolle ^[2]. Ein einziger Klick darf zwei Einwilligungen zugleich abdecken: die nach § 25 TDDDG für den Cookie und die nach der DSGVO für die spätere Auswertung. Das setzt voraus, dass schon an dieser Stelle alle Zwecke der späteren Verarbeitung genannt sind und klar erkennbar ist, dass der Klick mehrere Einwilligungen erteilt ^[2]. Manche Anbieter stellen dich vor die Wahl, einzuwilligen oder ein bezahltes Abo abzuschließen. Diese Gestaltung behandelt die Orientierungshilfe nicht; die DSK hat dazu am 22.03.2023 einen eigenen Beschluss veröffentlicht ^[2].

Der Fall Planet49: vom Gewinnspiel bis zum BGH

Die heutige Rechtslage geht auf ein Online-Gewinnspiel aus dem September 2013 zurück. Wer teilnehmen wollte, sah zwei Erklärungen zum Ankreuzen. Die zweite betraf einen Webanalysedienst und das Setzen von Cookies, und dieses Kästchen trug bereits ein Häkchen ^[4]. Der Bundesverband der Verbraucherzentralen klagte. Der Bundesgerichtshof setzte das Verfahren 2017 aus und legte dem Europäischen Gerichtshof Fragen vor ^[4].

Der EuGH entschied am 01.10.2019 (C-673/17): Ein voreingestelltes Ankreuzkästchen, das du zum Ablehnen erst abwählen musst, ergibt keine wirksame Einwilligung ^[3]. Auch der Klick auf die Schaltfläche zur Teilnahme am Gewinnspiel zählt nicht als Einwilligung in die Cookies, weil sie für den konkreten Fall erteilt werden muss ^[3]. Der Anbieter muss außerdem angeben, wie lange die Cookies funktionieren und ob Dritte darauf zugreifen können ^[3].

Der BGH übertrug das am 28.05.2020 im Urteil "Cookie-Einwilligung II" (I ZR 7/16) auf das deutsche Recht. Er legte den damaligen § 15 Abs. 3 TMG richtlinienkonform aus: Für Cookies, mit denen Nutzerprofile für Werbung oder Marktforschung entstehen, braucht der Anbieter eine Einwilligung. Ein voreingestelltes Häkchen benachteiligt die Verbraucher unangemessen. An dieser Rechtslage hat sich nach dem BGH auch mit Geltung der DSGVO seit dem 25.05.2018 nichts geändert ^[4].

Wann keine Einwilligung nötig ist

§ 25 Abs. 2 TDDDG kennt zwei Ausnahmen. Die erste gilt, wenn der Zugriff allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dient. Die zweite gilt, wenn der Zugriff unbedingt erforderlich ist, damit der Anbieter einen Dienst bereitstellen kann, den du ausdrücklich gewünscht hast ^[1]. Die erste richtet sich vor allem an Telekommunikationsanbieter, für Websites ist die zweite maßgeblich ^[2].

Die Aufsicht legt sie eng aus. Ruft jemand eine Website auf, wünscht er ihren Basisdienst, also beim Onlineshop den Verkauf von Waren. Zusatzfunktionen wie Warenkorb, Chat oder Kartendienst gelten erst als gewünscht, wenn du sie tatsächlich benutzt ^[2]. Ein Warenkorb-Cookie ist deshalb erst unbedingt erforderlich, wenn du einen Artikel hineinlegst ^[2]. Selbst die einfache Zählung von Besuchern gehört nicht automatisch zum Basisdienst, es kommt auf den Zweck an ^[2]. Ein Cookie, der mehreren Zwecken dient, ist nur dann ausgenommen, wenn jeder einzelne Zweck die Ausnahme erfüllt ^[2].

Dauer, Änderungen und Widerruf

Eine feste Gültigkeitsdauer für Einwilligungen nennt die DSGVO nicht ^[2]. Weil sich jede Einwilligung auf den bestimmten Fall bezieht, wird sie gegenstandslos, wenn sich der Fall ändert. Baut ein Betreiber einen neuen Drittdienst ein oder setzt andere Cookies, muss er für den neuen Fall erneut fragen ^[2].

Den Widerruf regelt Art. 7 Abs. 3 DSGVO: Er muss so einfach möglich sein wie die Erteilung ^[2]. Hast du über ein Hinweisfenster eingewilligt, muss der Widerruf auch auf der Website gehen ^[2]. Ein Widerruf nur per E-Mail, Brief oder Kontaktformular genügt nach Ansicht der DSK nicht, und du musst auch nicht erst die Datenschutzerklärung nach der richtigen Stelle durchsuchen ^[2]. Viele Websites zeigen dafür dauerhaft einen Link oder ein kleines Symbol, das direkt zu den Einstellungen führt ^[2].

Was bei Verstößen droht

Wer vorsätzlich oder fahrlässig entgegen § 25 Abs. 1 Satz 1 TDDDG eine Information speichert oder darauf zugreift, handelt ordnungswidrig. Die Geldbuße kann bis zu 300.000 Euro betragen ^[5]. Daneben gehen Verbraucherverbände mit Unterlassungsklagen gegen einzelne Gestaltungen vor, wie im Fall Planet49 ^[4]. Das Oberlandesgericht Köln untersagte 2024 auf eine solche Klage hin einem werbefinanzierten Portal ein Hinweisfenster, das weder auf der ersten noch auf der zweiten Ebene eine gleichwertige Möglichkeit zum Ablehnen bot ^[6].

Welche Cookies eine Website schon beim ersten Aufruf setzt, zeigt dir der Cookie-Checker. Wie Cookies fremder Anbieter funktionieren und wozu sie dienen, erklärt Drittanbieter-Cookies und Tracking. Werden Inhalte über einen fremden Server ausgeliefert, kommen weitere Datenschutzfragen hinzu; für Content Delivery Networks behandelt sie CDN und DSGVO.

1. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
3. Behörde Pressemitteilung Nr. 125/19 zum Urteil in der Rechtssache C-673/17 (Planet49). Gerichtshof der Europäischen Union. Stand 01.10.2019. abgerufen am 29.10.2026
4. Behörde Pressemitteilung Nr. 067/2020: Bundesgerichtshof zur Einwilligung in telefonische Werbung und Cookie-Speicherung (I ZR 7/16). Bundesgerichtshof. Stand 28.05.2020. abgerufen am 29.10.2026
5. Gesetz § 28 TDDDG: Bußgeldvorschriften. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
6. Behörde Urteil vom 19.01.2024, 6 U 80/23. Oberlandesgericht Köln (Justiz NRW, NRWE). Stand 19.01.2024. abgerufen am 29.10.2026
7. Behörde Report of the work undertaken by the Cookie Banner Taskforce. Europäischer Datenschutzausschuss (EDSA). Stand 17.01.2023. abgerufen am 29.10.2026
8. Behörde Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation, Version 2.0. Europäischer Datenschutzausschuss (EDSA). Stand 07.10.2024. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.