Website ohne Cookie-Banner betreiben

Ein Cookie-Banner ist das Werkzeug, mit dem eine Website Einwilligungen einholt. Die Datenschutzkonferenz (DSK) rät ausdrücklich, ein Einwilligungsbanner nur einzusetzen, wenn tatsächlich eine Einwilligung nötig ist ^[1]. Wer auf alles verzichtet, was eine Einwilligung verlangt, braucht also auch kein Banner. Der Weg dahin führt über eine genaue Bestandsaufnahme und meist einige Umbauten. Welche Gestaltung erlaubt ist, wenn du doch ein Banner brauchst, erklärt Cookie-Banner: was erlaubt ist.

Die Voraussetzung: nichts Einwilligungspflichtiges

Nach § 25 TDDDG braucht jedes Speichern und Auslesen von Informationen auf dem Gerät der Besucher eine Einwilligung, außer es ist unbedingt erforderlich, damit du einen ausdrücklich gewünschten Dienst bereitstellen kannst ^[2]. Ohne Banner darf deine Website also nur solche Zugriffe enthalten. Welche das sind, steht unter Technisch notwendige Cookies.

Der Verzicht auf Cookies allein genügt dafür nicht. Die Vorschrift gilt genauso für Local Storage und Session Storage ^[1]. Liest ein Skript Eigenschaften des Geräts aus und schickt sie an einen Server, um einen Fingerabdruck zu bilden, ist auch das ein Zugriff ^[1]. Der Europäische Datenschutzausschuss zählt außerdem Tracking-Pixel und Links mit angehängter Kennung dazu ^[3]. Wie diese Techniken funktionieren, beschreibt Local Storage, Session Storage und Fingerprinting.

Dazu kommt die DSGVO. Bindest du Inhalte von fremden Servern ein, erhält deren Betreiber personenbezogene Daten deiner Besucher, mindestens die IP-Adresse ^{[1, 7]}. Die DSK nennt als typische Beispiele Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos, Fotos und Inhalte sozialer Netzwerke ^[1]. Für diese Weitergabe brauchst du eine Rechtsgrundlage, und bei Anbietern außerhalb der EU kommen die Regeln für Übermittlungen in Drittländer hinzu ^[1]. Gibt es für das Land keinen Angemessenheitsbeschluss der EU-Kommission, reicht nach der DSK der bloße Abschluss von Standardvertragsklauseln nicht. Gerade bei eingebundenen Inhalten und Tracking-Diensten sind ausreichende Zusatzmaßnahmen oft nicht möglich; dann dürfen diese Dienste nicht eingebunden werden ^[1].

Bestandsaufnahme: was deine Website heute setzt

Am Anfang steht eine vollständige Liste. Werkzeuge wie der Cookie-Checker zeigen, welche Cookies beim Aufruf einer Seite gesetzt werden. Die europäischen Aufsichtsbehörden weisen allerdings darauf hin, dass solche Werkzeuge nur auflisten, was gesetzt wird. Wozu ein Cookie dient, sagen sie nicht; diese Angabe muss der Betreiber selbst liefern und belegen können ^[4]. Gehe deshalb für jeden Eintrag vier Fragen durch:

1. Welches Plugin, welches Skript oder welcher eingebundene Dienst setzt den Cookie oder liest Gerätedaten aus?
2. Welchem Zweck dient er, und ist dieser Zweck für eine Funktion nötig, die der Besucher gerade nutzt?
3. Wie lange läuft er, und enthält er eine eindeutige Kennung?
4. Lädt die Seite dabei Inhalte von einem fremden Server?

Alles, was Frage 2 nicht besteht, muss entweder weg, durch eine Lösung ohne Gerätezugriff ersetzt oder hinter eine Einwilligung gelegt werden. Die DSK prüft dabei auch, wessen Interessen eine Funktion dient: denen des Besuchers, des Betreibers oder eines eingebundenen Dienstleisters ^[1]. Die Liste ist keine einmalige Sache. Jede Änderung an den eingesetzten Cookies oder eingebundenen Diensten ändert die Lage ^[1]. Der Bericht der europäischen Aufsichtsbehörden spricht die Verantwortung der Betreiber an, solche Listen zu führen und die Einstufung jedes Cookies belegen zu können ^[4].

Ergänzend lohnt ein Blick in die Entwicklerwerkzeuge des Browsers. Öffne die Website in einem privaten Fenster, damit nichts aus früheren Besuchen gespeichert ist. Im Bereich für Speicher oder Anwendung siehst du Cookies, Local Storage und Session Storage. Die Netzwerkanalyse listet jede Anfrage, auch die an fremde Server, und zeigt so Schriften, Skripte oder Pixel, die keinen Cookie setzen.

Reichweitenmessung ohne Cookies

Wer eine Website betreibt, will meist wissen, wie oft die Seiten aufgerufen werden. Die DSK beschreibt die einfachste Form der Reichweitenmessung so: Bei jedem Abruf einer Seite wird ein Zähler erhöht, die Seitenabrufe werden aus Protokolldateien ohne personenbezogene Daten ermittelt, oder ein einfaches Zählpixel des eigenen Dienstes erfasst keine weiteren Nutzerdaten ^[1]. Eine pauschale Freigabe für "Reichweitenmessung" gibt die DSK trotzdem nicht. Selbst die einfache Messung von Besucherzahlen gehört nicht automatisch zum Basisdienst; es kommt auf den konkreten Zweck an ^[1]. Die fehlerfreie Auslieferung der Website kann vom Wunsch der Besucher umfasst sein, die Wirtschaftlichkeit von Werbeanzeigen dient dagegen in der Regel nur dem Betreiber ^[1]. Die europäischen Datenschutzbehörden hielten 2012 eigene Statistik-Cookies für wenig riskant, wenn sie auf zusammengefasste Statistik beschränkt sind, IP-Adressen anonymisiert werden und Besucher einfach widersprechen können. Von der Einwilligung ausgenommen waren sie trotzdem nicht ^[9].

Matomo lässt sich mit dem Befehl disableCookies ohne Tracking-Cookies betreiben ^[5]. Das Programm misst dann weiter, erkennt wiederkehrende Besucher aber nur noch eingeschränkt ^[5]. Ohne Cookies bildet Matomo aus Merkmalen der Umgebung einen anonymisierten Hashwert und ordnet Aufrufe innerhalb von standardmäßig 30 Minuten demselben Besuch zu; die zugehörige Kennung bleibt bis zu 24 Stunden in der Datenbank ^[6]. Matomo weist selbst darauf hin, dass in den meisten europäischen Ländern auch für Messung ohne Cookies eine Einwilligung nötig sein kann, sofern keine Ausnahme greift, und dass einzelne Cookies etwa für Sicherheitsfunktionen trotzdem gesetzt werden können ^[5]. Die Seiten unter domain-root.de messen mit Matomo ohne Cookies. Wie sich Inhalte damit auswerten lassen, beschreibt Inhalte mit Matomo auswerten.

Schriften vom eigenen Server

Viele Webfonts lassen sich direkt vom Server ihres Anbieters laden. Das Landgericht München I hat am 20.01.2022 (3 O 17493/20) einem Websitebetreiber untersagt, die IP-Adresse eines Besuchers über Google Fonts an Google weiterzugeben, und ihm 100 Euro Schadensersatz zugesprochen ^[7]. Ein berechtigtes Interesse an der Einbindung erkannte das Gericht nicht an, weil sich die Schriften auch ohne Verbindung zu einem Google-Server beim Seitenaufruf einbinden lassen ^[7].

Die Lösung ist, die Schriftdateien herunterzuladen, auf dem eigenen Server abzulegen und in der CSS-Datei mit @font-face auf diese Dateien zu verweisen. Danach sollte kein Aufruf mehr an den fremden Server gehen. Ob das stimmt, zeigt die Netzwerkanalyse in den Entwicklerwerkzeugen des Browsers. Prüfe dabei auch Themes und Plugins, die Schriften selbst nachladen können.

Videos und Karten mit Zwei-Klick-Lösung

Eingebettete Videos und Karten laden ihre Inhalte vom Server des Anbieters, der dabei auch eigene Cookies setzen kann. Solange keine Einwilligung vorliegt, sollen nach der DSK keine Inhalte von fremden Servern geladen werden, für die eine Einwilligung nötig ist ^[1]. Der Europäische Gerichtshof hat 2019 im Fall Fashion ID entschieden, dass der Betreiber einer Website, die den "Gefällt mir"-Button von Facebook einbindet, für das Erheben und die Übermittlung der Besucherdaten gemeinsam mit Facebook verantwortlich sein kann. Für die spätere Verarbeitung allein durch Facebook ist er grundsätzlich nicht verantwortlich ^[8]. Eine nötige Einwilligung muss der Websitebetreiber vorher für die Vorgänge einholen, für die er mitverantwortlich ist, und er muss die Besucher beim Erheben über seine Identität und die Zwecke informieren ^[8].

Die Zwei-Klick-Lösung trägt dem Rechnung. Statt des Players steht zunächst ein Vorschaubild vom eigenen Server auf der Seite, daneben ein kurzer Hinweis, welcher Anbieter beim Abspielen Daten erhält. Erst ein Klick lädt den eigentlichen Inhalt. Das passt zur Sicht der DSK, nach der Besucher Zusatzdienste wie Videos oder Kartendienste erst dann wünschen, wenn sie diese ausdrücklich in Anspruch nehmen ^[1]. Soll der Klick eine Einwilligung sein, muss der Hinweis den Anbieter und den Zweck konkret nennen, denn die DSK verlangt, Drittdienstleister einzeln zu benennen und die Zwecke konkret zu erläutern ^[1].

Was sonst noch ein Banner auslöst

Werbe-Cookies von Drittanbietern sind nach der Stellungnahme 04/2012 der europäischen Datenschutzbehörden nie von der Einwilligung ausgenommen ^[9]. Wer Werbenetzwerke einbindet, kommt deshalb in aller Regel nicht ohne Einwilligungsabfrage aus; auch die Seiten unter domain-root.de fragen wegen der Anzeigen nach einer Einwilligung. Social-Media-Plugins, die ohne Klick Daten an das Netzwerk senden, brauchen für Nicht-Mitglieder und abgemeldete Mitglieder eine Einwilligung ^[9].

Unproblematisch bleiben Cookies, die nach § 25 Abs. 2 TDDDG unbedingt erforderlich sind, etwa für ein Kundenkonto nach der Anmeldung oder für einen Warenkorb, sobald jemand etwas hineinlegt ^{[1, 9]}. Bietest du eine Funktion wie "angemeldet bleiben" an, holst du die Einwilligung dafür direkt am Kästchen ein, ohne eigenes Banner ^[9].

Ohne Banner heißt nicht ohne Datenschutzerklärung

Auch eine Website ohne Banner verarbeitet personenbezogene Daten, schon weil der Webserver IP-Adressen in seinen Protokollen speichert. Verantwortliche müssen vorab festlegen und dokumentieren, auf welche Rechtsgrundlage sie jede Verarbeitung stützen, und die Besucher darüber informieren ^[1]. Die Datenschutzerklärung bleibt also Pflicht. Was für den Hoster und die Protokolle gilt, behandelt Hosting und DSGVO: Serverstandort und Auftragsverarbeitung, die Besonderheiten eines vorgeschalteten Netzwerks CDN und DSGVO.

1. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
2. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation, Version 2.0. Europäischer Datenschutzausschuss (EDSA). Stand 07.10.2024. abgerufen am 29.10.2026
4. Behörde Report of the work undertaken by the Cookie Banner Taskforce. Europäischer Datenschutzausschuss (EDSA). Stand 17.01.2023. abgerufen am 29.10.2026
5. Organisation How do I go cookieless (disable Matomo cookies) for a visitor?. Matomo. Stand ohne Datum. abgerufen am 29.10.2026
6. Organisation How does Matomo detect unique and returning visitors?. Matomo. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Endurteil vom 20.01.2022, 3 O 17493/20. Landgericht München I (gesetze-bayern.de). Stand 20.01.2022. abgerufen am 29.10.2026
8. Behörde Pressemitteilung Nr. 99/19 zum Urteil in der Rechtssache C-40/17 (Fashion ID). Gerichtshof der Europäischen Union. Stand 29.07.2019. abgerufen am 29.10.2026
9. Behörde Opinion 04/2012 on Cookie Consent Exemption (WP 194). Artikel-29-Datenschutzgruppe, Abdruck beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit. Stand 07.06.2012. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.