Technisch notwendige Cookies

Viele Websites teilen ihre Cookies in zwei Gruppen: solche, für die sie fragen, und "technisch notwendige", die ohne Frage gesetzt werden. Das Gesetz kennt diesen Begriff nicht. § 25 Abs. 2 Nr. 2 TDDDG spricht von Zugriffen, die "unbedingt erforderlich" sind, damit der Anbieter einen vom Nutzer "ausdrücklich gewünschten digitalen Dienst" bereitstellen kann ^[1]. Nur dann entfällt die Einwilligung. Wie die Einwilligung selbst funktioniert, erklärt Wann eine Website für Cookies eine Einwilligung braucht.

Was "unbedingt erforderlich" bedeutet

Die Ausnahme hat zwei Teile, die nur zusammen gelten: Du musst den Dienst ausdrücklich gewünscht haben, und der Zugriff auf dein Gerät muss für genau diesen Dienst unbedingt erforderlich sein ^[2]. Die Gesetzesbegründung geht von einer technischen Erforderlichkeit aus. Die Datenschutzkonferenz (DSK) leitet daraus ein strenges Verständnis ab: Dass ein Cookie für das Geschäftsmodell wirtschaftlich wichtig ist, macht ihn nicht unbedingt erforderlich ^[2]. Der deutsche Gesetzgeber hat sich bei der Ausnahme eng an den Wortlaut der europäischen Richtlinie gehalten und keine zusätzlichen Ausnahmen aufgenommen, obwohl es dafür Bestrebungen gab ^[2].

Die europäischen Datenschutzbehörden haben schon 2012 einen einfachen Test formuliert. Ein Cookie fällt unter die Ausnahme, wenn die Funktion ohne ihn nicht verfügbar wäre und du diese Funktion ausdrücklich angefordert hast. Maßgeblich ist dabei die Sicht des Nutzers ^[3]. Ein Dienst wird als Summe einzelner Funktionen betrachtet, sein Umfang hängt also davon ab, was du gerade nutzt ^[3].

Basisdienst und Zusatzfunktionen

Die DSK unterscheidet zwischen dem Basisdienst einer Website und ihren Zusatzfunktionen. Wer eine Website bewusst aufruft, wünscht ihren Basisdienst: bei einem Onlineshop den Verkauf von Produkten, bei einer Suchmaschine die Trefferliste zu einem Suchbegriff ^[2]. Komponenten, die den Basisdienst sicher, schnell und stabil machen, etwa zur Betrugsprävention, können ihm zugerechnet werden ^[2].

Zusatzfunktionen wünschst du erst, wenn du sie benutzt. Den Warenkorb eines Shops wünschst du, sobald du ein Produkt hineinlegst, nicht schon beim Stöbern ^[2]. Kontaktformular, Chat oder Kartendienst gelten ebenfalls erst als gewünscht, wenn du sie anklickst oder ausfüllst ^[2]. Messung von Besucherzahlen und A/B-Tests gehören nicht per se zum Basisdienst; die DSK prüft, wessen Interessen sie dienen ^[2].

Vier Fragen für jeden Cookie

Ob ein Cookie wirklich unbedingt erforderlich ist, prüft die DSK in vier Richtungen. Jede Dimension soll auf das nötige Minimum reduziert sein ^[2]:

Besonders kritisch sieht die DSK eindeutige Kennungen, sogenannte Cookie-UIDs. Viele Funktionen kommen ohne sie aus. Für eine Spracheinstellung oder eine Hintergrundfarbe genügt ein Wert wie "language: de", eine Nutzer-ID ist dafür nicht nötig ^[2]. Dasselbe gilt für die Lastverteilung auf mehrere Server: Ein langfristig gespeicherter Cookie mit eindeutiger ID ist dafür nicht erforderlich ^[2]. Die Stellungnahme 04/2012 ordnet einen Sitzungs-Cookie, der nur den zuständigen Server im Verbund benennt, sogar der ersten Ausnahme für die Übertragung von Nachrichten zu ^[3]. Laufzeit, Domain und Sicherheitsmerkmale eines Cookies zeigt dir jede Cookie-Liste im Browser; was die einzelnen Angaben bedeuten, erklärt Cookie-Attribute: Secure, HttpOnly und SameSite.

Typische Beispiele

Die Artikel-29-Datenschutzgruppe, Vorgängerin des Europäischen Datenschutzausschusses, hat in ihrer Stellungnahme 04/2012 Cookies aufgezählt, die unter bestimmten Bedingungen ohne Einwilligung auskommen, sofern sie keinen weiteren Zwecken dienen ^[3]. Der Bericht der europäischen Aufsichtsbehörden von 2023 greift für die Einstufung wesentlicher Cookies auf diese Stellungnahme zurück ^[4].

Ein Anmelde-Cookie, der dich über das Schließen des Browsers hinaus angemeldet hält, fällt nicht unter die Ausnahme. Die Stellungnahme hält ein Kästchen wie "angemeldet bleiben (nutzt Cookies)" neben dem Anmeldeformular für einen passenden Weg, die Einwilligung einzuholen ^[3]. Sicherheits-Cookies sind nur ausgenommen, wenn sie den Dienst schützen, den du nutzt. Für die Sicherheit fremder Dienste, die du nicht angefordert hast, gilt die Ausnahme nicht ^{[2, 3]}. Ein Cookie pauschal "Sicherheits-Cookie" zu nennen, reicht nach der DSK nicht aus ^[2]. Wie Sitzungs- und Langzeit-Cookies technisch zu unterscheiden sind, steht unter Was Cookies sind und wie sie funktionieren.

Ein Beispiel: der kleine Onlineshop

Ein einfacher Onlineshop zeigt, wie die Regeln zusammenspielen. Beim ersten Aufruf und beim Stöbern durch die Produkte braucht er nach Ansicht der DSK weder einen Cookie für den Warenkorb noch einen für die Zahlung. Beides wird erst unbedingt erforderlich, wenn du einen Artikel in den Warenkorb legst oder den Bezahlvorgang startest ^[2]. Der Warenkorb-Cookie ist typischerweise ein Sitzungs-Cookie ^[3]. Die Stellungnahme 04/2012 hält auch eine Laufzeit von einigen Stunden für vertretbar, weil Kunden den Browser versehentlich schließen und den Inhalt des Warenkorbs kurz danach zurückerwarten ^[3].

Meldest du dich im Kundenkonto an, ist ein Anmelde-Cookie für die Dauer der Sitzung ausgenommen. Will der Shop dich über Tage angemeldet halten, braucht er dafür deine Einwilligung, etwa über ein Kästchen neben dem Anmeldeformular ^[3]. Eine regelmäßige Nutzung durch dieselbe Person darf ein Anbieter grundsätzlich nur bei Diensten mit Anmeldung unterstellen; sonst gilt jeder Besuch als einzelner Nutzungsvorgang ^[2]. Wählst du eine andere Sprache, genügt ein Cookie mit dem Wert der Sprache ^[2]. Die Besucherstatistik und eingebundene Werbung bleiben dagegen einwilligungspflichtig, solange ihr Zweck nicht die Ausnahme erfüllt ^{[2, 3]}.

Der Cookie für die Einwilligung selbst

Ein Sonderfall ist der Cookie, der deine Entscheidung im Banner speichert. Er ist nötig, damit die Website dich nicht bei jedem Seitenaufruf neu fragt. Nach Ansicht der DSK verlangt die Nachweispflicht dafür keinen langlebigen Cookie mit eindeutiger Kennung. In der Regel genügt es, das Ergebnis ohne Kennung abzulegen und die eingesetzten Abläufe dokumentieren zu können ^[2]. Ein Consent-Tool, das trotzdem eine Kennung vergibt, steht im Verdacht, den Cookie auch für Marketing zu nutzen ^[2].

Was nicht darunter fällt

Werbe-Cookies von Drittanbietern sind nie ausgenommen ^[3]. Das gilt auch für die Zwecke rund um die Werbung, etwa die Begrenzung, wie oft eine Anzeige erscheint, die Erkennung von Klickbetrug oder Marktforschung ^[3]. Cookies für die eigene Webanalyse fallen ebenfalls nicht unter die Ausnahme, weil du alle Funktionen der Website auch ohne sie nutzen kannst ^[3]. Die Stellungnahme von 2012 hielt das Risiko solcher Cookies für begrenzt, wenn sie auf zusammengefasste Statistik beschränkt sind und wirksam anonymisiert wird, nahm sie aber trotzdem nicht aus ^[3].

Ein Cookie, der mehreren Zwecken dient, ist nur dann ausgenommen, wenn jeder einzelne Zweck die Voraussetzungen erfüllt ^{[2, 3]}. Merkt sich ein Cookie deine Sprache und verfolgt zugleich dein Verhalten, braucht er eine Einwilligung ^[3]. Die europäischen Aufsichtsbehörden stellten 2023 fest, dass manche Betreiber Cookies als "wesentlich" einstufen, die diesen Maßstab nicht erfüllen ^[4]. Weil sich Cookies ständig ändern, gibt es keine feste Liste; der Betreiber muss die Einstufung seiner Cookies selbst belegen können ^[4].

Informieren musst du trotzdem

Die Ausnahme befreit nur von der Einwilligung. Die Pflicht, über die Verarbeitung zu informieren, bleibt bestehen, sobald personenbezogene Daten verarbeitet werden ^[3]. Verantwortliche müssen nach der DSGVO vorab festlegen und dokumentieren, auf welche Rechtsgrundlage sie eine Verarbeitung stützen, und die Besucher darüber informieren ^[2]. Ein Einwilligungsbanner für Cookies, die gar keine Einwilligung brauchen, erweckt nach der DSK den falschen Eindruck, Besucher hätten eine Wahl. Sie rät, solche Banner nur dort einzusetzen, wo wirklich eine Einwilligung nötig ist ^[2]. Wie das in der Praxis aussieht, zeigt Website ohne Cookie-Banner betreiben. Auch die Protokolle deines Webservers enthalten personenbezogene Daten; was dabei für den Hoster gilt, steht unter Hosting und DSGVO.

Welche Cookies eine Seite beim ersten Aufruf setzt, mit Laufzeit und Domain, listet der Cookie-Checker auf.

1. Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2. Datenschutzkonferenz (DSK). Stand November 2024. abgerufen am 29.10.2026
3. Behörde Opinion 04/2012 on Cookie Consent Exemption (WP 194). Artikel-29-Datenschutzgruppe, Abdruck beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit. Stand 07.06.2012. abgerufen am 29.10.2026
4. Behörde Report of the work undertaken by the Cookie Banner Taskforce. Europäischer Datenschutzausschuss (EDSA). Stand 17.01.2023. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.