Cookie-Banner richtig einsetzen: Vorgaben, Technik und typische Fehler für Betriebe

Wann Sie ein Cookie-Banner richtig einsetzen müssen

Ein Cookie-Banner ist immer dann gesetzlich vorgeschrieben, wenn auf einer Webseite Informationen im Endgerät der Nutzer gespeichert oder ausgelesen werden, die nicht technisch zwingend für den Betrieb erforderlich sind. Geregelt ist das im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, ehemals TTDSG) in Verbindung mit der Datenschutz-Grundverordnung (DSGVO).

Typische Auslöser für eine Banner-Pflicht sind Analysewerkzeuge wie Google Analytics, integrierte Kartendienste von Google Maps, externe Schriftarten wie Google Fonts von fremden Servern, Conversion-Pixel von Plattformen oder externe Videoplayer. Wer auf solche Drittanbieter-Dienste verzichtet und rein statische Inhalte ohne Tracking bereitstellt, benötigt oft gar kein Banner. Für eine rechtssichere Website reicht es in solchen Fällen aus, die technisch notwendigen Zugriffe transparent in der Datenschutzerklärung aufzuführen.

Sobald jedoch Werbemaßnahmen laufen oder Betriebe Google Ads schalten, führt kein Weg an einer vorherigen Einwilligung vorbei. Entscheidend ist die Reihenfolge im Code: Keine Marketing-Software darf starten, bevor der Webseitenbesucher aktiv sein Einverständnis erklärt hat.

Der Unterschied zwischen notwendigen und einwilligungspflichtigen Cookies

Technisch notwendige Cookies sorgen dafür, dass eine Webseite überhaupt wie gewünscht funktioniert. Dazu zählt beispielsweise das Festhalten von Artikeln im Warenkorb, die Speicherung des Login-Status in einem geschlossenen Kundenbereich oder das Festhalten der Spracheinstellungen. Auch das Cookie-Banner selbst nutzt ein technisches Cookie, um zu speichern, welche Auswahl der Besucher getroffen hat.

Demgegenüber stehen funktionale Dienste, Statistik-Werkzeuge und Marketing-Tools, die das Nutzerverhalten über mehrere Unterseiten hinweg analysieren. Diese Werkzeuge erfassen Bildschirmauflösung, Verweildauer, Klickpfade oder IP-Adressen und dienen oft der Optimierung von Kampagnen. Solche Cookies dürfen ohne vorherige Zustimmung des Besuchers unter keinen Umständen gesetzt werden.

Wenn Sie einen Online-Shop erstellen lassen, greifen meist beide Kategorien ineinander: Der Bezahlvorgang und der Warenkorb laufen als notwendige Dienste, während Remarketing-Pixel oder Bewertungs-Widgets eine ausdrückliche Freigabe verlangen.

Gestaltung und Buttons: Vermeiden Sie Dark Patterns

Die Schaltflächen zur Annahme und zur Ablehnung müssen visuell gleichwertig gestaltet sein, damit die Entscheidung der Nutzer freiwillig bleibt. Gerichte und Datenschutzbehörden stufen Webseiten als rechtswidrig ein, wenn der Zustimmen-Knopf in leuchtenden Farben hervorgehoben wird, während der Ablehnen-Knopf grau, winzig oder im Text versteckt ist.

Ebenfalls unzulässig sind vorangekreuzte Kästchen bei den verschiedenen Cookie-Kategorien. Der Besucher muss Kategorien wie Marketing oder Statistik selbst aktivieren. Zudem darf das bloße Weiterscrollen auf der Seite oder das Schließen des Fensters nicht als stillschweigende Einwilligung gewertet werden.

Typische Gestaltungsfallen, sogenannte Dark Patterns, führen regelmäßig zu teuren Abmahnungen. Wer ein Cookie-Banner richtig einsetzen möchte, verzichtet auf manipulative Farben, irreführende Texte oder Schaltflächen, die Ablehnen-Optionen hinter verschachtelten Untermenüs verbergen.

• Gleiche Farbe, Schriftgröße und Kontraste für 'Alle akzeptieren' und 'Ablehnen'
• Keine vorausgewählten Häkchen bei Tracking- oder Werbediensten
• Direkte Ablehnung auf der ersten Ebene ohne Klick auf Unterseiten
• Verständliche Sprache ohne juristische Fachbegriffe oder doppelte Verneinungen

Technischer Ablauf: Warum Consent Management Platforms nötig sind

Ein funktionierendes Consent Management System greift direkt in den Ladevorgang der Webseite ein und blockiert externe Skripte so lange, bis ein Signal der Nutzer vorliegt. Ein einfaches Pop-up-Fenster, das lediglich einen Hinweis anzeigt, aber den Datenverkehr im Hintergrund ungebremst weiterlaufen lässt, erfüllt die gesetzlichen Vorgaben nicht.

In der Praxis nutzen Unternehmen hierfür spezialisierte Softwarelösungen wie Usercentrics, Cookiebot oder Complianz. Diese Plattformen scannen die Domain regelmäßig nach neuen Cookies, führen ein datenschutzkonformes Protokoll der erteilten Einwilligungen und übermitteln die Zustimmungsdaten an das Tag-Management der Seite. Dadurch können Sie im Ernstfall nachweisen, wann welche IP-Adresse welche Zustimmung erteilt hat.

Bei Projekten, die wir bei Nordseehelden im Rahmen professioneller Webentwicklung umsetzen, binden wir solche Systeme sauber in den Quellcode ein. So geraten Drittanbieter-Skripte erst dann zur Ausführung, wenn der Browser des Nutzers die Freigabe erhalten hat.

Pflichtangaben und Links im Cookie-Fenster

Jedes Einwilligungsbanner muss vom ersten Moment an direkte Links zum Impressum und zur Datenschutzerklärung enthalten. Diese beiden Seiten müssen zwingend aufrufbar sein, ohne dass der Besucher das Banner zuvor bestätigen oder ablehnen muss. Wird das Impressum durch das Banner blockiert, liegt sofort ein Verstoß gegen die Impressumspflicht vor.

Wer seine Website rechtssicher halten will, sollte das Impressum auf der Webseite deshalb technisch stets über oder neben dem Banner-Layer erreichbar halten. Außerdem müssen im Banner alle eingesetzten Dienste namentlich benannt werden. Allgemeine Formulierungen wie 'Wir nutzen Cookies zur Verbesserung unseres Angebots' reichen nicht aus.

Besucher müssen für jeden Drittanbieter den Zweck der Erfassung, die Speicherdauer der gesetzten Cookies sowie mögliche Empfänger der Daten in Drittstaaten einsehen können. Dies geschieht meist über ein aufklappbares Menü im Banner.

Widerrufsmöglichkeit: Die Einwilligung jederzeit zurückziehen

Die DSGVO verlangt, dass der Widerruf einer erteilten Einwilligung genauso einfach sein muss wie das Erteilen selbst. Betriebe müssen ihren Besuchern daher auf jeder einzelnen Unterseite die Möglichkeit geben, ihre Entscheidung nachträglich ohne Hürden zu ändern.

In der Praxis löst man das über ein kleines Icon am Bildschirmrand, meist in Form eines Schildes oder eines Fingerabdrucks, oder über einen fest platzierten Textlink in der Fußzeile der Webseite. Klickt der Besucher auf diesen Link, öffnet sich das Banner erneut mit dem aktuellen Zustimmungsstatus, und einzelne Dienste können abgewählt werden.

Wird eine Kategorie deaktiviert, muss die Webseite das zugehörige Tracking sofort stoppen und die bestehenden Cookies aus dem Browserspeicher löschen. Fehlt diese nachträgliche Steuerung, ist die zuvor erteilte Einwilligung rechtlich angreifbar.

Alternativen: Geht es für kleine Betriebe auch ganz ohne Banner?

Für viele kleinere Firmen, Dienstleister und Handwerksbetriebe ist ein Verzicht auf Drittanbieter-Tools der einfachste Weg zu Rechtssicherheit und schnellen Ladezeiten. Wenn Sie keine gezielte Werbung über Plattformen schalten und auf fremde Trackingskripte verzichten, sparen Sie sich den Bannereinbau komplett.

Typische Schritte für einen bannerfreien Betrieb umfassen das lokale Hosten von Schriftarten auf dem eigenen Webserver, den Einsatz von statischen Anfahrtskarten anstelle dynamischer Google Maps und den Verzicht auf externe Schriftbibliotheken. Für die Auswertung von Besucherzahlen gibt es datenschutzfreundliche Alternativen wie Plausible oder Matomo ohne Cookie-Nutzung, die auf dem eigenen Server laufen und keine personenbezogenen Profile erstellen.

Gerade für eine lokale Webseite für Handwerker oder Berater in Friesland, Oldenburg oder Wilhelmshaven reicht diese schlanke Bauweise oft vollkommen aus. Die Seite lädt schneller, schreckt niemanden mit störenden Abfragen ab und arbeitet dauerhaft ohne rechtliches Abmahnrisiko.