Kaum ein Element einer Website wird so ungeliebt gebaut wie das Cookie-Banner. Es stört, es kostet Conversion, und niemand weiß so recht, wie es aussehen muss. Das Ergebnis: Die meisten Banner sind schlechter Kompromiss statt saubere Lösung – und ein erstaunlich großer Teil ist schlicht unwirksam.
Eine Untersuchung der Universität Aarhus hat rund 254.000 Websites in 31 Ländern ausgewertet. Deutschland führt die Statistik an: 78 Prozent der Websites zeigen ein Einwilligungs-Interface – so viele wie nirgendwo sonst. Aber nur 21 Prozent aller Banner bieten überhaupt einen Ablehnen-Button auf der ersten Ebene. 42 Prozent gestalten Zustimmen und Ablehnen optisch ungleich, 42 Prozent haben Zwecke vorausgewählt.
Anders gesagt: Vier von fünf Bannern in Europa erfüllen die Mindestanforderung nicht.
Vorweg in aller Deutlichkeit: Ich bin Gestalter und Programmierer, kein Rechtsanwalt. Dieser Artikel ordnet die Praxis ein und nennt die Quellen. Bei Unsicherheit im Einzelfall gehört die Frage zu einer Anwältin oder einem Anwalt für IT-Recht – das ist keine Floskel, die Rechtslage ist an mehreren Stellen tatsächlich in Bewegung.
Zuständig ist nicht in erster Linie die DSGVO, sondern § 25 TDDDG – das Gesetz heißt seit Mai 2024 so, vorher TTDSG, inhaltlich unverändert. Es verlangt eine Einwilligung für jeden Zugriff auf das Endgerät des Besuchers, unabhängig davon, ob dabei personenbezogene Daten anfallen.
Das ist der eigentliche Hebel und wird oft missverstanden: Es geht nicht nur um Cookies, und es geht nicht erst um Personenbezug. Erst wenn die so erhobenen Daten weiterverarbeitet werden, kommt zusätzlich die DSGVO ins Spiel. Zwei Stufen, zwei Prüfungen.
§ 25 Abs. 2 TDDDG nennt eine praxisrelevante Ausnahme: Zugriffe, die unbedingt erforderlich sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert. Unstreitig darunter fallen:
Einwilligungspflichtig ist praktisch alles andere: Tracking, Marketing, Retargeting, Google Analytics, eingebettete YouTube-Videos, Google Maps, Social-Plugins, Chatbots. Auch der Google Tag Manager – das hat das Verwaltungsgericht Hannover 2025 ausdrücklich festgestellt.
Der ewige Streitpunkt ist die Reichweitenmessung. In Frankreich gibt es dafür eine ausdrückliche Ausnahme, in Deutschland nicht. Die Aufsichtsbehörden ordnen Webanalyse überwiegend als nicht „unbedingt erforderlich" ein. Wer ohne Einwilligung messen will, kommt realistisch nur mit reiner Server-Logfile-Auswertung durch, also ohne Zugriff auf das Endgerät. Ein wichtiger Nebensatz für alle, die auf technische Kniffe hoffen: Serverseitiges Tagging und der Consent Mode befreien nicht von § 25 TDDDG, solange auf dem Gerät etwas gelesen oder geschrieben wird.
Hier wird es konkret, und die Linie ist inzwischen deutlich:
OLG Köln, Januar 2024 (Az. 6 U 80/23): Fehlt auf der ersten Ebene eine Ablehnen-Option und wird der Nutzer auf der zweiten Ebene zur Annahme gelenkt, liegt keine wirksame Einwilligung vor. Auch ein kleines „X" oben rechts, das als „akzeptieren und schließen" wirkt, verstößt gegen Transparenz und Freiwilligkeit.
VG Hannover, März 2025 (Az. 10 A 5385/22): Das derzeit wichtigste deutsche Urteil zum Thema. Ein Nachrichtenportal bot auf Ebene 1 nur „Alle akzeptieren" und „Einstellungen". Das Gericht bestätigte die Anordnung der Aufsichtsbehörde: Ablehnen muss ebenso leicht sein wie Zustimmen. Zusätzlich beanstandet wurden das wiederholte Wiedereinblenden des Banners und eine Beschriftung, in der das Wort „Einwilligung" gar nicht auftauchte.
OLG Frankfurt, Dezember 2025 (Az. 6 U 81/23): Neu und für Agenturen besonders relevant – auch Drittanbieter, die den Code zum Cookie-Setzen ausliefern, haften selbst. Vertragliche Zusicherungen des Websitebetreibers schützen sie nicht, und umgekehrt schützt den Betreiber die Zusage des Dienstleisters nicht. Der Bundesgerichtshof verhandelt diese Frage am 8. Oktober 2026 (Az. I ZR 5/26); bis dahin ist die Haftungsverteilung offen.
Vorangekreuzte Kästchen sind übrigens seit dem EuGH-Urteil Planet49 von 2019 erledigt. Wer sie 2026 noch einsetzt, diskutiert nicht mehr über Auslegung.
Aus dieser Rechtsprechung und den Vorgaben der Datenschutzkonferenz ergibt sich ein Bild, das sich in fünf Punkten zusammenfassen lässt:
Was du dir sparen kannst: die Einwilligungsverwaltungsverordnung. Sie ist seit April 2025 in Kraft, sollte Banner überflüssig machen und hat bis heute genau einen anerkannten Dienst hervorgebracht. Der Landesdatenschutzbeauftragte Niedersachsens hat schon bei Verabschiedung erklärt, warum sie ihr Ziel verfehlt – unter anderem, weil das Banner trotzdem nötig bleibt. Für Websitebetreiber ist die Nutzung freiwillig und praktisch bedeutungslos.
Die gute Nachricht zuerst: Mir ist für den Zeitraum 2024 bis 2026 kein einziger veröffentlichter deutscher Bußgeldbescheid bekannt, der sich speziell gegen die Gestaltung eines Cookie-Banners richtet. Die deutschen Aufsichtsbehörden arbeiten hier mit Anordnungen und Beanstandungen, nicht mit Geldbußen. Das bayerische Landesamt hat 2024 über 350 Websites automatisiert geprüft – Ergebnis waren Beanstandungen.
Vorsicht bei kursierenden Zahlen: Das oft zitierte „30.000 Euro Bußgeld für ein Cookie-Banner" stammt aus Spanien, nicht aus Deutschland.
Das reale Risiko für kleinere Unternehmen liegt woanders – bei Abmahnungen durch Mitbewerber und Verbände und bei Schadensersatzforderungen. Wie unangenehm das werden kann, hat die Abmahnwelle um extern eingebundene Google Fonts gezeigt.
Und es gibt einen zweiten Preis, den niemand in Rechnung stellt: Ein Banner, das die Ablehnung hinter mehreren Klicks versteckt, treibt die Zustimmungsquote hoch – aber die Einwilligung ist dann angreifbar, und deine Zahlen basieren auf einer Grundlage, die im Zweifel nicht hält. Ein sauberes Banner mit gleichwertigen Buttons bringt weniger Zustimmung, aber belastbare Daten. Mir ist ehrliches Wenig lieber als angreifbares Viel.
Der pragmatischste Rat kommt zum Schluss, weil er der unbeliebteste ist: Das beste Cookie-Banner ist das, das kaum etwas abfragen muss.
Schriften lokal einbinden statt vom Google-Server. Karten als anklickbares Vorschaubild statt eingebettetem Google Maps. Videos erst nach Klick laden. Auf Analytics verzichten, wenn ohnehin niemand in die Zahlen schaut – oder eine Lösung wählen, die ohne Endgerätezugriff auskommt. Jeder Dienst, den du nicht einbindest, ist eine Zeile weniger im Banner und eine Sorge weniger in der Datenschutzerklärung.
Ein Hinweis für die Planung: Auf EU-Ebene liegt seit Ende 2025 ein Vorschlag auf dem Tisch, der die Cookie-Regeln grundlegend umbauen und Teile davon auf ein berechtigtes Interesse stützen würde. Er hängt derzeit im Rat fest, ein Inkrafttreten ist nicht absehbar. Wer heute darauf baut, plant auf Sand.
Wenn du unsicher bist, ob dein Banner hält, was es verspricht: Ein Blick in die Netzwerkanalyse des Browsers zeigt in zwei Minuten, ob vor der Einwilligung schon Dritte geladen werden. Das ist der ehrlichste Test, den es gibt – und der, der am häufigsten überrascht. Mehr zu meiner Arbeit an Websites unter Webdesign & Programmierung; wie Barrierefreiheit und Datenschutz zusammenspielen, steht im Artikel zum BFSG.
Nur, wenn deine Website auf das Endgerät der Besucher zugreift, ohne dass das für den Betrieb zwingend nötig ist. Eine schlichte Visitenkarten-Website ohne Analytics, ohne eingebettete Karten und ohne Videos braucht kein Banner – und ist damit besser dran als eine mit. Ein Banner „zur Sicherheit" einzublenden, obwohl nichts einwilligungspflichtig läuft, ist kein Vorteil, sondern nur eine zusätzliche Hürde.
Nein, und das schon lange nicht mehr. Weitersurfen ist keine Einwilligung – erforderlich ist eine aktive, informierte Handlung. Banner mit dieser Formulierung sind ein zuverlässiges Zeichen dafür, dass die Website seit Jahren niemand angefasst hat.
Aufsichtsbehörden fordern es, das OLG Köln und das VG Hannover haben es bestätigt – eine höchstrichterliche Entscheidung des BGH oder EuGH speziell dazu steht allerdings noch aus. Entscheidend ist die Symmetrie: Wer mit einem Klick zustimmen kann, muss mit einem Klick ablehnen können. Praktisch heißt das: gleichwertiger Button auf Ebene 1, alles andere ist angreifbar.
Dann bleibt die serverseitige Auswertung der Zugriffsprotokolle, die ohne Zugriff auf das Endgerät auskommt. Sie liefert weniger – keine Wiederkehrer-Erkennung, keine sauberen Sitzungen –, ist dafür unproblematisch. Für die meisten kleinen Websites reicht diese Genauigkeit völlig aus, denn die Entscheidungen, die daraus abgeleitet werden, sind ohnehin grob.
Nach außen bleibt der Websitebetreiber verantwortlich. Das OLG Frankfurt hat 2025 aber entschieden, dass auch der Dienstleister direkt haften kann – und dass gegenseitige Zusicherungen niemanden freistellen. Der Bundesgerichtshof verhandelt dazu am 8. Oktober 2026. Bis dahin gilt: Zuständigkeiten schriftlich klären und nicht darauf verlassen, dass „die Agentur das schon richtig gemacht hat".
Grafikdesigner & Programmierer. Seit über 25 Jahren in der Werbung zuhause – heute mit Fokus auf Websites, 3D, SEO und KI-Automation für Agenturen und Unternehmen.
Unverbindlich und auf Augenhöhe – ich sage dir ehrlich, was sinnvoll ist.
Termin vereinbaren → oder Kontaktdaten ansehen