Braucht deine Website einen Cookie-Banner?

Beim Banner geht es eigentlich gar nicht um Cookies. Es geht darum, was deine Website auf dem Gerät des Besuchers macht und mit wem sie spricht. Die meisten Unternehmenswebsites sprechen mit niemandem außer dem Besucher, und für sie ist ein Banner nur lästig. Manche laden ein Dutzend Tracker, bevor die Seite fertig aufgebaut ist, und für sie ist ein Banner, der nichts blockiert, schlimmer als gar keiner.

Die Regel in Deutschland ist § 25 TDDDG, der die ePrivacy-Vorgaben der EU umsetzt. Du brauchst eine Einwilligung, bevor du Informationen auf dem Gerät eines Besuchers speicherst oder von dort ausliest. Die Einwilligung muss aktiv sein. Das hat der Bundesgerichtshof im Mai 2020 im Fall Planet49 geklärt (I ZR 7/16): Ein vorangekreuztes Kästchen zählt nicht, „mit der Nutzung dieser Website stimmst du zu“ auch nicht.

Wann du keinen brauchst

Das Gesetz nimmt alles aus, was unbedingt erforderlich ist, um den Dienst zu liefern, den der Besucher angefragt hat. Ein Cookie, der einen Warenkorb zusammenhält, sich merkt, dass jemand eingeloggt ist, oder die gewählte Sprache speichert, ist ohne Banner in Ordnung. Genauso eine Website, die Seiten und ein Kontaktformular zeigt und sonst nichts.

Genau dort stehen viele gut gebaute Unternehmenswebsites. Schriften kommen mit der Website, keine eingebetteten Karten oder Videos von Google oder YouTube, keine Werbepixel. Die Website spricht mit niemandem außer dem Besucher, also gibt es nichts, wofür man eine Einwilligung bräuchte. Der frühere Datenschutzbeauftragte von Baden-Württemberg hat es klar gesagt: Datenschutzfreundliche Websites kommen ganz ohne Banner aus. Die Website von BeCURE ist ein Beispiel: Schriften, Bilder und sogar der Film kommen von ihrer eigenen Adresse, kein fremdes Script wird geladen, und die Website läuft ohne Banner.

Wann du einen brauchst

Sobald du Google Analytics, ein Meta-Pixel, ein eingebettetes YouTube-Video oder eine Google-Karte einbaust, brauchst du eine Einwilligung, bevor irgendetwas davon lädt. Die deutschen Datenschutzbehörden haben 2020 gesagt, dass Google Analytics in der Regel eine Einwilligung braucht, und im März 2025 entschied das Verwaltungsgericht Hannover, dass schon der Google Tag Manager allein eine braucht. Dasselbe gilt für ein Chat-Widget, ein Buchungs-Widget einer anderen Firma und einen eingebetteten Instagram-Feed. Jedes davon speichert etwas auf dem Gerät oder schickt die IP-Adresse des Besuchers an eine andere Firma, derselbe Mechanismus wie beim Urteil zu Google Fonts.

Und der Banner muss diese Dinge wirklich blockieren, bis der Besucher Ja sagt. Ein Banner, der „Wir nutzen Cookies, okay?“ sagt, während die Statistik schon läuft, ist schlimmer als kein Banner, weil er dokumentiert, dass du es wusstest.

Die Grauzone: Besucher zählen ohne Cookies

Und wenn du nur wissen willst, wie viele Leute kommen? Tools wie Matomo im Modus ohne Cookies oder Zähler auf dem Server, die die Zugriffsprotokolle auswerten, werden oft als einwilligungsfrei verkauft. Ehrlich gesagt sind sich die deutschen Behörden da nicht einig. Der Bundesdatenschutzbeauftragte sagt, Matomo braucht grundsätzlich eine Einwilligung. Die bayerische Aufsicht hat gesagt, dass Besuche mit Matomo unter engen Bedingungen auch ohne gezählt werden können. Die baden-württembergische hält Statistik auf dem Server für möglicherweise in Ordnung, und das Portal der Stadt Hamburg selbst nutzt einen Zähler ohne Cookies und ohne Banner. Wenn du Zahlen ohne Banner willst, nimm ein Tool, das nichts auf dem Gerät speichert und die Daten in der EU hält, und nimm in Kauf, dass die Frage nicht abschließend geklärt ist.

Was du mit einer typischen Unternehmenswebsite machst

Entferne, was du nicht nutzt. Viele Websites tragen ein Statistik-Tag, das seit einem Jahr niemand angeschaut hat, eine eingebettete Karte, die auch ein Bild mit Link zu Google Maps sein könnte, und ein YouTube-Video, das auch ein Vorschaubild sein könnte, das YouTube in einem neuen Tab öffnet. Nimm diese Dinge raus, und der Banner geht mit. Die Website wird schneller, die Datenschutzerklärung kürzer, und das Erste, was ein Besucher sieht, ist dein Unternehmen statt eines juristischen Pop-ups. Websites, die mit KI-Tools gebaut wurden, verdienen hier einen besonders genauen Blick, denn die Tools können Dinge einbetten, um die du nicht gebeten hast.

Wenn du Statistik oder Werbung wirklich brauchst, nimm ein ordentliches Einwilligungstool, das nichts lädt, bevor der Besucher zustimmt, schreib die Datenschutzerklärung passend dazu und dokumentiere es. Wenn dein Aufbau komplizierter ist, frag einen Anwalt. Wir bauen Websites. Das hier ist keine Rechtsberatung.

Dies ist der erste Artikel einer kleinen Reihe über Recht und Geld rund um Websites. Im nächsten geht es um Barrierefreiheit und das Barrierefreiheitsstärkungsgesetz.