Kaum ein Thema im Datenschutz ändert sich so häufig wie die Anforderungen an Cookie-Banner. Zwischen Gerichtsurteilen, Leitlinien der Aufsichtsbehörden und der praktischen Umsetzung entsteht regelmäßig neue Klarheit, aber auch neue Unsicherheit. Hier ein Überblick, worauf es aktuell ankommt.
Was ist das TTDSG eigentlich?
Das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) regelt in § 25 die Einwilligungspflicht beim Zugriff auf oder Speichern von Informationen auf Endgeräten, also klassisch: Cookies. Es ergänzt die DSGVO um eine spezifische deutsche Regelung, die unabhängig davon gilt, ob die gespeicherten Daten am Ende personenbezogen sind oder nicht.
Der aktuelle Stand der Anforderungen
| Anforderung | Status |
|---|---|
| Ablehnen genauso einfach wie Zustimmen | Gefestigte Rechtsprechung, konsequent durchgesetzt |
| Kategorien einzeln wählbar | Erwartet bei mehr als nur “notwendig/alle” |
| Keine vorausgewählten Häkchen | Weiterhin unzulässig |
| Consent-Nachweis mit Zeitstempel | Zunehmend bei Kontrollen abgefragt |
| Cookie-Wall bei nicht notwendigen Cookies | Weiterhin unzulässig |
Was hat sich praktisch verändert?
Die Grundanforderungen selbst sind stabil geblieben, aber Aufsichtsbehörden prüfen inzwischen genauer, ob Banner auch technisch halten, was sie versprechen. Stichprobenartige Kontrollen schauen nicht mehr nur auf das Aussehen des Banners, sondern auf das tatsächliche Netzwerkverhalten der Website: Lädt ein Marketing-Skript wirklich erst nach Zustimmung? Wer sein Banner seit längerem nicht überprüft hat, sollte das gerade jetzt nachholen, bevor eine Kontrolle das für ihn übernimmt.
Was bedeutet das für kleine Websites?
Auch Blogs, Freiberufler-Seiten und kleine Onlineshops sind betroffen, sobald sie ein einziges nicht notwendiges Cookie setzen, etwa für ein eingebettetes Video oder ein Analyse-Tool. Wer auf ein cookiefreies Analyse-Tool umsteigt, kann das Cookie-Banner für diesen Zweck oft ganz vermeiden, was die technische Umsetzung deutlich vereinfacht.
Consent-Management-Plattformen: Pflicht oder Kür?
Für Websites mit vielen verschiedenen Skripten hat sich eine Consent-Management-Plattform als praktischer Standard etabliert: Sie verwaltet Kategorien, protokolliert die Einwilligung automatisch und blockiert Skripte technisch, bis eine Zustimmung vorliegt. Gesetzlich vorgeschrieben ist eine solche Plattform nicht, aber bei mehr als zwei oder drei eingebundenen Diensten wird eine manuelle Lösung schnell fehleranfällig.
Was Kontrollen der Aufsichtsbehörden aktuell prüfen
Aufsichtsbehörden führen regelmäßig automatisierte Stichproben durch, bei denen zahlreiche Websites gleichzeitig auf ihr Cookie-Verhalten geprüft werden. Häufige Beanstandungen betreffen nicht das Design des Banners, sondern das tatsächliche Verhalten im Hintergrund: Skripte, die schon vor der Zustimmung laden, oder ein Widerruf, der technisch nicht wirklich greift.
Ein kurzer Check für deine eigene Website
Öffne die Entwicklertools deines Browsers, lade deine Website im Inkognito-Modus und sieh im Netzwerk-Tab nach, welche Anfragen schon vor einem Klick auf das Cookie-Banner losgehen. Taucht dort ein Analyse- oder Marketing-Skript auf, bevor du zugestimmt hast, ist das ein klares Zeichen für eine fehlerhafte technische Umsetzung, unabhängig davon, wie das Banner selbst aussieht.
Praxisbeispiel
Ein Blogbetreiber prüfte sein bestehendes Cookie-Banner mit den Entwicklertools des Browsers und stellte fest, dass ein eingebundenes Werbenetzwerk bereits vor der Zustimmung ein Cookie setzte, obwohl das Banner optisch korrekt aussah. Nach Umstellung auf ein Tag-Management-System, das Skripte erst nach dokumentierter Einwilligung freischaltet, funktionierte das Banner wie vorgesehen. Mehr zu den Grundanforderungen liest du im Artikel Cookie-Banner richtig einsetzen, ein passendes Muster für deinen Blog findest du unter Datenschutzerklärung für einen Blog.