Cookie-Banner: was sich bei der Einwilligung geändert hat

Kaum ein Element auf einer Webseite sorgt für so viel Unsicherheit wie das Cookie-Banner. In den vergangenen Jahren hat sich bei den Regeln einiges bewegt: Das zuständige Gesetz trägt seit 2024 einen neuen Namen, deutsche Gerichte haben 2025 mehrfach zur Gestaltung entschieden, und seit April 2025 gibt es eine neue Verordnung. Hier ordnen wir ein, was sich geändert hat und was Sie in Ihrem eigenen Banner nachsehen sollten.

Aus dem TTDSG wurde das TDDDG

Wer sich vor einigen Jahren mit Cookies beschäftigt hat, kennt die Abkürzung TTDSG. Dieses Gesetz heißt seit 2024 TDDDG, ausgeschrieben Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. In dieser Fassung gilt es seit dem 14. Mai 2024.

Wenn Ihre Agentur, Ihre Datenschutzerklärung oder ein älterer Ratgeber noch vom TTDSG spricht, ist das kein Alarmsignal. Es ist zunächst ein alter Name. Wichtig ist, was inhaltlich dahintersteht.

Die Kernregel bleibt: § 25 TDDDG

Der entscheidende Paragraf ist § 25 TDDDG. Die Regel ist einfacher, als der Paragraf klingt: Alles, was Informationen auf dem Endgerät Ihrer Besucher speichert oder ausliest, braucht grundsätzlich eine Einwilligung. Endgerät heißt Handy, Tablet oder Laptop.

Gemeint sind dabei nicht nur klassische Cookies. Auch der sogenannte Local Storage, also ein Speicher direkt im Browser, und Tracking-IDs, mit denen Besucher wiedererkannt werden, fallen darunter.

Ausgenommen ist, was für den Dienst technisch erforderlich ist. Was im Einzelfall wirklich erforderlich ist, ist genau die Frage, an der sich die Praxis entscheidet. Das sollten Sie nicht nach Bauchgefühl beantworten.

Ablehnen muss genauso sichtbar sein wie Annehmen

Ein Cookie-Banner muss auf der ersten Ebene mindestens zwei gleichwertige Schaltflächen zeigen: „Alle akzeptieren" und „Alle ablehnen". Erste Ebene heißt: sofort sichtbar, ohne dass sich jemand erst durch Untermenüs oder Einstellungen klicken muss. Deutsche Gerichte haben 2025 mehrfach entschieden, dass der Ablehnen-Knopf dort gleich sichtbar sein muss.

Ebenso klar ist ein zweiter Punkt: Vorangekreuzte Kästchen sind unzulässig. Eine Zustimmung, die schon gesetzt ist, bevor jemand sie gibt, ist keine Einwilligung.

Neu seit 1. April 2025: die Einwilligungs­verwaltungs­verordnung

Seit dem 1. April 2025 gibt es die Einwilligungs­verwaltungs­verordnung, kurz EinwV. Die Idee dahinter: Nutzerinnen und Nutzer sollen ihre Cookie-Entscheidungen künftig zentral über anerkannte Dienste verwalten können, statt auf jeder einzelnen Webseite neu zu klicken.

Für Ihren Betrieb ändert sich dadurch kurzfristig wenig. Ihr Banner muss weiterhin den Anforderungen aus § 25 TDDDG genügen. Es lohnt sich aber, die Entwicklung im Blick zu behalten.

Was auf dem Spiel steht

Für Abmahnungen in diesem Bereich werden Streitwerte im Bereich von 5.000 bis 15.000 Euro genannt. Das ist keine feste Größe, sondern eine Größenordnung, die in der Branche kursiert. Bußgelder nach der DSGVO können deutlich höher liegen.

Panik ist trotzdem der falsche Ratgeber. Die meisten Probleme entstehen nicht aus bösem Willen, sondern daraus, dass ein Banner einmal eingebaut und danach nie wieder geprüft wurde.

Checkliste: prüfen Sie Ihr eigenes Banner

Fünf Fragen, die Sie ohne technisches Vorwissen selbst durchgehen können. Rufen Sie Ihre Webseite dafür am besten in einem frischen Browserfenster auf, in dem Sie noch nichts angeklickt haben.

• Ablehnen gleich sichtbar? Steht „Alle ablehnen" auf der ersten Ebene, genauso auffindbar wie „Alle akzeptieren"?
• Nichts vorangekreuzt? Sind beim Öffnen des Banners alle Schalter für Marketing und Statistik aus?
• Tracking erst nach Zustimmung? Startet wirklich nichts, solange niemand zugestimmt hat? Das ist der Punkt, der in der Praxis am häufigsten schiefgeht.
• Widerruf jederzeit möglich? Finden Besucher später eine Stelle, an der sie ihre Entscheidung ändern können?
• Datenschutzerklärung aktuell? Nennt sie die Dienste, die Sie tatsächlich einsetzen, und nicht die von vor drei Jahren?

Eine breitere Übersicht über die übrigen Pflichten auf Ihrer Webseite finden Sie in unserer DSGVO-Checkliste für kleine Betriebe.

Der Punkt, den viele übersehen

Wer gar kein Tracking einsetzt, braucht auch kein Einwilligungsbanner. Das klingt banal, wird in der Praxis aber oft vergessen. Manche Webseiten zeigen ein Banner, obwohl im Hintergrund nichts läuft, was eine Einwilligung bräuchte.

Das kostet Sie zweimal: Besucher springen beim ersten Klick ab, und Sie tragen einen Aufwand mit sich herum, den es nicht bräuchte. Bevor Sie ein Banner verfeinern, lohnt sich deshalb die Frage: Was läuft auf meiner Seite überhaupt, und brauche ich das alles? Weniger Reibung am Einstieg ist auch ein Thema der Conversion-Optimierung.