Cookie-Banner und Consent nach TDDDG: Was 2026 gilt

Kaum ein Thema hat Website-Betreiber in Deutschland so beschäftigt wie Cookie-Banner. Unsere erste Fassung dieses Artikels entstand 2020, kurz nach dem Urteil des Bundesgerichtshofs zur Cookie-Einwilligung. Seitdem hat sich die Rechtslage geordnet: Mit dem TTDSG gab es ab Dezember 2021 eine klare gesetzliche Regel, und seit dem 14. Mai 2024 heißt dieses Gesetz Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG. Die zentrale Vorschrift ist § 25. Dieser Beitrag erklärt, was sie für Ihre Website bedeutet.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Für eine verbindliche Einschätzung Ihrer Website wenden Sie sich bitte an eine Anwältin oder einen Anwalt für Datenschutzrecht.

Von Planet49 zum TDDDG

Die Entwicklung in Kurzform:

Was § 25 TDDDG regelt

§ 25 TDDDG betrifft nicht nur Cookies. Er gilt für jedes Speichern von Informationen auf dem Endgerät des Nutzers und jeden Zugriff auf dort bereits gespeicherte Informationen. Darunter fallen auch Local Storage, Session Storage, IndexedDB, Tracking-Pixel, die Kennungen auslesen, und Fingerprinting-Verfahren, die Geräteeigenschaften abfragen.

Grundsätzlich ist dafür eine Einwilligung nötig. Es gibt zwei Ausnahmen:

1. Die Speicherung dient allein dazu, eine Nachricht über ein Netz zu übertragen.
2. Die Speicherung ist unbedingt erforderlich, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann.

Die zweite Ausnahme ist die praktisch wichtige. „Unbedingt erforderlich“ ist eng auszulegen: Es reicht nicht, dass etwas nützlich oder wirtschaftlich sinnvoll ist.

Wichtig ist außerdem die Trennung zweier Ebenen: § 25 TDDDG regelt den Zugriff auf das Endgerät. Werden dabei personenbezogene Daten verarbeitet, braucht diese Verarbeitung zusätzlich eine Rechtsgrundlage nach der DSGVO.

Wann Sie kein Banner brauchen

Ein Banner ist nur nötig, wenn Sie eine Einwilligung einholen müssen. Typischerweise einwilligungsfrei sind:

• Session-Cookies für Login und Warenkorb
• die Speicherung der gewählten Sprache oder Region, wenn der Nutzer sie selbst eingestellt hat
• Sicherheitsfunktionen wie Schutz vor Formular-Missbrauch, soweit sie wirklich erforderlich sind
• das Cookie, das die Consent-Entscheidung selbst speichert

Eine Website, die nur solche Speicherungen nutzt, keine Inhalte von Drittanbietern ungefragt lädt und Schriften selbst hostet, kann ohne Banner auskommen. Viele Unternehmensseiten lassen sich so bauen. Informationspflichten nach der DSGVO bleiben bestehen: Die Datenschutzerklärung muss die eingesetzten Speicherungen trotzdem nennen.

Eingebettete Videos, Karten oder Social-Media-Beiträge laden Sie am besten erst nach einem Klick (Zwei-Klick-Lösung). So fließen keine Daten an Dritte, bevor der Nutzer es möchte.

Cookieloses Tracking: weniger Banner, aber kein Freibrief

Viele Analyse-Tools werben damit, ohne Cookies auszukommen. Das kann den Einwilligungsbedarf verringern, beseitigt ihn aber nicht automatisch. Entscheidend ist, wie das Tool arbeitet:

Die Datenschutzkonferenz (DSK) vertritt in ihrer Orientierungshilfe für Anbieter digitaler Dienste eine eher strenge Linie. Wer auf ein Banner verzichten will, sollte die Konfiguration seines Tools genau prüfen und die Entscheidung dokumentieren. Für Werbung über Google gilt zudem: Seit März 2024 verlangt Google für personalisierte Anzeigen im Europäischen Wirtschaftsraum den Consent Mode in Version 2.

Regeln für faires Consent-Design

Brauchen Sie eine Einwilligung, muss sie freiwillig, informiert, eindeutig und für bestimmte Zwecke erteilt werden. Für die Gestaltung heißt das:

• Ablehnen so einfach wie Zustimmen. Ein gleichwertiger Button „Ablehnen“ auf der ersten Ebene, nicht versteckt in Einstellungen. Das erwarten die Aufsichtsbehörden, und Gerichte wie das Landgericht München I haben Banner ohne gleichwertige Ablehnung beanstandet.
• Keine vorausgewählten Häkchen. Optionale Kategorien sind standardmäßig aus.
• Keine optischen Tricks. Zustimmen in kräftiger Farbe, Ablehnen als blasser Textlink: Das gilt als unzulässige Lenkung.
• Kein Tracking vor der Entscheidung. Skripte laden erst nach Zustimmung.
• Verständliche Zwecke. Statt „Marketing-Cookies“ konkret benennen, was passiert und mit welchen Anbietern.
• Widerruf jederzeit. Ein dauerhaft erreichbarer Link, zum Beispiel im Footer, öffnet die Einstellungen erneut.
• Barrierefrei. Das Banner muss per Tastatur bedienbar sein, Fokus und Kontraste müssen stimmen, und es darf Inhalte nicht dauerhaft verdecken.

Praxisfragen aus unseren Projekten

Mehrsprachige Websites: Eine erteilte Einwilligung gilt für die Website, nicht für die Sprache. Wechselt der Nutzer die Sprache, muss er nicht erneut zustimmen. Hat er noch nicht entschieden, erscheint das Banner in der gewählten Sprache.

Neue Dienste: Kommt ein neuer einwilligungspflichtiger Dienst hinzu, brauchen Sie dafür eine neue Einwilligung. Gute Consent-Tools fragen dann gezielt nach.

Nachweis: Sie müssen eine Einwilligung nachweisen können. Consent-Tools protokollieren dazu Zeitpunkt, Version des Banners und gewählte Optionen.

Inventur: Prüfen Sie regelmäßig, welche Cookies und Speicherungen Ihre Website tatsächlich setzt. Die Entwicklertools des Browsers (Bereich „Anwendung“ bzw. „Speicher“) zeigen das zuverlässig. Neue Einbindungen schleichen sich schnell ein.

Risiken

Fehlende oder unwirksame Einwilligungen können zu Bußgeldern der Aufsichtsbehörden führen. Hinzu kommen Abmahnungen: Der Europäische Gerichtshof hat im Oktober 2024 entschieden, dass die DSGVO Klagen von Wettbewerbern nicht ausschließt. Damit ist eine lange offene Frage weitgehend geklärt.

Auf EU-Ebene wird seit einiger Zeit diskutiert, die Cookie-Regeln zu vereinfachen und etwa Einstellungen im Browser stärker zu berücksichtigen. Die EU-Kommission hat dazu im November 2025 im „Digital Omnibus“ Änderungen vorgeschlagen, die noch verhandelt werden. Bis solche Änderungen tatsächlich gelten, bleibt § 25 TDDDG der Maßstab.

Was Sie jetzt tun können

Erstellen Sie eine Liste aller Speicherungen und Drittanbieter auf Ihrer Website und fragen Sie bei jedem Eintrag: Ist er für den gewünschten Dienst unbedingt erforderlich? Was übrig bleibt, braucht eine Einwilligung oder kann ersetzt werden. Oft lässt sich die Website dabei so umbauen, dass das Banner deutlich kleiner wird oder ganz entfällt. Agenturen können technische Grundlagen schaffen, aber keine Rechtsberatung leisten. Für die rechtliche Prüfung ziehen Sie bitte eine Fachanwältin oder einen Fachanwalt hinzu. Bei der technischen Umsetzung helfen wir gern, sprechen Sie uns an.