Kurze Antwort: Wer auf einer Website Cookies einsetzt, braucht für alle nicht notwendigen Cookies (Statistik, Werbung, Personalisierung) eine vorherige, informierte, freiwillige und eindeutige Einwilligung. Praktisch heißt das: ein Consent-Banner, das nicht notwendige Cookies bis zur aktiven Entscheidung blockiert, einen „Ablehnen”-Button so sichtbar wie „Akzeptieren” bietet, keine vorausgewählten Kästchen nutzt, die Einwilligung dokumentiert und einen jederzeit widerrufbaren Zugang bereitstellt. Technisch notwendige Cookies (Login, Warenkorb, Sicherheit) sind einwilligungsfrei, müssen aber offengelegt werden.
Die Rechtsgrundlage: DSGVO trifft § 25 TDDDG
In Deutschland gilt eine doppelte Regelung. Das Speichern und Auslesen von Informationen auf dem Endgerät regelt § 25 TDDDG (früher TTDSG) — er verlangt die vorherige Einwilligung. Die DSGVO definiert, wie diese Einwilligung aussehen muss: freiwillig, für den konkreten Zweck, informiert und unmissverständlich. Der EuGH hat im Urteil Planet49 (C-673/17) klargestellt: ein vorausgewähltes Häkchen ist keine wirksame Einwilligung. Weiterscrollen oder Schweigen zählt ebenfalls nicht. Zusätzlich besteht die Impressumspflicht nach § 5 DDG.
„Personenbezogene Daten sind das neue Öl des Internets und die neue Währung der digitalen Welt.”
— Meglena Kuneva, EU-Verbraucherkommissarin (2009)
Fünf Anforderungen an ein rechtssicheres Cookie-Banner
- Erst blockieren, dann fragen. Kein Tracker darf vor der Einwilligung laden.
- Granular. Cookies nach Zweck trennen (notwendig, Präferenzen, Statistik, Marketing) und einzeln zustimmbar machen.
- Ablehnen so leicht wie Akzeptieren. Beide Buttons auf der ersten Ebene, gleich sichtbar — von deutschen Aufsichtsbehörden ausdrücklich gefordert.
- Keine Dark Patterns. Keine vorausgewählten Kästchen, keine farblichen Tricks.
- Widerrufbar und protokolliert. Ein dauerhafter Link „Cookie-Einstellungen” und ein Einwilligungsnachweis.
Google Consent Mode v2 — Pflicht seit März 2024
Wer EU-/EWR- oder UK-Daten an Google Ads, GA4 oder Remarketing sendet, braucht seit März 2024 den Consent Mode v2. Er überträgt die Nutzerentscheidung über vier Signale an Google (ad_storage, analytics_storage, ad_user_data, ad_personalization). Ohne korrekte Verknüpfung mit dem Banner brechen Remarketing und Conversion-Messung für europäische Nutzer weg. Eine zertifizierte Consent-Management-Plattform (CMP) mit IAB-Europe-TCF v2.2 verbindet Banner und Tags sauber.
Notwendige vs. einwilligungspflichtige Cookies
| Typ | Beispiele | Einwilligung? |
|---|---|---|
| Technisch notwendig | Login, Warenkorb, Sicherheit | Nein (aber offenlegen) |
| Statistik | Google Analytics 4, Matomo | Ja |
| Marketing | Meta Pixel, Google Ads, LinkedIn | Ja — immer |
Was Verstöße kosten
Die DSGVO erlaubt Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Die französische CNIL verhängte 150 Mio. € gegen Google, weil das Ablehnen mehr Klicks kostete als das Akzeptieren — ein Muster, das auch deutsche Behörden beanstanden. Ist die Einwilligung unwirksam, wird jede darauf gestützte Verarbeitung (Analytics, Werbung) rechtswidrig.
Häufige Fragen
Brauche ich ein Banner nur für Google Analytics?
Ja. GA4 setzt Cookies und verarbeitet personenbezogene Daten — nach § 25 TDDDG ist die vorherige Einwilligung erforderlich.
Ist „Nur Akzeptieren” erlaubt?
Nein. Ohne gleichwertiges „Ablehnen” ist die Einwilligung nicht freiwillig.
Wie lange gilt eine Einwilligung?
Ein fester Wert existiert nicht; 6–12 Monate gelten als übliche Obergrenze.
Quellen
- EuGH — Planet49 (C-673/17).
- § 25 TDDDG; § 5 DDG.
- Google for Developers — Consent Mode v2.
- IAB Europe — TCF v2.2.
Brauchen Sie eine DSGVO-konforme, konvertierende Website?
WiseGuyXL baut und prüft DSGVO-konforme, leistungsstarke Websites in ganz Europa — Webdesign & Entwicklung. Wir haben 341 % organisches Wachstum über 30+ Projekte in 9+ Märkten erzielt.