Cookie-Einwilligung nach § 25 TDDDG: was 2026 gilt

Wer 2026 Web-Tracking einsetzt, arbeitet an der Schnittstelle zweier Regelwerke, die ständig verwechselt werden: dem TDDDG (das Gesetz, das du bis Mai 2024 als TTDSG kanntest) und der DSGVO.

Das eine bestimmt, ob du überhaupt etwas auf dem Endgerät deiner Besucher speichern oder auslesen darfst. Das andere bestimmt, was du danach mit den Daten tun darfst. Genau an dieser Naht entstehen die teuren Fehler: Ein falsch gebautes Cookie-Banner kann nach § 28 TDDDG mit bis zu 300.000 Euro geahndet werden, und auf der DSGVO-Seite geht der Rahmen noch deutlich höher.

Dieser Beitrag zeigt, was rechtssicheres Tracking konkret verlangt: wann du nach § 25 TDDDG eine Einwilligung brauchst, wie ein Banner aussehen muss, das einer Prüfung standhält, und wie Google Consent Mode v2, das „Pur-Abo“-Modell, die neuen Einwilligungsdienste (PIMS) und die weiterhin unentschiedene EU-Cookie-Reform einzuordnen sind. Es geht um Cookie Consent als Tracking-Frage, nicht um die gesamte DSGVO-Dokumentation. Und es ist eine fachliche Orientierung, keine Rechtsberatung im Einzelfall.

Was gilt seit wann?

§ 25 TDDDG: wann du eine Einwilligung brauchst – und wann nicht

Der Grundsatz von § 25 Abs. 1 TDDDG ist streng: Jeder Speicher- oder Lesevorgang auf dem Endgerät braucht eine Einwilligung.

Unbedingt erforderlich: diese Cookies gehen ohne Einwilligung

Die Ausnahmen in Absatz 2 sind eng. Einwilligungsfrei ist ein Zugriff nur dann, wenn er allein der Übertragung einer Nachricht dient oder „unbedingt erforderlich“ ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst überhaupt funktioniert. Typisch dafür sind:

• Session-Cookie, Login-Status
• Warenkorb im Onlineshop
• Lastverteilung, Sicherheits-Token
• Speicherung der Consent-Entscheidung selbst
• Spracheinstellung, die der Nutzer aktiv wählt

Einwilligungspflichtig: Analyse, Marketing, Pixel, Fingerprinting

Ein zentraler, oft übersehener Punkt: § 25 TDDDG kennt kein berechtigtes Interesse als Rechtsgrundlage. Anders als bei der reinen Datenverarbeitung nach Art. 6 DSGVO kannst du dich für den Zugriff auf das Endgerät nicht auf eine Interessenabwägung berufen. Entweder die Ausnahme greift, oder du brauchst die Einwilligung. Auch reine Reichweitenmessung fällt darunter. Die im ePrivacy-Entwurf zeitweise geplante Ausnahme für Statistik-Cookies ist nie Gesetz geworden — die ePrivacy-Verordnung selbst hat die Kommission 2025 endgültig zurückgezogen.

Ein Opt-in brauchst du deshalb insbesondere für:

• Google Analytics, jede Reichweitenmessung
• Marketing- und Retargeting-Pixel (z. B. Meta, Google Ads)
• Google Tag Manager, sofern er Tracking lädt
• Browser-Fingerprinting, Device-IDs
• A/B-Testing- und Personalisierungstools

Im Zweifel gilt: Was nicht für den ausdrücklich gewünschten Dienst zwingend nötig ist, ist einwilligungspflichtig. Wie weit das reicht, zeigt das Verwaltungsgericht Hannover. Mit Urteil vom 19. März 2025 (Az. 10 A 5385/22) hat es bestätigt, dass schon der Einsatz des Google Tag Managers eine vorherige Einwilligung erfordert, weil bereits der Abruf des gtm.js-Skripts auf das Endgerät zugreift und Daten an Google überträgt. Der Tag Manager ist eben nicht datenschutzneutral.

TTDSG, TDDDG, DSGVO: wer regelt was?

Zur Namensfrage, weil sie viele verunsichert: Das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) wurde am 14. Mai 2024 in TDDDG umbenannt, ausgeschrieben Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Das geschah im Zuge des neuen Digitale-Dienste-Gesetzes (DDG), das den EU Digital Services Act in deutsches Recht überführt. Inhaltlich hat sich nichts geändert: Die für Cookies entscheidende Vorschrift heißt weiterhin § 25, nur eben jetzt § 25 TDDDG. Wenn du noch „TTDSG“ im Kopf hast, meinst du das richtige Gesetz unter altem Namen.

Wichtiger als der Name ist die Arbeitsteilung. § 25 TDDDG regelt den Zugriff auf das Endgerät: Sobald du Informationen auf dem Gerät eines Nutzers speicherst (etwa ein Cookie setzt) oder dort gespeicherte Informationen ausliest, greift diese Norm, und zwar unabhängig davon, ob dabei personenbezogene Daten anfallen. Die DSGVO greift erst danach, für die Verarbeitung der so gewonnenen Daten.

Ein Beispiel macht die Trennung greifbar: Das Setzen eines Analytics-Cookies fällt unter das TDDDG. Das anschließende Auswerten des daraus entstehenden Nutzungsprofils fällt unter die DSGVO. Du brauchst beide Seiten sauber, und beide haben einen eigenen Bußgeldrahmen. Verstöße gegen § 25 TDDDG kosten nach § 28 TDDDG bis zu 300.000 Euro; auf der DSGVO-Seite reicht Art. 83 bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Beide können denselben Vorgang gleichzeitig treffen.

Anforderungen an das Cookie-Banner

Was eine wirksame Einwilligung ausmacht

Die Maßstäbe sind höchstrichterlich geklärt. Der EuGH hat 2019 im Verfahren Planet49 (C-673/17) entschieden, dass ein voreingestelltes Häkchen keine wirksame Einwilligung ist. Der Bundesgerichtshof hat das am 28. Mai 2020 für Deutschland übernommen (Urteil „Cookie-Einwilligung II“, I ZR 7/16). Seitdem gilt unmissverständlich: Es braucht ein aktives Opt-in. „Weitersurfen gilt als Zustimmung“ ist unzulässig, voreingestellte Häkchen sind es ebenfalls.

Eine Einwilligung trägt nur, wenn sie vier Eigenschaften erfüllt, und jede davon hat ein typisches Gegenbeispiel. Sie muss informiert sein: Wer pauschal „für ein besseres Erlebnis“ um Zustimmung bittet, ohne Tools und Zwecke zu benennen, hat das verfehlt. Sie muss freiwillig sein: Ein Banner, das die Seite blockiert, bis man akzeptiert, übt Zwang aus.

Sie muss granular sein: Ein einziger „Alle akzeptieren“-Button ohne getrennte Wahl nach Zwecken ist kein echtes Ja. Und sie muss so einfach widerrufbar sein, wie sie erteilt wurde: Wenn das Akzeptieren ein Klick ist, der Widerruf aber eine E-Mail an den Support, stimmt das Verhältnis nicht. Nicht zu verwechseln mit dem Widerrufsbutton nach § 356a BGB, über den Verbraucher seit dem 19. Juni 2026 einen online geschlossenen Vertrag widerrufen.

Die Datenschutzkonferenz (DSK) konkretisiert diese Anforderungen in ihrer Orientierungshilfe für Anbieter:innen von digitalen Diensten (Version 1.2, Stand November 2024), der Nachfolgerin der früheren „OH Telemedien“. Sie ist das Dokument, an dem sich die deutschen Aufsichtsbehörden bei einer Prüfung orientieren, und damit die praktisch wichtigste Lektüre neben dem Gesetzestext.

Ablehnen auf der ersten Ebene, keine Vorauswahl, einfacher Widerruf

Aus diesen Anforderungen ergeben sich überschaubare, konkrete Stellschrauben. Die wichtigste betrifft die erste Ebene des Banners: Eine „Ablehnen“-Schaltfläche muss gleichwertig neben „Akzeptieren“ stehen, mit gleicher Klickdistanz und gleicher optischer Gewichtung. Der Klassiker, der vor Gericht fällt, ist der große grüne „Alle akzeptieren“-Button neben einem blassen, kleingeschriebenen „Einstellungen“-Link. Das gilt als Dark Pattern und macht die Einwilligung angreifbar. Auch das VG Hannover hat im genannten Urteil eine gleichwertige „Alles ablehnen“-Option ausdrücklich verlangt.

Genauso entscheidend ist das technische Verhalten dahinter. Tracking-Skripte dürfen erst nach der Einwilligung laden. Wer Google Analytics, den Meta-Pixel oder den Tag Manager schon beim Seitenaufruf startet und das Banner erst danach zeigt, hat die Daten bereits erhoben. Die Einwilligung kommt dann zu spät.

Dazu kommen granulare Schalter nach Zwecken, ein Widerruf, der genauso leicht erreichbar ist wie die Erteilung (etwa über einen dauerhaften „Cookie-Einstellungen“-Link im Footer), und die Dokumentation jeder Einwilligung als Nachweis für die Rechenschaftspflicht. Dieser letzte Punkt wird oft vergessen und ist im Streitfall der, der zählt. Wer Tracking und Compliance sauber zusammenführen will, plant das am besten als Teil der Shop- und Web-Architektur, wie wir das in E-Commerce-Projekten aufsetzen und nicht als nachträglichen Banner-Aufsatz.

Google Consent Mode v2: Technik, kein Ersatz für die Einwilligung

Seit dem 6. März 2024 ist der Google Consent Mode v2 faktisch Voraussetzung, um Google Ads und Google Analytics im EWR mit vollem Funktionsumfang zu nutzen. Auslöser war der Digital Markets Act, nicht das TDDDG. Wichtig ist die richtige Einordnung: Der Consent Mode ist eine Signalschicht zwischen deiner Consent Management Platform (CMP) und Google. Er ersetzt die Einwilligung nicht und ist selbst keine Rechtsgrundlage.

Praktisch relevant ist die Unterscheidung der beiden Varianten. Im Basic Mode werden Google-Tags erst geladen und gefeuert, nachdem der Nutzer zugestimmt hat. Ohne Einwilligung passiert nichts. Im Advanced Mode lädt der Tag bereits beim Seitenaufruf und sendet auch ohne Einwilligung anonymisierte, cookielose Pings an Google. Der Basic Mode ist datenschutzrechtlich die risikoärmere Wahl, weil ohne Einwilligung kein Zugriff auf das Endgerät stattfindet. Der Advanced Mode liefert mehr modellierte Conversion-Daten, ist aber rechtlich heikler und gehört vor dem Einsatz datenschutzrechtlich geprüft.

Ein Punkt, der 2026 dazugekommen ist: Seit dem 15. Juni 2026 entscheiden allein die Ads-Signale des Consent Mode (ad_storage, ad_user_data) darüber, ob Google Analytics Ads-Cookies und -IDs erhebt und an Google Ads weitergibt. Die Google-Signals-Einstellung in Analytics steuert das nicht mehr mit, sie betrifft nur noch die Verknüpfung mit eingeloggten Nutzern fürs Reporting.

Für die Personalisierung hat Google denselben Schritt für den weiteren Verlauf von 2026 angekündigt, bislang ohne festes Datum, dann über das Signal ad_personalization (Google-Analytics-Hilfe).

Ein zweiter Punkt aus derselben Ankündigung wird selten mitgelesen: Auch die vom Google-Tag automatisch erfassten IP-Adressen fließen künftig verschlüsselt in das verknüpfte Google-Ads-Konto und unterliegen dort den Ads-Einstellungen und -Bedingungen. Einen Termin dafür hat Google bislang nicht genannt. Wer ein Verarbeitungsverzeichnis pflegt, sollte die Analytics-Ads-Verknüpfung einmal daraufhin durchsehen. Dort ändert sich der Empfängerkreis, ohne dass jemand ein Häkchen setzt.

Für ein sauber konfiguriertes CMP-Setup ändert das nichts an den Pflichten, macht die korrekte Signalübergabe aber noch wichtiger: Wer das Consent-Signal falsch mappt, verliert Datenqualität und verarbeitet im Zweifel ohne Rechtsgrundlage. Ein Review der Consent-Mode-Konfiguration gehört deshalb einmal jährlich in die Routine.

Pur-Abo und „Consent or Pay“

Das Modell „zahlen oder mit Tracking einwilligen“ („Pay or Okay“, Pur-Abo) haben in den letzten Jahren viele Medienangebote eingeführt. Die Rechtslage ist differenziert. Der Europäische Datenschutzausschuss (EDSA) hat in seiner Stellungnahme 08/2024 festgehalten, dass bei großen Plattformen eine bloß binäre Wahl zwischen Bezahlen und Einwilligen in der Regel keine freie Einwilligung ergibt. Die deutschen Aufsichtsbehörden lehnen Pur-Modelle nicht pauschal ab, knüpfen ihre Zulässigkeit aber an klare Bedingungen, allen voran daran, dass Nutzer einzelnen Verarbeitungszwecken granular zustimmen oder sie ablehnen können.

Wie scharf dieser Maßstab ist, zeigt eine Entscheidung des österreichischen Bundesverwaltungsgerichts vom 13. August 2025: Es erklärte die pauschale Zustimmung im Banner der Zeitung Der Standard für unwirksam, weil sie keine granulare Auswahl zwischen Werbung, Profiling und Analyse zuließ, und verwies das Verfahren an die Datenschutzbehörde zurück. Für die Praxis heißt das: Ein Pur-Modell kann zulässig sein, ist aber kein Freibrief. Es braucht ein angemessenes Entgelt als echte Alternative und eine granulare Einwilligung. Eine einzelne Ja/Nein-Hürde reicht nicht.

Was viele für entschieden halten, ist es übrigens nicht. Metas Klage gegen die EDSA-Stellungnahme hat das Gericht der EU am 29. April 2025 als unzulässig abgewiesen (T-319/24) — eine Stellungnahme nach Art. 64 DSGVO sei nicht selbstständig anfechtbar. Das ist kein Urteil in der Sache, und erledigt ist es auch nicht: Meta hat am 10. Juli 2025 Rechtsmittel eingelegt; eine Entscheidung des EuGH in der Rechtssache C-454/25 P liegt bislang nicht vor.

Das Bußgeld gegen Meta (200 Mio. €, 23. April 2025) betraf dessen Pay-or-Consent-Modell und stützt sich auf den Digital Markets Act, nicht auf die DSGVO. Das zeitgleiche Apple-Bußgeld (500 Mio. €) wird oft in einem Atemzug genannt, betraf aber die Anti-Steering-Regeln und hat mit Consent nichts zu tun.

Eine abschließende EuGH-Entscheidung oder verbindliche EDSA-Leitlinien zu „Consent or Pay“ stehen Anfang Oktober 2026 unverändert aus — im Arbeitsprogramm des EDSA für 2026/2027 sind die Leitlinien als offenes Vorhaben gelistet, nicht einmal als Konsultationsentwurf. Beiträge, die „neue EDSA-Leitlinien“ aus dem Jahr 2026 zitieren, beziehen sich auf keine belegbare Quelle.

Wer ein Pur-Modell einsetzt, baut also auf eine Rechtslage, die sich noch bewegen kann.

EinwV und PIMS: das Ende der Cookie-Banner?

Die Einwilligungsverwaltungsverordnung (EinwV) ist am 1. April 2025 in Kraft getreten und seither unverändert in Kraft. Ihre Grundlage ist § 26 TDDDG, ihr Ziel die Entlastung der Nutzer von der Banner-Flut. Die Idee: anerkannte Dienste zur Einwilligungsverwaltung (PIMS) verwalten die Cookie-Präferenzen zentral, etwa über ein Browser-Plugin, sodass nicht jede Website einzeln nachfragen muss.

In der Praxis steht das noch am Anfang. Der erste anerkannte Dienst „Consenter“, entwickelt von der Berliner Law & Innovation Technology GmbH, wurde am 17. Oktober 2025 vom BfDI anerkannt und ins öffentliche Register eingetragen; das zugehörige Browser-Plugin ist seit Anfang 2026 verfügbar, die Nutzerzahlen liegen bislang im dreistelligen Bereich.

Stand 5. Oktober 2026 ist Consenter weiterhin der einzige im öffentlichen Register des BfDI eingetragene Dienst; die tatsächliche Verbreitung bleibt gering, und die Nutzung ist für Website-Betreiber wie Nutzer freiwillig. Ob sich das ändert, lässt sich jederzeit im Register des BfDI nachsehen — es ist die einzige verlässliche Quelle dafür, welche Dienste anerkannt sind. Die nüchterne Einordnung: PIMS ist ein Thema zum Beobachten, aber keine Grundlage, heute auf ein sauberes Banner zu verzichten.

Digital Omnibus: was sich ändern könnte (noch kein geltendes Recht)

Seit November 2025 liegt der Vorschlag der EU-Kommission für das Digital-Omnibus-Paket auf dem Tisch, und seitdem kursiert in Marketing-Runden die Erwartung, dass Cookie-Banner bald Geschichte sind. Die Entwicklung des Jahres 2026 hat diese Erwartung gründlich gedämpft, und der Verlauf lohnt eine genauere Betrachtung.

Zuerst die Abgrenzung, die fast alle Fachbeiträge falsch machen: Das Paket ist zweigeteilt. Der KI-Teil ist durch — Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft seit dem 27. Juli 2026. Er ändert die KI-Verordnung und hat mit Cookies nichts zu tun. Wer dir sagt, „der Omnibus ist beschlossen, die Banner fallen weg“, verwechselt die beiden Teile.

Der datenschutzrechtliche Teil, und nur der enthält die Cookie-Reform, hängt fest. Und zwar nicht in einem Trilog, sondern davor: Keine der beiden Institutionen hat bisher eine Verhandlungsposition. Im Rat fand sich für den Kompromisstext der zyprischen Präsidentschaft im Juni 2026 keine qualifizierte Mehrheit; seit dem 1. Juli führt Irland den Vorsitz und konsultiert die Mitgliedstaaten erneut, unter anderem zur Liste der einwilligungsfreien Cookie-Zwecke. Eine Ratsposition gibt es, Stand Anfang Oktober 2026, nicht.

Im Parlament liegt seit dem 22. Juni 2026 ein gemeinsamer Berichtsentwurf der Ausschüsse ITRE und LIBE vor; die Änderungsanträge wurden am 27. Juli 2026 eingereicht, verteilt auf neun Dokumente. Ein Ausschussvotum ist bis heute nicht terminiert, der Verfahrensstand im Legislative Observatory lautet unverändert „Awaiting committee decision“.

Was im Entwurf vorgesehen war

Vorgesehen war im Kommissionsentwurf vom November 2025:

• Die Cookie-Regel aus Art. 5 Abs. 3 ePrivacy-Richtlinie wandert in die DSGVO (als neuer Art. 88a).
• Ein Ausnahmekatalog für risikoarme Zwecke — etwa Reichweitenmessung durch den Betreiber selbst, Warenkorb- und Session-Cookies, Sicherheitsfunktionen — soll ohne Einwilligung möglich werden.
• Ablehnen muss mit einem Klick und gleichwertig zum Akzeptieren möglich sein.
• Nach einer Ablehnung soll für rund sechs Monate nicht erneut gefragt werden dürfen.
• Maschinenlesbare Einwilligungssignale aus dem Browser sollen verbindlich berücksichtigt werden (Art. 88b).

Wo die Blockade sitzt

Ausgerechnet der Punkt, der die Banner tatsächlich überflüssig gemacht hätte, verlor im Rat als Erstes die Mehrheit. Im überarbeiteten Kompromisstext der Präsidentschaft vom 18. Juni 2026 (Ratsdokument ST 10677/26, LIMITE, im Dokumentenregister des Rates abrufbar) war nicht nur Art. 88b gestrichen, sondern der gesamte Einfügeblock aus Art. 88a und Art. 88b. Getragen wurde die Streichung unter anderem von Deutschland, Frankreich und Polen, flankiert von einem intensiven Lobbying gegen die Browser-Signale, das die Datenschutzorganisation noyb öffentlich gemacht hat.

Formell entschieden ist damit nichts: Der Text war für den Ausschuss der Ständigen Vertreter am 26. Juni 2026 bestimmt, wurde aber nie Position des Rates. Die seit Juli amtierende irische Präsidentschaft hat am 3. September 2026 einen weiteren überarbeiteten Kompromisstext vorgelegt, über den der Rat am 11. September beraten hat.

Auch dort bleiben Art. 88a und 88b gestrichen, ebenso der Erwägungsgrund zu den maschinenlesbaren Signalen. Die Streichung ist also keine Episode einer einzelnen Präsidentschaft, sondern die durchgehende Linie des Rates. Amtlich veröffentlicht ist dieser September-Text nicht; publik wurde er über noyb. Geltendes Recht ist er in keinem Fall.

Die deutsche Ratslinie ist innerhalb Deutschlands nicht unumstritten: Der Bundesbeauftragte für den Datenschutz positioniert sich gegen sie. In der Pressemitteilung 12/2026 plädiert der BfDI dafür, das laufende Omnibus-Verfahren zu nutzen, um Cookie-Manager EU-weit zu verankern und Einwilligungssignale rechtlich verbindlich zu machen — also genau den Mechanismus, den der Rat gestrichen hat.

Unterfüttert ist das mit einer forsa-Befragung von 1.002 Internetnutzenden (Erhebung Juli/August 2025, Bericht August 2026): 60 Prozent lehnen pauschal ab, sobald Ablehnen mit einem Klick möglich ist, und 66 Prozent könnten sich die Nutzung eines Cookie-Managers vorstellen. Wer sein Banner heute baut, sollte diese 60 Prozent einkalkulieren, statt auf eine Reform zu warten.

Auch die Verlagerung in die DSGVO trägt der Rat nicht mit. Die Cookie-Regel soll in Art. 5 Abs. 3 ePrivacy-Richtlinie bleiben, dort aber eine erweiterte, abschließende Liste einwilligungsfreier Zwecke bekommen: Übertragung, ausdrücklich angeforderter Dienst, anonyme aggregierte Reichweitenmessung durch den Anbieter, Audience Measurement nach Art. 24 EMFA, technische Sicherheit und neu die Messung von Anzeigenauslieferung und -performance ohne Profiling. Die im Juni noch enthaltene Ausnahme für Betrugserkennung ist dabei wieder herausgefallen.

Das Ergebnis ist paradox: Die Kommission wollte die Cookie-Banner abschaffen, und im Rat sind es unter anderem die Mitgliedstaaten mit der lautesten Banner-Kritik, die genau den Mechanismus blockieren, der sie hätte ersetzen können. Was am Ende beschlossen wird, ist damit völlig offen.

Druck aus der Zivilgesellschaft

Entschieden wird das jetzt im Parlament, und genau dorthin richtet sich seit Kurzem Druck von der anderen Seite. Am 10. September 2026 hat ein Bündnis aus 19 Organisationen, Unternehmen und Wissenschaftlern einen offenen Brief an Kommission, Rat und Parlament veröffentlicht. Dazu gehören der europäische Verbraucherverband BEUC, das Bürgerrechtsnetzwerk EDRi und noyb.

Gefordert wird ein starkes Art. 88b und rechtlich verbindliche automatisierte Datenschutzsignale; als technische Grundlage nennt der Brief ADPC und navigator.consent. Entsprechende Änderungsanträge liegen im Parlament auf dem Tisch. Für die Praxis bleibt damit festzuhalten: Die Frage ist offen, entschieden wird sie in den Ausschüssen.

Wie die Aufsichtsbehörden den Entwurf sehen, ist ebenfalls aktenkundig. EDSA und Europäischer Datenschutzbeauftragter haben am 11. Februar 2026 eine gemeinsame Stellungnahme 2/2026 zum Digital Omnibus abgegeben. Solange Rat und Parlament keine Positionen haben, ist jede Aussage über „neue Cookie-Regeln ab 2027“ Spekulation.

Für dich heißt das heute: nichts ändern. Es gilt weiterhin § 25 TDDDG in der oben beschriebenen Form. Wer jetzt schon so baut, wie der Entwurf es später verlangen würde — First-Layer-Ablehnen-Button, granulare Zwecke, saubere Signalverarbeitung —, hat allerdings zwei Vorteile auf einmal: Er ist heute rechtskonform und muss später wenig anfassen. Genau das ist die Reihenfolge, in der wir Consent-Setups aufsetzen.

Checkliste: Cookie-Banner nach § 25 TDDDG prüfen (10 Punkte)

Für die Umsetzung lassen sich die wichtigsten Punkte verdichten:

1. Ohne Einwilligung nur setzen, was für den gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 TDDDG), und diese Liste gegen die tatsächlich geladenen Skripte prüfen.
2. Tracking-Skripte erst nach der Einwilligung laden, kein Vorab-Start beim Seitenaufruf.
3. „Ablehnen“ gleichwertig zu „Akzeptieren“ auf der ersten Banner-Ebene platzieren.
4. Einwilligung granular nach Zwecken einholen, kein pauschales Sammel-Ja und keine vorausgewählten Häkchen.
5. Widerruf so einfach wie die Erteilung (dauerhafter Footer-Link).
6. Jede Einwilligung dokumentieren als Nachweis für die Rechenschaftspflicht.
7. Tools, Zwecke und Anbieter im Banner und in der Datenschutzerklärung benennen und Verweise von „TTDSG“ auf „TDDDG“ aktualisieren.
8. Google Consent Mode v2 korrekt anbinden, im Zweifel Basic Mode.
9. Pur-Modell nur mit angemessenem Entgelt und granularer Wahl einsetzen.
10. Reform im Blick behalten, aber nicht darauf warten: Der Cookie-Teil des Digital Omnibus hat weder eine Ratsposition noch ein Ausschussvotum im Parlament.

Rechtssicheres Tracking erfordert keine Sondertechnik, aber es verträgt keine Abkürzungen. Die Reihenfolge aus erst Einwilligung, dann Datenerhebung muss technisch wie organisatorisch stimmen, und genau hier liegt das Muster hinter allen drei aktuellen Sonderthemen: Consent Mode v2 ist kein Freifahrtschein, das Pur-Abo kein Freibrief, und PIMS noch keine Banner-Abschaffung.

Wer auf den Wegfall der Cookie-Banner wartet, wartet noch. Solange baust du das Banner besser richtig, am sinnvollsten zusammen mit der Marketing- und Analytics-Seite, damit „rechtlich sauber“ und „liefert noch verwertbare Daten“ nicht auseinanderfallen. Die rechtssichere Bewertung deines konkreten Setups gehört am Ende in die Hand von Datenschutz- und Rechtsexpertise.

Häufige Fragen (FAQ)

Ist ein Cookie-Banner Pflicht?

Nur wenn du Cookies oder ähnliche Technologien einsetzt, die nicht unbedingt erforderlich sind (§ 25 Abs. 1 TDDDG), etwa für Analyse oder Marketing. Nutzt du ausschließlich technisch notwendige Cookies, brauchst du kein Einwilligungsbanner; informieren musst du in der Datenschutzerklärung trotzdem.

Was ist der Unterschied zwischen TTDSG und TDDDG?

Das TDDDG ist das seit 14.05.2024 umbenannte TTDSG. Die Cookie-Regel in § 25 ist inhaltlich gleich geblieben.

Brauche ich für Google Analytics 4 eine Einwilligung?

Ja. GA4 liest bzw. speichert Informationen auf dem Endgerät und ist nicht unbedingt erforderlich. Der Google Consent Mode v2 ersetzt die Einwilligung nicht.

Muss „Alle ablehnen“ auf der ersten Ebene stehen?

Nach Auffassung der Datenschutzaufsichtsbehörden muss das Ablehnen so einfach sein wie das Zustimmen. In der Praxis heißt das: „Alle ablehnen“ auf der ersten Ebene, gleichwertig gestaltet.

Welche Cookies sind ohne Einwilligung erlaubt?

Solche, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind, z. B. Warenkorb, Login, Spracheinstellung, Lastverteilung oder Sicherheit, sowie die Speicherung der Consent-Entscheidung selbst.

Was ist die EinwV?

Die Einwilligungsverwaltungsverordnung regelt seit 01.04.2025 anerkannte Dienste zur Einwilligungsverwaltung (PIMS). Für Websites ist die Teilnahme freiwillig.

Ist Server-Side-Tracking ohne Einwilligung erlaubt?

Nicht automatisch. Entscheidend ist, ob auf dem Endgerät gespeichert oder ausgelesen wird (§ 25 TDDDG) und ob die Verarbeitung nach DSGVO zulässig ist. Server-Side-Tracking verlagert die Technik, ersetzt aber keine Einwilligung.

---

Quellen (Primärquellen):

• § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen (gesetze-im-internet.de)
• Einwilligungsverwaltungsverordnung (EinwV) (gesetze-im-internet.de)
• DSK: Orientierungshilfe für Anbieter:innen von digitalen Diensten (Version 1.2, November 2024)
• BGH, Urteil vom 28.05.2020, I ZR 7/16 („Cookie-Einwilligung II“, Planet49)

Dieser Artikel ersetzt keine Rechtsberatung.