Was ein wirksames Cookie-Banner leisten muss
Die Anforderungen ergeben sich aus § 25 TDDDG in Verbindung mit Art. 4 Nr. 11, Art. 7 und Art. 13 DSGVO. Praktisch heißt das:
- Informiert: vor der Entscheidung ist erkennbar, welche Zwecke verfolgt werden, welche Anbieter beteiligt sind, wie lange Cookies laufen und ob Daten in Drittländer fließen.
- Freiwillig: kein Zwang, keine Nachteile bei Ablehnung, keine Cookie-Wall ohne Alternative.
- Granular: Zustimmung pro Zweck oder mindestens pro Zweckgruppe, nicht als Alles-oder-nichts-Paket.
- Aktiv erklärt: keine Vorankreuzung, kein „Weitersurfen gilt als Zustimmung", kein Scroll-Consent.
- Gleichwertig ablehnbar: „Alle ablehnen" muss auf der ersten Ebene stehen und genauso leicht erreichbar sein wie „Alle akzeptieren".
- Widerrufbar: der Widerruf muss nach Art. 7 Abs. 3 DSGVO so einfach sein wie die Erteilung — in der Praxis ein dauerhaft erreichbarer Link oder ein kleines Widget im Footer.
- Nachweisbar: Art. 7 Abs. 1 DSGVO verlangt, dass du die Einwilligung belegen kannst. Dazu gehören Zeitstempel, gewählte Zwecke, Banner-Version und der angezeigte Einwilligungstext.
- Wirksam blockierend: einwilligungspflichtige Skripte werden erst nach der Zustimmung geladen, nicht davor und nicht „nur mit gesetztem Opt-out-Flag".
Dark Patterns: wo Banner in der Praxis scheitern
Die meisten Beanstandungen von Aufsichtsbehörden richten sich nicht gegen fehlende Banner, sondern gegen manipulative Gestaltung. Typische Muster und ihre saubere Alternative:
Was die Gerichte entschieden haben
Die Leitplanken sind seit Jahren gesetzt. Der Europäische Gerichtshof entschied am 1. Oktober 2019 in der Sache Planet49 (C-673/17), dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung darstellt — und zwar unabhängig davon, ob die gespeicherten Informationen personenbezogen sind. Zur Informationspflicht stellte der Gerichtshof zusätzlich klar, dass Nutzer über die Funktionsdauer der Cookies und über den Zugriff Dritter aufgeklärt werden müssen.
Der Bundesgerichtshof zog am 28. Mai 2020 nach: Im Verfahren I ZR 7/16 („Cookie-Einwilligung II") — einer Klage nach dem Unterlassungsklagengesetz — bestätigte er die Unwirksamkeit vorangekreuzter Einwilligungen im deutschen Recht. Für dich als Betreiber ist die prozessuale Seite dieses Falls fast so wichtig wie die materielle: Ein fehlerhaftes Banner ist nicht nur ein Aufsichtsthema, sondern kann auch von Verbraucherverbänden angegriffen werden.
Die praktisch relevanteste jüngere Entscheidung stammt vom Verwaltungsgericht Hannover vom 19. März 2025 (Az. 10 A 5385/22). Geklagt hatte der Betreiber eines regionalen Online-Nachrichtenangebots gegen eine Anordnung der Datenschutzaufsicht — und verlor. Zwei Punkte des Urteils solltest du kennen:
Erstens: Der Google Tag Manager ist selbst einwilligungspflichtig. Das Gericht stellte darauf ab, dass bereits der Abruf des gtm.js-Skripts einen Zugriff auf die Endeinrichtung auslöst und Daten an Google übermittelt werden — auch dann, wenn über den Tag Manager noch gar kein Tracking-Tag ausgespielt wird. Die verbreitete Praxis, den Tag Manager als „neutrale Infrastruktur" vor dem Consent zu laden, ist damit angreifbar.
Zweitens: Ein Banner ohne gleichwertige Ablehnmöglichkeit auf der ersten Ebene ist unzulässig. Die Einwilligungsoberfläche darf nicht so gestaltet sein, dass sie Nutzer gezielt zur Zustimmung lenkt. Damit ist die Debatte über den „Alles ablehnen"-Button für deutsche Betreiber praktisch entschieden.
Bußgeldrahmen: was ein fehlerhaftes Banner kosten kann
In der Realität ist nicht der theoretische Höchstbetrag das Risiko, sondern der Aufwand: Eine Beschwerde löst ein Auskunftsverfahren aus, das Verfahren bindet Ressourcen, und am Ende steht meist eine Anordnung mit Frist zur Umstellung. Genau so verlief der Fall vor dem VG Hannover.
Technische Umsetzung: Blockierlogik statt Alibi-Banner
Ein Banner, das nur eine Entscheidung abfragt, aber keine Skripte blockiert, ist juristisch wertlos und technisch schnell entlarvt — ein Blick in die Netzwerkanalyse der Browser-Devtools vor dem Klick genügt. Diese Reihenfolge hat sich bewährt:
- Inventur: Alle Cookies, Storage-Einträge und ausgehenden Requests erfassen — inklusive Schriftarten, Karten, Videos und Chat-Widgets von Drittanbietern.
- Klassifizierung: Jeden Eintrag einer der beiden Kategorien zuordnen: unbedingt erforderlich nach § 25 Abs. 2 TDDDG oder einwilligungspflichtig.
- Blockieren: Einwilligungspflichtige Skripte über das Consent-Event der CMP nachladen, nicht über
document.write im Head.
- Prüfen: Mit leerem Profil aufrufen, ablehnen, Netzwerk-Log prüfen. Nach dem Ablehnen dürfen keine Requests an Analytics- oder Ad-Domains mehr laufen.
- Dokumentieren: Consent-Logs revisionssicher speichern und die Aufbewahrung im Löschkonzept abbilden.
Cookie-Consent in Shopware 6
Shopware 6 bringt einen Cookie-Consent-Manager in der Storefront mit, der Cookies in Gruppen organisiert — technisch erforderlich, Komfortfunktionen und Statistik. Plugins hängen sich mit dem CookieGroupCollectEvent ein und registrieren ihre eigenen Cookies in der passenden Gruppe; die frühere Variante über das CookieProviderInterface ist seit 6.7.3.0 als veraltet markiert.
Interessanter als die API ist eine Neuerung aus derselben Version: Shopware berechnet einen Hash über die gesamte Cookie-Konfiguration und legt ihn pro Sprache im Browser-Cookie cookie-config-hash ab. Ändert ein Plugin die Cookie-Landschaft, weicht der Hash ab, und das Banner wird beim nächsten Besuch erneut ausgespielt. Damit ist eine Anforderung sauber gelöst, an der viele Eigenbauten scheitern: Wenn sich Zwecke oder Anbieter ändern, ist die alte Einwilligung nicht mehr tragfähig. Wichtig bleibt die Verantwortungsteilung — die Mechanik liefert das System, die richtige Klassifizierung deiner Cookies und die Formulierung der Zwecke bleiben deine Aufgabe.
Google Consent Mode v2 ersetzt die Einwilligung nicht
Seit dem 6. März 2024 ist der Google Consent Mode v2 faktische Voraussetzung dafür, dass Google-Ads- und Analytics-Funktionen für Nutzer im EWR uneingeschränkt arbeiten. Ausgelöst wurde die Anforderung vom Digital Markets Act. Consent Mode ist aber nur ein Signalprotokoll: Er übermittelt Parameter wie ad_storage und analytics_storage an Google-Tags. Er beschafft keine Einwilligung, prüft ihre Wirksamkeit nicht und ist keine Rechtsgrundlage. Wer den Consent Mode implementiert, aber ein Banner ohne gleichwertigen Ablehnen-Button betreibt, hat ein technisch korrektes Signal auf einer unwirksamen Einwilligung — der Verstoß bleibt bestehen. Umgekehrt gilt: Fehlt die korrekte Signalübergabe, verlierst du Messbarkeit und Kampagnensteuerung, obwohl du rechtlich sauber arbeitest. Beides muss zusammenpassen, weshalb wir Consent-Setups im Digital Marketing immer gemeinsam mit dem Tracking-Konzept aufsetzen.
PIMS: Einwilligungsverwaltung nach der EinwV
Der Gesetzgeber hat mit § 26 TDDDG einen Ausweg aus der Banner-Flut angelegt: anerkannte Dienste zur Einwilligungsverwaltung, oft PIMS genannt (Personal Information Management Systems). Die Idee ist, dass Nutzer ihre Präferenzen einmal zentral festlegen und Websites diese Entscheidung abfragen, statt jedes Mal ein eigenes Banner zu zeigen. Die dazugehörige Einwilligungsverwaltungsverordnung (EinwV) ist seit dem 1. April 2025 in Kraft und regelt Anerkennung, Sicherheitskonzept und jährliche Selbstprüfung.
In der Praxis ist das Modell bislang ein Randphänomen. Im öffentlichen Register nach § 13 EinwV beim BfDI steht mit Stand August 2026 genau ein Dienst: „Consenter", anerkannt am 17. Oktober 2025. Solange die Nutzung nicht verbreitet ist, bleibt das klassische Banner für dich der Regelfall — beobachten solltest du die Entwicklung trotzdem.
Ausblick: Der Digital Omnibus steckt fest
Die EU-Kommission hat am 19. November 2025 den Digital-Omnibus-Vorschlag vorgelegt. Der datenschutzrechtliche Teil würde die Cookie-Regel aus Art. 5 Abs. 3 der ePrivacy-Richtlinie in die DSGVO überführen — als neuer Art. 88a, flankiert von Art. 88b zu maschinenlesbaren Browser-Signalen. Vorgesehen sind unter anderem Ausnahmen für risikoarme Zwecke wie die Messung der eigenen Reichweite sowie eine Sperrfrist von rund sechs Monaten, bevor nach einer Ablehnung erneut gefragt werden darf.
Entscheidend für deine Planung: Das ist ein Vorschlag, kein geltendes Recht. Stand August 2026 hat der Rat keine Verhandlungsposition — ein Kompromisstext der zyprischen Präsidentschaft wurde Ende Juni 2026 mangels qualifizierter Mehrheit zurückgezogen, und in der Fassung vom 18. Juni 2026 war der Artikel zu den maschinenlesbaren Browser-Signalen bereits gestrichen. Im Parlament steht das Verfahren 2025/0360(COD) auf „Awaiting committee decision"; der Entwurf des Ausschussberichts datiert vom 22. Juni 2026, Änderungsanträge wurden bis zum 27. Juli 2026 eingereicht. Wer sein Consent-Setup mit dem Argument aufschiebt, die Banner fielen ohnehin bald weg, plant auf Sand.
Nicht verwechseln: KI-Omnibus und Datenschutz-Omnibus
Der häufigste Fehler in Fachbeiträgen ist die Vermischung zweier Vorhaben, die beide „Omnibus" heißen. Der KI-Teil ist längst beschlossen: Die Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft und verschiebt unter anderem Fristen der KI-Verordnung. Mit Cookies, § 25 TDDDG oder Consent-Bannern hat sie nichts zu tun. Wenn du also liest, „der Omnibus ist in Kraft, Cookie-Banner werden einfacher" — das sind zwei verschiedene Rechtsakte, und der für Cookies relevante ist noch im Gesetzgebungsverfahren.
Häufige Fragen zum Cookie-Banner
Braucht wirklich jede Website ein Cookie-Banner?
Nein. Eine Website, die ausschließlich unbedingt erforderliche Cookies setzt und keine Drittanbieter-Ressourcen nachlädt, braucht kein Einwilligungs-Banner — nur eine korrekte Datenschutzerklärung. Sobald aber Reichweitenmessung, Kartendienste, eingebettete Videos oder Werbe-Pixel im Spiel sind, ist das Banner Pflicht. Der schnellste Selbsttest: Browser-Devtools öffnen, Seite im privaten Fenster laden und prüfen, welche Domains vor jeder Interaktion kontaktiert werden.
Reicht „Alle akzeptieren" plus „Einstellungen"?
Nach der Linie des VG Hannover und der deutschen Aufsichtsbehörden nicht. Die Ablehnung muss auf derselben Ebene und mit derselben Gewichtung erreichbar sein wie die Zustimmung. Ein „Einstellungen"-Link, hinter dem sich das Ablehnen versteckt, erfüllt das nicht.
Wie lange gilt eine einmal erteilte Einwilligung?
Das TDDDG nennt keine feste Frist. In der Praxis holen Betreiber die Einwilligung nach 6 bis 12 Monaten erneut ein. Zwingend ist eine neue Abfrage, wenn sich Zwecke, Anbieter oder eingesetzte Tools ändern — Shopware bildet genau diesen Fall über den Konfigurations-Hash ab. Der Widerruf muss unabhängig davon jederzeit möglich sein.
Darf ich Nutzer, die ablehnen, aussperren oder zur Kasse bitten?
Das sogenannte „Consent or Pay"-Modell ist rechtlich nicht abschließend geklärt. Der Europäische Datenschutzausschuss hat sich 2024 in einer Stellungnahme kritisch positioniert, verbindlich ist diese Stellungnahme jedoch nicht, und eine abschließende Entscheidung des EuGH steht aus. Für einen Mittelstands-Shop ist das Modell in aller Regel weder nötig noch verhältnismäßig.
Wer haftet, wenn die Agentur das Banner falsch einbaut?
Verantwortlicher im Sinne der DSGVO bleibt der Website-Betreiber. Eine Agentur oder ein CMP-Anbieter ist Auftragsverarbeiter oder Dienstleister, was dich im Außenverhältnis nicht entlastet. Deshalb gehören die Klassifizierung der Cookies, die Freigabe der Zwecktexte und ein dokumentierter Testlauf vor dem Livegang in jedes Projekt — bei uns ist das fester Bestandteil, wenn wir individuelle Systeme mit Tracking- und Consent-Anforderungen bauen.
