Ein Cookie-Banner ist das Einwilligungs-Interface, das eine Website beim ersten Aufruf einblendet, um die Erlaubnis der Nutzer für Cookies und vergleichbare Zugriffe auf ihr Endgerät einzuholen. Rechtlich ist es die technische Umsetzung von § 25 Abs. 1 TDDDG: Ohne vorherige, informierte Einwilligung darf eine Website nichts auf dem Endgerät speichern und nichts von dort auslesen, das nicht unbedingt erforderlich ist.
Synonyme wie Consent-Banner, Cookie-Hinweis oder Consent-Layer meinen dasselbe Element. Die Software dahinter heißt Consent-Management-Plattform (CMP): Sie zeigt das Banner, speichert die Entscheidung, blockiert Skripte bis zur Einwilligung und dokumentiert alles nachweisbar. Der Begriff „Cookie-Banner" ist dabei etwas irreführend eng — die Einwilligungspflicht hängt nicht am Dateiformat Cookie, sondern am Zugriff auf die Endeinrichtung. Local Storage, Session Storage, Device Fingerprinting und Pixel fallen genauso darunter.
Rechtsgrundlage: § 25 TDDDG und DSGVO greifen ineinander
In Deutschland sind zwei Ebenen zu unterscheiden, und genau diese Trennung wird in der Praxis regelmäßig übersehen:
- Ebene 1 — der Zugriff auf das Endgerät: geregelt in § 25 TDDDG. Speichern oder Auslesen ist „nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat".
- Ebene 2 — die anschließende Verarbeitung der Daten: geregelt in der DSGVO. Hier brauchst du eine eigene Rechtsgrundlage nach Art. 6 DSGVO, meist wiederum die Einwilligung nach Art. 6 Abs. 1 lit. a.
Das TDDDG heißt seit dem 14. Mai 2024 so — davor TTDSG. Umbenannt wurde es im Zuge des Digitale-Dienste-Gesetzes (DDG), inhaltlich ist § 25 unverändert geblieben. Wenn du in älteren Quellen „§ 25 TTDSG" liest, ist dieselbe Norm gemeint.
Warum es beim Endgerätezugriff kein berechtigtes Interesse gibt
Der häufigste Denkfehler in Marketing-Abteilungen: „Analytics läuft doch über berechtigtes Interesse." Für die Datenverarbeitung nach der DSGVO ist Art. 6 Abs. 1 lit. f grundsätzlich eine denkbare Rechtsgrundlage — für den Zugriff auf das Endgerät nach § 25 TDDDG nicht. Die Norm kennt exakt zwei Optionen: Einwilligung oder eine der beiden engen Ausnahmen in Absatz 2. Ein Abwägungsspielraum existiert dort schlicht nicht. Wer ein Tracking-Cookie ohne Einwilligung setzt, verstößt gegen § 25 Abs. 1 TDDDG — unabhängig davon, wie sauber die anschließende Datenverarbeitung begründet ist.
Die zwei Ausnahmen des § 25 Abs. 2 TDDDG
Ohne Einwilligung zulässig ist der Zugriff nur, wenn er allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dient, oder wenn er unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. „Unbedingt erforderlich" ist dabei streng zu lesen und aus Sicht des Nutzers zu beurteilen, nicht aus Sicht deines Marketings.
Unstrittig erforderlich sind in einem Onlineshop typischerweise: Session-ID, Warenkorb, Login-Status, Spracheinstellung, Währungswahl, CSRF-Token, Load-Balancing und ein Cookie, das die Consent-Entscheidung selbst speichert. Nicht erforderlich sind: Reichweitenmessung, A/B-Testing, Conversion-Pixel, Remarketing, eingebettete YouTube- oder Vimeo-Player, Chat-Widgets externer Anbieter und Kartendienste, die beim Laden Daten an Dritte übermitteln.
Was ein wirksames Cookie-Banner leisten muss
Die Anforderungen ergeben sich aus § 25 TDDDG in Verbindung mit Art. 4 Nr. 11, Art. 7 und Art. 13 DSGVO. Praktisch heißt das:
- Informiert: vor der Entscheidung ist erkennbar, welche Zwecke verfolgt werden, welche Anbieter beteiligt sind, wie lange Cookies laufen und ob Daten in Drittländer fließen.
- Freiwillig: kein Zwang, keine Nachteile bei Ablehnung, keine Cookie-Wall ohne Alternative.
- Granular: Zustimmung pro Zweck oder mindestens pro Zweckgruppe, nicht als Alles-oder-nichts-Paket.
- Aktiv erklärt: keine Vorankreuzung, kein „Weitersurfen gilt als Zustimmung", kein Scroll-Consent.
- Gleichwertig ablehnbar: „Alle ablehnen" muss auf der ersten Ebene stehen und genauso leicht erreichbar sein wie „Alle akzeptieren".
- Widerrufbar: der Widerruf muss nach Art. 7 Abs. 3 DSGVO so einfach sein wie die Erteilung — in der Praxis ein dauerhaft erreichbarer Link oder ein kleines Widget im Footer.
- Nachweisbar: Art. 7 Abs. 1 DSGVO verlangt, dass du die Einwilligung belegen kannst. Dazu gehören Zeitstempel, gewählte Zwecke, Banner-Version und der angezeigte Einwilligungstext.
- Wirksam blockierend: einwilligungspflichtige Skripte werden erst nach der Zustimmung geladen, nicht davor und nicht „nur mit gesetztem Opt-out-Flag".
Dark Patterns: wo Banner in der Praxis scheitern
Die meisten Beanstandungen von Aufsichtsbehörden richten sich nicht gegen fehlende Banner, sondern gegen manipulative Gestaltung. Typische Muster und ihre saubere Alternative:
| Muster im Banner | Warum es angreifbar ist | Saubere Umsetzung |
|---|---|---|
| „Akzeptieren" als grüner Button, „Einstellungen" als grauer Textlink | Die Ablehnung ist nicht gleichwertig erreichbar, die Freiwilligkeit leidet | Zwei Buttons gleicher Größe, Farbe und Position auf Ebene 1 |
| Ablehnen erst auf der zweiten Ebene | Zusätzliche Klickhürde, vom VG Hannover ausdrücklich beanstandet | „Alle ablehnen" direkt neben „Alle akzeptieren" |
| Schalter für Statistik-Cookies vorab aktiviert | Keine aktive Handlung, verstößt gegen Planet49 und BGH | Alle nicht erforderlichen Kategorien standardmäßig aus |
| Banner wird bei jedem Seitenaufruf erneut gezeigt, bis akzeptiert wird | Nudging, faktischer Zwang zur Zustimmung | Ablehnung genauso lange speichern wie Zustimmung |
| Skripte laden bereits beim Seitenaufbau, Consent wird nur „gemerkt" | Der Zugriff auf das Endgerät ist längst erfolgt | Blockierlogik im Tag-Management, Skripte erst nach Consent-Event |
Was die Gerichte entschieden haben
Die Leitplanken sind seit Jahren gesetzt. Der Europäische Gerichtshof entschied am 1. Oktober 2019 in der Sache Planet49 (C-673/17), dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung darstellt — und zwar unabhängig davon, ob die gespeicherten Informationen personenbezogen sind. Zur Informationspflicht stellte der Gerichtshof zusätzlich klar, dass Nutzer über die Funktionsdauer der Cookies und über den Zugriff Dritter aufgeklärt werden müssen.
Der Bundesgerichtshof zog am 28. Mai 2020 nach: Im Verfahren I ZR 7/16 („Cookie-Einwilligung II") — einer Klage nach dem Unterlassungsklagengesetz — bestätigte er die Unwirksamkeit vorangekreuzter Einwilligungen im deutschen Recht. Für dich als Betreiber ist die prozessuale Seite dieses Falls fast so wichtig wie die materielle: Ein fehlerhaftes Banner ist nicht nur ein Aufsichtsthema, sondern kann auch von Verbraucherverbänden angegriffen werden.
VG Hannover 2025: Google Tag Manager und der Ablehnen-Button
Die praktisch relevanteste jüngere Entscheidung stammt vom Verwaltungsgericht Hannover vom 19. März 2025 (Az. 10 A 5385/22). Geklagt hatte der Betreiber eines regionalen Online-Nachrichtenangebots gegen eine Anordnung der Datenschutzaufsicht — und verlor. Zwei Punkte des Urteils solltest du kennen:
Erstens: Der Google Tag Manager ist selbst einwilligungspflichtig. Das Gericht stellte darauf ab, dass bereits der Abruf des gtm.js-Skripts einen Zugriff auf die Endeinrichtung auslöst und Daten an Google übermittelt werden — auch dann, wenn über den Tag Manager noch gar kein Tracking-Tag ausgespielt wird. Die verbreitete Praxis, den Tag Manager als „neutrale Infrastruktur" vor dem Consent zu laden, ist damit angreifbar.
Zweitens: Ein Banner ohne gleichwertige Ablehnmöglichkeit auf der ersten Ebene ist unzulässig. Die Einwilligungsoberfläche darf nicht so gestaltet sein, dass sie Nutzer gezielt zur Zustimmung lenkt. Damit ist die Debatte über den „Alles ablehnen"-Button für deutsche Betreiber praktisch entschieden.
Bußgeldrahmen: was ein fehlerhaftes Banner kosten kann
| Grundlage | Rahmen | Zuständigkeit |
|---|---|---|
| § 28 Abs. 1 Nr. 13, Abs. 2 TDDDG (Zugriff ohne Einwilligung) | bis 300.000 € | BfDI bei Telekommunikationsanbietern und Bundesbehörden, sonst die Landesdatenschutzbehörden |
| Art. 83 Abs. 5 DSGVO (unrechtmäßige Verarbeitung) | bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist | zuständige Landesdatenschutzbehörde |
| Unterlassungsklagengesetz / Wettbewerbsrecht | Unterlassung, Abmahnkosten, Vertragsstrafe | Verbraucherverbände, Wettbewerber |
In der Realität ist nicht der theoretische Höchstbetrag das Risiko, sondern der Aufwand: Eine Beschwerde löst ein Auskunftsverfahren aus, das Verfahren bindet Ressourcen, und am Ende steht meist eine Anordnung mit Frist zur Umstellung. Genau so verlief der Fall vor dem VG Hannover.
Technische Umsetzung: Blockierlogik statt Alibi-Banner
Ein Banner, das nur eine Entscheidung abfragt, aber keine Skripte blockiert, ist juristisch wertlos und technisch schnell entlarvt — ein Blick in die Netzwerkanalyse der Browser-Devtools vor dem Klick genügt. Diese Reihenfolge hat sich bewährt:
- Inventur: Alle Cookies, Storage-Einträge und ausgehenden Requests erfassen — inklusive Schriftarten, Karten, Videos und Chat-Widgets von Drittanbietern.
- Klassifizierung: Jeden Eintrag einer der beiden Kategorien zuordnen: unbedingt erforderlich nach § 25 Abs. 2 TDDDG oder einwilligungspflichtig.
- Blockieren: Einwilligungspflichtige Skripte über das Consent-Event der CMP nachladen, nicht über
document.writeim Head. - Prüfen: Mit leerem Profil aufrufen, ablehnen, Netzwerk-Log prüfen. Nach dem Ablehnen dürfen keine Requests an Analytics- oder Ad-Domains mehr laufen.
- Dokumentieren: Consent-Logs revisionssicher speichern und die Aufbewahrung im Löschkonzept abbilden.
Cookie-Consent in Shopware 6
Shopware 6 bringt einen Cookie-Consent-Manager in der Storefront mit, der Cookies in Gruppen organisiert — technisch erforderlich, Komfortfunktionen und Statistik. Plugins hängen sich mit dem CookieGroupCollectEvent ein und registrieren ihre eigenen Cookies in der passenden Gruppe; die frühere Variante über das CookieProviderInterface ist seit 6.7.3.0 als veraltet markiert.
Interessanter als die API ist eine Neuerung aus derselben Version: Shopware berechnet einen Hash über die gesamte Cookie-Konfiguration und legt ihn pro Sprache im Browser-Cookie cookie-config-hash ab. Ändert ein Plugin die Cookie-Landschaft, weicht der Hash ab, und das Banner wird beim nächsten Besuch erneut ausgespielt. Damit ist eine Anforderung sauber gelöst, an der viele Eigenbauten scheitern: Wenn sich Zwecke oder Anbieter ändern, ist die alte Einwilligung nicht mehr tragfähig. Wichtig bleibt die Verantwortungsteilung — die Mechanik liefert das System, die richtige Klassifizierung deiner Cookies und die Formulierung der Zwecke bleiben deine Aufgabe.
Google Consent Mode v2 ersetzt die Einwilligung nicht
Seit dem 6. März 2024 ist der Google Consent Mode v2 faktische Voraussetzung dafür, dass Google-Ads- und Analytics-Funktionen für Nutzer im EWR uneingeschränkt arbeiten. Ausgelöst wurde die Anforderung vom Digital Markets Act. Consent Mode ist aber nur ein Signalprotokoll: Er übermittelt Parameter wie ad_storage und analytics_storage an Google-Tags. Er beschafft keine Einwilligung, prüft ihre Wirksamkeit nicht und ist keine Rechtsgrundlage. Wer den Consent Mode implementiert, aber ein Banner ohne gleichwertigen Ablehnen-Button betreibt, hat ein technisch korrektes Signal auf einer unwirksamen Einwilligung — der Verstoß bleibt bestehen. Umgekehrt gilt: Fehlt die korrekte Signalübergabe, verlierst du Messbarkeit und Kampagnensteuerung, obwohl du rechtlich sauber arbeitest. Beides muss zusammenpassen, weshalb wir Consent-Setups im Digital Marketing immer gemeinsam mit dem Tracking-Konzept aufsetzen.
PIMS: Einwilligungsverwaltung nach der EinwV
Der Gesetzgeber hat mit § 26 TDDDG einen Ausweg aus der Banner-Flut angelegt: anerkannte Dienste zur Einwilligungsverwaltung, oft PIMS genannt (Personal Information Management Systems). Die Idee ist, dass Nutzer ihre Präferenzen einmal zentral festlegen und Websites diese Entscheidung abfragen, statt jedes Mal ein eigenes Banner zu zeigen. Die dazugehörige Einwilligungsverwaltungsverordnung (EinwV) ist seit dem 1. April 2025 in Kraft und regelt Anerkennung, Sicherheitskonzept und jährliche Selbstprüfung.
In der Praxis ist das Modell bislang ein Randphänomen. Im öffentlichen Register nach § 13 EinwV beim BfDI steht mit Stand August 2026 genau ein Dienst: „Consenter", anerkannt am 17. Oktober 2025. Solange die Nutzung nicht verbreitet ist, bleibt das klassische Banner für dich der Regelfall — beobachten solltest du die Entwicklung trotzdem.
Ausblick: Der Digital Omnibus steckt fest
Die EU-Kommission hat am 19. November 2025 den Digital-Omnibus-Vorschlag vorgelegt. Der datenschutzrechtliche Teil würde die Cookie-Regel aus Art. 5 Abs. 3 der ePrivacy-Richtlinie in die DSGVO überführen — als neuer Art. 88a, flankiert von Art. 88b zu maschinenlesbaren Browser-Signalen. Vorgesehen sind unter anderem Ausnahmen für risikoarme Zwecke wie die Messung der eigenen Reichweite sowie eine Sperrfrist von rund sechs Monaten, bevor nach einer Ablehnung erneut gefragt werden darf.
Entscheidend für deine Planung: Das ist ein Vorschlag, kein geltendes Recht. Stand August 2026 hat der Rat keine Verhandlungsposition — ein Kompromisstext der zyprischen Präsidentschaft wurde Ende Juni 2026 mangels qualifizierter Mehrheit zurückgezogen, und in der Fassung vom 18. Juni 2026 war der Artikel zu den maschinenlesbaren Browser-Signalen bereits gestrichen. Im Parlament steht das Verfahren 2025/0360(COD) auf „Awaiting committee decision"; der Entwurf des Ausschussberichts datiert vom 22. Juni 2026, Änderungsanträge wurden bis zum 27. Juli 2026 eingereicht. Wer sein Consent-Setup mit dem Argument aufschiebt, die Banner fielen ohnehin bald weg, plant auf Sand.
Nicht verwechseln: KI-Omnibus und Datenschutz-Omnibus
Der häufigste Fehler in Fachbeiträgen ist die Vermischung zweier Vorhaben, die beide „Omnibus" heißen. Der KI-Teil ist längst beschlossen: Die Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft und verschiebt unter anderem Fristen der KI-Verordnung. Mit Cookies, § 25 TDDDG oder Consent-Bannern hat sie nichts zu tun. Wenn du also liest, „der Omnibus ist in Kraft, Cookie-Banner werden einfacher" — das sind zwei verschiedene Rechtsakte, und der für Cookies relevante ist noch im Gesetzgebungsverfahren.
Häufige Fragen zum Cookie-Banner
Braucht wirklich jede Website ein Cookie-Banner?
Nein. Eine Website, die ausschließlich unbedingt erforderliche Cookies setzt und keine Drittanbieter-Ressourcen nachlädt, braucht kein Einwilligungs-Banner — nur eine korrekte Datenschutzerklärung. Sobald aber Reichweitenmessung, Kartendienste, eingebettete Videos oder Werbe-Pixel im Spiel sind, ist das Banner Pflicht. Der schnellste Selbsttest: Browser-Devtools öffnen, Seite im privaten Fenster laden und prüfen, welche Domains vor jeder Interaktion kontaktiert werden.
Reicht „Alle akzeptieren" plus „Einstellungen"?
Nach der Linie des VG Hannover und der deutschen Aufsichtsbehörden nicht. Die Ablehnung muss auf derselben Ebene und mit derselben Gewichtung erreichbar sein wie die Zustimmung. Ein „Einstellungen"-Link, hinter dem sich das Ablehnen versteckt, erfüllt das nicht.
Wie lange gilt eine einmal erteilte Einwilligung?
Das TDDDG nennt keine feste Frist. In der Praxis holen Betreiber die Einwilligung nach 6 bis 12 Monaten erneut ein. Zwingend ist eine neue Abfrage, wenn sich Zwecke, Anbieter oder eingesetzte Tools ändern — Shopware bildet genau diesen Fall über den Konfigurations-Hash ab. Der Widerruf muss unabhängig davon jederzeit möglich sein.
Darf ich Nutzer, die ablehnen, aussperren oder zur Kasse bitten?
Das sogenannte „Consent or Pay"-Modell ist rechtlich nicht abschließend geklärt. Der Europäische Datenschutzausschuss hat sich 2024 in einer Stellungnahme kritisch positioniert, verbindlich ist diese Stellungnahme jedoch nicht, und eine abschließende Entscheidung des EuGH steht aus. Für einen Mittelstands-Shop ist das Modell in aller Regel weder nötig noch verhältnismäßig.
Wer haftet, wenn die Agentur das Banner falsch einbaut?
Verantwortlicher im Sinne der DSGVO bleibt der Website-Betreiber. Eine Agentur oder ein CMP-Anbieter ist Auftragsverarbeiter oder Dienstleister, was dich im Außenverhältnis nicht entlastet. Deshalb gehören die Klassifizierung der Cookies, die Freigabe der Zwecktexte und ein dokumentierter Testlauf vor dem Livegang in jedes Projekt — bei uns ist das fester Bestandteil, wenn wir individuelle Systeme mit Tracking- und Consent-Anforderungen bauen.