Cookie-Banner: Wann ist er Pflicht?

Viele Website-Betreiber fragen sich, ob sie wirklich einen Cookie-Banner benötigen. Die Antwort hängt davon ab, welche Cookies und Technologien auf der Website eingesetzt werden. Dieser Ratgeber erklärt, wann ein Cookie-Banner gesetzlich vorgeschrieben ist und wann darauf verzichtet werden kann.

Was ist ein Cookie-Banner?

Ein Cookie-Banner ist ein Hinweis, der Besucherinnen und Besucher einer Website über den Einsatz von Cookies und ähnlichen Technologien informiert. Sind diese Technologien nicht ausschließlich technisch notwendig, müssen Nutzer vor der Aktivierung ausdrücklich zustimmen. Der Banner ermöglicht diese Einwilligung einzuholen und gleichzeitig transparent zu machen, welche Daten zu welchem Zweck verarbeitet werden.

Rechtliche Grundlage

Die Pflicht zum Cookie-Banner ergibt sich aus zwei Rechtsquellen, die zusammenwirken:

DSGVO (Datenschutz-Grundverordnung): Die DSGVO regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Artikel 6 DSGVO nennt verschiedene Rechtsgrundlagen, darunter die Einwilligung der betroffenen Person. Wer Cookies einsetzt, die personenbezogene Daten erheben oder übertragen, braucht in der Regel eine solche Einwilligung.

TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz): Das TDDDG, früher als TTDSG bekannt, regelt ergänzend den Schutz von Endeinrichtungen. Paragraph 25 TDDDG schreibt vor, dass das Speichern von Informationen auf dem Endgerät eines Nutzers nur mit dessen Einwilligung erlaubt ist, sofern dies nicht technisch unbedingt erforderlich ist.

Der Europäische Gerichtshof hat in seinem Planet49-Urteil klargestellt, dass voreingestellte Häkchen und passive Zustimmung keine wirksame Einwilligung darstellen.

Wann ist ein Cookie-Banner Pflicht?

Ein Cookie-Banner ist immer dann erforderlich, wenn auf der Website mindestens eines der folgenden Szenarien zutrifft:

Analyse- und Tracking-Tools: Wer Google Analytics, Matomo (mit aktiviertem Tracking) oder ähnliche Dienste einsetzt, erhebt Nutzungsdaten. Dafür ist eine Einwilligung notwendig, bevor das Tracking startet.

Marketing- und Werbe-Cookies: Retargeting-Pixel, Facebook-Pixel, Google Ads-Conversion-Tracking und vergleichbare Technologien speichern Daten über das Nutzerverhalten, um personalisierte Werbung auszuspielen. Ohne vorherige Einwilligung ist das nicht erlaubt.

Einbindung externer Dienste: YouTube-Videos, Google Maps, Social-Media-Buttons und andere externe Inhalte setzen oft automatisch Cookies. Werden sie direkt eingebunden, ohne dass Nutzer aktiv zugestimmt haben, liegt ein Verstoß vor.

Komfort-Cookies: Cookies, die Einstellungen wie Sprachauswahl oder bevorzugte Ansichten speichern, aber nicht zwingend technisch notwendig sind, erfordern ebenfalls eine Einwilligung.

Wann ist kein Cookie-Banner nötig?

Werden ausschließlich technisch notwendige Cookies eingesetzt, entfällt die Pflicht zur Einholung einer Einwilligung. Als technisch notwendig gelten Cookies, die für den Betrieb der Website unbedingt erforderlich sind. Typische Beispiele sind Session-Cookies für Warenkörbe oder Login-Funktionen sowie Cookies zur Lastverteilung auf dem Server.

Wer sichergehen will, welche Cookies seine Website setzt und welche davon einwilligungspflichtig sind, kann den Generator auf cookie-consent-generator.de nutzen, um einen rechtssicheren Banner zu erstellen und dabei genau zu konfigurieren, welche Cookie-Kategorien zur Einwilligung angeboten werden.

Konsequenzen fehlender Cookie-Banner

Ein fehlender oder fehlerhafter Cookie-Banner kann erhebliche Folgen haben. Datenschutzbehörden können Bußgelder verhängen. In Deutschland sind die Landesdatenschutzbehörden zuständig, die bereits Verwarnungen und Bußgelder ausgesprochen haben. Darüber hinaus sind Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände möglich, auch wenn deren Umfang in der Rechtsprechung weiterhin diskutiert wird.

Fazit

Wer auf seiner Website Cookies einsetzt, die über technisch notwendige Funktionen hinausgehen, kommt um einen Cookie-Banner nicht herum. Die Anforderungen sind dabei klar: Der Banner muss vor dem Setzen der Cookies erscheinen, Nutzer müssen aktiv zustimmen, und eine Ablehnung muss genauso einfach möglich sein wie die Zustimmung. Im Zweifel empfiehlt sich die Beratung durch einen Fachanwalt für Datenschutzrecht.