Cookies und Einwilligung auf Websites: Der Überblick für Betreiber und Agenturen

Viele Websites zeigen ein Cookie-Banner und halten sich damit für rechtssicher. Unsere Prüfungen zeigen regelmäßig das Gegenteil: Dienste laden, bevor jemand zustimmt, Beschreibungen sind unverständlich, und manches Banner wäre gar nicht nötig. Diese Übersicht ordnet die wichtigsten Fragen zu Cookies und Einwilligung und führt zu den ausführlichen Beiträgen.

Das Wichtigste in Kürze

• Eine Einwilligung brauchen Sie, sobald Ihre Website Informationen auf dem Endgerät speichert oder dort ausliest und das nicht unbedingt erforderlich ist. Das betrifft Cookies, aber auch Local Storage und Browser-Fingerprinting.
• Ein Consent-Tool macht eine Website nicht automatisch datenschutzkonform. Entscheidend ist, was tatsächlich vor der Zustimmung geladen wird.
• Die beste Einwilligung ist die, die Sie nicht brauchen. Viele Dienste lassen sich durch datenschutzfreundliche Alternativen ersetzen, dann entfällt das Banner.
• Prüfen Sie Ihre Website selbst, statt sich auf Versprechen von Anbietern zu verlassen.

Wann eine Einwilligung nötig ist

Maßgeblich sind zwei Gesetze. § 25 TDDDG (früher TTDSG) regelt jeden Zugriff auf das Endgerät, also das Speichern und Auslesen von Informationen. Ohne Einwilligung ist das nur erlaubt, wenn es unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst funktioniert. Die DSGVO regelt zusätzlich die Verarbeitung personenbezogener Daten, die dabei entstehen. Welche Cookies ohne Zustimmung erlaubt sind, erklärt Cookies und das TDDDG: Welche Cookies sind ohne Einwilligung erlaubt?. Wo die Grenze der technischen Notwendigkeit verläuft, zeigt Website-Cookies: Was darf ohne Zustimmung verwendet werden?.

Ob Cookies überhaupt personenbezogene Daten sind, ist für Bußgelder entscheidend: Cookies: Persönliche Daten oder nicht?. Dieselben Regeln gelten für Techniken ohne Cookie, etwa Browser-Fingerprinting. Nicht jeder Dateiabruf ist dagegen wie ein Cookie zu behandeln: Sind Dateiabrufe auf Webseiten wie Cookies zu behandeln?. Selbst Sicherheits-Cookies sind nicht automatisch erlaubt, wie das Beispiel CSRF-Cookies zeigt. Eine Übersicht für gängige Dienste bietet die Checkliste für Webseiten-Tools: Wann ist eine Einwilligung notwendig?.

Den Wortlaut der Vorschrift mit Erläuterungen finden Sie unter § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen.

Welche Cookies setzt Ihre Website?

Bevor Sie über ein Banner entscheiden, sollten Sie wissen, was Ihre Website tatsächlich speichert und lädt. Die Anleitung: Alle Cookies finden, die eine Webseite nutzt führt Schritt für Schritt durch die Prüfung im Browser. Grundlagen und verbreitete Irrtümer erklären Cookies: Grundlagen, Fakten und häufige Fehlinformationen und Cookies und Datenschutz: Die unsichtbare Gefahr im Netz.

Welche Cookies und Dienste lädt Ihre Website, bevor jemand zustimmt? Der kostenlose Website-Check zeigt es in wenigen Sekunden. Jetzt Website prüfen

Consent-Tools: Was sie leisten und was nicht

Consent-Management-Plattformen versprechen, Dienste bis zur Zustimmung automatisch zu blockieren. In der Praxis laden Browser viele Dateien parallel, und ein Tool, das selbst erst geladen werden muss, kommt oft zu spät. Warum das so ist, zeigen Consent-Management-Plattformen: Wie zuverlässig sind Cookie-Tools? und Cookie-Popups: Fünf Gründe, warum sie nicht funktionieren können. Wie verbreitet das Problem ist, belegt der Test Cookiegeddon: Das Versagen aller Consent-Tools.

Ob Ihr eigenes Tool korrekt arbeitet, lässt sich prüfen: Consent-Tools auf Webseiten: So prüft man, ob sie DSGVO-konform sind. Zu einzelnen Anbietern gibt es Praxistests:

• Borlabs Cookie: Testbericht und Empfehlungen
• Usercentrics: Praxistest des Consent-Tools
• OneTrust: Consent-Tool mit großen Tücken
• Cookiebot: Haftung des Website-Betreibers und fehlender AVV

Einwilligung richtig einholen

Wenn Sie eine Einwilligung brauchen, muss sie freiwillig, informiert und vor dem ersten Zugriff erteilt werden. Was dazu gehört, fasst die Checkliste für rechtssichere Einwilligungsabfragen zusammen. Wie verständliche Beschreibungen aussehen und wie es nicht geht, zeigt Cookie-Popups: Die besten Cookie-Beschreibungen. Ein häufiger Fehler ist ein Tag Manager, der schon vor der Zustimmung lädt: Google Tag Manager erst nach Einwilligung laden.

Zentrale Einwilligungsverwaltung (PIMS, § 26 TDDDG)

Statt auf jeder Website einzeln zuzustimmen, sollen Besucher ihre Einstellungen an zentraler Stelle hinterlegen. Grundlage ist § 26 TDDDG, der anerkannte Dienste zur Einwilligungsverwaltung vorsieht. Wie das funktionieren soll und welche Fragen offen sind, beschreibt der Beitrag Das Ende der Cookie-Popups?.

Für Betreiber ändert sich dadurch wenig: Wer auf das Endgerät zugreift und das nicht unbedingt braucht, muss weiterhin vorher wirksam einwilligen lassen. Warum das Konzept rechtlich und technisch kaum tragen kann, zeigen diese Beiträge:

• Zentrale Einwilligungsverwaltung (PIMS): 66 Gründe, warum diese Datenschutz-Idee scheitern wird
• Warum eine zentrale Einwilligungsverwaltung in der Praxis nicht funktionieren kann
• Die verkürzte Einwilligung nur in Cookies: PIMS ist nicht zu Ende gedacht
• Einwilligungsverwaltungs-Verordnung: Warum Einwilligungen nach Kategorien nicht funktionieren
• Das neue TDDDG: Dienste zur Einwilligungsverwaltung helfen dem Datenschutz nicht

Der bessere Weg: Dienste, die keine Einwilligung brauchen

Jedes Banner kostet Vertrauen und Besucher, und jede Einwilligung ist ein Rechtsrisiko, wenn sie fehlerhaft eingeholt wird. Oft lässt sich beides vermeiden. Datenschutzfreundliche Website-Tools: kostenlos und DSGVO-konform stellt Alternativen zu verbreiteten Diensten vor. Für Besucherstatistiken eignet sich Matomo ohne Einwilligung, Schriften lassen sich lokal einbinden (Google Fonts), Videos über ein Vorschaubild (YouTube).

Wer dennoch eine Abfrage braucht, findet ein kostenloses Consent-Tool zum Download mit Anleitung zur Einbindung. Warum die politische Debatte über die Abschaffung von Cookie-Bannern das Problem nicht löst, erklärt Cookie-Banner sollen abgeschafft werden. Wie wenig Ablehnen und Privatmodus die Besucher tatsächlich schützen, zeigen Cookie-Abfrage abgelehnt oder Privatmodus genutzt und Das Ende der Cookie-Blocker.

Wie Sie eine Website von Anfang an so aufbauen, dass kaum Einwilligungen nötig sind, zeigt der Schnellstart für datenschutzfreundliche Webseiten.

Prüfliste für Ihre Website

1. Erfassen Sie alle Cookies, Speicherzugriffe und externen Dienste, die beim ersten Aufruf geladen werden.
2. Prüfen Sie für jeden Eintrag, ob er für den vom Besucher gewünschten Dienst unbedingt erforderlich ist.
3. Ersetzen oder entfernen Sie Dienste, die eine Einwilligung brauchen, wo immer es geht.
4. Falls eine Einwilligung bleibt: Kontrollieren Sie, dass vor der Zustimmung nichts davon lädt, auch nicht der Tag Manager.
5. Formulieren Sie die Beschreibungen in der Abfrage so, dass Laien sie verstehen.
6. Wiederholen Sie die Prüfung nach jedem Update von Theme, Plugins oder eingebundenen Diensten.

Welche Cookies und Dienste lädt Ihre Website, bevor jemand zustimmt? Der kostenlose Website-Check zeigt es in wenigen Sekunden. Jetzt Website prüfen

Häufige Fragen

Stand: Oktober 2026. Diese Übersicht wird ergänzt, sobald neue Beiträge zum Thema erscheinen.