Cookie-Banner-Pflicht — Wann ist ein Cookie-Banner erforderlich?

Wann eine Einwilligung erforderlich ist

Die Rechtsgrundlage für die Einwilligungspflicht bei Cookies ergibt sich in Deutschland aus § 25 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), der die ePrivacy-Richtlinie der EU umsetzt. Eine Einwilligung ist erforderlich für alle Cookies und ähnlichen Tracking-Technologien, die nicht „unbedingt erforderlich" für den technischen Betrieb der Website sind.

Als technisch notwendig gelten zum Beispiel: Session-Cookies, die den Warenkorb aufrechterhalten, Login-Status-Cookies, CSRF-Token. Nicht als technisch notwendig gelten: Analytics-Cookies, Werbe-Cookies, Cookies von Social-Media-Plugins, Tracking-Pixel.

In vielen Fällen funktioniert dieser Ablauf nicht wie angenommen. Ein sichtbarer Banner ist kein verlässlicher Indikator für einen funktionsfähigen Consent-Flow.

Ob diese Konfiguration auf Ihrer Website tatsächlich so umgesetzt ist, lässt sich ohne technische Analyse nicht feststellen. Eine visuelle Prüfung der Website reicht dafür nicht aus.

Ein Cookie-Banner ist kein verlässlicher Indikator dafür, dass Tracking-Skripte tatsächlich erst nach der Einwilligungsentscheidung geladen werden. Das hängt von der technischen Konfiguration mehrerer unabhängiger Systemkomponenten ab.

Warum die Cookie-Banner-Pflicht in der Praxis in vielen Fällen nicht korrekt umgesetzt ist

Ein funktionsfähiger Cookie-Consent-Flow erfordert das explizite Zusammenspiel von mindestens drei unabhängigen Komponenten: dem Consent-Tool (zeigt den Banner, speichert die Entscheidung), dem Script-Lademechanismus (Google Tag Manager oder direktes Script-Management) und den eigentlichen Tracking-Scripts. Diese drei Komponenten stammen typischerweise aus verschiedenen Quellen und werden von verschiedenen Personen konfiguriert.

Fehlt die explizite Konfigurationsverbindung zwischen diesen Komponenten — was typischerweise der Fall ist, wenn sie nicht gemeinsam eingerichtet und getestet wurden — feuern die Tracking-Scripts beim Seitenaufruf, unabhängig vom Consent-Tool. Der Banner erscheint, hat aber keinen technischen Einfluss auf das Skript-Ladeverhalten.

Warum sich korrekte Implementierung von außen erkennen lässt

Ob nicht-notwendige Skripte beim initialen Seitenaufruf — vor jeder Interaktion mit dem Banner — geladen werden, ist durch HTTP-Traffic-Analyse ohne Zugang zur Website-Konfiguration feststellbar. Automatisierte Prüfsysteme rufen die Seite auf und protokollieren alle ausgehenden HTTP-Requests zu bekannten Tracking-Domains. Requests an analytics.google.com, connect.facebook.net oder static.hotjar.com vor jeder Nutzerinteraktion sind dokumentierbar.

Diese Prüfung ist reproduzierbar und skalierbar. Sie wird von Wettbewerbern, Verbänden und Datenschutzbehörden systematisch eingesetzt — bevor der Betreiber von der Prüfung weiß. Diese Prüfung wird systematisch durchgeführt — nicht als Einzelfall, sondern standardisiert und reproduzierbar.

Die Grauzone: Was als „notwendig" gilt

Die Abgrenzung zwischen notwendigen und nicht-notwendigen Cookies ist in der Praxis nicht immer eindeutig. Einige Dienste erfüllen sowohl funktionale als auch analytische Zwecke. Das bedeutet konkret:

• Ein Chat-Widget, das für Support benötigt wird, setzt Cookies — aber ob diese Cookies notwendig im TTDSG-Sinne sind, hängt von der konkreten Implementierung ab
• Google Tag Manager setzt selbst Cookies, die bei manchen Konfigurationen als technisch notwendig argumentiert werden — bei anderen nicht
• Webfonts von Google Fonts setzen keine Cookies, übertragen aber IP-Adressen und fallen damit unter den Datenschutz, nicht unter das TTDSG

Diese Punkte lassen sich nicht zuverlässig manuell prüfen, da sie von technischen Zuständen und Template-Strukturen abhängen.

Welche Cookies auf einer Website tatsächlich gesetzt werden — und welche davon einer Einwilligung bedürfen — lässt sich ohne technische Cookie-Analyse nicht verlässlich feststellen.

Was eine wirksame Einwilligung technisch erfordert

Eine Einwilligung nach § 25 TTDSG und Art. 7 DSGVO muss folgende Anforderungen erfüllen:

• Freiwilligkeit: Ablehnen muss genauso einfach zugänglich sein wie Zustimmen — kein „X" zum Schließen ohne Ablehnoption, keine versteckte Ablehn-Schaltfläche
• Informiertheit: Der Nutzer muss verstehen, welchen Diensten er zustimmt — pauschale Formulierungen wie „und Partner" sind nicht ausreichend
• Aktivität: Vorausgewählte Häkchen, Weitersurfen als Zustimmung oder Timer-basierte Einwilligung sind nicht zulässig
• Spezifität: Einwilligung muss für einzelne Kategorien (Analytics, Marketing, etc.) separat erteilt werden können
• Widerrufbarkeit: Der Nutzer muss die Einwilligung jederzeit widerrufen können — mit demselben Aufwand wie die ursprüngliche Einwilligung

Technisch entscheidend: Die Skripte für nicht-notwendige Dienste dürfen erst laden, nachdem die Einwilligung aktiv erteilt wurde — nicht gleichzeitig mit dem Banner-Erscheinen.

Typische Fehlannahme

Warum sich Konformität nicht selbst prüfen lässt

Ob tatsächlich nur technisch notwendige Cookies ohne Einwilligung gesetzt werden, lässt sich nicht durch Anschauen des Cookie-Banners feststellen. Es erfordert eine technische Prüfung der gesetzten Cookies und HTTP-Requests beim Seitenaufruf vor jeder Interaktion mit dem Banner. Ob der Banner Dark Patterns enthält, die die Ablehnung erschweren, lässt sich erst durch Analyse der Interaktionswege erkennen. Ob bei expliziter Ablehnung alle nicht-notwendigen Skripte nicht geladen werden, erfordert einen separaten Test — mit Ablehnung im Banner und anschließender Netzwerkbeobachtung.

Wer diese Tests nicht explizit vorgenommen hat, kann die Frage „Ist mein Cookie-Banner technisch korrekt?" nicht verlässlich beantworten.

Der entscheidende Zustand ist nicht das, was auf der Website sichtbar ist, sondern das, was im Hintergrund technisch passiert. Dieser Zustand ist ohne Analyse nicht zugänglich.