Cookie-Banner richtig einrichten: Was erlaubt ist und was nicht
Kurz gesagt
Ein rechtssicherer Cookie-Banner kategorisiert Cookies korrekt, erfordert aktive Einwilligung für nicht-notwendige Cookies, bietet eine ebenso einfache Ablehnmöglichkeit wie die Zustimmung und setzt keine Cookies vor der Einwilligung. Tracking, das bereits beim Seitenaufruf feuert, ist der häufigste und teuerste Fehler.
Cookies, Einwilligung und ePrivacy: Was wirklich gilt
Cookies sind kleine Textdateien im Browser. Manche sind technisch notwendig — Session-Management, Login-Status, Warenkorb. Andere dienen der Analyse oder dem Marketing. Dieser Unterschied ist rechtlich entscheidend: Die ePrivacy-Richtlinie in Verbindung mit der DSGVO regelt, dass nur technisch notwendige Cookies ohne Einwilligung gesetzt werden dürfen. Alle anderen benötigen ein aktives Opt-In. Ein vorab angehaktes Kästchen zählt rechtlich nicht als Einwilligung, eine versteckte Ablehnoption ebenso wenig.
Die Einwilligung muss nicht nur eingeholt, sondern auch gespeichert und nachweisbar sein. Eine Consent-Management-Plattform protokolliert, wann welche Person auf welcher Seite welche Einwilligung gegeben hat — im Streitfall der Nachweis, den Aufsichtsbehörden einfordern können. INREMA prüft bei jedem Audit nicht nur den Banner, sondern das tatsächliche Tracking-Verhalten per Browser-Analyse.
Welche Cookies welche Einwilligung brauchen
- Session-Cookies (keine Einwilligung): Warenkorb, Login-Status, Spracheinstellung
- Load-Balancing-Cookies (keine Einwilligung): technisch für Serververteilung, kein Personenbezug
- Google Analytics (Einwilligung erforderlich): überträgt Daten an Google-Server in den USA
- Matomo mit Cookies (Einwilligung erforderlich): cookielose Konfiguration ohne Einwilligung möglich
- Facebook Pixel (Einwilligung und Widerrufsrecht): Marketing-Cookie mit hohem Datenschutzrisiko
- Google Ads Conversion-Tracking (Einwilligung): für Remarketing und Conversion-Messung
- YouTube-Videos eingebettet (Einwilligung): bereits beim Laden werden Daten an Google übertragen
- LinkedIn Insight Tag (Einwilligung): B2B-Tracking, besonders für LinkedIn-Kampagnen relevant
Die häufigsten DSGVO-Verstöße bei Cookie-Bannern
Vier Fehler machen Cookie-Banner rechtswidrig, auch wenn sie sichtbar vorhanden sind: Erstens feuert das Tracking bereits beim Seitenaufruf, nachweisbar mit Browser-DevTools. Zweitens ist die Ablehnen-Option versteckt, kleiner oder schwerer zu finden als die Akzeptieren-Option — sogenannte Dark Patterns, die von Aufsichtsbehörden in Deutschland und der EU aktiv beanstandet werden. Drittens sind nicht-notwendige Kategorien vorausgewählt. Viertens fehlt ein Widerrufsweg. Ein realer Fall aus 2023: Ein Online-Shop in Bayern wurde mit 50.000 Euro Bußgeld belegt, weil Analyse-Cookies bereits beim Seitenaufruf gesetzt wurden — der Banner war vorhanden, die Implementierung falsch.
Empfohlene Consent-Management-Plattformen im Vergleich
- Cookiebot (Cybot): automatisches Cookie-Scanning, IAB-TCF-zertifiziert, für größere Websites
- Usercentrics: stark anpassbar, gut für komplexe Multi-Domain-Setups
- Borlabs Cookie: WordPress-Plugin, günstig, für die meisten Mittelstandswebsites ausreichend
- Real Cookie Banner: WordPress-Plugin, deutsche Entwicklung, DSGVO-fokussiert
- Consentmanager: europäische CMP, IAB-zertifiziert, für Performance-Marketing-Setups geeignet
- Osano (US-Anbieter): für international agierende Unternehmen mit CCPA-Anforderungen
- Klaro (Open Source): selbst gehostet, kostenlos, für technisch versierte Teams
- Keine Eigenentwicklung: selbstgebaute Banner erfüllen selten alle rechtlichen Anforderungen
Matomo ohne Cookie-Banner: datenschutzkonformes Analytics
Matomo kann so konfiguriert werden, dass es ohne Einwilligung betrieben werden darf: mit IP-Anonymisierung, ohne gesetzte Cookies, mit Daten ausschließlich auf eigenem oder EU-Server. Wer Google Analytics einsetzt, hat typischerweise 20 bis 40 Prozent weniger Daten als tatsächliche Besucher, weil viele Nutzer ablehnen oder den Tracker per Browser-Extension blockieren. Matomo ohne Cookies vermeidet diese Verzerrung vollständig.
Cookie-Banner korrekt einrichten: Schritt für Schritt
1. Alle Cookies und Dienste vollständig inventarisieren: eingebettete Videos, Analyse-Tools, Marketing-Pixel, Chat-Widgets, Social-Media-Buttons, externe Schriftarten. Automatisches Scanning hilft, ersetzt aber nicht die manuelle Prüfung. 2. Eine Consent-Management-Plattform auswählen und einrichten: passend zu CMS, Budget und eingebundenen Diensten. Alle nicht-notwendigen Dienste werden als einwilligungspflichtige Kategorien konfiguriert. 3. Tracking erst nach Einwilligung starten lassen: Skripte über die CMP kontrolliert laden, nicht direkt im Header einbinden. Prüfbar mit Browser-DevTools beim ersten Seitenaufruf ohne Cookies. 4. Gleichwertigkeit von Annehmen und Ablehnen sicherstellen: auf gleicher Ebene, mit gleichem visuellen Gewicht. Das Landgericht Berlin hat 2023 mehrere ungleiche Gestaltungen als unzulässig eingestuft. 5. Widerrufsweg sichtbar einbauen: ein dauerhaft sichtbarer Link im Footer, oft als schwebender Button umgesetzt. 6. Regelmäßig neu scannen und dokumentieren: jede Website-Änderung kann neue Cookie-Dienste einführen, mindestens bei jedem größeren Update prüfen.
Dark Patterns: Was Aufsichtsbehörden konkret beanstanden
Konkret beanstandet werden ein Akzeptieren-Button in der Primärfarbe neben einem grauen Ablehnen-Link ohne Button-Charakter, ein Pop-up, das beim Ablehnen weitere Klicks erfordert, eine Bannerfläche ohne Ablehnen-Option auf der ersten Ebene, und vorausgewählte Checkboxen für Marketing-Kategorien. Maßgeblich sind die EDSA-Richtlinie "Dark patterns in social media" (2022) und die DSK-Orientierungshilfe Telemedien. Faustregel: Erfordert das Ablehnen mehr Klicks als das Akzeptieren oder ist der Ablehnen-Button kleiner und blasser, handelt es sich vermutlich um ein Dark Pattern.