Cookie-Recht: Was rechtlich vorgeschrieben ist und was nur nervt

Warum es Cookie-Banner überhaupt gibt

Das Grundprinzip: Niemand darf ohne Einwilligung Informationen im Endgerät eines Nutzers speichern oder abrufen — außer bei technisch notwendigen Cookies, ohne die der Dienst nicht funktionieren würde. Mehrere EuGH-Urteile haben klargestellt, dass voreingestellte Häkchen nicht als Einwilligung gelten und dass Einwilligungen freiwillig, spezifisch, informiert und eindeutig sein müssen. In der Praxis: Wer nur Session-Cookies und einen Login verwendet, braucht streng genommen keinen Banner. Sobald Analytics- oder Werbe-Tracking hinzukommt, ist ein Consent-Management-System mit echtem Opt-In Pflicht.

Die konkrete Rechtsgrundlage: § 25 TDDDG

Die zentrale Vorschrift für Cookies und ähnliche Technologien ist § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Er regelt ausdrücklich das Speichern von Informationen auf dem Endgerät eines Nutzers und den Zugriff auf bereits gespeicherte Informationen: Beides ist grundsätzlich nur zulässig, wenn der Nutzer nach klaren und umfassenden Informationen eingewilligt hat. Zwei gesetzliche Ausnahmen bestehen, für die keine Einwilligung nötig ist:

• Der alleinige Zweck ist die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz (§ 25 Abs. 2 Nr. 1 TDDDG).
• Speicherung oder Zugriff sind unbedingt erforderlich, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann (§ 25 Abs. 2 Nr. 2 TDDDG) — das deckt die technisch notwendigen Cookies aus der Liste unten ab.

Wichtig für das Verhältnis der beiden Rechtsrahmen: § 25 TDDDG ist die spezielle, technikbezogene Einwilligungspflicht für den Zugriff auf das Endgerät selbst. Er wird durch die DSGVO nicht ersetzt, sondern ergänzt sie — Information und Einwilligung müssen inhaltlich den DSGVO-Maßstäben genügen, die Zugriffspflicht als solche greift aber auch dann, wenn im Einzelfall gar keine personenbezogenen Daten verarbeitet werden. Das TDDDG selbst wurde durch das Digitale-Dienste-Gesetz umbenannt, in Kraft seit 14. Mai 2024 — bis dahin hieß dieselbe Vorschrift TTDSG.

Cookie-Kategorien und ihre Einwilligungspflicht

• Session-Cookies (technisch notwendig): Warenkorb, Login-Status, Formulardaten — keine Einwilligung nötig.
• Sicherheits-Cookies (technisch notwendig): CSRF-Token, Captcha, Bot-Schutz — direkt an die Sicherheit des Dienstes gebunden.
• Präferenz-Cookies (Graubereich): Spracheinstellung, Cookie-Banner-Status selbst — oft technisch notwendig argumentierbar, mit Vorsicht zu behandeln.
• Analyse-Cookies (einwilligungspflichtig): erfassen Nutzerverhalten und IP-Adressen.
• Marketing-Cookies (einwilligungspflichtig): teilen Daten mit Werbenetzwerken, höchste Einwilligungshürde.
• A/B-Testing-Cookies (je nach Zweck): rein intern oft technisch notwendig, mit externen Tools einwilligungspflichtig.
• Affiliate-Tracking-Cookies (einwilligungspflichtig): verfolgen Nutzer websiteübergreifend zur Provisionszurechnung.
• Social-Media-Plugins (einwilligungspflichtig): setzen teils schon beim Laden Cookies — Zwei-Klick-Lösung oder Einwilligung nötig.

Was ein rechtmäßiger Banner leisten muss

Ein rechtmäßiger Cookie-Banner muss drei Dinge gleichzeitig ermöglichen: ablehnen, zustimmen und detailliert konfigurieren — mit gleicher Prominenz für Ablehnen und Zustimmen, sichtbar auf der ersten Ebene. Technisch bedeutet das: Kein Tracking-Skript darf laden, bevor die Einwilligung vorliegt. Ebenso Pflicht: ein jederzeit zugänglicher Widerruf, etwa über einen dauerhaften Footer-Link, und eine dokumentierte Protokollierung, wann wer welche Einwilligung gegeben hat.

Verbotene Dark Patterns

• „Alle akzeptieren" in Grün, „Ablehnen" in Grau oder klein — unzulässig.
• Vorausgewählte Häkchen für Marketing-Cookies — unzulässig.
• Endloser Text, der die Ablehnoption versteckt — unzulässig.
• Nudging-Formulierungen beim Ablehnen-Button — nach aktuellem Rechtsverständnis unzulässig.

Cookie-Walls und Subscriber-Modelle

Eine Cookie-Wall sperrt den Zugang für Nutzer, die Tracking ablehnen — das gilt in vielen Fällen als unzulässig, weil die Einwilligung dann nicht mehr freiwillig ist. Eine Ausnahme hat sich etabliert: das Subscriber-Modell, bei dem Nutzer zwischen Tracking-Einwilligung mit kostenlosem Zugang oder einem kostenpflichtigen Abo ohne Tracking wählen können — mit strengen Bedingungen an faire Bepreisung und echte Wahlfreiheit. Für kleinere Unternehmen ist dieses Modell praktisch kaum umsetzbar. Für die meisten Unternehmenswebsites gilt daher: kein Tracking ohne Einwilligung, kein Sperren des Zugangs bei Ablehnung.

Rechtssicheren Banner einrichten

• Cookie-Audit durchführen: mit einem Browser-Entwicklertool oder Scanner prüfen, welche Cookies tatsächlich gesetzt werden.
• Cookies kategorisieren: technisch notwendig, Präferenzen, Analyse, Marketing.
• Consent-Management-Tool wählen, das alle Skripte bis zur Einwilligung blockiert und Einwilligungen protokolliert.
• Banner-Design DSGVO-konform gestalten: gleiche Prominenz für Ablehnen und Akzeptieren, keine voreingestellten Häkchen.
• Nachlade-Verhalten testen: Werden Tracking-Skripte erst nach Einwilligung geladen und nach Widerruf gestoppt?
• Footer-Link und Dokumentation einrichten, Einwilligungsprotokolle mehrere Jahre aufbewahren.