Nein, ein Cookie-Banner ist nicht für jede Website Pflicht. Wer Besucher nicht mit unnötigen Einwilligungsfenstern aufhalten möchte, sollte zuerst prüfen, welche Technologien die Seite wirklich nutzt. Es geht nicht um die bloße Existenz eines Cookies, sondern um seinen Zweck und um weitere Zugriffe auf das Gerät.
Die zentrale Rechtsgrundlage ist § 25 TDDDG. Für die anschließende Verarbeitung personenbezogener Daten gelten zusätzlich die Regeln der DSGVO. Dieser Ratgeber bietet eine technische Orientierung, keine individuelle Rechtsberatung.
Wann ist ein Cookie-Banner notwendig?
Wer Informationen auf dem Endgerät eines Besuchers speichert oder dort bereits gespeicherte Informationen ausliest, benötigt nach § 25 Abs. 1 TDDDG grundsätzlich eine Einwilligung. Eine wichtige Ausnahme: Der Vorgang ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen (§ 25 Abs. 2 TDDDG).
Eine Website, die nur ihre eigenen Dateien ausliefert und ohne einwilligungspflichtige Technologien auskommt, muss deshalb nicht allein vorsorglich einen Cookie-Banner anzeigen.
Sobald du dagegen einwilligungsbedürftige Dienste einsetzt, reicht ein bloßer Hinweis „Wir verwenden Cookies“ nicht. Erforderlich ist eine wirksame, informierte Einwilligung vor dem betreffenden Zugriff beziehungsweise der Verarbeitung.
Technisch erforderlich oder nur nützlich?
| Beispiel | Orientierung |
|---|---|
| Warenkorb-Cookie, der den ausdrücklich genutzten Shop-Warenkorb funktionsfähig hält | Häufig unbedingt erforderlich – Zweck und Umfang prüfen |
| Login-Sitzung oder sicherheitsrelevanter Sitzungsmechanismus | Kann unter die Ausnahme fallen, soweit tatsächlich erforderlich |
| Analytics- oder Werbe-Cookie zur Wiedererkennung von Besuchern | In der Regel einwilligungsbedürftig |
| Personalisierung, die nicht nötig ist, um die gewünschte Funktion bereitzustellen | Erforderlichkeit kritisch prüfen; meist nicht allein durch Komfort gerechtfertigt |
| Einfaches Kontaktformular ohne Tracking-Cookies | Allein deswegen normalerweise kein Cookie-Banner nötig |
Wichtig: „Technisch notwendig“ ist kein Etikett, das man selbst vergeben kann. Eine Funktion muss für den konkret angeforderten Dienst wirklich erforderlich sein. Auch ein First-Party-Cookie kann einwilligungspflichtig sein.
Google Analytics, Meta Pixel und andere Tracker
Google Analytics, Werbe-Pixel und vergleichbare Technologien können Informationen auf dem Gerät speichern oder auslesen und Besucher über Sitzungen hinweg wiedererkennen. Bei typischen Marketing- und Tracking-Einsätzen ist daher vorab eine Einwilligung erforderlich. Zusätzlich muss die zugehörige Datenverarbeitung nach DSGVO rechtmäßig sein.
Ein Consent-Banner macht eine unzulässige Datenverarbeitung nicht automatisch zulässig. Die eingesetzten Skripte müssen vor der erforderlichen Einwilligung tatsächlich blockiert bleiben.
Keine pauschale Ausnahme für „cookieless“: Auch ohne klassische Cookies können Endgeräteinformationen ausgelesen werden oder personenbezogene Daten verarbeitet werden. Entscheidend ist die konkrete Implementierung, nicht der Produktname.
Gelten die Regeln auch für localStorage und sessionStorage?
Ja, § 25 TDDDG ist nicht auf Cookies beschränkt. Auch das Speichern und Auslesen von Werten über localStorage, sessionStorage oder ähnliche Verfahren kann darunterfallen.
Beispiel: Speichert eine Website die zuletzt eingegebene URL, damit ein angeforderter Bericht beim Neuladen wieder erscheint, muss der Zweck dieses Speicherns bewertet werden. Eine begrenzte Speicherdauer allein macht den Zugriff nicht automatisch erforderlich.
Frage dich bei jeder Speicherung:
- Hat der Besucher die betreffende Funktion ausdrücklich angefordert?
- Ist das Speichern oder Auslesen für diese Funktion unbedingt nötig?
- Welche Alternative funktioniert mit weniger Daten oder ohne Browserspeicherung?
Was gilt für Google Fonts, YouTube und Karten?
Lokal eingebundene Fonts brauchen normalerweise keinen Cookie-Banner allein wegen der Schriftdateien. Das ist einer der Gründe, warum wir lokale Webfonts bevorzugen.
Externe Fonts sind ein eigener Datenschutz-Prüfpunkt. Eine mögliche Übermittlung der IP-Adresse an einen Drittanbieter ist nicht automatisch gleichbedeutend mit einer Cookie-Einwilligungspflicht nach § 25 TDDDG. Prüfe hier die tatsächlich stattfindende Datenverarbeitung nach DSGVO. Wie du externe Anfragen erkennst, zeigt unser Google-Fonts-Check mit DevTools.
YouTube-Player, Karten und Chat-Widgets können schon beim Seitenaufruf Drittanbieter laden. Ob eine Einwilligung nötig ist, hängt von deren Zugriffen und Datenverarbeitung ab. Sinnvoll ist oft eine datensparsame Alternative: ein lokales Vorschaubild mit erst nach bewusstem Klick nachgeladenem Inhalt. Doch auch dieser Klick ersetzt nicht pauschal eine rechtlich notwendige informierte Einwilligung.
Kann eine Website ohne Cookie-Banner DSGVO-konform sein?
Ja, wenn sämtliche einschlägigen Datenschutzanforderungen erfüllt sind. Einwilligungsfreie Endgerätezugriffe nach § 25 TDDDG und rechtmäßige personenbezogene Datenverarbeitung nach DSGVO sind zwei getrennte Prüfungen.
Beispiel für eine schlanke Website: HTML und CSS vom eigenen Hosting, lokal geladene Schriftarten, ein Kontaktformular und datensparsame Server-Logs. Wenn darüber hinaus keine einwilligungsbedürftigen Funktionen oder Verarbeitungen vorhanden sind, muss man nicht künstlich einen Banner hinzufügen.
Eine Datenschutzerklärung bleibt trotzdem wichtig. Hosting, Kontaktanfragen, Serverprotokolle und gegebenenfalls weitere Datenverarbeitungen müssen dort transparent beschrieben werden.
So kontrollierst du deine Website in fünf Schritten
- Inkognito-Fenster öffnen: Teste ohne bestehende Einwilligungen oder Cookies.
- DevTools aufrufen: Im Tab Application/Speicher Cookies, Local Storage und Session Storage kontrollieren.
- Netzwerk prüfen: Im Tab Network externe Skripte, Pixel, iframes und ihre Initiatoren ansehen.
- Vor und nach Interaktion vergleichen: Starte Formulare, Videos, Karten, Bewertungen oder den Warenkorb. Nicht jede Funktion läuft bereits beim ersten Seitenaufruf.
- Dienste dokumentieren: Erfasse Zweck, Anbieter, Speicherdauer, technisch notwendige Zugriffe und mögliche DSGVO-Rechtsgrundlage.
Ein Scanner hilft bei der Bestandsaufnahme. Er ersetzt keine rechtliche Prüfung und erfasst nicht zwingend alle dynamischen oder personalisierten Vorgänge.
Häufige Fragen zur Cookie-Banner-Pflicht 2026
Brauche ich einen Cookie-Banner, wenn ich keine Cookies setze?
Nicht automatisch. Prüfe trotzdem andere Endgerätezugriffe, Tracking-Technologien und DSGVO-relevante Verarbeitungen. „Keine Cookies“ allein ist kein Freibrief.
Reicht ein „OK“-Button?
Für einwilligungsbedürftige Zwecke grundsätzlich nicht. Die Entscheidung muss informiert, freiwillig und eindeutig sein. Eine echte Ablehnmöglichkeit und ein einfacher Widerruf sind wichtige Anforderungen.
Benötigt eine WordPress- oder Shopify-Seite immer einen Banner?
Nicht wegen des Systems allein. Entscheidend sind die tatsächlich aktiven Apps, Themes, Plugins, Messdienste und Speicherzugriffe. Auch ein individuelles Astro-Projekt ist nicht automatisch befreit.
Ist Google Search Console ein Cookie-Tracker auf meiner Website?
Die normale Verifizierung und Auswertung von Suchleistungsdaten in der Search Console setzt nicht allein deshalb ein Tracking-Skript auf der Website voraus. Andere parallel eingebundene Google-Dienste sind gesondert zu betrachten.
Brauche ich für technisch notwendige Cookies eine Einwilligung?
Nach § 25 Abs. 2 TDDDG nicht, wenn die gesetzlichen Voraussetzungen der Ausnahme wirklich vorliegen. Informationspflichten und mögliche DSGVO-Anforderungen bestehen unabhängig davon.
Fazit: Erst die Technik prüfen, dann über den Banner entscheiden
Ein Cookie-Banner ist kein gesetzliches Pflicht-Accessoire. Entferne unnötige Drittanbieter-Technik, halte Browser-Speicherung klein und prüfe jede verbleibende Funktion. Falls eine Einwilligung nötig ist, muss die Consent-Lösung auch technisch wirksam blockieren.
Du möchtest deine Website technisch schlanker und nachvollziehbarer aufbauen? Erfahre mehr über unser Webdesign oder besprich dein Projekt mit uns. Unser kostenloser SEO-Check untersucht technische SEO-Signale – er ist ausdrücklich kein Cookie- oder DSGVO-Audit.
Quellen und Stand
- § 25 TDDDG – offizieller Gesetzestext
- Datenschutzkonferenz: Orientierungshilfe für Anbieter digitaler Dienste, Version 1.2
- DSGVO – offizieller EU-Gesetzestext
Rechts- und Redaktionsstand: 30. Oktober 2026. Die Hinweise sind allgemeine Information und keine Rechtsberatung.
Interaktiver Cookie-Check: erste Einschätzung
Beantworte drei Fragen zu deiner Website. Du erhältst eine unverbindliche technische Orientierung, keine automatische rechtliche Freigabe. Der Check läuft ausschließlich in deinem Browser. Antworten werden weder gesendet noch gespeichert.
War dieser Artikel hilfreich?
Dein Feedback hilft uns, unsere Ratgeber zu verbessern.
Mit Digitalhaus Kunze gearbeitet?
Dann freuen wir uns über deine ehrliche Erfahrung auf Google – unabhängig davon, ob sie positiv oder kritisch war.
Auf Google bewerten