Ein Besucher kommt zum ersten Mal auf Ihre Website. Er hat Sie über einen Suchtreffer gefunden, er kennt Sie nicht, und er hat ungefähr eine halbe Minute Geduld. Bevor er einen einzigen Satz über das liest, was Sie anbieten, legt sich eine graue Fläche über die Seite: ein bunter Button „Alle akzeptieren“, daneben klein und blass „Einstellungen“, dazwischen vier Zeilen über berechtigte Interessen und Partner.
Er klickt das Bunte weg. Nicht, weil er zugestimmt hätte. Weil er weiterwill.
Der erste Eindruck ist damit vergeben, und er lautet: Hier ist zuerst etwas wegzuräumen. Das Ärgerliche daran ist nicht die eine Sekunde. Das Ärgerliche ist, dass dieser Banner auf sehr vielen Websites für Dinge steht, die dort gar nicht stattfinden.
Es gibt ihn nämlich in zwei Ausführungen: den, der nötig ist, und den, den jemand aufgestellt hat, um sicherzugehen. Der zweite ist häufiger.
Nirgends im Gesetz steht das Wort Banner
Fast jedes Gespräch über dieses Thema beginnt mit demselben Satz: „Die DSGVO schreibt so etwas vor.“ Er stimmt in beiden Hälften nicht.
Es gibt keine Pflicht zu einem Banner. Es gibt eine Pflicht zur Einwilligung, und zwar für bestimmte Dinge. Wer diese Dinge nicht tut, braucht keine Einwilligung — und damit auch nichts, womit er sie einholt. Der Banner ist kein Gebot, er ist ein Werkzeug. Und die Vorschrift, um die es zuerst geht, steht gar nicht in der DSGVO.
Die erste Frage stellt das TDDDG. Sein § 25 sagt sinngemäß: Etwas auf dem Gerät des Besuchers abzulegen oder etwas zu lesen, das dort schon liegt, ist nur mit seiner Einwilligung erlaubt. Bemerkenswert daran ist, was dort nicht steht — von personenbezogenen Daten ist keine Rede. Es geht um das Gerät, nicht um die Person. Ein anonymer Zähler im Browserspeicher fällt genauso darunter wie ein Werbe-Cookie.
Der zweite Absatz nennt die Ausnahme, und sie reicht weiter, als die meisten vermuten: Keine Einwilligung ist nötig, wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst überhaupt funktioniert. Der Warenkorb, der die Bestellung bis zur Kasse begleitet. Die Anmeldung, die über drei Seiten hinweg bestehen bleibt. Die Sprachwahl. Der Schutz eines Formulars gegen Missbrauch.
Eine Randbemerkung, die beim Nachlesen Zeit spart: Das Gesetz hieß bis Mai 2024 TTDSG. Geändert hat sich der Name, nicht der Inhalt — aus „Telemedien“ wurden „digitale Dienste“. Ältere Beiträge im Netz sind deshalb nicht falsch, nur anders beschriftet.
Die zweite Frage stellt die DSGVO. Sie kommt danach und lautet: Werden personenbezogene Daten verarbeitet, und auf welcher Grundlage? Das gilt auch dann, wenn nie ein Cookie im Spiel war — die IP-Adresse eines Besuchers ist ein personenbezogenes Datum, und sie wird an jeden Server übertragen, der etwas zu Ihrer Seite beisteuert.
Warum diese Trennung praktisch zählt, zeigen zwei Fälle, die sich auf den ersten Blick widersprechen:
- Das Warenkorb-Cookie ist ein Zugriff auf das Gerät und trotzdem einwilligungsfrei, weil es die Ausnahme erfüllt.
- Eine Schrift, die von einem Google-Server nachgeladen wird, legt nichts auf dem Gerät ab — und ist trotzdem heikel, weil die Adresse des Besuchers dabei ungefragt in die USA geht. Genau darum ging es 2022 vor dem Landgericht München: hundert Euro Schadensersatz für eine Schriftart.
Und weil hier von Recht die Rede ist: Ich erstelle Websites, ich berate nicht in Rechtsfragen. Dieser Beitrag beschreibt die technische Seite — was Ihre Seite tatsächlich tut und wie man sie anders bauen kann. Was Sie daraus schulden, sagt Ihnen jemand mit Zulassung.
Auch der Banner selbst braucht ein Cookie
Ein Detail, das die Sache ganz gut beschreibt. Damit ein Banner beim zweiten Besuch nicht wieder aufgeht, muss er sich die Antwort merken — im Browser, auf dem Gerät des Besuchers. Das ist ein Zugriff im Sinne des Gesetzes, und er ist erlaubt, weil er unbedingt erforderlich ist, um genau den Wunsch auszuführen, den der Besucher gerade geäußert hat.
Ein Cookie-Banner setzt also selbst ein Cookie. Wer keinen hat, hat auch dieses nicht.
Die Aufrufprobe
Ob Ihre Website eine Einwilligung braucht, entscheidet keine Meinung und kein Gesetzestext. Es entscheidet, was beim Aufruf tatsächlich geschieht. Die Frage dazu lautet:
Was passiert eigentlich, bevor der Besucher das erste Mal klickt?
Zwei Schritte, beide dauern eine Minute, und Sie brauchen nichts außer dem Browser, den Sie ohnehin offen haben.
Schritt eins: die fremden Adressen. Drücken Sie F12, wechseln Sie auf den Reiter „Netzwerk“ und laden Sie die Seite neu. Sie sehen jetzt jede einzelne Datei, die geholt wurde, und wo sie herkam. Ihre eigene Adresse darf beliebig oft vorkommen. Interessant ist alles andere: fremde Namen, die Sie nie eingetippt haben und die trotzdem angefragt wurden.
Schritt zwei: die gesetzten Cookies. Auf dem Reiter „Anwendung“ stehen die Cookies und der lokale Speicher. Sehen Sie dort nach, bevor Sie irgendetwas anklicken. Was jetzt schon da liegt, liegt ohne Einwilligung da.
Der Prüfsatz zu beidem: Ein Server, den Sie nicht benennen können, ist ein Server, den Sie nicht brauchen. Jeder fremde Name auf der Liste ist irgendwann von jemandem eingebaut worden — meist aus Bequemlichkeit, fast immer in einer halben Minute, und praktisch nie mit dem Gedanken, dass daraus eine Rechtsfrage wird.
Was diese beiden Schritte zutage fördern, ist die eigentliche Antwort auf die Frage nach dem Banner. Bleibt beides leer, ist die Frage erledigt. Steht etwas da, geht es weiter mit der nächsten Tabelle — die Namen von Ihrer Liste stehen dort in der linken Spalte.
Wer den Banner erzwingt — und was stattdessen geht
Es ist immer dieselbe kurze Reihe von Diensten. Links steht, was auf der Seite steckt, in der Mitte, ob eine Einwilligung nötig wird, rechts die Bauweise, die ohne sie auskommt.
| Was auf der Seite steckt | Einwilligung? | Ohne Banner geht das so |
|---|---|---|
| Schriften von einem fremden Server | ja | die Dateien mitliefern und selbst ausliefern |
| Eingebettete Karte | ja | ein Bild der Umgebung, daneben ein Link „Route planen“ |
| Eingebettetes Video | ja | Vorschaubild, das erst auf Klick lädt — oder das Video selbst ausliefern |
| Besucherstatistik mit Cookie | ja | cookiefreie Auswertung auf dem eigenen Server, IP gekürzt |
| Spamschutz eines Fremdanbieters | ja | ein verstecktes Feld im Formular oder eine Zeitmessung |
| Bausteine aus einem CDN | ja | mitliefern; es sind meist zwei Dateien |
| Warenkorb, Zwischenstand eines Formulars | nein | nichts zu tun — das Cookie entsteht erst, wenn der Besucher etwas hineinlegt |
| Gespeicherte Sprachwahl, etwa DE oder EN | nein | nichts zu tun — gesetzt wird sie in dem Moment, in dem der Besucher umschaltet |
| Anmeldung an einem Kundenkonto | nein | nichts zu tun — ausgelöst hat es, wer seine Zugangsdaten eingetippt hat |
| Redaktionssystem, Anmeldung der Redaktion | nein | nichts zu tun — sofern die Sitzung nicht schon beim ersten Seitenaufruf startet |
| Anzeigen-Pixel, Conversion-Messung | ja | keine Alternative — hier gehört der Banner hin |
Die rechte Spalte ist der eigentliche Beitrag. Sie macht aus „lassen Sie das weg“ ein „bauen Sie es anders“ — und in sechs von elf Zeilen kostet dieser Umbau eine Stunde, nicht ein Projekt.
Die drei Fälle, die fast überall stecken
Schriften. Der häufigste Fall überhaupt, und der, der am wenigsten wehtut. Die verbreiteten Schriftfamilien sind frei lizenziert; man darf die Dateien herunterladen und neben die eigenen Bilder legen. Danach kommt die Schrift vom selben Server wie der Text, den sie darstellt. Nebenbei wird die Seite dabei schneller, weil eine Verbindung zu einem fremden Rechner entfällt — dazu mehr in Website-Ladezeit optimieren.
Die Karte. Eine eingebettete Karte lädt beim Seitenaufruf mit, ob der Besucher sie ansieht oder nicht. Fragen Sie sich, wofür sie da ist. In den meisten Fällen soll sie zeigen, wo Sie sind, und den Weg zu Ihnen eröffnen. Beides leistet ein Bild der Umgebung mit einem Link daneben, der den Kartendienst erst dann öffnet, wenn jemand ihn wirklich benutzen will. Wer regelmäßig Besuch bekommt, sollte dafür ohnehin eine eigene Seite haben — siehe Website-Struktur planen.
Das Video. Hier gilt dasselbe Prinzip, nur sichtbarer: Statt der Videoplattform steht zunächst ein Vorschaubild auf der Seite, und erst der Klick auf den Abspiel-Button holt den Anbieter dazu. Der Besucher entscheidet damit selbst, und er entscheidet in dem Moment, in dem er weiß, worum es geht — was einer Einwilligung deutlich näher kommt als ein weggeklickter Banner.
Das Anmelde-Cookie zählt nur für den, der sich anmeldet
Vier Zeilen der Tabelle sagen „nein“, und die ersten drei sagen es aus demselben einfachen Grund: Der Besucher hat die Sache selbst ausgelöst. Er legt etwas in den Warenkorb, er schaltet von Deutsch auf Englisch um, er tippt sein Passwort ein — und was danach auf seinem Gerät liegt, ist genau das, was er verlangt hat. Hier gibt es nichts zu entscheiden.
Eine Feinheit steckt in der Sprachwahl, und sie führt schon zum Punkt dieses Abschnitts: Ein Cookie, das die Sprache festhält, weil jemand umgeschaltet hat, ist unbedenklich. Setzt Ihre Seite dagegen beim ersten Aufruf automatisch eines, weil der Browser Englisch meldet, hat der Besucher nichts gewünscht — und die Ausnahme wird dünn. Dieselbe Sprachwahl, dieselben zwei Buchstaben im Cookie, zwei verschiedene Antworten.
Der vierte Fall erzeugt die Rückfragen, und er ist der Grund für diesen Abschnitt: ein Redaktionssystem, das ein Sitzungscookie braucht, obwohl der Besucher damit nie zu tun hat. Auch das ist einwilligungsfrei. Wer sich anmeldet, um am System zu arbeiten, wünscht diesen Dienst so ausdrücklich, wie man es nur kann — er tippt Benutzername und Passwort ein. Ohne Sitzungscookie gibt es keine Anmeldung, also ist es unbedingt erforderlich, und damit greift die Ausnahme. Dass das Cookie technisch auf der öffentlichen Seite liegt und nicht auf einer eigenen Verwaltungsadresse, ändert daran nichts: Das Gesetz fragt nach dem Zweck, nicht nach der Adresse.
Entscheidend ist etwas anderes, und daran scheitern erstaunlich viele Systeme — nicht ob ein Sitzungscookie gesetzt wird, sondern wann. Manche Baukästen starten bei jedem Seitenaufruf eine Sitzung. Dann bekommt auch der Besucher ein Cookie, der nur die Leistungsseite liest und sich nie anmelden wird. Für ihn ist es nicht erforderlich, denn er hat nichts gewünscht, wofür eine Sitzung nötig wäre. Dasselbe Cookie, dieselbe Software, andere Rechtslage — allein durch den Auslöser.
Die Regel dazu ist kurz: Ein Anmelde-Cookie darf nur bekommen, wer sich anmeldet. Wer keine Zugangsdaten eingibt, verlässt die Seite, ohne dass etwas auf seinem Gerät zurückbleibt. Prüfen lässt sich das mit Schritt zwei von oben — ein privates Fenster öffnen, die Seite aufrufen, nichts anklicken, nachsehen. Zwei Feinheiten gehören dazu: Das Anmelde-Cookie darf nichts anderes tun, als die Anmeldung tragen; wer dieselbe Sitzung nebenbei benutzt, um sich etwas über anonyme Besucher zu merken, verliert die Ausnahme für alles. Und ein Vorschau-Cookie, das Redakteuren unveröffentlichte Inhalte zeigt, fällt unter dieselbe Regel.
Der Streitfall: Besucherzahlen ohne Einwilligung
Eine Zeile in der Tabelle verdient mehr als drei Wörter, weil sie die einzige ist, über die auch Fachleute streiten.
Eine Statistik, die Cookies setzt oder etwas im Browser ablegt, braucht eine Einwilligung. Das ist unstrittig. Umstritten ist der Fall darunter: eine Auswertung, die nichts auf dem Gerät ablegt, sondern nur auswertet, was der Server ohnehin sieht — und die die IP-Adresse kürzt, bevor sie irgendwo gespeichert wird. Dann greift § 25 nicht, weil kein Zugriff auf das Gerät stattfindet, und übrig bleibt die zweite Ebene: die DSGVO und die Frage nach dem berechtigten Interesse.
Die Aufsichtsbehörden äußern sich dazu vorsichtig, und ihre Formulierungen lassen Spielraum in beide Richtungen. Wer diesen Weg geht, sollte wissen, dass er auf einer vertretbaren, aber nicht gesicherten Position steht. Was dagegen sicher ist: Die schlichten Server-Logfiles Ihres Hosters — wer wann welche Seite abgerufen hat — brauchen keine Einwilligung. Für die Frage, welche Ihrer Seiten überhaupt gelesen werden, reichen sie überraschend weit.
Manchmal ist der Banner die richtige Antwort
Bis hierher liest sich der Beitrag wie ein Plädoyer, alles wegzulassen. Jetzt der Teil, der gegen seine eigene Überschrift argumentiert.
Sehen Sie sich die letzte Zeile der Tabelle an. Wer Anzeigen schaltet, muss messen können, was sie einbringen — sonst zahlt er für ein Ergebnis, das er nicht kennt. Dafür braucht er Werkzeuge, die dem einzelnen Besucher folgen, und die brauchen eine Einwilligung. In diesem Fall ist das Tracking kein Versehen, sondern eine Entscheidung, und der Banner ist der ehrliche Weg, sie dem Besucher offenzulegen. Dasselbe gilt für Shops, die ihre Werbung aussteuern, und für jeden, der ein Empfehlungsprogramm abrechnen muss.
Der Unterschied ist nicht die Technik. Der Unterschied ist, ob jemand die Frage gestellt hat.
Und daran hängt der Satz, auf den dieser Beitrag hinausläuft: Ein Banner ist kein Schutzschild, sondern eine Quittung. Er erlaubt nichts. Er hält fest, was der Besucher erlaubt hat — mehr nicht.
Deshalb ist ein falsch eingebauter Banner schlechter als gar keiner. Der häufigste Fehler ist auch der unauffälligste: Der Banner erscheint, aber die Dienste dahinter starten trotzdem schon, während er noch angezeigt wird. Die Statistik zählt, das Pixel meldet, die Karte hat den Besucher längst gesehen. Wer so baut, hat sich nicht abgesichert. Er hat dokumentiert, dass ihm die Einwilligungspflicht bekannt war — und dass er sie nicht eingehalten hat. Ein Blick auf den Reiter „Netzwerk“ zeigt das in zehn Sekunden, und zwar jedem.
Wenn Sie einen Banner brauchen: vier Regeln
Angenommen, die Prüfung fällt eindeutig aus und der Banner ist berechtigt. Dann gibt es vier Punkte, an denen sich entscheidet, ob er seine Aufgabe erfüllt oder nur Fläche kostet.
- Ablehnen muss so leicht sein wie Annehmen. Ein Button, gleiche Ebene, gleiche Größe, gleiche Auffälligkeit. Ein „Alle akzeptieren“ in Signalfarbe neben einem grauen Textlink ist keine Wahl, sondern eine Empfehlung — und die Aufsichtsbehörden verlangen ausdrücklich zwei gleichwertige Möglichkeiten schon auf der ersten Ebene. Dazu gehört auch, dass beide Buttons mit der Tastatur erreichbar sind; warum das mehr Menschen betrifft, als man denkt, steht in Website barrierefrei machen.
- Vor der Entscheidung lädt nichts. Keine Schrift, keine Karte, kein Zählpixel. Das ist der Punkt, an dem die meisten Banner scheitern, und er ist mit der Aufrufprobe in einer Minute geprüft.
- Vorangekreuzt ist nicht eingewilligt. Ein Häkchen, das schon gesetzt ist, ist keine Zustimmung — das hat der Europäische Gerichtshof 2019 entschieden, der Bundesgerichtshof hat es ein Jahr später für Deutschland bestätigt. Dasselbe gilt für Weiterscrollen, Wegklicken und Zeitablauf.
- Der Widerruf muss so einfach sein wie die Zustimmung. Und er muss morgen noch auffindbar sein. Ein kleiner, dauerhafter Zugang in der Fußzeile genügt; er kostet eine Zeile und ist der Teil, der am häufigsten vergessen wird.
Ein Banner, der diese vier Punkte nicht erfüllt, ist keine halbe Lösung. Er ist Aufwand ohne Wirkung: Die Einwilligung ist unwirksam, die Dienste laufen trotzdem, und die Besucher haben die Sekunde umsonst verloren.
Was Sie gewinnen, wenn der Banner wegfällt
Der Gewinn ist größer, als die Sache zunächst aussieht, und er liegt nicht nur beim Datenschutz.
- Der Inhalt kommt zuerst. Das Erste, was ein neuer Besucher sieht, ist Ihr Angebot und nicht eine Verwaltungsaufgabe. Bei einem Erstbesuch über einen Suchtreffer ist das die halbe Miete.
- Die Seite wird schneller. Jeder fremde Server bedeutet eine neue Verbindung, und die kostet mehr Zeit als die Datei, die am Ende darüber kommt.
- Ein Vertrag weniger. Werkzeuge für die Einwilligungsverwaltung sind Abonnements. Sie kosten Geld, sie wollen gepflegt werden, und sie stehen zwischen Ihnen und Ihren Besuchern.
- Ruhe vor Post. 2022 und 2023 gingen zehntausende Abmahnschreiben wegen nachgeladener Schriften heraus. Gerichte haben diese Massenversendungen später als rechtsmissbräuchlich eingestuft, die Briefe waren am Ende also wenig wert — der technische Anlass für sie war trotzdem echt, und er lag auf jeder betroffenen Seite offen einsehbar.
Dazu die ehrliche Gegenrechnung, denn umsonst ist der Weg nicht: Sie verlieren die Auswertungen aus dem Statistikdienst. Wer sie tatsächlich liest und daraufhin etwas an seiner Website ändert, soll sie behalten — für ihn ist der Banner ein fairer Preis. Wer sein Statistik-Konto seit zwei Jahren nicht mehr geöffnet hat, zahlt diesen Preis für nichts.
Und noch eine Ehrlichkeit: Der Weg ohne Banner heißt nicht „Banner weglassen“. Er heißt „Dienste ersetzen“. Das ist eine überschaubare Arbeit, aber es ist Arbeit — und wer nur den Banner entfernt und die Dienste stehen lässt, hat aus einem lästigen Zustand einen unzulässigen gemacht.
Kein Banner heißt nicht keine Datenschutzerklärung
Der Fehlschluss, vor dem dieser Beitrag ausdrücklich warnen soll: Die beiden Dinge haben nichts miteinander zu tun.
Die Einwilligung betrifft nur das, was eine Einwilligung braucht. Die Auskunftspflicht betrifft alles. Auch eine Website ganz ohne Cookies verarbeitet Daten: Der Hoster protokolliert jeden Aufruf, ein Kontaktformular nimmt Namen und Adresse entgegen, eine Terminbuchung läuft womöglich über einen externen Dienst. Das alles gehört in die Datenschutzerklärung, benannt und mit Rechtsgrundlage — Banner hin oder her.
Sie können das an dieser Stelle nachprüfen, und zwar an dieser Website. Sie zeigt keinen Banner, weil sie nichts tut, wofür sie einen bräuchte. Trotzdem hat sie eine ausführliche Datenschutzerklärung; der Abschnitt über Cookies besteht darin aus einem einzigen Satz, und der Rest handelt von Hosting, Logfiles, Kontaktaufnahme und der externen Terminbuchung. Das ist kein Versprechen, das ist ein Beleg — und er ist in zehn Sekunden überprüft.
Kurz erklärt
| Begriff | Was er bedeutet |
|---|---|
| Cookie | Eine kleine Notiz, die eine Website im Browser des Besuchers ablegt und beim nächsten Aufruf wieder liest. Technisch harmlos; entscheidend ist, wozu sie dient. |
| TDDDG | Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG. Sein § 25 regelt, wann ein Zugriff auf das Gerät des Besuchers eine Einwilligung braucht. |
| DSGVO | Die europäische Datenschutz-Grundverordnung. Sie regelt die Verarbeitung personenbezogener Daten — die zweite Frage, nach der des TDDDG. |
| Einwilligung | Eine freiwillige, informierte und aktive Zustimmung. Kein vorgesetztes Häkchen, kein Weiterscrollen, kein Zeitablauf. |
| Drittanbieter | Jeder fremde Server, der beim Aufruf Ihrer Seite mitgeladen wird — Schriften, Karten, Videos, Statistik. |
| Consent-Tool | Die Software, die den Banner anzeigt, die Antworten speichert und die Dienste danach freischaltet. Auch CMP genannt. |
Sechs Fragen an Ihre eigene Website
| Prüfen Sie | Woran Sie es erkennen |
|---|---|
| Die fremden Adressen | Welche fremden Server fragt Ihre Seite an, ohne dass jemand etwas angeklickt hat? |
| Die gesetzten Cookies | Liegt ein Cookie im Browser, bevor irgendetwas entschieden wurde? |
| Das Gleichgewicht | Ist „Ablehnen“ genauso leicht zu finden und zu treffen wie „Akzeptieren“? |
| Die Reihenfolge | Startet vor der Entscheidung wirklich nichts — auch nicht die Schrift? |
| Der Nutzen | Wann haben Sie Ihre Besucherstatistik zuletzt geöffnet und daraufhin etwas geändert? |
| Die Erklärung | Steht in Ihrer Datenschutzerklärung, was tatsächlich läuft — und nur das? |
Sechs Antworten, und alle sechs bekommen Sie ohne fremde Hilfe. Wo hier dreimal ein Nein steht, liegt das Problem nicht beim Banner, sondern bei dem, was er verdecken soll.
Erst die Dienste, dann der Banner
Die Frage ist nie, ob Sie einen Cookie-Banner brauchen. Die Frage ist, was Ihre Website beim Aufruf alles nachlädt — und ob jeder dieser Dienste einen Grund hat, da zu sein.
Bei den meisten Websites, die ich zu sehen bekomme, sind es drei bis fünf Namen, und keiner davon wurde je bewusst ausgewählt. Zwei lassen sich in einer Stunde ersetzen, zwei weitere durch eine bessere Lösung, und übrig bleibt oft nichts. Dann verschwindet der Banner nicht, weil man ihn abgeschaltet hätte. Er verschwindet, weil es nichts mehr gibt, wofür er da wäre.
Und der Besucher, der über den Suchtreffer kommt, liest als Erstes das, wofür er gekommen ist.
Wenn Sie wissen möchten, was Ihre Seite beim Aufruf alles anfragt, sehen wir gemeinsam nach. Melden Sie sich gerne – ich beantworte alle Fragen persönlich.