Cookie-Banner

Ein Cookie-Banner ist ein UI-Element, das beim ersten Besuch einer Website erscheint und Nutzer über die Verwendung von Cookies informiert. Nach DSGVO und ePrivacy-Richtlinie müssen Websites vor dem Setzen nicht-essenzieller Cookies die ausdrückliche Einwilligung der Nutzer einholen. Dies betrifft Marketing-Cookies, Analytics und Social-Media-Tracker.

Ein rechtssicheres Cookie-Banner muss echtes Opt-in bieten - vorausgewählte Checkboxen oder "Dark Patterns" (Ablehnen versteckt) sind unzulässig. Nutzer müssen granular entscheiden können, welche Cookie-Kategorien sie akzeptieren. Die Ablehnung muss genauso einfach sein wie die Zustimmung. Technisch dürfen Tracking-Scripts erst nach Einwilligung geladen werden.

Beliebte Cookie-Consent-Tools sind Cookiebot, Usercentrics und Open-Source-Lösungen wie Klaro. Diese verwalten Einwilligungen, blockieren Scripts und dokumentieren Consent für Nachweis gegenüber Behörden. Ein gut implementiertes Cookie-Banner schützt vor Abmahnungen und zeigt Nutzern, dass ihre Privatsphäre respektiert wird.

Rechtliche Basis in Deutschland ist seit Dezember 2021 § 25 TTDSG (heute TDDDG), der Art. 5 Abs. 3 der ePrivacy-Richtlinie umsetzt: Das Speichern von oder der Zugriff auf Informationen im Endgerät bedarf grundsätzlich der Einwilligung - unabhängig davon, ob personenbezogene Daten betroffen sind. Technisch notwendige Cookies (Session, Warenkorb, Speicherung der Consent-Entscheidung selbst) sind ausgenommen. Der EuGH stellte im Planet49-Urteil (C-673/17) klar, dass vorangekreuzte Kästchen keine wirksame Einwilligung darstellen.

Die Aufsichtsbehörden fordern zunehmend, dass bereits auf der ersten Banner-Ebene ein gleichwertiger Ablehnen-Button neben Akzeptieren steht - eine reine Akzeptieren-Schaltfläche mit nur über Umwege erreichbarer Ablehnung gilt als unzulässiges Dark Pattern. Eine erteilte Einwilligung sollte nach gängiger Praxis alle 12 Monate erneut eingeholt und jederzeit widerrufbar sein, etwa über einen dauerhaften Link im Footer. Der häufigste technische Fehler in der Umsetzung: Tracking-Skripte werden bereits im Kopfbereich der Seite geladen, bevor der Nutzer klickt - dann ist das Banner rechtlich wertlos, weil die Verarbeitung längst begonnen hat. Ein korrekt implementierter Consent Manager blockiert alle nicht-essenziellen Skripte per Default und lädt sie erst nach kategoriespezifischer Zustimmung nach; bei Google-Diensten steuert der Consent Mode v2 dieses Verhalten.