Cookie-Banner Pflicht: Wann Ihre Website keins braucht
Das Banner-Elend ist selbstgemacht. Ein Cookie-Banner ist nur Pflicht, wenn Ihre Website einwilligungspflichtige Dienste lädt. Was erlaubt ist, was nicht, wie Sie Ihre Seite in fünf Minuten selbst testen und warum Tracker raus besser ist als Banner drauf.
Sie kennen das Spiel. Website auf, Banner davor, irgendetwas wegklicken, endlich lesen. Millionen Menschen machen das jeden Tag. Und fast alle hassen es.
Die unbequeme Wahrheit: Das Banner-Elend ist selbstgemacht. Kein Gesetz zwingt Sie, Besucher mit einem Zustimmungs-Popup zu begrüßen. Das Gesetz zwingt Sie nur, um Erlaubnis zu fragen, bevor Sie Besucher beobachten.
Wer nicht trackt, muss nicht fragen. So einfach ist das.
Was das Gesetz wirklich verlangt
Zwei Regeln reichen, um die Lage zu verstehen. Ganz ohne Jura-Studium.
Erstens: Wer auf dem Gerät eines Besuchers etwas speichert oder ausliest, das für den Betrieb der Seite nicht notwendig ist, braucht vorher dessen Einwilligung. Das regelt § 25 TDDDG, das deutsche Datenschutzgesetz für digitale Dienste. Cookies sind der bekannteste Fall. Die Regel gilt aber genauso für andere Techniken, die Besucher wiedererkennbar machen.
Zweitens: Wer personenbezogene Daten für Werbung oder Profilbildung verarbeitet, braucht dafür nach der DSGVO eine Rechtsgrundlage. Bei Tracking läuft das in der Praxis fast immer auf eine Einwilligung hinaus.
Fällt Ihnen etwas auf? In beiden Regeln steht nirgendwo das Wort »Banner«. Das Banner ist kein Pflichtprogramm, sondern nur ein Werkzeug, um Einwilligungen einzuholen. Brauchen Sie keine Einwilligung? Dann brauchen Sie auch kein Banner.
Was einwilligungspflichtig ist und was nicht
Die Grenze verläuft nicht zwischen »Cookie« und »kein Cookie«, sondern zwischen notwendig und nicht notwendig. Eine Übersicht:
| Ohne Einwilligung erlaubt | Nur mit Einwilligung |
|---|---|
| Warenkorb- und Login-Cookies | Google Analytics und ähnliche Tracking-Dienste |
| Sprachauswahl und andere Komfort-Einstellungen der Seite | Marketing-Pixel von Meta, LinkedIn und Co. |
| Der Cookie, der die Banner-Entscheidung selbst speichert | Direkt eingebettete YouTube-Videos und Google Maps |
| Sicherheits-Cookies, etwa gegen Spam-Angriffe auf Formulare | Werbenetzwerke und Retargeting (Werbung, die Besuchern hinterherläuft) |
Die Faustregel: Dient es dem Besucher, ist es meist erlaubt. Dient es der Vermarktung des Besuchers, braucht es seine Erlaubnis.
Und die Besucherstatistik? Geht auch ohne Banner. Eine selbst gehostete, cookielose Statistik, die keine Profile einzelner Personen bildet, kommt in aller Regel ohne Einwilligung aus. Sie sehen weiterhin, welche Seiten gelesen werden und woher Ihre Besucher kommen. Sie sehen nur nicht mehr, was eine bestimmte Person gestern um 22 Uhr angeklickt hat. Brauchen Sie das? Ehrlich: nein. Wie so eine cookielose Statistik auf eigener Technik läuft, lesen Sie beim Self-Hosting mit Docker und Open Source nach.
Der bessere Weg: Tracker raus statt Banner drauf
Jetzt zum unbequemen Teil. Viele Agenturen gehen den umgekehrten Weg: Statt zu fragen, ob die Seite ihre zwölf Fremd-Dienste überhaupt braucht, wird ein Consent-Tool draufgeklebt, gern im Monats-Abo. Problem gelöst? Nein. Problem verpackt.
Das Banner ändert nichts daran, dass Ihre Seite Daten an Google, Meta und ein paar Werbenetzwerke schickt. Es dokumentiert nur, dass jemand entnervt auf den bunten Knopf gedrückt hat. Der Kunde zahlt doppelt: einmal fürs Tool, einmal mit jedem Besucher, der genervt abspringt.
Der sauberere Weg ist unbequemer, aber ehrlicher: die Fremd-Dienste aussortieren.
- Schriften lokal auf dem eigenen Server einbinden, statt sie von Google-Servern zu laden
- Videos erst nach Klick starten: Vorschaubild zeigen, YouTube lädt erst, wenn der Besucher es will
- Karten als einfaches Bild mit Link zum Kartendienst, statt Google Maps direkt einzubetten
- Statistik selbst hosten, cookielos und ohne Personenprofile
- Chat-Widgets, Bewertungs-Siegel und Social-Buttons kritisch prüfen: Was davon bringt nachweislich Aufträge?
Das Ergebnis: Die Seite lädt schneller, es fließen keine Besucherdaten an Dritte, und das Banner kann ersatzlos weg. Genau in dieser Reihenfolge baue ich Websites: erst aufräumen, dann gestalten. Die beste Cookie-Meldung ist die, die es nicht gibt.
Nudging: Warum Trick-Banner doppelt riskant sind
Sie kennen diese Banner: »Alles akzeptieren« leuchtet groß und bunt, »Ablehnen« versteckt sich blassgrau hinter »Einstellungen«, drei Klicks tief. Das nennt sich Nudging oder Dark Pattern. Auf Deutsch: Besucher zur Zustimmung schubsen.
Das ist nicht nur unhöflich, es ist rechtlich wacklig. Eine Einwilligung zählt nur, wenn sie freiwillig und informiert abgegeben wurde. Wer seine Besucher austrickst, sammelt Zustimmungen, die im Ernstfall wenig wert sind. Dann tracken Sie ohne gültige Erlaubnis. Trotz Banner. Datenschutzbehörden haben genau solche Gestaltungen längst auf dem Zettel.
Der zweite Schaden ist mindestens so teuer: Wer sich beim ersten Besuch ausgetrickst fühlt, vertraut auch dem Rest der Seite nicht. Für eine Kanzlei oder eine Praxis, die von Vertrauen lebt, ist das ein miserabler erster Eindruck.
Selbsttest: Öffnen Sie Ihre Website wie ein Fremder
Sie müssen mir nichts glauben. Prüfen Sie selbst, was Ihre Seite lädt. Fünf Minuten reichen:
- Öffnen Sie ein privates Fenster (Inkognito-Modus). So startet der Browser frisch, ohne gespeicherte Cookies und alte Banner-Entscheidungen.
- Drücken Sie F12 für die Entwicklertools und wählen Sie den Reiter »Netzwerk«.
- Rufen Sie Ihre Website auf und lesen Sie die Liste: Jede Adresse, die nicht Ihre eigene Domain ist, ist ein Fremd-Dienst.
- Wechseln Sie zum Reiter »Anwendung« beziehungsweise »Web-Speicher« und zählen Sie die Cookies. Und zwar bevor Sie irgendetwas im Banner anklicken.
- Fragen Sie sich bei jedem Eintrag: Weiß ich, was das tut? Und wer hat es bestellt?
Tauchen dort Namen wie google-analytics, doubleclick oder facebook auf, kennen Sie jetzt den Grund für Ihr Banner. Und jeder einzelne dieser Einträge steht zur Diskussion.
Wo ein Banner tatsächlich Pflicht ist
Damit hier nichts schöngeredet wird: Es gibt Websites, die ohne Einwilligung wirklich nicht auskommen.
Wer Werbekampagnen bei Google oder Meta schaltet und deren Erfolg messen will, braucht die Mess-Pixel und damit die Abfrage. Ein Shop, der auf Retargeting setzt, ebenso. Auch wer viele Videos ohne Klick-Umweg direkt einbetten möchte, kommt um das Banner nicht herum.
Dann gilt: Machen Sie es sauber. Ablehnen muss genauso leicht sein wie Zustimmen, auf der ersten Ebene, ohne Suchspiel. Und laden Sie nur die Dienste, die Sie wirklich auswerten. Ein ehrliches Banner mit drei Diensten ist besser als ein Trick-Banner mit vierzig.
Umgekehrt heißt das aber auch: Eine Vereinsseite, eine Praxis-Website oder die digitale Visitenkarte eines Handwerksbetriebs ohne Werbekampagnen braucht das alles nicht. Kein Banner, kein Consent-Abo, keine Liste mit vierzig Diensten. Sondern einfach eine saubere Seite.
Stellen Sie sich vor, wie sich Ihre Seite dann öffnet: kein Popup, kein bunter Knopf, kein Klick ins Einstellungs-Labyrinth. Die Seite ist einfach da, lädt schneller und respektiert vom ersten Moment an, wer sie liest. Eine Website, die kein Cookie-Banner braucht, weil sie nichts vor ihren Besuchern versteckt. So soll es sein.
Ob Ihre Seite schon so weit ist, finden wir in einer knappen halben Stunde heraus. Wir öffnen sie zusammen, ich zeige Ihnen, was im Hintergrund lädt, und sage Ihnen geradeheraus, ob bei Ihnen ein Banner Pflicht bleibt oder ersatzlos verschwinden kann. Das kostet Sie nichts. Wir teilen einfach den Bildschirm, egal ob Sie in Flensburg oder Konstanz sitzen. Und wer Ihnen dabei gegenübersitzt, ist derselbe, der die Seite hinterher auch umbaut.
