Ist ein Cookie-Banner Pflicht? Wann du eins brauchst und wann nicht

Ein Cookie-Banner ist Pflicht, sobald deine Website Informationen auf dem Gerät der Besucher speichert oder ausliest, die für den Betrieb nicht unbedingt nötig sind. Das betrifft fast jedes Analyse-Tool, jedes Werbe-Pixel und eingebettete Inhalte wie YouTube-Videos oder Google Maps. Nutzt deine Website nur technisch notwendige Cookies, brauchst du kein Banner.

Dieser Artikel erklärt die Regeln für Websites in Deutschland. Er ist keine Rechtsberatung. Für deinen Einzelfall fragst du deinen Datenschutzbeauftragten oder eine Kanzlei.

Was das Gesetz verlangt

Zwei Gesetze greifen ineinander:

• § 25 TDDDG (bis Mai 2024 hieß das Gesetz TTDSG): Wer Informationen auf dem Gerät eines Besuchers speichert oder von dort ausliest, braucht vorher dessen Einwilligung. Ausgenommen ist, was unbedingt nötig ist, damit die Website den Dienst liefert, den der Besucher ausdrücklich will. Das gilt für Cookies, Local Storage, Pixel und Fingerprinting gleichermaßen.
• DSGVO: Werden dabei personenbezogene Daten verarbeitet, etwa die IP-Adresse oder eine Kennung, braucht das eine Rechtsgrundlage. Bei Tracking und Werbung ist das in der Praxis die Einwilligung.

Die Regeln gelten für jede geschäftliche Website, egal wie groß das Unternehmen ist.

Wann du kein Cookie-Banner brauchst

Kein Banner brauchst du, wenn deine Website nur Dinge speichert, ohne die sie nicht funktioniert. Dazu zählen:

• ein Session-Cookie für Login oder Warenkorb,
• das Cookie, in dem dein Banner die Entscheidung des Besuchers speichert,
• Cookies zum Schutz vor Bots und Angriffen, wie sie Cloudflare setzt,
• Schriften und Skripte, die von deinem eigenen Server kommen.

Lädt deine Website sonst nichts von Drittanbietern, brauchst du kein Banner.

Diese Dinge lösen die Pflicht aus

• Analyse: Google Analytics, Microsoft Clarity, Hotjar und Matomo mit Cookies.
• Werbung: Meta-Pixel, Google Ads, LinkedIn Insight Tag und TikTok-Pixel.
• Eingebettete Inhalte: YouTube- und Vimeo-Videos, Google Maps, Instagram-Feeds und Chat-Widgets.
• Marketing-Tools: das Tracking von HubSpot oder anderen CRM-Systemen.

Ein Sonderfall sind Google Fonts, die direkt von Google-Servern geladen werden. Sie setzen kein Cookie, übertragen aber die IP-Adresse an Google. Das Landgericht München hat einem Besucher deshalb 2022 Schadensersatz zugesprochen. Lade Schriften von deinem eigenen Server, dann ist das Thema erledigt.

So muss ein Cookie-Banner aussehen

• Ablehnen auf der ersten Ebene: Der Button zum Ablehnen steht neben dem Button zum Akzeptieren und ist genauso gut sichtbar.
• Keine Häkchen vorab: Der Bundesgerichtshof hat 2020 entschieden, dass ein vorausgewähltes Kästchen keine Einwilligung ist.
• Zwecke einzeln wählbar: Statistik und Marketing lassen sich getrennt erlauben.
• Vor der Entscheidung lädt nichts: Kein Tool startet, bevor der Besucher zugestimmt hat.
• Widerruf jederzeit: Ein Link im Footer öffnet das Banner wieder. Widerrufen muss so einfach sein wie Zustimmen.
• Impressum und Datenschutz bleiben erreichbar: Das Banner verdeckt die Links dorthin nicht.

Kostenlose und bezahlte Cookie-Banner

Kostenlos: Läuft deine Domain über Cloudflare, hat Cloudflare Zaraz ein eigenes Banner mit Zwecken und mehreren Sprachen eingebaut. Wie du es einrichtest, steht in der Anleitung zu Cloudflare Zaraz. Klaro ist ein quelloffenes Banner, das du selbst einbindest. Für WordPress gibt es Complianz und Real Cookie Banner in kostenlosen Versionen.

Bezahlt: Cookiebot, Usercentrics und CCM19 scannen deine Website regelmäßig nach Cookies und pflegen Textbausteine für die Datenschutzerklärung. Sie rechnen nach Seitenzahl oder Aufrufen ab.

Messen ohne Cookie-Banner

Jedes Banner kostet dich Daten. Auf meiner eigenen Website zählte Google Analytics von Ende Juli bis Ende Oktober 2026 nur 17 Besuche aus der Google-Suche, die Search Console im selben Zeitraum 107 Klicks. Der Rest hat das Banner abgelehnt oder ignoriert.

Es gibt Tools, die ohne Cookies und ohne Kennung im Browser zählen, etwa Cloudflare Web Analytics, Plausible oder Pirsch. Welche das sind und was sie können, steht im Vergleich der Google-Analytics-Alternativen. Ob dein Setup damit ohne Einwilligung auskommt, klärst du mit deinem Datenschutzbeauftragten. Eine weitere Option ist serverseitiges Tracking, bei dem deine Website die Daten selbst sammelt und gefiltert weitergibt.

Dein Banner in drei Schritten prüfen

1. Vor der Entscheidung: Öffne deine Website in einem privaten Fenster und die Entwicklertools des Browsers. Unter Speicher dürfen nur notwendige Cookies stehen, unter Netzwerk keine Anfragen an google-analytics.com, facebook.com oder doubleclick.net.
2. Nach dem Ja: Akzeptiere alles und lade die Seite neu. Jetzt erscheinen die Tools, die du erlaubt hast.
3. Nach dem Widerruf: Öffne das Banner über den Link im Footer, lehne ab und lade neu. Die Tools müssen wieder verschwinden.

Wie ich Tracking über Cloudflare einrichte, das erst nach der Einwilligung misst, steht auf der Seite zu Cloudflare Zaraz.