Cookie-Banner-Pflicht in Deutschland

Was regelt § 25 TDDDG?

Die zentrale Vorschrift für Cookies in Deutschland ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Bis zum 14. Mai 2024 hieß das Gesetz TTDSG; der Inhalt von § 25 hat sich mit der Umbenennung nicht geändert. Die Vorschrift setzt Artikel 5 Absatz 3 der europäischen ePrivacy-Richtlinie um.

Die Grundregel: Wer Informationen auf dem Endgerät eines Nutzers speichert oder dort gespeicherte Informationen ausliest, braucht dafür eine Einwilligung auf Grundlage klarer und umfassender Informationen. Information und Einwilligung müssen den Anforderungen der DSGVO entsprechen.

Zwei Dinge sind wichtig:

• Es geht nicht nur um Cookies. Die Regel ist technikneutral. Die Datenschutzkonferenz (DSK) nennt auch Local Storage, Session Storage und Browser-Fingerprinting.
• Ein Personenbezug ist nicht nötig. § 25 greift auch dann, wenn in einem Cookie keine personenbezogenen Daten stehen. Für die anschließende Verarbeitung personenbezogener Daten gilt zusätzlich die DSGVO.

Wann ist keine Einwilligung nötig?

§ 25 Abs. 2 TDDDG kennt zwei Ausnahmen. Für Websites ist nur eine relevant: Die Speicherung oder der Zugriff ist unbedingt erforderlich, damit Sie einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen können.

Die DSK legt das in ihrer Orientierungshilfe Digitale Dienste (Version 1.2, November 2024) eng aus:

• Gemeint ist technische Erforderlichkeit, nicht wirtschaftliche. Dass ein Cookie für Ihr Geschäftsmodell wichtig ist, reicht nicht.
• Ein Warenkorb-Cookie ist erst erforderlich, wenn jemand tatsächlich etwas in den Warenkorb legt.
• Reichweitenmessung, Analyse oder A/B-Tests gehören nicht automatisch zum gewünschten Dienst. Ob sie ohne Einwilligung zulässig sind, hängt von der konkreten Konfiguration und dem Zweck ab.
• Für die Speicherung der Cookie-Entscheidung selbst braucht es keine langfristig gespeicherte, eindeutige ID.

Setzen Sie ausschließlich Dienste ein, die unter die Ausnahme fallen, brauchen Sie kein Cookie-Banner. Informieren müssen Sie trotzdem, in der Datenschutzerklärung.

Anforderungen an eine wirksame Einwilligung

Die Einwilligung muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein (Art. 4 Nr. 11 und Art. 7 DSGVO). Für Banner heißt das:

• Keine Voreinstellungen. Der Bundesgerichtshof hat am 28. Mai 2020 im Fall Planet49 entschieden, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung in Cookies ist. Er folgte damit dem EuGH (Urteil vom 1. Oktober 2019, C-673/17).
• Erst fragen, dann laden. Einwilligungsbedürftige Cookies und Skripte dürfen erst nach dem Klick auf Zustimmen geladen werden.
• Konkrete Zwecke. Formulierungen wie „für ein besseres Nutzererlebnis“ reichen nicht. Nutzer müssen erfahren, wer auf das Gerät zugreift, wozu, wie lange die Cookies laufen und ob Dritte Zugriff bekommen.
• Widerruf so einfach wie die Erteilung. Ein dauerhaft sichtbarer Link oder ein Symbol, das direkt zu den Einstellungen führt, ist der übliche Weg. Ein Verweis auf eine E-Mail-Adresse oder ein Kontaktformular genügt nicht.
• Impressum und Datenschutzerklärung müssen erreichbar bleiben, auch wenn das Banner offen ist.

„Alles ablehnen“: was Behörden und Gerichte sagen

Die Frage, ob eine Ablehnoption auf der ersten Ebene stehen muss, ist in Deutschland am häufigsten umstritten.

Datenschutzkonferenz: Nach der Orientierungshilfe ist eine Ablehnfunktion auf erster Ebene nicht in jedem Fall erforderlich, wohl aber immer dann, wenn Nutzer mit dem Banner interagieren müssen, um die Website weiter zu nutzen. Bei den gängigen Bannern, die Inhalte überlagern, ist das nach Einschätzung der DSK sehr häufig der Fall. Die Ablehnoption muss dann gleichwertig sein, etwa in Größe, Farbe, Kontrast und Schrift. Ein Button „Einstellungen oder Ablehnen“, der nur auf eine zweite Ebene führt, reicht nicht.

OLG Köln, Urteil vom 19. Januar 2024 (6 U 80/23): Ein Banner ohne Ablehnoption auf der ersten Ebene, bei dem Nutzer auf der zweiten Ebene nicht erkennen konnten, wie sie ablehnen, führte nicht zu einer freiwilligen und informierten Einwilligung. Auch ein Button „Akzeptieren & Schließen X“ oben rechts war unzulässig: Das X verstehen Nutzer als Schließen, nicht als Zustimmung.

VG Hannover, Urteil vom 19. März 2025 (10 A 5385/22): Das Gericht bestätigte eine Anordnung der Landesbeauftragten für den Datenschutz Niedersachsen gegen ein Medienunternehmen. Beanstandet wurden unter anderem der höhere Aufwand beim Ablehnen, wiederholte Banner-Einblendungen und irreführende Beschriftungen. Nach einem Leitsatz des Urteils ist auch der Einsatz des Google Tag Managers einwilligungsbedürftig. Die Landesbeauftragte leitet aus dem Urteil ab, dass neben „Alle akzeptieren“ eine gut sichtbare „Alles ablehnen“-Schaltfläche stehen muss. Das Gericht selbst hat offengelassen, ob Ablehnen und Zustimmen grundsätzlich gleich gestaltet sein müssen.

Bußgelder und Abmahnungen

Wer entgegen § 25 Abs. 1 TDDDG Informationen speichert oder ausliest, handelt ordnungswidrig; das Bußgeld kann bis zu 300.000 Euro betragen (§ 28 TDDDG). Werden personenbezogene Daten ohne Rechtsgrundlage verarbeitet, gelten zusätzlich die Bußgelder der DSGVO. In der Praxis kommen Anordnungen der Aufsichtsbehörden der Länder und Unterlassungsklagen von Verbraucherverbänden hinzu, wie die Urteile oben zeigen.

Und die Einwilligungsverwaltungsverordnung?

Seit dem 1. April 2025 gilt die Einwilligungsverwaltungsverordnung (EinwV). Sie regelt, wie die BfDI Dienste zur Einwilligungsverwaltung (sogenannte PIMS) anerkennt, bei denen Nutzer ihre Einstellungen zentral hinterlegen. Einen ersten Dienst hat die BfDI im Oktober 2025 anerkannt. Für Websitebetreiber ist die Einbindung freiwillig (§ 18 EinwV), und die Verantwortung für Information und wirksame Einwilligung bleibt bei Ihnen (§ 1 Abs. 2 EinwV). Das Cookie-Banner ersetzt die Verordnung also nicht.

Auf EU-Ebene hat die Europäische Kommission im November 2025 mit dem „Digital Omnibus“ vorgeschlagen, die Cookie-Regeln in die DSGVO zu verschieben. Der Vorschlag wird noch verhandelt. Bis zu einer Einigung und deren Inkrafttreten gilt § 25 TDDDG unverändert.

So setzen Sie die Pflicht um

1. Ermitteln Sie alle Cookies und Dienste auf Ihrer Website, auch die von Plugins und eingebetteten Inhalten.
2. Ordnen Sie sie Zwecken zu: notwendig, Statistik, Marketing, externe Medien.
3. Gestalten Sie das Banner mit gleichwertigen Buttons „Alle akzeptieren“ und „Alles ablehnen“ auf der ersten Ebene und konkreten Angaben zu Zwecken und Anbietern.
4. Blockieren Sie einwilligungsbedürftige Skripte, bis eine Einwilligung vorliegt.
5. Bieten Sie einen dauerhaften Link zu den Cookie-Einstellungen auf jeder Seite.
6. Dokumentieren Sie die Einwilligungen und die jeweils verwendeten Banner-Texte, damit Sie sie nachweisen können (Art. 7 Abs. 1 DSGVO).
7. Fragen Sie neu, wenn sich eingesetzte Cookies oder Dienste ändern.

Cookie Confirm übernimmt diese Schritte für €7,95 pro Website und Monat: Der Scanner findet Ihre Cookies, das Banner blockiert sie bis zur Einwilligung, die Cookie-Erklärung wird automatisch erstellt und jede Einwilligung 12 Monate exportierbar gespeichert. Den Ablehnen-Button gestalten Sie gleichwertig zum Akzeptieren-Button, in Ihrem eigenen Design.

Quellen

• § 25 TDDDG und § 28 TDDDG (gesetze-im-internet.de)
• DSK: Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2 (November 2024)
• BGH, Urteil vom 28.05.2020, I ZR 7/16 (Cookie-Einwilligung II)
• OLG Köln, Urteil vom 19.01.2024, 6 U 80/23 (PDF, Verbraucherzentrale NRW)
• VG Hannover, Urteil vom 19.03.2025, 10 A 5385/22 (VORIS)
• LfD Niedersachsen: Pressemitteilung zum Urteil des VG Hannover
• § 18 EinwV und BfDI: Dienste zur Einwilligungsverwaltung nach § 26 TDDDG
• Europäische Kommission: Digital Omnibus (19.11.2025)