Cookie Confirm
de

Bußgelder wegen Cookies: Was in Deutschland droht

Welche Bußgelder das TDDDG und die DSGVO für Cookie-Verstöße vorsehen, wer sie in Deutschland verhängt und warum Abmahnungen, Verbandsklagen und Schadensersatzforderungen oft das größere Risiko sind.

Zuletzt geprüft am 13 Oktober 2026

Kurz gesagt

  • Wer ohne Einwilligung Cookies setzt oder ausliest, riskiert nach § 28 TDDDG ein Bußgeld von bis zu 300.000 Euro.
  • Werden dabei personenbezogene Daten ohne Rechtsgrundlage verarbeitet, sieht die DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor.
  • Für Websites von Unternehmen sind die Datenschutzaufsichtsbehörden der Länder zuständig, nicht die BfDI.
  • Mitbewerber und Verbraucherverbände dürfen Datenschutzverstöße vor Zivilgerichten verfolgen, das hat der BGH 2025 bestätigt.
  • Schon ein kurzer Kontrollverlust über Daten kann nach dem BGH ein ersatzfähiger Schaden sein.

Zwei Gesetze, zwei Bußgeldrahmen

Bei Cookies greifen in Deutschland zwei Regelwerke nebeneinander, und beide haben eigene Bußgeldvorschriften.

§ 25 TDDDG verlangt eine Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder dort ausgelesen werden, sofern das nicht unbedingt erforderlich ist. Wer vorsätzlich oder fahrlässig dagegen verstößt, handelt nach § 28 Abs. 1 Nr. 13 TDDDG ordnungswidrig. Die Geldbuße kann bis zu 300.000 Euro betragen (§ 28 Abs. 2 TDDDG). Auf einen Personenbezug kommt es dabei nicht an.

Die DSGVO gilt zusätzlich, sobald personenbezogene Daten verarbeitet werden, etwa Cookie-IDs oder IP-Adressen, die an Analyse- und Werbedienste fließen. Art. 83 DSGVO kennt zwei Stufen:

Verstoß Höchstbetrag
Speichern oder Auslesen ohne Einwilligung (§ 25 TDDDG) 300.000 Euro (§ 28 TDDDG)
Pflichten des Verantwortlichen, z. B. Art. 25 bis 39 DSGVO (Art. 83 Abs. 4) 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
Verarbeitung ohne Rechtsgrundlage, unwirksame Einwilligung (Art. 5, 6, 7 DSGVO) 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes
Informationspflichten und Betroffenenrechte (Art. 12 bis 22 DSGVO) 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes

Maßgeblich ist bei Unternehmen jeweils der höhere der beiden Beträge. Mehr zu den Anforderungen an das Banner selbst lesen Sie unter Cookie-Banner-Pflicht in Deutschland.

Wer die Bußgelder verhängt

Für die Websites von Unternehmen sind die Datenschutzaufsichtsbehörden der Länder zuständig, in der Regel die Behörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Für die DSGVO folgt das aus § 40 BDSG.

Die BfDI ist für § 25 TDDDG nur zuständig, wenn Anbieter von Telekommunikationsdiensten oder öffentliche Stellen des Bundes Informationen auf Endgeräten speichern oder auslesen (§ 29 Abs. 2 TDDDG); nur in diesen Fällen ist sie auch Bußgeldbehörde nach § 28 Abs. 3 Nr. 2 TDDDG. Für alle anderen regeln die Länder die Zuständigkeit. Niedersachsen etwa hat die Behörde der Landesbeauftragten ausdrücklich zur Verwaltungsbehörde für Ordnungswidrigkeiten nach § 28 Abs. 1 Nr. 10 bis 13 TDDDG erklärt (§ 20a NDSG).

Wie die Höhe bemessen wird

Ein Bußgeld muss nach Art. 83 Abs. 1 DSGVO wirksam, verhältnismäßig und abschreckend sein. Art. 83 Abs. 2 nennt die Kriterien, unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung und die Zusammenarbeit mit der Behörde.

Wie die Aufsichtsbehörden daraus einen Betrag berechnen, beschreiben die Leitlinien 04/2022 des Europäischen Datenschutzausschusses, die am 24. Mai 2023 endgültig angenommen wurden. Sie sehen ein Verfahren in fünf Schritten vor, das vor allem Art und Schwere des Verstoßes und den Umsatz des Unternehmens berücksichtigt. Das frühere Bußgeldkonzept der Datenschutzkonferenz von 2019 ist damit nach Angaben der Berliner, der Hessischen und der Bundesdatenschutzbehörde abgelöst.

Was deutsche Aufsichtsbehörden tatsächlich tun

Bußgelder deutscher Behörden speziell wegen Cookies, mit Unternehmen und Betrag, sind bisher kaum veröffentlicht. Die Behörden prüfen aber, ordnen Änderungen an und kündigen schärfere Konsequenzen an:

Zeitpunkt Behörde oder Gericht Was geschah
Juni 2021 Aufsichtsbehörden aus 11 Ländern Gemeinsame Prüfung von 49 Medien-Websites: Die meisten erfüllten die Anforderungen an Cookies und Tracking nicht, oft wurden Dienste schon vor der Einwilligung geladen.
Tätigkeitsbericht 2023 Bayerisches Landesamt für Datenschutzaufsicht Die meisten Beschwerden im Bereich Internet betrafen Google Analytics oder Facebook Pixel ohne Einwilligung. Erste Fälle wegen Verstößen gegen § 25 wurden an die Bußgeldstelle abgegeben.
März 2025 VG Hannover Bestätigt eine Anordnung der Landesbeauftragten Niedersachsen gegen ein manipulatives Cookie-Banner eines Medienunternehmens.
Juni 2025 BfDI Automatisierte Prüfung von knapp 200 Bundes-Websites: 40 Verstöße durch direkt eingebundene YouTube-Videos, die Stellen erhielten Hinweisschreiben.
September 2025 CNIL (Frankreich, zum Vergleich) 325 Mio. Euro gegen Google und 150 Mio. Euro gegen Shein, unter anderem wegen Cookies ohne Einwilligung.

Das Bayerische Landesamt stellt klar, dass sich Websitebetreiber für Tracking-Cookies seit Dezember 2021 nicht mehr auf ein berechtigtes Interesse berufen können; maßgeblich ist die Einwilligung nach § 25 TDDDG.

Abmahnungen und Verbandsklagen

In Deutschland kommt das Risiko oft nicht von der Behörde, sondern von Mitbewerbern und Verbänden.

  • Mitbewerber: Der EuGH hat am 4. Oktober 2024 entschieden (C-21/23, Lindenapotheke), dass die DSGVO nationalen Regeln nicht entgegensteht, nach denen Mitbewerber Datenschutzverstöße mit einer wettbewerbsrechtlichen Klage verfolgen. Der BGH hat das am 27. März 2025 für einen Verstoß gegen Art. 9 DSGVO umgesetzt (I ZR 222/19 und I ZR 223/19). Ob ein Cookie-Verstoß abmahnfähig ist, hängt davon ab, ob die verletzte Vorschrift das Marktverhalten regelt.
  • Grenze bei den Kosten: Bei Unternehmen mit in der Regel weniger als 250 Mitarbeitern können Mitbewerber für die Abmahnung von Verstößen gegen DSGVO und BDSG keine Abmahnkosten verlangen (§ 13 Abs. 4 Nr. 2 UWG).
  • Verbraucherverbände: Sie dürfen Datenschutzverstöße, etwa gegen Informationspflichten, ohne Auftrag eines Betroffenen vor den Zivilgerichten verfolgen (BGH, 27. März 2025, I ZR 186/17). Ein Beispiel ist das Urteil des OLG Köln vom Januar 2024 gegen ein Cookie-Banner ohne Ablehnoption, erstritten von der Verbraucherzentrale NRW.

Nicht jedes Schreiben ist berechtigt. Bei den massenhaften Google-Fonts-Abmahnungen von 2022 ermittelte die Staatsanwaltschaft, und das LG München I verneinte Ansprüche, wenn Websites automatisiert aufgerufen wurden. Mehr dazu unter Google Fonts, YouTube und Google Maps DSGVO-konform einbinden.

Schadensersatz nach Art. 82 DSGVO

Besucher können für einen materiellen oder immateriellen Schaden Ersatz verlangen. Der EuGH hat am 4. Mai 2023 (C-300/21, Österreichische Post) drei Voraussetzungen festgelegt: ein Verstoß gegen die DSGVO, ein Schaden und ein Kausalzusammenhang. Der bloße Verstoß reicht nicht, eine Erheblichkeitsschwelle gibt es aber auch nicht.

Der BGH hat am 18. November 2024 (VI ZR 10/24) entschieden, dass schon der kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten ein immaterieller Schaden sein kann, ohne dass die Daten missbraucht wurden. Einen Betrag von rund 100 Euro hielt er in dem Fall für rechtlich unbedenklich. Auch das LG München I sprach im Google-Fonts-Urteil von 2022 100 Euro zu. Einzelne Beträge sind gering, bei vielen Besuchern und Klagen summiert sich das Risiko aber.

So bleiben Sie auf der sicheren Seite

  1. Wissen, was läuft: Erfassen Sie alle Cookies und Dienste, auch die von Plugins, Tag Manager und eingebetteten Inhalten.
  2. Erst fragen, dann laden: Einwilligungsbedürftige Skripte starten erst nach dem Klick auf Zustimmen.
  3. Gleichwertig ablehnen: „Alles ablehnen“ auf der ersten Ebene, so sichtbar wie „Alle akzeptieren“.
  4. Nachweisen können: Dokumentieren Sie Einwilligungen (Art. 7 Abs. 1 DSGVO) und Ihre Banner-Texte.
  5. Regelmäßig prüfen: Neue Plugins oder Kampagnen bringen neue Cookies mit.
  6. Auf Schreiben reagieren: Nehmen Sie Anfragen der Aufsichtsbehörde ernst und lassen Sie Abmahnungen anwaltlich prüfen, bevor Sie zahlen oder unterschreiben.

Cookie Confirm unterstützt Sie dabei für €7,95 pro Website und Monat: Der Scanner prüft Ihre Website jeden Monat und bei Bedarf jederzeit erneut, das Banner blockiert Skripte bis zur Einwilligung, jede Einwilligung wird 12 Monate gespeichert und lässt sich exportieren, und die Cookie-Erklärung wird aus dem Scan erstellt und aktuell gehalten.

Quellen

Häufige Fragen

Wie hoch ist das Bußgeld für Cookies ohne Einwilligung?

Für das Speichern oder Auslesen von Informationen ohne die nach § 25 Abs. 1 TDDDG erforderliche Einwilligung sieht § 28 TDDDG ein Bußgeld von bis zu 300.000 Euro vor. Werden dabei personenbezogene Daten ohne Rechtsgrundlage verarbeitet, kommt Art. 83 DSGVO hinzu: bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das sind Höchstbeträge; die tatsächliche Höhe richtet sich nach dem Einzelfall.

Welche Behörde ist für meine Website zuständig?

In der Regel die Datenschutzaufsichtsbehörde des Bundeslandes, in dem Ihr Unternehmen seinen Sitz hat. Die BfDI ist für § 25 TDDDG nur zuständig, wenn Telekommunikationsanbieter oder öffentliche Stellen des Bundes Cookies setzen (§ 29 Abs. 2 TDDDG).

Darf ein Mitbewerber mich wegen meines Cookie-Banners abmahnen?

Mitbewerber können Verstöße gegen die DSGVO nach dem Wettbewerbsrecht verfolgen, wenn die verletzte Vorschrift das Marktverhalten regelt. Das haben EuGH (2024) und BGH (2025) bestätigt. Beschäftigt Ihr Unternehmen in der Regel weniger als 250 Mitarbeiter, kann ein Mitbewerber für die Abmahnung eines DSGVO-Verstoßes aber keine Abmahnkosten verlangen (§ 13 Abs. 4 Nr. 2 UWG). Der Unterlassungsanspruch bleibt davon unberührt.

Muss ich Besuchern Schadensersatz zahlen, wenn mein Banner fehlerhaft ist?

Nicht automatisch. Nach dem EuGH reicht ein bloßer Verstoß gegen die DSGVO nicht; der Besucher muss einen Schaden darlegen, der auf dem Verstoß beruht. Eine Mindestschwelle gibt es allerdings nicht, und der BGH hält schon einen kurzzeitigen Kontrollverlust über die eigenen Daten für einen möglichen Schaden. Für den bloßen Kontrollverlust hielt der BGH 2024 einen Betrag von rund 100 Euro für rechtlich unbedenklich.

Dieser Ratgeber ist eine allgemeine Information und keine Rechtsberatung. Wir prüfen ihn regelmäßig, aber Gesetze und Leitlinien ändern sich. Unsicher, was für Sie gilt? Fragen Sie eine Anwältin oder einen Anwalt.

Weiterlesen

Weitere Ratgeber

Alle Ratgeber →

Die ersten 7 Tage komplett kostenlos

Erstellen Sie ein kostenloses Konto und finden Sie heraus, ob Cookie Confirm zu Ihnen passt. In 5 Minuten live.

  • Keine Kreditkarte erforderlich
  • Danach €7,95 pro Monat
  • Plug-and-play-Installation
Kostenlos testen

4,9/5 5.000+ Websites