Braucht meine Website ein Cookie-Banner?

Nein — eine Website braucht kein Cookie-Banner, solange sie keine Cookies oder ähnlichen Kennungen setzt, die für den Betrieb nicht unbedingt erforderlich sind. Die Einwilligungspflicht folgt aus § 25 TDDDG und knüpft an den Zugriff auf das Endgerät des Besuchers an, nicht an eine Datenverarbeitung. Stand dieser Darstellung: September 2026.

Das ist kein Rechtsrat; im Zweifel Fachanwalt. Dieser Beitrag beschreibt, wie LucTech Websites baut und warum diese Websites ohne Banner auskommen. Für die rechtliche Bewertung eines konkreten Auftritts ist eine anwaltliche Prüfung zuständig.

Was steht in § 25 TDDDG?

§ 25 TDDDG verlangt eine Einwilligung, bevor Informationen auf dem Endgerät eines Nutzers gespeichert oder auf dort bereits gespeicherte Informationen zugegriffen wird. Ausgenommen sind nach § 25 Absatz 2 TDDDG zwei Fälle: die reine Übertragung einer Nachricht und Speicherungen, die unbedingt erforderlich sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann.

Das Gesetz heißt seit dem 14. Mai 2024 TDDDG — Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten. Vorher trug dasselbe Gesetz die Abkürzung TTDSG. Ältere Ratgeber im Netz nennen deshalb noch § 25 TTDSG; gemeint ist derselbe Paragraf mit demselben Inhalt.

Es geht nicht um Daten. Es geht um den Zugriff auf das Gerät.

Warum reicht ein berechtigtes Interesse hier nicht?

Ein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO trägt den Zugriff auf das Endgerät nicht, weil § 25 TDDDG eine eigene, vorgelagerte Erlaubnisebene ist. Die DSGVO regelt, was mit den erhobenen Daten geschehen darf. § 25 TDDDG regelt, ob überhaupt etwas auf dem Gerät gelesen oder abgelegt werden darf. Beide Ebenen müssen erfüllt sein, und die zweite lässt sich nicht durch eine Abwägung ersetzen.

Was heißt „unbedingt erforderlich“?

„Unbedingt erforderlich“ heißt: ohne diese Speicherung funktioniert der vom Besucher gewünschte Dienst nicht. Ein Warenkorb, der die gewählten Artikel behält, ist erforderlich. Eine Sitzungskennung nach dem Anmelden ist erforderlich. Ein Schutz gegen Formular-Missbrauch kann erforderlich sein. Nicht erforderlich sind Reichweitenmessung, Werbe-Zuordnung, A/B-Tests und eingebettete Inhalte fremder Anbieter.

Wichtig an dieser Abgrenzung: Erforderlich ist, was der Besucher braucht, nicht was der Betreiber braucht. Eine Statistik ist für den Betreiber nützlich und für den Besucher bedeutungslos. Deshalb fällt eine cookie-basierte Statistik unter die Einwilligungspflicht des § 25 TDDDG, auch wenn die Zahlen daraus niemandem schaden.

Welche Werkzeuge lösen die Bannerpflicht aus?

Die Bannerpflicht lösen in der Praxis fast immer dieselben vier Bausteine aus: Google Analytics, das Meta-Pixel, eingebettete YouTube- oder Vimeo-Videos und eingebettete Google Maps. Dazu kommen Schriftarten, die beim Aufruf von einem fremden Server geladen werden, sowie Chat- und Bewertungs-Widgets. Jeder dieser Bausteine greift beim Seitenaufruf auf das Endgerät zu oder lässt einen Dritten das tun.

LucTech baut Websites ohne diese Bausteine. Das öffentliche Frontend der Seite luctech.de setzt kein einziges Cookie; die Sitzungsverwaltung läuft ausschließlich im geschützten Verwaltungsbereich, den nur angemeldete Konten sehen. Schriftarten liegen als Datei auf demselben Server wie die Seite. Diese Bauweise ist die Voraussetzung dafür, dass die Datenschutzerklärung von LucTech die Cookie-Freiheit auch wahrheitsgemäß behaupten darf.

Sind Google Fonts wirklich ein Problem?

Google Fonts sind dann ein Problem, wenn die Schriftdateien beim Aufruf der Seite von einem Google-Server geladen werden, denn dabei geht die IP-Adresse des Besuchers ungefragt an einen Dritten. Die Lösung ist unspektakulär: Die Schriftdatei wird heruntergeladen und liegt danach auf dem eigenen Server. Der Besucher sieht dieselbe Schrift, und der Aufruf verlässt die eigene Domain nicht mehr.

Wie misst man Besucher ohne Cookies?

Besucher lassen sich ohne Cookies messen, indem der Server die Aufrufe zählt, die er ohnehin ausliefert, statt ein Kennzeichen im Browser zu hinterlegen. Eine solche Statistik beantwortet die Fragen, die ein Betrieb wirklich stellt: Welche Seite wird aufgerufen, woher kommen die Besucher, welcher Beitrag wird gelesen. Sie beantwortet nicht, ob derselbe Mensch nächste Woche wiederkommt — und genau dieser Verzicht ist der Grund, warum kein Banner nötig wird.

Bei LucTech gehört diese Besucherstatistik ohne Cookie-Banner zur laufenden Betreuung, die bei 49 € im Monat beginnt, Stand September 2026. Ein separat lizenziertes Einwilligungswerkzeug entfällt damit. Wer die vollständige Kostenaufstellung sucht, findet sie im Beitrag Was kostet eine Website in Halle und auf der Seite Preise.

Gilt § 25 TDDDG auch für LocalStorage und Fingerprinting?

Ja — § 25 TDDDG gilt auch für LocalStorage, SessionStorage, IndexedDB und für jede andere Technik, die Informationen im Endgerät ablegt oder dort vorhandene Informationen ausliest. Der Paragraf spricht bewusst nicht von Cookies, sondern von Informationen in der Endeinrichtung. Deshalb hilft der verbreitete Trick nicht, das Kennzeichen statt in ein Cookie in den LocalStorage zu schreiben: Die Einwilligungspflicht bleibt dieselbe.

Dasselbe gilt für Fingerprinting, also für das Wiedererkennen eines Geräts anhand von Bildschirmgröße, Schriftenliste und ähnlichen Merkmalen. Beim Fingerprinting wird auf Informationen zugegriffen, die im Endgerät gespeichert sind, und damit greift § 25 TDDDG. Ein Werkzeug, das mit „cookiefrei“ wirbt, ist deshalb nicht automatisch bannerfrei — entscheidend ist, ob es das Gerät ausliest.

Braucht ein Onlineshop zwingend ein Cookie-Banner?

Ein Onlineshop braucht kein Banner für den Warenkorb, weil die Speicherung des Warenkorbs für den vom Kunden ausdrücklich gewünschten Dienst unbedingt erforderlich ist und damit unter die Ausnahme des § 25 Absatz 2 TDDDG fällt. Bannerpflichtig wird ein Shop durch das, was zusätzlich eingebaut wird: Werbe-Zuordnung, Empfehlungsdienste, Reichweitenmessung und eingebundene Bewertungsanzeigen. Die Frage lautet also auch im Shop nicht „Cookies ja oder nein“, sondern „welche und wofür“.

Wer haftet, wenn das Banner fehlt?

Verantwortlich für die Einhaltung von § 25 TDDDG ist der Betreiber der Website, also der Betrieb selbst — nicht die Agentur, die sie gebaut hat, und nicht der Hoster. Ein Dienstleister kann diese Verantwortung technisch erleichtern, indem er nichts einbaut, was Einwilligung braucht. Abnehmen kann er sie nicht. Wie die Verantwortung im Einzelfall verteilt ist und welche Folgen ein Verstoß hat, gehört in eine anwaltliche Prüfung.

Was kostet ein Cookie-Banner den Betrieb?

Ein Cookie-Banner kostet einen Betrieb an drei Stellen. Erstens als Abo, denn Einwilligungswerkzeuge werden fast immer monatlich abgerechnet. Zweitens an Genauigkeit, weil jede abgelehnte Einwilligung eine Lücke in der eigenen Statistik erzeugt. Drittens an Vertrauen, weil das erste, was ein neuer Besucher von der Firma sieht, eine juristische Abfrage ist und nicht das Angebot.

Der dritte Punkt ist der unterschätzte. Ein Handwerksbetrieb aus Halle (Saale), den ein Interessent zum ersten Mal auf dem Telefon aufruft, gewinnt nichts durch einen Dialog über Verarbeitungszwecke. Wenn dieselbe Website ohne Banner auskommt, weil sie nichts nachlädt, ist das kein Rechtstrick, sondern eine Bauentscheidung — dieselbe Entscheidung, die die Seite auch schneller macht.

Kann ich das Banner einfach weglassen und hoffen?

Nein — das Banner weglassen darf nur, wer die auslösenden Werkzeuge tatsächlich entfernt hat. Ein Banner, das fehlt, während Google Analytics weiterläuft, ist ein Verstoß gegen § 25 TDDDG und keine Ersparnis. Ebenso wenig hilft ein Banner, das erst nach dem Laden der Werkzeuge erscheint: Die Einwilligung muss vor dem Zugriff auf das Endgerät vorliegen, nicht danach.

Wie prüfe ich meine bestehende Website?

Eine bestehende Website prüft man in drei Schritten, und alle drei kann ein Geschäftsführer ohne IT-Kenntnisse selbst gehen. Erstens: die Seite in einem frischen Browserfenster aufrufen und in den Entwicklerwerkzeugen unter „Anwendung“ nachsehen, ob vor jedem Klick schon Cookies gesetzt sind. Zweitens: die eigene Datenschutzerklärung lesen und jedes darin genannte Werkzeug notieren. Drittens: prüfen, ob jedes notierte Werkzeug wirklich gebraucht wird.

Aus diesem dritten Schritt entsteht meistens eine kurze Liste. Karten lassen sich durch einen Link zum Kartendienst ersetzen, Videos durch ein Vorschaubild mit Link, Schriften durch lokale Dateien, und die Reichweitenmessung durch eine serverseitige Zählung. Bleibt danach nichts übrig, was auf das Endgerät zugreift, entfällt die Einwilligungspflicht nach § 25 TDDDG — und mit ihr das Banner.

Was ist mit Kontaktformularen und Schutz gegen Missbrauch?

Ein Kontaktformular braucht kein Einwilligungsbanner, solange der Schutz gegen Missbrauch ohne Kennung auf dem Endgerät auskommt. Entscheidend ist nicht, ob geschützt wird, sondern wann und womit. Ein Prüf-Widget, das auf jeder Seite mitlädt — auch auf Seiten ganz ohne Formular —, überträgt die Adresse jedes Besuchers an einen Dritten, bevor dieser überhaupt etwas eingeben wollte. Das ist der Fehler, den man auf vielen Seiten sieht.

Beim Kontaktformular dieser Seite ist es gestaffelt. Die erste Stufe läuft vollständig auf dem eigenen Server und braucht kein Skript: ein für Menschen unsichtbares Zusatzfeld, eine Zeitmessung zwischen Aufruf und Absenden — deren Marke signiert ist, damit ein Programm sie nicht einfach selbst setzen kann — und eine Begrenzung je Netzadresse, wobei die Adresse nur als gepfefferter Streuwert gespeichert wird und nicht im Klartext. Die zweite Stufe ist ein Prüfdienst von Cloudflare. Er wird erst nachgeladen, wenn Sie ein Feld des Formulars berühren — nicht beim Aufruf der Seite, und auf keiner anderen Seite überhaupt.

Warum das ohne Einwilligung geht: Der Dienst dient allein dem Betrieb genau der Funktion, die Sie in diesem Moment angefordert haben, nämlich dem Absenden Ihrer Nachricht. Für einen solchen Zugriff sieht § 25 Abs. 2 Nr. 2 TDDDG die Ausnahme von der Einwilligungspflicht vor; die Verarbeitung selbst stützt sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, nämlich die Abwehr automatisierter Eingaben. Wer das Formular gar nicht benutzt, löst diese Verbindung nie aus. Wer es benutzt, findet Empfänger, Zweck und Speicherdauer in der Datenschutzerklärung.

Kein Banner heißt nicht „kein Dritter unter allen Umständen". Es heißt: kein Zugriff auf Ihr Gerät, bevor Sie etwas tun, das ihn nötig macht.

Woher stammen die Angaben in diesem Beitrag?

Die rechtlichen Angaben in diesem Beitrag stammen aus dem Wortlaut des § 25 TDDDG in der seit dem 14. Mai 2024 geltenden Fassung, Stand der Darstellung September 2026. Die technischen Angaben beschreiben die Bauweise von LucTech, Halle (Saale). Rechtsprechung im Einzelfall, Sonderfälle des Beschäftigten- und Gesundheitsdatenschutzes und die Bewertung eines konkreten Auftritts gehören zu einer anwaltlichen Prüfung, nicht in einen Ratgeber.