Cookie-Banner: Braucht Ihre kleine Website wirklich einen?

Der Ausgangspunkt ist nicht die DSGVO allein, sondern das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG - bis Mai 2024 als TTDSG bekannt und durch das Digitale-Dienste-Gesetz umbenannt (DDG). Sein §25 (TDDDG §25) verlangt eine Einwilligung, bevor Informationen auf dem Endgerät der Besucher gespeichert oder ausgelesen werden - also bevor Cookies und ähnliche Techniken zum Einsatz kommen, die nicht unbedingt nötig sind. Diese Regel setzt europäisches Recht um, konkret Artikel 5 Absatz 3 der ePrivacy-Richtlinie (ePrivacy-Richtlinie 2002/58/EG). Ein Cookie-Banner ist lediglich das Werkzeug, mit dem diese Einwilligung eingeholt wird. Der entscheidende Punkt: Braucht Ihre Seite keine Einwilligung, brauchen Sie auch keinen Banner. Und ob eine Einwilligung nötig ist, hängt allein davon ab, was die Seite technisch lädt - nicht davon, ob sie groß oder klein ist. Dass die Einwilligung aktiv erfolgen muss und ein vorangekreuztes Kästchen nicht genügt, hat der Europäische Gerichtshof bereits 2019 im Verfahren Planet49 klargestellt (EuGH, Rechtssache C-673/17).

Diese Unterscheidung wird in der Praxis oft übersprungen. Aus Vorsicht setzen viele Betriebe pauschal einen Banner, ohne zu prüfen, ob ihre Seite überhaupt einwilligungspflichtige Technik nutzt. Das ist verständlich, aber es löst das Problem nicht, sondern verlagert es nur: Der Banner erweckt den Eindruck von Rechtssicherheit, während im Hintergrund vielleicht gar nichts Einwilligungspflichtiges läuft - oder umgekehrt Tracker schon vor der Zustimmung feuern. Wer stattdessen zuerst klärt, was die eigene Seite tatsächlich lädt, trifft eine bewusste Entscheidung und spart sich in vielen Fällen den Banner komplett. Genau diese Bestandsaufnahme steht am Anfang jeder sauberen Umsetzung.

In der Praxis schleichen sich die einwilligungspflichtigen Elemente oft unbemerkt ein - besonders bei Baukasten-Systemen und fertigen Vorlagen, die im Hintergrund Dienste mitladen. Vier Kategorien sind für den Banner verantwortlich: Erstens Reichweiten- und Statistikdienste von Drittanbietern, die Besucher analysieren. Zweitens Werbe- und Retargeting-Pixel, mit denen soziale Netzwerke und Werbeplattformen Nutzer wiedererkennen. Drittens eingebettete Inhalte, die von fremden Servern nachgeladen werden - etwa Videos einer Video-Plattform, interaktive Karten oder extern gehostete Schriftarten. Und viertens Komfortfunktionen wie Chat-Fenster oder Bewertungs-Widgets, die Daten an Dritte übertragen. Jedes dieser Elemente kann eine Einwilligung nach §25 TDDDG (TDDDG §25) auslösen. Wie heikel schon eine scheinbar harmlose Einbindung sein kann, zeigt das bekannte Münchner Urteil zu dynamisch von externen Servern nachgeladenen Web-Schriften: Das Landgericht München I sprach einer betroffenen Person 100 Euro Schadensersatz zu, weil dabei ihre IP-Adresse ohne Einwilligung an einen fremden Server floss (LG München I, Az. 3 O 17493/20).

Wenn eine Einwilligung nötig ist, muss der Banner sauber gebaut sein - sonst schützt er nicht, sondern schafft ein zusätzliches Risiko. Die Anforderungen sind klar: Ablehnen muss so leicht möglich sein wie Zustimmen, es darf keine vorangekreuzten Kästchen geben, und die Tracker dürfen erst laden, nachdem die Person aktiv zugestimmt hat. In der Realität erfüllen viele Banner das nicht: Eine vielzitierte Untersuchung fand, dass nur 11,8 Prozent der geprüften Cookie-Banner die rechtlichen Mindestanforderungen erfüllten (Nouwens et al., CHI 2020). Auch Datenschutzorganisationen gehen gezielt gegen fehlerhafte Banner vor - die Initiative noyb kündigte an, bis zu 10.000 Beschwerden gegen rechtswidrige Cookie-Banner einzureichen, und startete mit 560 Unternehmen in einer ersten Welle (noyb). Ein schlecht gemachter Banner ist damit oft riskanter als gar keiner. Genau deshalb ist die schlankere Lösung für viele kleine Betriebe die bessere: keine unnötigen Tracker, kein Banner, kein Fehlerpotenzial. Wie sich Baukasten und individuelle Umsetzung hier unterscheiden, zeigt der Vergleich Website oder Baukasten.

Die beiden Wege sind kein Entweder-oder für jede Seite: Ein Onlineshop, der seine Kampagnen auswerten will, hat andere Anforderungen als eine reine Visitenkarten-Website. Für viele kleine Betriebe - Handwerk, Praxis, Kanzlei, Verein, Selbstständige - ist der schlanke Weg aber realistisch und meist auch der bessere, weil er schneller lädt, weniger Angriffsfläche bietet und den ersten Eindruck nicht hinter einem Pop-up versteckt. Auch beratende Berufe profitieren von einer schlanken, vertrauenswürdigen Seite, wie der Beitrag zur Website für Coaches und Berater zeigt. Wichtig ist, dass die Entscheidung bewusst fällt - und nicht per Voreinstellung eines Baukastens.

Wir bauen kleine Websites bewusst so, dass sie mit möglichst wenig Datenabfluss auskommen - zum Festpreis ab 290 Euro, ohne Abo-Zwang; Hosting in Deutschland gibt es auf Wunsch mit der Pflege ab 19 Euro pro Monat. In der Praxis heißt das: Schriften und Symbole liegen lokal auf Ihrem Server statt bei Dritten, Karten und Videos binden wir datensparsam oder erst nach einem aktiven Klick ein, und wo Reichweite überhaupt gemessen werden soll, prüfen wir zuerst datenschutzfreundliche, einwilligungsfreie Wege. So bleibt in vielen Fällen nur der Einsatz technisch notwendiger Cookies - und der Banner entfällt. Welcher Umfang zu Ihrem Betrieb passt und was er kostet, sehen Sie transparent in unserer Übersicht zu Paketen und Preisen oder in unseren Leistungen im Überblick. Wie das Thema Barrierefreiheit für Kleinbetriebe dazu passt, erklärt der Beitrag zur barrierefreien Website nach dem BFSG.