Cookie-Banner richtig einrichten: DSGVO-konform 2026
Das Wichtigste in Kürze
- Einen Cookie-Banner brauchen Sie nur, wenn Ihre Website nicht-notwendige Cookies oder Dienste einsetzt (z. B. Analyse, Marketing, eingebettete Videos). Für rein technisch notwendige Cookies ist kein Einwilligungs-Banner nötig.
- Ein rechtskonformer Banner holt die Einwilligung ein, BEVOR getrackt wird, bietet „Ablehnen“ genauso einfach wie „Akzeptieren“ und verwendet keine vorausgewählten Häkchen (§ 25 TDDDG, Art. 7 DSGVO, EuGH-Urteil Planet49).
- Die häufigsten Abmahn-Fehler: Tracking lädt schon vor der Einwilligung, es gibt nur einen „Akzeptieren“-Button, oder der „Ablehnen“-Weg ist versteckt.
- SiteFlat setzt bevorzugt auf datenschutzfreundliche, cookiefreie Analyse – so ist oft gar kein Einwilligungs-Banner nötig; wo einer gebraucht wird, kommt er rechtskonform ab Werk.
Kaum ein Thema verunsichert Website-Betreiber so sehr wie der Cookie-Banner. Muss ich einen haben? Wie muss er aussehen? Und ab wann wird es abmahnfähig? Dieser Ratgeber beantwortet die wichtigsten Fragen verständlich – ohne Juristendeutsch – und zeigt mit einer klaren Do-and-Don't-Liste, wie ein rechtskonformer Cookie-Banner 2026 aussieht.
Kurz vorweg: keine Rechtsberatung
Dieser Artikel erklärt die Grundlagen praxisnah, ersetzt aber keine individuelle Rechtsberatung. Bei komplexen Setups oder im Zweifel sollten Sie einen Fachanwalt für IT-Recht oder Ihren Datenschutzbeauftragten hinzuziehen.
Brauche ich überhaupt einen Cookie-Banner?
Nicht jede Website braucht einen Einwilligungs-Banner. Entscheidend ist, was Ihre Seite technisch tut. Die maßgebliche Regel steht in § 25 des TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, früher TTDSG): Für das Speichern oder Auslesen von Informationen auf dem Gerät des Nutzers brauchen Sie dessen Einwilligung – außer, es ist für den Betrieb der Seite unbedingt erforderlich.
| Art des Cookies / Dienstes | Beispiel | Einwilligung nötig? |
|---|---|---|
| Technisch notwendig | Warenkorb, Login-Session, Spracheinstellung | Nein |
| Statistik / Analyse | Google Analytics, klassisches Tracking | Ja |
| Marketing / Werbung | Retargeting, Facebook-Pixel, Google Ads | Ja |
| Externe Inhalte | YouTube-Video, Google Maps, eingebettete Schriften von Dritt-Servern | Ja |
| Cookiefreie Analyse | datenschutzfreundliche Statistik ohne Cookies/Personenbezug | In der Regel nein |
Die wichtigste Erkenntnis: Wer auf nicht-notwendige Cookies und Drittdienste verzichtet, braucht oft gar keinen Einwilligungs-Banner. Das ist nicht nur rechtlich der sicherste Weg, sondern auch der nutzerfreundlichste. Warum eingebettete Drittdienste wie Google Fonts riskant sind, zeigt der Beitrag DSGVO für Kleinunternehmen: Die 5 häufigsten Fehler.
Wie ein rechtskonformer Cookie-Banner aussieht
Wenn Sie nicht-notwendige Dienste einsetzen, muss der Banner drei Grundprinzipien erfüllen. Sie ergeben sich aus der DSGVO (Art. 7) und der Rechtsprechung des Europäischen Gerichtshofs (Urteil „Planet49“).
- 1Einwilligung vor der Verarbeitung: Tracking-Skripte und Drittdienste dürfen erst laden, nachdem der Nutzer aktiv zugestimmt hat – nicht schon beim Seitenaufruf.
- 2Ablehnen so einfach wie Akzeptieren: Auf der ersten Ebene braucht es einen gleichwertigen „Ablehnen“-Button neben „Akzeptieren“. Ein Banner, der nur „Akzeptieren“ anbietet, ist unzulässig.
- 3Freiwillig, informiert, keine Vorauswahl: Die Zustimmung muss freiwillig und aktiv erfolgen. Vorausgewählte Häkchen oder ein „Weiter-Nutzen ist Zustimmung“ sind laut EuGH keine gültige Einwilligung.
Was noch dazugehört
Der Nutzer muss vor der Zustimmung wissen, worin er einwilligt (welche Dienste, welcher Zweck), die Einwilligung jederzeit widerrufen können (z. B. über einen dauerhaft erreichbaren Link „Cookie-Einstellungen“) und einen Link zur Datenschutzerklärung finden. Ohne Widerrufs-Möglichkeit ist der Banner unvollständig.
Sauberer Datenschutz ohne Banner-Chaos
SiteFlat setzt bevorzugt auf cookiefreie, datenschutzfreundliche Analyse – oft ganz ohne Einwilligungs-Banner. Wo einer nötig ist, kommt er rechtskonform ab Werk. Ab 99 €/Monat, komplett verwaltet.
Die häufigsten Fehler – und wie Sie sie vermeiden
Diese Do-and-Don't-Liste fasst zusammen, worauf es ankommt:
| ✅ So ist es richtig | ❌ Das ist abmahnfähig |
|---|---|
| Tracking lädt erst nach aktiver Zustimmung | Skripte laden schon beim Seitenaufruf |
| „Ablehnen“ steht gleichwertig neben „Akzeptieren“ | Nur ein „Akzeptieren“-Button auf der ersten Ebene |
| Alle Häkchen (außer notwendig) sind standardmäßig leer | Vorausgewählte Häkchen für Statistik/Marketing |
| Einwilligung ist jederzeit widerrufbar | Kein Weg, die Einwilligung zurückzunehmen |
| Klare Info, welche Dienste zu welchem Zweck | Pauschaler Text ohne konkrete Angaben |
| „Ablehnen“ ist genauso sichtbar gestaltet | „Ablehnen“ grau/versteckt, „Akzeptieren“ knallig (Dark Pattern) |
Aufsichtsbehörden schauen genau hin
Deutsche Datenschutzbehörden haben wiederholt betont, dass eine Ablehnung genauso einfach möglich sein muss wie die Zustimmung. „Dark Patterns“, die Nutzer zur Zustimmung drängen, sind ausdrücklich unzulässig – und ein häufiger Beschwerde- und Abmahngrund.
— Datenschutzkonferenz (DSK), Orientierungshilfe zu Telemedien
Der einfachste Weg: weniger tracken
Der sicherste Cookie-Banner ist der, den Sie nicht brauchen. Viele kleine Unternehmen setzen aus Gewohnheit Google Analytics ein – dabei liefern datenschutzfreundliche, cookiefreie Analyse-Werkzeuge die wichtigsten Kennzahlen (Besucher, Seitenaufrufe, Herkunft) ohne personenbezogene Daten und meist ohne Einwilligungspflicht. Wer zusätzlich Drittinhalte lokal statt über externe Server einbindet, reduziert das Abmahnrisiko weiter. Was sonst noch in eine rechtssichere Datenschutzerklärung gehört, lesen Sie im verlinkten Beitrag.
- Prüfen Sie, welche Dienste Ihre Website wirklich braucht – jeder Drittdienst ist ein potenzieller Banner-Auslöser.
- Setzen Sie, wo möglich, auf cookiefreie Analyse statt klassischem Tracking.
- Binden Sie Schriften und Skripte lokal ein statt über externe Server.
- Laden Sie eingebettete Videos oder Karten erst nach Klick (Zwei-Klick-Lösung).
DSGVO-konform ab Werk – ohne Stress
SiteFlat baut Websites mit datenschutzfreundlicher Analyse, lokal eingebundenen Ressourcen und – wo nötig – rechtskonformem Consent. Deutsches Hosting inklusive. Ab 99 €/Monat.
Fazit: Rechtssicher ist einfacher als gedacht
Ein rechtskonformer Cookie-Banner ist kein Hexenwerk: Einwilligung vor dem Tracking, „Ablehnen“ genauso einfach wie „Akzeptieren“, keine vorausgewählten Häkchen und eine Widerrufs-Möglichkeit. Noch einfacher wird es, wenn Sie auf nicht-notwendige Dienste verzichten – dann brauchen Sie oft gar keinen Banner. Für die meisten kleinen Unternehmen ist genau das der beste Weg: weniger Tracking, weniger Risiko, mehr Vertrauen bei den Besuchern.
Quellen
Häufige Fragen
Nein. Ein Einwilligungs-Banner ist nur nötig, wenn Ihre Website nicht-notwendige Cookies oder Drittdienste einsetzt – etwa Analyse, Marketing oder eingebettete Videos. Für rein technisch notwendige Cookies (Warenkorb, Login, Spracheinstellung) brauchen Sie keinen Einwilligungs-Banner. Wer auf Tracking verzichtet, kann oft ganz darauf verzichten.
Er muss die Einwilligung einholen, bevor getrackt wird, „Ablehnen“ genauso einfach anbieten wie „Akzeptieren“, ohne vorausgewählte Häkchen auskommen und einen Widerruf jederzeit ermöglichen. Grundlage sind § 25 TDDDG, Art. 7 DSGVO und das EuGH-Urteil „Planet49“.
Nein, das ist unzulässig. Auf der ersten Ebene muss eine gleichwertige „Ablehnen“-Option vorhanden sein. Ein Banner, der Ablehnen nur versteckt oder gar nicht anbietet, gilt als „Dark Pattern“ und ist ein häufiger Abmahngrund.
Nein. Analyse- und Marketing-Skripte sowie Drittdienste dürfen erst nach aktiver Einwilligung geladen werden – nicht bereits beim Seitenaufruf. Ein Banner, der nur eingeblendet wird, während im Hintergrund schon getrackt wird, ist nicht rechtskonform.
Indem Sie auf nicht-notwendige Cookies verzichten: cookiefreie, datenschutzfreundliche Analyse statt klassischem Tracking, Schriften und Skripte lokal einbinden statt über externe Server und Videos/Karten erst nach Klick laden. Dann entfällt die Einwilligungspflicht in der Regel.
Website, um die Sie sich nie kümmern müssen.
SiteFlat baut, hostet und pflegt Ihre Website zum monatlichen Festpreis — DSGVO-konform, blitzschnell und für Google wie KI optimiert. Ab 99 €/Monat, ohne Einmalkosten.
Unverbindlich anfragen