Paragraf 25 TTDSG und die DSGVO verlangen mehr als einen Hinweis mit „OK"-Button. Was eine rechtssichere Einwilligung wirklich braucht, welche Dark Patterns Abmahnungen provozieren — und warum lokal gehostete Google Fonts dazugehören.
Viele Website-Betreiber denken bei Cookie-Bannern zuerst an die DSGVO. Die eigentliche Einwilligungspflicht für das Setzen von Cookies steht aber im Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), Paragraf 25: Wer Informationen auf dem Endgerät eines Nutzers speichert oder darauf zugreift, braucht dafür eine Einwilligung — mit wenigen Ausnahmen für technisch notwendige Funktionen.
Die DSGVO kommt zusätzlich ins Spiel, sobald über die Cookies personenbezogene Daten verarbeitet werden, etwa bei Analyse- oder Marketing-Tools. In der Praxis bedeutet das: Für den Warenkorb oder die Spracheinstellung braucht es keinen Banner. Für Google Analytics, Meta-Pixel, YouTube-Einbettungen oder Chat-Widgets von Drittanbietern schon — und zwar bevor das Skript überhaupt lädt, nicht erst nach dem Klick.
Die Datenschutzkonferenz (DSK) der deutschen Aufsichtsbehörden hat ihre Erwartungen an Cookie-Banner mehrfach präzisiert. Diese fünf Punkte prüfen Aufsichtsbehörden und Abmahnvereine zuerst.
Unabhängig vom Cookie-Banner selbst: Wird eine Google-Schriftart dynamisch vom Google-Server nachgeladen, überträgt der Browser jedes Besuchers automatisch dessen IP-Adresse an Google in die USA — ohne dass dafür je eine Einwilligung eingeholt wurde. Mehrere Landgerichte, unter anderem München I, haben das als Verstoß gegen die DSGVO gewertet.
Die Lösung ist unaufwendig: Die Schriftdateien werden einmalig heruntergeladen und lokal auf dem eigenen Server ausgeliefert, statt bei jedem Seitenaufruf von Google nachgeladen zu werden. Kein externer Request, keine IP-Übertragung, kein Einwilligungsproblem — und nebenbei meist sogar eine kleine Verbesserung der Ladezeit, weil eine externe DNS-Anfrage entfällt.
Welche Cookies, Tracking-Pixel und eingebetteten Drittanbieter-Inhalte lädt die Website tatsächlich — inklusive dessen, was über Jahre unbemerkt dazugekommen ist?
Trennung in technisch notwendig, Statistik, Marketing und externe Medien — Grundlage für die granulare Auswahl im Banner.
Opt-in-Logik, die nicht notwendige Skripte erst nach Zustimmung lädt, gleichwertige Ablehnen-Option und dauerhaft erreichbarer Widerruf.
Schriftdateien und wo sinnvoll auch andere externe Assets werden vom eigenen Server ausgeliefert statt live von Drittservern geladen.
Sobald Ihre Website auch nur ein einziges nicht technisch notwendiges Cookie setzt oder ähnliche Technologien wie Tracking-Pixel oder eingebettete Drittanbieter-Inhalte nutzt, greift die Einwilligungspflicht aus Paragraf 25 TTDSG unabhängig von der Unternehmensgröße.
Ja. Die Datenschutzkonferenz verlangt eine gleichwertige Gestaltung beider Optionen auf der ersten Ebene des Banners. Ein versteckter Ablehnen-Link gilt als unzulässiges Dark Pattern.
Mehrere Landgerichte werten die dynamische Einbindung als datenschutzrechtlich riskant, weil dabei die IP-Adresse an Google-Server in die USA übertragen wird. Die sichere Alternative ist lokales Hosting der Schriftdateien. Mehr dazu im DSGVO-Bereich.
Nein. Seit dem Planet49-Urteil des Europäischen Gerichtshofs braucht es eine echte Opt-in-Entscheidung, bevor nicht notwendige Cookies überhaupt gesetzt werden.
Möglich sind Bußgelder nach Artikel 83 DSGVO sowie wettbewerbsrechtliche Abmahnungen. In der Praxis treffen kleine Unternehmen seltener empfindliche Bußgelder, Abmahnungen kommen aber regelmäßig vor.
Im Erstgespräch prüfen wir Ihren aktuellen Banner und die tatsächlich geladenen Skripte auf Herz und Nieren.
Sie bekommen eine ehrliche Einschätzung, wo Nachbesserungsbedarf besteht — und wo nicht.
Von der Bestandsaufnahme zur Umsetzung inklusive lokal gehosteter Google Fonts.