Zurück zu den Artikeln
Consentement
Einwilligung DSGVO Cookie Banner TDDDG Datenschutz

DSGVO Cookie Banner: Anforderungen 2026

10. Dezember 2025 10 Min. Lesezeit DPLIANCE

Ein DSGVO Cookie Banner ist die erste Datenschutz-Interaktion zwischen Ihrer Website und ihren Besuchern. Es entscheidet darueber, ob die anschliessende Datenverarbeitung auf einer rechtmaessigen Grundlage steht — oder ob jedes einzelne gesetzte Cookie einen Rechtsbruch darstellt. In Deutschland greifen 2026 zwei Gesetze gleichzeitig: die DSGVO auf europaeischer Ebene und das TDDDG als nationale Umsetzung der ePrivacy-Richtlinie.

Das Bayerische Landesamt fuer Datenschutzaufsicht (BayLDA) hat 2024 bei einer systematischen, teilautomatisierten Ueberpruefung von rund 350 bayerischen Websites festgestellt, dass auf nahezu allen ueberprueften Seiten Tracking ohne gueltige Einwilligung stattfand (Quelle: BayLDA). Die Botschaft ist eindeutig: Die Toleranz der Aufsichtsbehoerden ist erschoepft.

Dieser Leitfaden erklaert die konkreten Anforderungen an ein DSGVO Cookie Banner 2026 — rechtlich, technisch und gestalterisch.

Die doppelte Rechtsgrundlage: DSGVO und TDDDG

DSGVO: Einwilligung als Rechtsgrundlage

Die Datenschutz-Grundverordnung reguliert die Verarbeitung personenbezogener Daten. Wenn Cookies personenbezogene Daten erheben — und das tun die meisten Tracking-Cookies — benoetigen Sie eine Rechtsgrundlage nach Artikel 6 DSGVO. Fuer Marketing- und Analyse-Cookies ist diese Rechtsgrundlage praktisch immer die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a.

Artikel 7 DSGVO definiert die Bedingungen fuer eine gueltige Einwilligung:

  • Nachweis: Der Verantwortliche muss nachweisen koennen, dass die Einwilligung erteilt wurde
  • Klarheit: Die Einwilligungserklaerung muss in verstaendlicher, leicht zugaenglicher Form und in klarer, einfacher Sprache verfasst sein
  • Widerrufbarkeit: Der Widerruf muss ebenso einfach sein wie die Erteilung der Einwilligung
  • Freiwilligkeit: Die Erfuellung eines Vertrags darf nicht von einer Einwilligung abhaengig gemacht werden, die fuer die Vertragsdurchfuehrung nicht erforderlich ist

TDDDG: Schutz des Endgeraets

Das TDDDG (seit Mai 2024 Nachfolger des TTDSG) schuetzt das Endgeraet des Nutzers. Paragraph 25 TDDDG verlangt die Einwilligung fuer jeden Zugriff auf das Endgeraet, der nicht strikt notwendig ist — unabhaengig davon, ob personenbezogene Daten verarbeitet werden. Ein rein technisches Cookie, das lediglich eine zufaellige ID speichert, faellt unter das TDDDG, auch wenn es isoliert betrachtet kein personenbezogenes Datum ist.

Die Kombination beider Gesetze bedeutet: Ihr DSGVO Cookie Banner muss sowohl die Einwilligung nach DSGVO als auch den Endgeraeteschutz nach TDDDG abdecken.

Die Rolle der ePrivacy-Verordnung

Die seit Jahren geplante ePrivacy-Verordnung der EU wurde 2025 offiziell zurueckgezogen. Neue Legislativvorschlaege sind in Arbeit, aber bis auf Weiteres bleibt das TDDDG in Kombination mit der DSGVO die massgebliche Rechtsgrundlage in Deutschland. An der Einwilligungspflicht fuer nicht-notwendige Cookies aendert sich dadurch nichts.

Design-Anforderungen: Was Gerichte und Behoerden verlangen

Das VG-Hannover-Urteil: Gleichwertigkeit der Buttons

Das Verwaltungsgericht Hannover urteilte am 19. Maerz 2025 (Az. 10 A 5385/22) in einem wegweisenden Verfahren gegen ein Medienunternehmen. Das betroffene Cookie-Banner bot auf der ersten Ebene nur zwei Optionen: “Alle akzeptieren” und “Einstellungen”. Um Cookies abzulehnen, musste der Nutzer erst auf “Einstellungen” klicken und dort einzelne Kategorien abwaehlen (Quelle: LfD Niedersachsen).

Das Gericht stellte fest:

  • Ein “Alles ablehnen”-Button muss auf der ersten Ebene des Banners vorhanden sein
  • Er muss dem “Alle akzeptieren”-Button optisch gleichwertig sein
  • Gleiche Groesse, gleiche Farbintensitaet, gleiche Platzierung
  • Nutzer duerfen nicht durch die Gestaltung zur Zustimmung gedraengt werden

Die BayLDA-Pruefung: Automatisierte Kontrolle

Das BayLDA hat ein eigenes Tool zur automatisierten Pruefung von Cookie-Bannern entwickelt. Die Pruefung umfasste:

  • Ob Tracking-Technologien vor der Einwilligung geladen werden
  • Ob ein gleichwertiger Ablehnen-Button existiert
  • Ob die Website ohne Interaktion mit dem Banner nutzbar ist

Das Ergebnis war ernuechternd: Bei fast allen geprueften Websites wurden Verstoesse festgestellt. Betroffene Betreiber wurden aufgefordert, ihre Maengel zu beheben, und muessen mit Folgepruefungen rechnen.

Dark Patterns: Was verboten ist

Die DSK (Datenschutzkonferenz der deutschen Aufsichtsbehoerden) und der EDPB (Europaeischer Datenschutzausschuss) haben klare Positionen zu manipulativen Cookie-Banner-Designs:

Verboten:

  • Farblich hervorgehobener “Akzeptieren”-Button bei blassem “Ablehnen”-Button
  • Grösserer “Akzeptieren”-Button
  • “Ablehnen” erst auf der zweiten Ebene erreichbar
  • Vorausgewaehlte Checkboxen (BGH Planet49, I ZR 7/16)
  • Confirmation Shaming (“Moechten Sie wirklich auf personalisierte Inhalte verzichten?”)
  • Taeuschende Formulierungen (“Weiter ohne Einwilligung” als versteckte Ablehnung)

Erlaubt:

  • Gleichwertige Buttons in Markenfarben, solange beide gleich prominent sind
  • Zusaetzlicher “Einstellungen”-Button neben den beiden Hauptoptionen
  • Animation des Banners, solange sie nicht vom Ablehnen-Button ablenkt
  • Kurze, informative Texte, die den Zweck der Cookies erklaeren

Pflichtinformationen auf der ersten Ebene

Das DSGVO Cookie Banner muss bereits auf der ersten Ebene folgende Informationen enthalten:

  1. Zweck der Datenverarbeitung: Warum werden Cookies eingesetzt? (z.B. Analyse, Marketing, Personalisierung)
  2. Hinweis auf das Widerrufsrecht: Der Nutzer muss wissen, dass er seine Einwilligung jederzeit widerrufen kann
  3. Verweis auf die Datenschutzerklaerung: Ein Link zur vollstaendigen Datenschutzerklaerung muss leicht zugaenglich sein
  4. Hinweis auf Drittlanduebermittlungen: Wenn Daten in Drittlaender (z.B. USA) uebermittelt werden, muss dies erwaehnt werden

Detailinformationen auf der zweiten Ebene

Auf der Detailebene (erreichbar ueber “Einstellungen” oder den Wizard) sollten fuer jeden Dienst folgende Angaben verfuegbar sein:

  • Name des Dienstes (z.B. Google Analytics 4)
  • Name des Anbieters und Sitz
  • Zweck der Datenverarbeitung
  • Art und Speicherdauer der Cookies
  • Ob eine Datenuebermittlung in Drittlaender stattfindet
  • Link zur Datenschutzerklaerung des Anbieters

Die aktuellen Urteile und Leitlinien von 2025 verstaerken diese Transparenzanforderung: Nutzer muessen bereits im Banner granulare Informationen erhalten (Quelle: DSGVO-Vergleich).

Technische Anforderungen

Die technisch wichtigste Anforderung: Kein einwilligungspflichtiger Code darf ausgefuehrt werden, bevor der Nutzer seine Einwilligung erteilt hat. Das betrifft:

  • Google Analytics, Google Ads, Google Tag Manager (wenn er einwilligungspflichtige Tags laedt)
  • Facebook Pixel, TikTok Pixel, LinkedIn Insight Tag
  • Hotjar, Mouseflow, Crazy Egg
  • Alle weiteren Third-Party-Scripts, die nicht strikt notwendig sind

Viele DSGVO Cookie Banner implementieren das Script-Blocking unzuverlaessig. Haeufige Fehler:

  • Scripts werden kurz vor dem Banner-Erscheinen geladen (“race condition”)
  • Der Google Consent Mode wird als Ersatz fuer echtes Blocking verwendet
  • Scripts in iFrames werden nicht blockiert
  • Dynamisch nachgeladene Scripts (via document.createElement) werden nicht erfasst

Ein zuverlaessiges DSGVO Cookie Banner blockiert alle nicht-notwendigen Scripts, bis eine explizite Einwilligung vorliegt.

Einwilligungsnachweis: Dokumentation ist Pflicht

Die Nachweispflicht nach Artikel 7 Absatz 1 DSGVO erfordert eine revisionssichere Protokollierung jeder Einwilligung. Best Practice ist die serverseitige Speicherung mit:

  • Eindeutiger Korrelations-ID pro Einwilligung
  • Zeitstempel (Datum, Uhrzeit, Zeitzone)
  • Einwilligungsstatus pro Vendor (akzeptiert/abgelehnt)
  • Version des Banners zum Zeitpunkt der Einwilligung
  • User Agent (optional, fuer die Nachvollziehbarkeit)

Cookilio setzt diese Anforderung konsequent um: Jede Einwilligung wird serverseitig in Ihrer eigenen MariaDB-Datenbank protokolliert, mit Korrelations-IDs, die eine lueckenlose Nachvollziehbarkeit gewaehrleisten. Bei einer behoerdlichen Pruefung koennen Sie die Nachweise direkt aus Ihrer Datenbank exportieren — ohne einen Drittanbieter einschalten zu muessen.

Widerruf: Ebenso einfach wie die Erteilung

Artikel 7 Absatz 3 DSGVO verlangt, dass der Widerruf der Einwilligung ebenso einfach ist wie ihre Erteilung. Das bedeutet: Wenn der Nutzer mit einem Klick zustimmen kann, muss er auch mit einem Klick widerrufen koennen. In der Praxis wird das durch ein dauerhaft sichtbares Widget (z.B. ein kleines Schild-Icon in der Ecke der Website) geloest, ueber das der Nutzer jederzeit seine Cookie-Einstellungen aendern kann.

Die Einwilligungsverwaltungsverordnung (EinwV) und PIMS

Am 1. April 2025 trat die EinwV in Kraft. Sie schafft einen Rechtsrahmen fuer Einwilligungsverwaltungsdienste (umgangssprachlich PIMS), ueber die Nutzer ihre Cookie-Praeferenzen zentral speichern und automatisch an Websites uebermitteln koennten.

Die Idee: Der Nutzer konfiguriert einmal seine Cookie-Praeferenzen in einem anerkannten PIMS-Dienst. Jede Website, die diesen Standard unterstuetzt, erkennt die Praeferenzen automatisch — kein Banner notwendig.

Die Realitaet: Stand Maerz 2026 gibt es kein vom BfDI anerkanntes PIMS-System. Es wurden noch keine Antraege auf Anerkennung gestellt (Quelle: BfDI). Das DSGVO Cookie Banner bleibt somit fuer absehbare Zeit die einzige rechtsmaessige Methode zur Einholung von Cookie-Einwilligungen.

Fuer die Zukunft empfiehlt es sich, ein Cookie Consent Tool zu waehlen, das prinzipiell PIMS-kompatibel sein kann — aber auf die Implementierung dieses Standards zu warten, waere fahrlässig.

Schritt 1: Bestandsaufnahme der eingesetzten Cookies

Bevor Sie ein Banner konfigurieren, muessen Sie wissen, welche Cookies und Tracking-Technologien auf Ihrer Website aktiv sind. Pruefpunkte:

  • Welche Third-Party-Scripts sind eingebunden?
  • Welche Cookies setzen diese Scripts?
  • Wie lange werden die Cookies gespeichert?
  • Werden Daten in Drittlaender uebermittelt?
  • Welche Cookies sind strikt notwendig, welche einwilligungspflichtig?

Schritt 2: Kategorisierung der Dienste

Ordnen Sie jeden Dienst einer Kategorie zu:

  • Strikt notwendig (keine Einwilligung erforderlich): Session-Cookies, Warenkorb, Cookie-Banner-Einstellungen selbst
  • Analyse/Statistik: Google Analytics, Matomo, Hotjar
  • Marketing/Werbung: Google Ads, Facebook Pixel, LinkedIn Insight Tag
  • Personalisierung: A/B-Testing-Tools, Empfehlungsalgorithmen
  • Social Media: Share-Buttons, eingebettete Posts

Schritt 3: Banner-Design nach den aktuellen Anforderungen

Auf der ersten Ebene:

  • “Alle akzeptieren” und “Alle ablehnen” als gleichwertige Buttons
  • Kurze Erklaerung des Zwecks
  • Link zur Datenschutzerklaerung
  • Optional: “Einstellungen”-Button fuer die granulare Auswahl

Auf der Detailebene:

  • Jeder Vendor einzeln aufgelistet
  • Anbieter, Zweck, Speicherdauer, Drittlanduebermittlung
  • Individuelle Toggles pro Vendor

Schritt 4: Technische Implementierung

  • Alle einwilligungspflichtigen Scripts standardmaessig blockieren
  • Scripts erst nach expliziter Einwilligung freischalten
  • Einwilligung serverseitig protokollieren
  • Widerrufsfunktion dauerhaft zugaenglich machen
  • Banner erneut anzeigen, wenn sich die Vendor-Konfiguration aendert

Schritt 5: Test und Monitoring

  • Testen Sie mit deaktivierten Cookies, ob wirklich keine Tracking-Scripts laufen
  • Pruefen Sie die Banner-Darstellung auf verschiedenen Geraeten und Browsern
  • Ueberwachen Sie die Consent-Rate und passen Sie die Informationstexte an
  • Dokumentieren Sie aelle Aenderungen am Banner fuer den Nachweis

Cookilio von DPLIANCE erfuellt alle oben genannten Anforderungen:

  • Gleichwertige Buttons: Der Wizard bietet gleichwertige Optionen zum Akzeptieren und Ablehnen auf der ersten Ebene
  • Kein Script vor Consent: Striktes Script-Blocking mit expliziter Konfiguration pro Vendor
  • Serverseitiger Nachweis: Korrelations-IDs in Ihrer eigenen MariaDB-Datenbank
  • Granulare Auswahl: Mehrstufiger Wizard mit Vendor-Detail
  • Keine Dark Patterns: Klares, informatives Design ohne Manipulation
  • Ultra-leicht: 3 KB Preact-Widget fuer optimale Core Web Vitals
  • Selbst gehostet: Volle Datensouveraenitaet auf Ihrer eigenen Infrastruktur

Das Abonnement kostet 9 Euro netto pro Monat, die einmalige Installation 250 Euro netto. Kein Traffic-Limit, keine Staffelpreise.

FAQ

Ja. Das VG Hannover hat im Maerz 2025 klargestellt, dass ein “Alles ablehnen”-Button auf der ersten Ebene des Banners vorhanden und dem “Alle akzeptieren”-Button optisch gleichwertig sein muss. Die deutschen Aufsichtsbehoerden vertreten einheitlich diese Position. Ein Banner ohne gleichwertigen Ablehnen-Button produziert ungueltige Einwilligungen.

Nach Artikel 83 DSGVO koennen Bussgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhaengt werden. In der Praxis beginnen die Aufsichtsbehoerden meist mit Anordnungen und Verwarnungen. Dazu kommen potenzielle Abmahnungen von Wettbewerbern und Verbaenden nach dem UWG. Schwerer wiegt oft: Wenn Einwilligungen ungueltig sind, ist jede darauf basierende Datenverarbeitung rechtswidrig — rueckwirkend.

Nein. Der Google Consent Mode v2 ist eine Schnittstelle, die Google-Tags mitteilt, ob eine Einwilligung vorliegt. Er ersetzt weder die Einholung der Einwilligung noch die Anzeige eines rechtskonformen Banners. Sie benoetigen weiterhin ein vollwertiges DSGVO Cookie Banner, das die Einwilligung einholt, dokumentiert und an den Consent Mode uebergibt.

Wie oft muss die Einwilligung erneuert werden?

Weder die DSGVO noch das TDDDG nennen eine feste Frist. Die DSK empfiehlt eine Erneuerung mindestens alle 12 Monate sowie bei jeder wesentlichen Aenderung der eingesetzten Tracking-Dienste. Ein gutes DSGVO Cookie Banner erlaubt die Konfiguration eines automatischen Erneuerungsintervalls.

Kurzfristig: nichts. Die EinwV schafft den Rechtsrahmen fuer PIMS-Dienste, aber Stand Maerz 2026 gibt es kein anerkanntes System. Ihr DSGVO Cookie Banner bleibt die einzige rechtsmaessige Methode zur Einwilligungseinholung. Langfristig koennten PIMS das Banner fuer Nutzer, die einen solchen Dienst verwenden, ueberfluessig machen — aber dieser Zeitpunkt ist nicht absehbar.

Ein DSGVO Cookie Banner ist kein notwendiges Uebel — es ist Ihre Chance, Ihren Nutzern von der ersten Sekunde an zu zeigen, dass Sie ihre Privatsphaere ernst nehmen. Machen Sie es richtig.

Cookilio entdecken — das selbst gehostete Cookie Consent Tool fuer Unternehmen, die Datenschutz nicht nur versprechen, sondern leben.

Schreiben Sie uns

contact@dpliance.com
Kontaktieren Sie uns