DSGVO-Cookie-Banner: Standard-Konfiguration für KMU

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Die Zulässigkeit des Setzens und Auslesens von Informationen auf Endgeräten richtet sich in Deutschland primär nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis 13.05.2024 TTDSG). § 25 Abs. 1 verlangt eine vorherige Einwilligung, sofern keine Ausnahme nach Abs. 2 greift. Die nachgelagerte Verarbeitung der so gewonnenen personenbezogenen Daten unterliegt zusätzlich Art. 6 DSGVO, bei Tracking-Cookies regelmäßig Art. 6 Abs. 1 lit. a (Einwilligung).

Die Anforderungen an eine wirksame Einwilligung folgen aus Art. 4 Nr. 11 und Art. 7 DSGVO: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben. Der EuGH hat in C-673/17 („Planet49") klargestellt, dass vorausgewählte Checkboxen keine wirksame Einwilligung darstellen. Welche Banner-Gestaltungen die Aufsichtsbehörden als problematisch einstufen (fehlende Ablehnen-Option, vorausgewählte Kästchen, irreführende Farben und Kontraste), fasst der Bericht der EDSA-Cookie-Banner-Taskforce vom 17.01.2023 zusammen.

Auf nationaler Ebene haben die Aufsichtsbehörden die Anforderungen in der Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste, November 2024) zusammengefasst, die an das TDDDG angepasst ist und als Verwaltungs-Praxis-Referenz dient.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

§ 25 Abs. 2 TDDDG kennt zwei Ausnahmen vom Einwilligungs-Erfordernis: Nr. 1, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, und Nr. 2, wenn Speicherung oder Zugriff unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. In der Praxis fallen unter die zweite Ausnahme typischerweise Session-Cookies für Login-Funktionen, Warenkorb-Persistenz oder Spracheinstellungen.

Sofern eine Webseite ausschließlich solche unbedingt erforderlichen Cookies setzt, also keine Analytics, keine Marketing-Pixel, keine eingebetteten Drittanbieter-Inhalte mit eigenen Cookies, ist ein Einwilligungs-Banner üblicherweise nicht erforderlich. Eine Datenschutzerklärung mit Information über die technisch notwendigen Cookies bleibt gleichwohl Pflicht.

Einwilligungspflichtig sind in der Standard-Konstellation regelmäßig:

• Analyse- und Tracking-Cookies (Google Analytics, Matomo mit Cookies, Hotjar)
• Marketing- und Retargeting-Pixel (Meta Pixel, Google Ads, LinkedIn Insight Tag)
• eingebettete Drittanbieter-Inhalte mit Cookie-Setzung (YouTube, Vimeo, Google Maps in Standard-Einbettung)
• A/B-Testing-Werkzeuge mit Nutzer-Persistenz
• Chatbot- und Live-Chat-Lösungen mit Tracking-Komponenten

Als Faustregel folgt aus § 25 Abs. 2 Nr. 2 TDDDG: Ist ein Cookie nicht unbedingt erforderlich, um den vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, braucht es eine Einwilligung.

Welcher Aufbau-Rahmen ist verbreitet?

Eine in der Beratungspraxis häufig genannte Banner-Konfiguration für KMU umfasst folgende Elemente:

Erste Banner-Ebene, klare Information zur Verarbeitung, Buttons „Alle akzeptieren" und „Alle ablehnen" auf derselben Ebene, optional ein Link zu detaillierteren Einstellungen. Eine identische Gestaltung schreibt keine Norm vor; die EDSA-Cookie-Banner-Taskforce hält einen allgemeinen Farb- oder Kontrast-Standard ausdrücklich nicht für vorschreibbar und prüft im Einzelfall, ob Farben und Kontraste offensichtlich irreführen. Ablehnen darf nicht deutlich schwerer sein als Zustimmen.

Granulare Einstellungs-Ebene, Trennung in mindestens „technisch notwendig", „Statistik" und „Marketing", mit jeweils einzeln umschaltbaren Schaltern. Vorausgewählte Schalter für nicht-essenzielle Kategorien sind nach EuGH C-673/17 unzulässig.

Cookie-Liste mit Detail-Informationen, Name des Cookies, Anbieter, Zweck, Speicherdauer und gegebenenfalls Drittlands-Transfer. Diese Angaben fließen in die Informationspflicht nach Art. 13 DSGVO ein.

Technische Blockade vor Einwilligung, Tracking-Skripte und -Pixel werden erst nach aktiver Einwilligung geladen. Umgesetzt wird das meist über das Consent-Management-Tool selbst oder über Auslösebedingungen im Google Tag Manager. Google Consent Mode blockiert nur in der Basis-Variante; im erweiterten Modus laden die Google-Tags schon vor der Einwilligung und senden bei Ablehnung cookielose Pings.

Widerruf in vergleichbarer Reichweite, ein permanenter Footer-Link „Cookie-Einstellungen", der das Banner erneut öffnet, ist die in der Praxis am häufigsten gewählte Umsetzung der Anforderung aus Art. 7 Abs. 3 DSGVO.

Bei der Tool-Auswahl werden in der DACH-Praxis sowohl Open-Source-Lösungen (Klaro, Orestbida Cookie Consent) als auch SaaS-Anbieter (Cookiebot, Usercentrics, Borlabs) genannt. Die Auswahl sollte sich an Daten-Volumen, Multi-Domain-Bedarf, Audit-Trail-Anforderungen und Integrations-Tiefe orientieren. Eine pauschale Empfehlung ohne Kenntnis der konkreten Tracking-Landschaft ist nicht möglich.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Setup-Varianten verschieben die Anforderungen über den Standard-Fall hinaus:

• Server-Side-Tagging (etwa über Google Tag Manager Server-Side oder eigene Edge-Worker), hier verschiebt sich der Setzungs-Ort der Cookies, was eine differenzierte Bewertung der Einwilligungs-Pflicht und der TOMs erfordert.
• Eigene Customer Data Platform (Segment, mParticle, eigene CDP) mit Cross-Device-Identifikation, hier sind regelmäßig zusätzliche Informations-Pflichten zu erfüllen, und eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO kann angezeigt sein.

• Programmatic Advertising und Real-Time Bidding, hier sind die Anforderungen aus dem IAB-TCF-2.2-Framework zu beachten; mehrere europäische Aufsichtsbehörden haben den Rahmen kritisch bewertet.
• Multi-Domain-Tracking über zentrale Consent-Lösungen, hier sind Konsens-Synchronisation und Storage-Strategien gesondert zu prüfen.
• Verarbeitung besonderer Datenkategorien über Tracking (etwa Gesundheits-Themen-Targeting), hier verschärfen sich Anforderungen über Art. 9 DSGVO.
• B2B-Plattformen mit Login-Bereich, hier kann für Login- und Sitzungs-Cookies die Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG greifen; die nachgelagerte Datenverarbeitung lässt sich teilweise auf Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) stützen. Eine Einzelfall-Bewertung ist erforderlich.

In allen genannten Konstellationen ist eine rechtliche und technische Einzel-Begutachtung empfehlenswert. Die hier dargestellte Standard-Konfiguration erfasst diese Komplexitäten nicht.

Nächster Schritt

Sobald eine Banner-Konfiguration steht, ist für jeden eingesetzten Anbieter die Rollenverteilung zu klären. Anbieter, die ausschließlich im Auftrag verarbeiten, brauchen einen Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO. Bei Marketing-Pixeln wie Meta Pixel oder LinkedIn Insight Tag kommt nach EuGH C-40/17 („Fashion ID", Urteil vom 29.07.2019) eine gemeinsame Verantwortlichkeit für Erhebung und Übermittlung in Betracht; dann ist statt eines AVV eine Vereinbarung nach Art. 26 DSGVO erforderlich. Empfänger in den USA, die unter dem EU-US Data Privacy Framework zertifiziert sind, brauchen keine Standardvertragsklauseln. Für echte Auftragsverarbeitungen hilft der AVV-Generator: ein generisches Formular für einen AVV nach Art. 28 DSGVO mit Unterauftragnehmerliste, TOM-Angaben und einem Drittland-Abschnitt. Anbieterspezifische Vorlagen und SCC-Anlagen enthält er nicht.

Für die Frage, auf welcher Rechtsgrundlage einzelne Verarbeitungen jeweils zu stützen sind (Einwilligung, berechtigtes Interesse, Vertragsdurchführung), bietet DSGVO-Rechtsgrundlagen Art. 6 im Überblick eine strukturierte Einordnung der sechs Tatbestände aus Art. 6 Abs. 1 DSGVO.