Wissen / Datenschutz und Website-Technik

Braucht meine Website ein Cookiebanner?

Nicht jede Website braucht ein Cookiebanner. Entscheidend sind die tatsächlichen Speicherungen, Gerätezugriffe und Datenflüsse. Manche unbedingt erforderlichen Vorgänge kommen ohne Einwilligung aus. Andere Funktionen müssen bis zur Zustimmung warten. Prüfen Sie deshalb die eingesetzte Technik, die Ablehnung und den Widerruf. Ein sichtbares Banner allein bestätigt keine rechtmäßige Umsetzung.

Veröffentlicht am 7. November 2026 / Aktualisiert am 10. November 2026 / Redaktion: Ruhrstack / Lesezeit für den gesamten Artikel: 9 Minuten

01 / ZWEI PRÜFUNGEN

Die Entscheidung beginnt bei den Vorgängen auf Ihrer Website.

Geräteschutz und personenbezogene Verarbeitung sind getrennte Fragen.

Ein Banner ist eine Bedienoberfläche für Entscheidungen. Ob Sie eine solche Einwilligungslösung benötigen, ergibt sich aus den eingesetzten Funktionen. § 25 TDDDG betrifft das Speichern von Informationen auf dem Endgerät und den Zugriff auf dort gespeicherte Informationen. Der Schutz setzt nicht erst bei personenbezogenen Daten ein. Deshalb genügt die Aussage „Wir speichern keine Namen“ für diese Prüfung nicht.

Daneben regelt die DSGVO den Umgang mit personenbezogenen Daten. Dazu können etwa Informationen bei Kontaktanfragen oder in Serverprotokollen gehören. Rechtsgrundlage, Zweck, Empfänger, Speicherfristen und erforderliche Informationen bleiben zu klären, auch wenn kein zustimmungspflichtiger Gerätezugriff vorliegt. Eine Website ohne Cookiebanner ist deshalb nicht automatisch datenschutzfrei.

Eine einfache Unternehmensseite kann ohne Einwilligungsbanner auskommen, wenn ihre tatsächlichen Vorgänge keine Einwilligung benötigen. Umgekehrt löst ein installiertes Banner vorhandene Datenflüsse nicht von selbst. Die Frage lautet daher zuerst: Was geschieht beim Aufruf und bei der Nutzung?

02 / TECHNIK ERFASSEN

Ein Cookie-Scan ist ein Anfang, aber kein vollständiges Verzeichnis.

Auch Speicherbereiche und nachgeladene Dienste gehören in den Blick.

Die EDPB-Leitlinien zum technischen Anwendungsbereich behandeln ausdrücklich weitere Verfahren neben Cookies, unter anderem Pixel- und URL-Tracking. Aus dem Etikett „cookiefrei“ folgt daher keine allgemeine Ausnahme. Entscheidend bleibt, ob eine konkrete Technik Informationen auf dem Gerät speichert oder auf solche Informationen zugreift. Auch die Bezeichnung „First Party“ beantwortet die Zweck- und Rechtsfragen nicht.

Für eine technische Bestandsaufnahme werden deshalb Cookies, andere Browserspeicher und Netzwerkanfragen gemeinsam betrachtet. Welche Komponente startet sie? Zu welcher Domain gehen Anfragen? Was wird dabei übermittelt und wann geschieht das? Untersuchen Sie neben der Startseite auch Formulare, Videoeinbindungen und weitere tatsächlich genutzte Funktionen. Ein unauffälliger erster Bildschirm beschreibt nicht automatisch alle Unterseiten.

Der Hamburger Tätigkeitsbericht 2025 zur Webseitenprüfung beschreibt Mängel, bei denen Drittdienste schon beim ersten Aufruf ohne die erforderliche Einwilligung auf Geräte zugriffen. Der praktische Anlass für Unternehmen ist damit konkret: Der sichtbare Dialog und der technische Startzeitpunkt müssen zusammenpassen. Aus der Untersuchung folgt keine Aussage über Ihre einzelne Website.

Welche Bausteine von anderen Anbietern stammen, vertieft unser Artikel zur Software-Lieferkette einer Website. Für die Bannerentscheidung braucht es anschließend die genaue Konfiguration und den jeweiligen Zweck.

03 / AUSNAHMEN PRÜFEN

„Notwendig“ bezieht sich auf die gewünschte Funktion.

Ein wirtschaftlich nützliches Werkzeug ist dadurch noch nicht unbedingt erforderlich.

§ 25 Absatz 2 TDDDG kennt zwei Ausnahmen: den alleinigen Zweck der Nachrichtenübertragung über ein öffentliches Telekommunikationsnetz und den für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlichen Vorgang. Das ist keine Freigabe für beliebige Hilfsmittel des Websitebetreibers. Eine Zuordnung muss zum konkreten Einsatz passen.

Die Orientierungshilfe der DSK betrachtet dabei die einzelne gewünschte Funktion. Sie nennt neben dem Zweck auch Zeitpunkt, Inhalt, Laufzeit und mögliche Zugriffsberechtigte als Prüfpunkte. Eine notwendige Anmeldung kann anders zu beurteilen sein als eine zusätzliche Wiedererkennung zu Werbezwecken. Selbst bei einer passenden Ausnahme darf der Vorgang nicht unbegrenzt über diese Funktion hinausreichen.

Die Kategorien eines Plugins sind dafür kein Nachweis. Lassen Sie zu einem als erforderlich eingestuften Eintrag erklären, welche angeforderte Funktion ohne ihn ausfällt und weshalb der konkrete Umfang gebraucht wird. Eine pauschale Einordnung von Analyse als „notwendig für unser Marketing“ ersetzt diese Prüfung nicht. Ob und auf welcher Rechtsgrundlage die anschließende personenbezogene Verarbeitung erlaubt ist, bleibt eine zusätzliche Aufgabe.

04 / ENTSCHEIDUNGSMATRIX

Eine eigene Matrix verbindet Technik, Zweck und offene Entscheidung.

Die folgenden Beispiele sind eine Arbeitsvorlage und keine rechtliche Freigabeliste.

Welche Frage vor einer Bannerentscheidung beantwortet wird
Beispiel	Technisch erfassen	Entscheidung vorbereiten
Geschützter Kundenbereich	Sitzungskennung, Laufzeit und ausgelöste Anmeldung	Erforderlichkeit für genau diese gewünschte Funktion begründen
Besuchsstatistik	Gerätezugriff, Kennungen und tatsächlich übermittelte Felder	Verfahren getrennt nach TDDDG und DSGVO prüfen
Externes Video	Anfragen vor Aktivierung und nach dem Start	Informations- und Einwilligungsbedarf vor dem Laden klären
Kontaktformular	Schutzmechanismen, Eingaben und Empfänger	Formularzweck von zusätzlicher Analyse unterscheiden
Reine Leistungsinformation	Geladene Dateien, externe Verbindungen und Speicherungen	Verzicht auf optionale Dienste als Gestaltungsentscheidung prüfen

Ergänzen Sie für jeden Eintrag eine zuständige Person und den Befund „belegt“, „zu klären“ oder „entfernt“. Eine leere Zeile bedeutet nicht, dass kein Zugriff stattfindet. Ein unbekannter Dienst bekommt zuerst einen Prüfauftrag. Die Matrix wird erst durch die festgestellten Vorgänge Ihrer Website aussagekräftig.

Eine verständliche Analyseplanung beginnt außerdem mit der Frage, welche Entscheidung die Zahlen verbessern sollen. Unser Ratgeber Website-Erfolg messen behandelt diese Zielklärung. Ein Bericht, der betrieblich nicht gebraucht wird, muss nicht vorsorglich als zusätzliche Funktion eingebaut werden.

05 / EINWILLIGUNG TESTEN

Prüfen Sie den Zustand vor der Entscheidung, nach Ablehnung und nach Widerruf.

Ein gespeichertes Häkchen ist kein Beleg für passend gesteuerte Datenflüsse.

Der HmbBfDI erläutert: Wird auf der ersten Ebene „Alles akzeptieren“ angeboten, muss dort auch eine ebenso einfache vollständige Ablehnung möglich sein. Einwilligungsbedürftige Zugriffe dürfen vorher nicht starten. Es genügt nicht, das Banner über eine bereits laufende Einbindung zu legen. Die technische Freigabe muss die tatsächlich gewählten Zwecke beachten.

Der Bericht der EDPB-Taskforce behandelt unter anderem vorausgewählte Optionen und irreführende Gestaltung. Ein bestimmtes Farbpaar bestätigt keine gültige Einwilligung; die konkrete Oberfläche muss eine erkennbare Wahl ermöglichen. Optionale Zwecke dürfen nicht durch voreingestellte Auswahl als Zustimmung behandelt werden.

Die EDPB-Leitlinien zur Einwilligung grenzen aktive Zustimmung vom bloßen Scrollen ab und erläutern den einfachen Widerruf. Vereinbaren Sie deshalb einen auffindbaren Rückweg zur Entscheidung. Er muss praktisch funktionieren, ohne dass Besucher dafür den Browser vollständig zurücksetzen müssen. Was vor einem Widerruf rechtmäßig auf Einwilligung beruhte, wird dadurch nicht rückwirkend unrechtmäßig.

Frischer Besuch: Ohne gespeicherte Auswahl prüfen, welche Zugriffe bereits stattfinden.
Ablehnung: Kontrollieren, dass die abgelehnten optionalen Vorgänge unterbleiben.
Gezielte Zustimmung: Nur die gewählten Funktionen aktivieren und nicht pauschal alle Dienste starten.
Widerruf: Den Rückweg bedienen und kontrollieren, dass die betroffenen künftigen Vorgänge stoppen.
Erneuter Aufruf: Die Wirkung der gespeicherten Entscheidung auch nach Navigation und Neuladen beobachten.

Diese eigene Prüffolge verbindet sichtbare Bedienung mit beobachtbarem Verhalten. Protokollieren Sie Seite, Zeitpunkt, Auswahl und Ergebnis. Aussagen über bereits verarbeitete Daten, Löschpflichten und einen erforderlichen Einwilligungsnachweis sind daneben passend zum Verfahren zu klären.

06 / FIKTIVER B2B-FALL

Ein Planungsbüro reduziert die offene Entscheidung auf zwei Funktionen.

Das folgende Beispiel beschreibt weder einen Ruhrstack-Kunden noch eine abgeschlossene Rechtsprüfung.

Ein ausdrücklich fiktives B2B-Planungsbüro möchte seine Leistungen, Referenztexte und Kontaktwege zeigen. Im ersten Entwurf werden Schriften lokal geladen. Zusätzlich sind eine externe Anfahrtskarte und ein Video vorgesehen. Die Geschäftsführung hat zunächst nur gefragt, welches Cookiebanner am besten zur Website passt. Die Bestandsaufnahme beginnt deshalb bei den Funktionen statt bei der Auswahl eines Dialogdesigns.

Für die Anfahrt reicht dem Büro nach Rücksprache eine ausgeschriebene Adresse mit einem normalen externen Link. Das Video kann zunächst durch ein eigenes Bild und einen erklärenden Text ersetzt werden. Bevor diese Alternative freigegeben wird, prüft die technische Betreuung, dass keine verborgene Videoeinbindung oder automatische Kartenverbindung übrig bleibt. Ein Bildschirmfoto allein würde diesen Zustand nicht bestätigen.

Das Formular bleibt für Erstkontakte erhalten. Seine Schutzmechanismen und der Versandweg werden gesondert erfasst. Die Entscheidungsvorlage beschreibt nun den reduzierten Aufbau und verbleibende Datenschutzfragen. Ergibt die Prüfung keine einwilligungsbedürftigen Vorgänge, muss das Team keine zusätzliche pauschale Zustimmungsschaltfläche erfinden. Das Ergebnis gilt für diese geprüfte Fassung und ist kein Freibrief für spätere Erweiterungen.

Wünscht das Büro später wieder das Video, wird die neue Einbindung vor Veröffentlichung bewertet und getestet. Welche Varianten der Darstellung überhaupt zum Inhalt passen, erläutert unser Artikel zum Planen von Website-Videos. So bleibt die ursprüngliche Entscheidung nachvollziehbar, statt durch eine nachträglich aktivierte Erweiterung stillschweigend überholt zu werden.

07 / UMSETZUNG ABSTIMMEN

Ruhrstack kann den technischen Umfang erfassen und vereinbarte Entscheidungen umsetzen.

Eine klare Zuständigkeit verbindet Gestaltung, Funktionen und spätere Änderungen.

Die Leistung Website planen und umsetzen umfasst bei Ruhrstack die Abstimmung benötigter Funktionen und die Prüfung vor der Veröffentlichung. Für die Cookiebannerfrage lässt sich daraus ein begrenzter Arbeitsauftrag bilden: eingesetzte Komponenten erfassen, Datenflüsse dokumentieren, entbehrliche Einbindungen besprechen und die vereinbarte Freigabelogik testen.

Benennen Sie dafür die Website, die gewünschten Funktionen und vorhandene Zuständigkeiten. Die rechtliche Einordnung einzelner Vorgänge kann zusätzliche fachliche Beratung verlangen. Ein technischer Scan oder eine Pluginempfehlung ersetzt diese Einzelfallprüfung nicht. Auch ein Banneranbieter übernimmt durch die Installation nicht automatisch die Verantwortung für sämtliche übrigen Komponenten.

In der Übergabe sollte stehen, welche Fassung geprüft wurde, welche Funktionen ohne Zustimmung arbeiten sollen und was offen bleibt. Nach Änderungen an Plugins, Medien oder Analysediensten wird der betroffene Ablauf erneut betrachtet. Ein überschaubarer Funktionsumfang macht diese Pflege leichter, ohne eine pauschale Datenschutz- oder Sicherheitsgarantie zu versprechen.

08 / QUELLEN

Quellen und redaktioneller Stand.

Die acht Primärquellen wurden am 10. November 2026 geprüft. Entscheidungsmatrix, Prüffolge und Planungsbüro sind eigene redaktionelle Arbeitshilfen. Der Beitrag bestätigt keine konkrete Website als rechtskonform.

Redaktion: Ruhrstack, Dortmund
Veröffentlicht: 7. November 2026
Aktualisiert: 10. November 2026
Quellen geprüft: 10. November 2026

TDDDG: § 25 Schutz der Privatsphäre bei Endeinrichtungen: Grundsatz der Einwilligung bei Speicherung oder Zugriff und die beiden gesetzlichen Ausnahmen. Die URL enthält weiterhin die frühere Gesetzesabkürzung. Abgerufen am 10. November 2026.
EUR-Lex: Datenschutz-Grundverordnung: Artikel 5, 6, 7 und 13 zu Grundsätzen, Rechtsgrundlagen, Widerruf und Informationen bei personenbezogenen Verarbeitungen. Abgerufen am 10. November 2026.
DSK: Orientierungshilfe Digitale Dienste, Version 1.2: Stand November 2024; insbesondere Randnummern 75 bis 83 zur funktionsbezogenen Erforderlichkeit und deren Grenzen. Abgerufen am 10. November 2026.
EDPB: Guidelines 2/2023, Version 2.0: Endfassung vom 16. Oktober 2024 zum technischen Anwendungsbereich, einschließlich anderer Verfahren als klassischer Cookies. Abgerufen am 10. November 2026.
EDPB: Guidelines 05/2020 zur Einwilligung: Version 1.1 vom 4. Mai 2020; aktive Entscheidung sowie Randnummern 113 bis 117 zum einfachen Widerruf. Abgerufen am 10. November 2026.
EDPB: Bericht der Cookie Banner Taskforce: Januar 2023; vorausgewählte Optionen, irreführende Gestaltung und Grenzen pauschaler Farbvorgaben. Abgerufen am 10. November 2026.
HmbBfDI: Fragen und Antworten zum Tracking durch Drittdienste: Hinweise vom 24. April 2025 zur Ablehnung auf der ersten Ebene und zur technischen Sperre vor erforderlicher Einwilligung. Abgerufen am 10. November 2026.
HmbBfDI: Tätigkeitsbericht Datenschutz 2025: Abschnitt „Anlasslose Webseitenprüfung“ und zu Gerätezugriffen bereits beim ersten Aufruf; am 10. November 2026 geprüft. Abgerufen am 10. November 2026.

Redaktioneller Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Einzelfallprüfung. Trotz sorgfältiger Recherche wird keine Gewähr für Vollständigkeit und fortdauernde Aktualität übernommen. Eine Haftung nach zwingenden gesetzlichen Vorschriften bleibt unberührt. Redaktionelle Einordnung.

Braucht meine Website ein Cookiebanner?

Welche Dienste braucht Ihre Website wirklich?