Medienrecht - IT-Recht · Stand Oktober 2026
Cookie-Banner: Wann Websites eine Einwilligung brauchen
Websites und Apps dürfen Informationen auf dem Gerät des Nutzers nur speichern oder auslesen, wenn der Nutzer eingewilligt hat. Ausgenommen sind Cookies, die unbedingt erforderlich sind, um den vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Für Analyse-, Werbe- und Tracking-Cookies ist ein Einwilligungsbanner deshalb Pflicht.[1]
Geprüft am 04.10.2026 gegen Gesetzestext und amtliche Angaben · 1 Quellen · 3 Min. Lesezeit
Was regelt § 25 TDDDG?
Die Speicherung von Informationen in der Endeinrichtung des Nutzers oder der Zugriff auf dort bereits gespeicherte Informationen ist nur zulässig, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Information und Einwilligung richten sich nach der Datenschutz-Grundverordnung.[1]
Endeinrichtung ist jedes Gerät des Nutzers: Computer, Smartphone, Tablet, Smart-TV. Erfasst sind deshalb nicht nur Cookies, sondern jede Technik, die etwas auf dem Gerät ablegt oder ausliest, etwa Local Storage, Tracking-Pixel mit Gerätekennungen oder Fingerprinting.
Die Vorschrift setzt europäisches Recht um. Bis Mai 2024 hieß das Gesetz Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), seither TDDDG. Inhaltlich hat sich an § 25 nichts geändert.
Welche Cookies brauchen keine Einwilligung?
Eine Einwilligung ist nicht erforderlich, wenn der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Gleiches gilt, wenn der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist.[1]
| Zweck | Einwilligung nötig? |
|---|---|
| Warenkorb, Login, Spracheinstellung, Speicherung der Cookie-Entscheidung | nein |
| Lastverteilung und Sicherheit, etwa Schutz vor Angriffen | in der Regel nein |
| Reichweitenmessung und Webanalyse mit Cookies oder Gerätekennungen | ja |
| Werbe- und Retargeting-Cookies, Social-Media-Pixel | ja |
| eingebettete Videos und Karten, die beim Laden Cookies setzen | ja |
„Unbedingt erforderlich“ ist eng zu verstehen. Dass ein Cookie für den Betreiber nützlich ist, etwa für Statistik oder Werbeeinnahmen, macht ihn noch nicht erforderlich für den Dienst, den der Nutzer haben will.
Wie muss ein zulässiger Cookie-Banner aussehen?
Weil sich die Einwilligung nach der Datenschutz-Grundverordnung richtet, muss sie freiwillig, für den bestimmten Fall, informiert und unmissverständlich erteilt werden.[1] Daraus folgt für die Gestaltung:
- Einwilligungspflichtige Cookies dürfen erst nach dem Klick auf „Akzeptieren“ gesetzt werden, nicht schon beim Laden der Seite.
- Vorangekreuzte Kästchen sind keine wirksame Einwilligung, das hat der Bundesgerichtshof 2020 entschieden.
- Ablehnen muss so einfach sein wie Zustimmen. Ein gut sichtbarer Button „Alles akzeptieren“ neben einem versteckten Link „Einstellungen“ genügt nach Auffassung der Datenschutzbehörden nicht.
- Der Banner muss nennen, welche Dienste zu welchen Zwecken eingesetzt werden und ob Daten in Drittländer gehen.
- Die Einwilligung muss jederzeit so einfach widerrufen werden können, wie sie erteilt wurde, etwa über einen Link im Fußbereich.
Beispiel: Ein Handwerksbetrieb nutzt auf seiner Website nur ein selbst gehostetes Kontaktformular und eine cookielose Statistik, die keine Daten auf dem Gerät speichert.
Er greift nicht auf die Endgeräte zu, soweit es nicht unbedingt erforderlich ist. Ein Cookie-Banner ist nicht nötig, die Datenschutzerklärung beschreibt die Verarbeitung.[1]
Was droht bei Verstößen?
Wer entgegen § 25 ohne Einwilligung Informationen auf dem Gerät speichert oder ausliest, handelt ordnungswidrig und riskiert ein Bußgeld.[1] Werden zugleich personenbezogene Daten ohne Rechtsgrundlage verarbeitet, etwa durch Tracking, kommen Bußgelder nach der Datenschutz-Grundverordnung hinzu. Zuständig sind die Datenschutzaufsichtsbehörden der Länder.
Daneben drohen Abmahnungen von Verbraucherverbänden und Unterlassungsklagen. Wer Dienste wie Analyse-Tools, Videos oder Schriftarten von Drittanbietern einbindet, sollte prüfen, ob dabei Daten an diese übertragen werden. Die Pflichtangaben für die Website selbst finden Sie unter Impressumspflicht, Grundlagen zum Datenschutz im Bereich Datenschutzrecht.
Wer ist zuständig?
Beschwerden über Websites richten Sie an die Datenschutzaufsichtsbehörde des Landes, in dem der Betreiber sitzt. Unterlassungsklagen von Verbänden oder Mitbewerbern verhandeln die Landgerichte.
Landgerichte in DeutschlandHäufige Fragen
- Brauche ich einen Cookie-Banner, wenn ich nur technisch notwendige Cookies nutze?
Nein. Für unbedingt erforderliche Cookies ist keine Einwilligung nötig, also auch kein Banner. Sie müssen die Cookies aber in der Datenschutzerklärung beschreiben.
- Gilt die Pflicht auch für Apps?
Ja. § 25 TDDDG gilt für jeden Zugriff auf das Endgerät, also auch für Apps, Smart-TVs und vernetzte Geräte.
- Ist Google Analytics ohne Einwilligung erlaubt?
Nein. Google Analytics setzt Cookies und verarbeitet Daten zu Analysezwecken. Dafür ist eine Einwilligung nötig.
- Reicht der Hinweis „Mit der Nutzung der Seite stimmen Sie Cookies zu“?
Nein. Weitersurfen ist keine aktive, unmissverständliche Einwilligung. Der Nutzer muss ausdrücklich zustimmen, etwa per Klick auf einen Button.
Auch interessant: Impressumspflicht: Wer braucht ein Impressum? · Datenschutzrecht
Quellen
Prüfvermerk der Redaktion: Alle Beträge, Fristen und Voraussetzungen auf dieser Seite wurden am 04.10.2026 mit dem Wortlaut der Vorschriften auf gesetze-im-internet.de und den Angaben der zuständigen Behörden abgeglichen, auch Fristen und Zuständigkeiten, die hier ohne Fußnote stehen. Gesetze ändern sich; maßgeblich ist die Fassung, die zum Zeitpunkt Ihres Falles gilt.
Diese Seite erklärt die Rechtslage allgemein und ersetzt keine Beratung im Einzelfall.