Brauchen Sie ein Cookie-Banner? Einwilligungsregeln nach Region

Gehen Sie diese Schritte mit geöffneten Entwicklertools Ihres Browsers in einem neuen, privaten Fenster durch:

1. Listen Sie jedes Cookie und jeden Speichereintrag auf, den Ihre Website setzt, sowie jede Drittanbieter-Anfrage, die sie stellt, bevor Sie irgendetwas anklicken.
2. Ordnen Sie jeden Eintrag ein: unbedingt erforderlich, Einstellungen, Analyse, Werbung oder eingebettete Inhalte.
3. Prüfen Sie, wo Ihre Besucher sind. Wenn Sie Besucher aus der EU oder dem Vereinigten Königreich haben, gelten die Einwilligungsregeln für die nicht ausgenommenen Einträge. Wenn Sie nur die USA bedienen, konzentrieren Sie sich auf Opt-out-Rechte und Pflichtangaben.
4. Wenden Sie die Ausnahmen ehrlich an. Prüfen Sie im Vereinigten Königreich die Bedingungen für Statistik und Darstellung. Prüfen Sie in EU-Ländern die nationalen Leitlinien zu Analysetools.
5. Entscheiden Sie. Wenn für Besucher aus der EU oder dem Vereinigten Königreich etwas Nicht-Ausgenommenes übrig bleibt, brauchen Sie ein Einwilligungsbanner, das es blockiert, bis Menschen zustimmen.
6. Aktualisieren Sie die Datenschutzerklärung, damit sie die Cookies, das Einwilligungsverhalten und die Möglichkeiten zur Änderung der Entscheidung beschreibt.

Wenn die Liste kurz ist, erwägen Sie, Tools zu entfernen, statt ein Banner hinzuzufügen. Selbst gehostete Schriften, Click-to-load-Embeds und der Verzicht auf ungenutzte Pixel können dazu führen, dass Ihnen nur notwendige Cookies bleiben. Zur Datenschutzerklärung selbst siehe So erstellen Sie eine Datenschutzerklärung für eine Website.

Die Ausnahme für unbedingt erforderliche Cookies ist enger, als viele Banner behaupten. Fragen Sie, ob der vom Nutzer gewünschte Dienst ohne das Cookie nicht funktionieren würde, und zwar aus Sicht des Nutzers, nicht des Unternehmens.

Meist ausgenommen:

• Sitzungs-Cookies, die jemanden angemeldet halten oder einen Warenkorb speichern.
• Sicherheits-Cookies, die Betrug verhindern oder Anmeldeformulare schützen.
• Load-Balancing-Cookies, die Anfragen verteilen.
• Ein Cookie, das die Einwilligungsentscheidung des Besuchers speichert.
• Nach Auffassung mancher Aufsichtsbehörden Einstellungen, die der Nutzer für den aktuellen Dienst aktiv gewählt hat, etwa die Sprache.

Meist nicht ausgenommen:

• Werbe-, Retargeting- und Social-Media-Pixel.
• Die meisten Analysetools von Drittanbietern.
• Eingebettete Videos und Social-Media-Beiträge, die eigene Cookies setzen.
• A/B-Tests und Personalisierungstools.

Manche Aufsichtsbehörden erkennen einen schmalen Mittelweg an. Die französische CNIL akzeptiert zum Beispiel, dass Reichweitenmessung ausgenommen sein kann, wenn sie streng auf die Messung der Website für den Betreiber beschränkt ist, anonyme Statistiken erzeugt und Menschen nicht websiteübergreifend verfolgt, mit Bedingungen an die Cookie-Laufzeit und die Datenaufbewahrung. Prüfen Sie die Leitlinien in jedem Land, auf das Sie abzielen, bevor Sie sich auf eine solche Ausnahme verlassen.

Wenn Sie eine Einwilligung brauchen, muss das Banner sie ordnungsgemäß einholen. Die europäischen Aufsichtsbehörden haben sich zu den häufigen Fehlern klar geäußert. Der Bericht der Cookie Banner Taskforce des Europäischen Datenschutzausschusses stellte fest, dass die meisten Behörden ein Banner ohne Ablehnungsoption auf derselben Ebene wie die Zustimmungsoption als Verstoß ansehen, und kritisierte irreführende Button-Gestaltungen sowie Cookies, die fälschlich als notwendig eingestuft werden.

Eine praktische Checkliste:

• Vor der Einwilligung blockieren: Nicht notwendige Cookies und Skripte dürfen erst laden, wenn der Besucher zustimmt.
• Ablehnen so einfach wie Akzeptieren: Bieten Sie auf der ersten Ebene einen Button zum Ablehnen neben dem Button zum Akzeptieren an.
• Keine vorangekreuzten Kästchen: Kategorien sind zunächst ausgeschaltet.
• Granulare Auswahl: Lassen Sie Menschen Analyse akzeptieren, ohne Werbung zu akzeptieren.
• Klare Informationen: Nennen Sie die Zwecke und die beteiligten Dritten, und verlinken Sie Ihre Datenschutzerklärung.
• Einfacher Widerruf: Ein dauerhafter Link wie Cookie-Einstellungen lässt Menschen ihre Meinung so einfach ändern, wie sie eingewilligt haben.
• Nachweise: Bewahren Sie Belege der Einwilligung auf, wo Sie sich auf sie stützen.

Europäische Leitlinien besagen außerdem, dass Cookie-Walls, die den Zugang sperren, solange Menschen nicht zustimmen, grundsätzlich keine wirksame Einwilligung erzeugen. Ein Banner, das nur sagt „durch die Nutzung dieser Website akzeptieren Sie Cookies“, verfehlt nahezu jeden Punkt dieser Liste.

Die EU-Regel stammt aus Artikel 5 Abs. 3 der ePrivacy-Richtlinie, nicht aus der DSGVO selbst. Danach ist das Speichern von Informationen oder der Zugriff auf Informationen, die bereits auf dem Gerät eines Nutzers gespeichert sind, nur zulässig, wenn der Nutzer nach klaren und umfassenden Informationen eingewilligt hat. Jedes EU-Land setzt die Richtlinie in eigenes Recht um, daher unterscheiden sich die Einzelheiten leicht.

Es gibt zwei Ausnahmen:

1. Speicherung oder Zugriff, deren alleiniger Zweck die Durchführung der Übertragung einer Nachricht über ein Netz ist.
2. Speicherung oder Zugriff, die unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann.

Drei Punkte überraschen viele Website-Betreiber:

• Es geht nicht nur um Cookies. Lokaler Speicher, Pixel, SDKs und Techniken des Device Fingerprinting können alle unter die Regel fallen.
• Sie gilt unabhängig davon, ob die Daten personenbezogen sind. Auslöser ist der Zugriff auf das Gerät.
• Die Einwilligung folgt dem Maßstab der DSGVO. Sie muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige bestätigende Handlung erteilt werden. Im Fall Planet49 entschied der Gerichtshof der EU, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung begründet.

Oft ja, aber die britischen Regeln haben sich geändert. Das britische Gegenstück zur ePrivacy-Regel ist Regulation 6 der Privacy and Electronic Communications Regulations. Der Data (Use and Access) Act 2025 hat sie geändert, und die maßgeblichen Bestimmungen sind am 5. Februar 2026 in Kraft getreten.

Die Leitlinien des ICO beschreiben nun fünf Ausnahmen vom Einwilligungserfordernis:

1. Kommunikation: ausschließlich zur Übertragung einer Nachricht.
2. Unbedingt erforderlich: unerlässlich, um den vom Nutzer gewünschten Dienst bereitzustellen.
3. Statistische Zwecke: ausschließlich zur Erhebung statistischer Informationen darüber, wie Ihr Dienst genutzt wird, mit dem Ziel, ihn zu verbessern.
4. Darstellung: ausschließlich, um Erscheinungsbild oder Funktionalität des Dienstes an die Präferenzen des Nutzers anzupassen.
5. Notfallhilfe: ausschließlich zur Ortung eines Geräts, um Hilfe im Notfall zu leisten.

Die Ausnahmen für Statistik und Darstellung sind an Bedingungen geknüpft. Sie müssen klare und umfassende Informationen sowie eine einfache, kostenlose Möglichkeit zum Widerspruch bieten. Für Analysetools sagt das ICO, dass die Daten aggregiert sein müssen, nicht zum Verfolgen oder Profiling von Personen oder für Werbung verwendet werden dürfen und dass ein Drittanbieter nur in Ihrem Auftrag handeln darf und die Daten nicht für eigene Zwecke nutzen darf. Onlinewerbung fällt nie darunter. Eine britische Website, die nur aggregierte First-Party-Analyse nutzt, kommt also möglicherweise ohne Einwilligungsabfrage aus, aber die meisten Werbe-Setups brauchen weiterhin eine.

Es gibt kein allgemeines US-Gesetz, das vor dem Setzen von Cookies eine Opt-in-Einwilligung verlangt. Das US-Modell setzt auf Hinweise und Opt-out, daher ist ein Banner nach europäischem Vorbild rechtlich oft nicht erforderlich, auch wenn viele US-Unternehmen eines nutzen, um Entscheidungen zu verwalten.

Was US-Gesetze tatsächlich erwarten:

• Kalifornischer CCPA: Unternehmen, die seine Schwellenwerte erreichen und personenbezogene Daten verkaufen oder teilen, auch für kontextübergreifende verhaltensbasierte Werbung, müssen ein Opt-out anbieten, typischerweise einen Link Do Not Sell or Share My Personal Information, und Opt-out-Präferenzsignale wie Global Privacy Control beachten.
• Andere bundesstaatliche Datenschutzgesetze: Viele geben Verbrauchern das Recht, zielgerichteter Werbung zu widersprechen, und mehrere verlangen, dass Unternehmen universelle Opt-out-Mechanismen beachten. Einige verlangen für sensible Daten eine Opt-in-Einwilligung.
• CalOPPA: verlangt, dass Ihre Datenschutzerklärung angibt, wie Sie auf Do-Not-Track-Signale reagieren und ob Dritte im Laufe der Zeit websiteübergreifend Informationen über die Online-Aktivitäten von Besuchern erheben dürfen.
• COPPA: Websites, die sich an Kinder unter 13 Jahren richten, brauchen grundsätzlich eine nachprüfbare Einwilligung der Eltern, bevor sie dauerhafte Kennungen für verhaltensbasierte Werbung erheben.

In der Übersicht über die Datenschutzgesetze der US-Bundesstaaten erfahren Sie, welche Bundesstaaten gelten und wie sich ihre Opt-out-Regeln unterscheiden.

Google stellt zusätzlich zum Gesetz vertragliche Anforderungen. Seine Richtlinie zur Einwilligung der Nutzer in der EU gilt für Endnutzer im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz. Wenn Sie Google-Produkte wie Google Analytics, Google Ads oder AdSense nutzen, müssen Sie eine rechtlich wirksame Einwilligung einholen, für Cookies oder andere lokale Speicherung, wo das Gesetz dies verlangt, und für die Erhebung, Weitergabe und Nutzung personenbezogener Daten zur Personalisierung von Anzeigen. Sie müssen außerdem Einwilligungen dokumentieren, klare Anleitungen zum Widerruf geben und jede Partei benennen, die personenbezogene Daten erheben, empfangen oder nutzen kann.

Zwei praktische Folgen:

• Publisher: Google verlangt von Publishern, die AdSense, Ad Manager oder AdMob nutzen, eine von Google zertifizierte Consent-Management-Plattform, wenn sie Nutzern im EWR und im Vereinigten Königreich Anzeigen ausliefern.
• Werbetreibende und Nutzer von Analysetools: Mit dem Consent Mode von Google kann Ihr Banner Einwilligungsstatus für Speicherung, Nutzerdaten für Werbung und Personalisierung von Anzeigen an Google-Tags übergeben, die ihr Verhalten entsprechend anpassen.

Beschreiben Sie, was immer Sie umsetzen, in Ihrer Datenschutzerklärung. Der Ratgeber zur Datenschutzerklärung für Google Analytics und die Datenschutzangaben für Analysetools erklären die zugehörigen Formulierungen.

In den meisten Fällen ja, weil beide unterschiedliche Aufgaben erfüllen. Das Banner holt Entscheidungen in dem Moment ein, in dem jemand die Website aufruft, oder hält sie fest. Die Datenschutzerklärung erklärt Ihre Verarbeitung vollständig: was jedes Tool erhebt, warum, wer die Daten erhält, wie lange sie aufbewahrt werden und wie Menschen ihre Meinung ändern können.

Beide müssen übereinstimmen. Wenn Ihre Datenschutzerklärung sagt, dass Analysetools erst nach der Einwilligung laufen, muss das Banner sie bis dahin tatsächlich blockieren. Wenn Tags vor einer Entscheidung ausgelöst werden, sollte Ihre Datenschutzerklärung nichts anderes behaupten.

Legal Policy Generator schreibt die Seite der Datenschutzerklärung, nicht das Banner. Es stellt weder ein Cookie-Banner noch ein Consent-Management-Tool bereit. Der Fragebogen fragt, welche Tracking-Technologien Sie verwenden, ob nicht notwendiges Tracking erst nach der Einwilligung oder bereits vorher mit Widerspruchsmöglichkeit beginnt und wie Menschen ihre Einstellungen ändern können, und wählt dann passende Klauseln für die Regionen aus, die Sie bedienen. Sie können mit dem Generator für Datenschutzerklärungen beginnen und das Ergebnis mit einem Einwilligungstool Ihrer Wahl kombinieren.

Wenn Sie zusätzlich ein eigenes Cookie-Dokument möchten, lesen Sie Datenschutzerklärung vs. Cookie-Richtlinie, um zu entscheiden, ob es für Ihre Website einen Mehrwert bietet.