Was § 25 TDDDG regelt
Ein Cookie-Banner ist kein Bauteil, das zu jeder Website gehört. Es ist die Antwort auf eine Einwilligungspflicht. Die steht im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, in § 25 Absatz 1:
„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“
Quelle: TDDDG § 25 Absatz 1, Gesetze im Internet, abgerufen am 13.10.2026
„Endeinrichtung“ ist das Gerät des Besuchers, also Handy, Tablet oder Computer. Entscheidend ist, was auf diesem Gerät passiert: Wird dort etwas abgelegt oder ausgelesen, braucht es eine Einwilligung, wenn keine Ausnahme greift. Die Datenschutzaufsichtsbehörden schreiben in ihrer Orientierungshilfe, dass das nicht nur Cookies betrifft, sondern auch den lokalen Speicher des Browsers (Local und Session Storage, Randnummer 21), und dass die Pflicht unabhängig davon gilt, ob die Informationen einen Personenbezug haben (Randnummer 26).
Mit „Cookie“ ist das Thema also zu eng beschrieben. Auch ein Stück JavaScript, das Eigenschaften des Geräts ausliest und an einen Server schickt, fällt darunter (Randnummer 24). Die Frage lautet nie: Habe ich Cookies?, sondern: Was passiert auf dem Gerät meiner Besucher?
Was ohne Einwilligung geht
Das Gesetz nimmt zwei Fälle aus. Der zweite betrifft Websites unmittelbar, § 25 Absatz 2 Nummer 2:
„wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.“
Quelle: TDDDG § 25 Absatz 2 Nummer 2, Gesetze im Internet, abgerufen am 13.10.2026
Zwei Wörter tragen die Ausnahme: „unbedingt erforderlich“ und „ausdrücklich gewünscht“. Beides ist aus der Sicht des Besuchers zu lesen. Die Aufsichtsbehörden halten fest, dass der Besucher mit dem Aufruf der Seite nicht automatisch alle Zusatzfunktionen wünscht; ein Kontaktformular, ein Chat oder ein Kartendienst sei erst gewünscht, wenn er sie benutzt (Randnummer 76). Ein Cookie, das ein Formular gegen gefälschte Absendungen schützt, gehört nach meiner Einschätzung dazu; die Aufsichtsbehörden rechnen Systeme zur Betrugsprävention und IT-Sicherheit grundsätzlich dem Basisdienst zu (Randnummer 74). Ein Zähler, der Besucher über Seiten hinweg wiedererkennt, ist es nicht.
Bei einem Kontaktformular kommt es außerdem darauf an, was die Absender eintragen. Wo Patienten Angaben zur Gesundheit machen könnten, gelten besondere Regeln für den Datenschutz; wie ein Kontaktformular einer Praxis aufgebaut sein sollte, steht im Ratgeber zur Praxis-Website.
Analyse, Karten, Videos und Schriften von fremden Servern
Hier liegt die Grenze der meisten Firmenwebsites. Die Aufsichtsbehörden führen als typische Drittinhalte Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos, Fotos und Inhalte sozialer Netzwerke an. Mit der Einbindung sei regelmäßig eine Offenlegung personenbezogener Daten an den Betreiber des fremden Servers verbunden (Randnummer 101). Dafür braucht der Betreiber der Website eine Rechtsgrundlage nach der DSGVO, und eine Einwilligung ist eine Möglichkeit. Neben § 25 TDDDG gibt es also eine zweite Frage: ob die IP-Adresse des Besuchers an einen Dritten geht.
Bei der Reichweitenmessung sind die Aufsichtsbehörden ausdrücklich zurückhaltend. Sie treffen keine allgemeine Aussage, ob sie ohne Einwilligung zulässig ist, und halten fest, dass selbst die einfache Messung von Besucherzahlen nicht von vornherein zum gewünschten Dienst gehört (Randnummern 87 bis 90). Als reine Zählung beschreiben sie einen Zähler je Seite oder eine Auswertung der Logdateien ohne personenbezogene Daten; Angebote von Drittanbietern verarbeiten dagegen regelmäßig weit mehr (Randnummer 88).
Ein Beispiel aus der Praxis sind Webschriften. Das Landgericht München I hat am 20. Januar 2022 (Aktenzeichen 3 O 17493/20) ein Unternehmen verurteilt, weil es Google Fonts von Google-Servern nachlud und dabei die IP-Adresse des Klägers ohne dessen Einwilligung weitergegeben wurde. Die Bergische IHK, die das Urteil auf ihrer Seite beschreibt, sieht in den darauf gestützten Abmahnungen eine mögliche rechtsmissbräuchliche Welle, empfiehlt aber, die eigene Seite zu prüfen. Ein Landgerichtsurteil bindet kein anderes Gericht; es zeigt aber, dass die Frage nicht theoretisch ist. Die Lösung nennt die IHK gleich mit:
„Webfonts müssen nicht von einem Server nachgeladen werden, sie können alternativ lokal auf dem eigenen Server gespeichert sein.“
Quelle: Bergische IHK, Abmahnungen vermeiden: Google Fonts, abgerufen am 13.10.2026
| Baustein | Gerät des Besuchers | Fremder Server | Einwilligung? |
|---|---|---|---|
| Sicherheits-Cookie für ein Formular | ja, Cookie | nein | in der Regel nicht, wenn es nur das Formular schützt |
| Schriften vom eigenen Server | nein | nein | nicht nötig |
| Schriften von Google-Servern | nein | ja, IP-Adresse geht an Dritte | Rechtsgrundlage nötig; lokal einbinden vermeidet es |
| Eingebettete Karte oder Video | je nach Anbieter | ja | meist ja, vor dem Laden |
| Analysedienst mit Kennung | ja, Cookie oder Speicher | meist ja | meist ja |
| Zähler je Seite ohne Personenbezug | nein | nein | Einzelfall; die Behörden äußern sich nicht allgemein |
So macht es diese Website
Ein Beispiel, das Sie selbst nachprüfen können: Diese Website lädt nichts von einem fremden Server. Es gibt kein Analysewerkzeug, keinen Tag-Manager, keine Schriften von Google-Servern (sie liegen auf dem eigenen Server), keine eingebettete Karte; das Video der Seite liegt auf dem eigenen Server. Auf Seiten mit Formular setzt die Website ein Cookie, das Sicherheits-Cookie des Formulars; es enthält einen Zufallswert und keine Angaben zur Person. Der Fragebogen legt Eingaben im lokalen Speicher des Browsers ab, damit sie nicht verloren gehen, und überträgt sie erst, wenn Sie absenden. Wie oft die Knöpfe für Anruf, WhatsApp und E-Mail angetippt werden, zähle ich als Strichliste je Seite, ohne Kennung und ohne Cookie.
Das steht alles in der Datenschutzerklärung der Website, Abschnitt „Cookies und Speicherung auf Ihrem Gerät“, mit der Begründung, dass dafür keine Einwilligung nötig ist. Ein Banner würde nichts schützen, weil es nichts gibt, worin man einwilligen könnte. Es wäre eine Zumutung für die Besucher ohne Gegenwert.
Der Preis dieser Entscheidung ist, dass ich keine Besucherstatistik mit Kennung führe. Wer das ändern will, braucht vorher ein Einwilligungsverfahren. Das ist eine Abwägung, die jeder Betrieb für sich trifft; ich halte für kleine Betriebe die Search Console für ausreichend, die ohne jeden Eingriff auf der eigenen Seite auskommt.
Wie ich Seiten ohne fremde Dienste aufbaue, beschreibt die Leistungsseite: Webdesign ohne Tracking-Baukasten
Prüfen Sie Ihre eigene Seite
Ob Ihre Website ein Banner braucht, lässt sich ohne Spezialisten klären. Sie brauchen einen Browser und diese Reihenfolge:
- Öffnen Sie die Seite in einem privaten Fenster und die Entwicklerwerkzeuge des Browsers (Taste F12). Im Reiter „Anwendung“ oder „Speicher“ sehen Sie Cookies und lokalen Speicher.
- Im Reiter „Netzwerk“ sehen Sie, von welchen Adressen die Seite Dateien lädt. Alles, was nicht zu Ihrer eigenen Adresse gehört, ist ein Fremdserver.
- Schreiben Sie auf, wozu jedes Cookie und jede fremde Adresse dient: Formular, Schrift, Karte, Video, Statistik, Werbung.
- Fragen Sie bei jedem Eintrag: Ist das für den Dienst, den der Besucher aufgerufen hat, unbedingt erforderlich? Wenn nein, braucht es eine Einwilligung oder den Verzicht.
- Gleichen Sie das Ergebnis mit Ihrer Datenschutzerklärung ab. Sie muss beschreiben, was die Seite tatsächlich tut.
Eine Website neu bauen oder umbauen lassen, bei der diese Fragen gleich mitgeklärt werden: Website überarbeiten lassen
Grenzen dieses Textes
Das ist keine Rechtsberatung. Eine Beratung im Einzelfall ist Rechtsdienstleistung nach § 2 RDG und liegt bei einer Anwältin, einem Anwalt oder einer Datenschutzbeauftragten. Der Text gibt den Gesetzestext und die Orientierungshilfe der Aufsichtsbehörden wieder, in der Fassung, die ich am 13. Oktober 2026 abgerufen habe. Beides kann sich ändern, und die Aufsichtsbehörden legen die Vorschrift nicht in allen Fragen gleich aus. Wer Zweifel hat, fragt die zuständige Landesbehörde oder eine Fachperson.