Umsetzungsleitfaden · Quellen geprüft am 29. Juli 2026
Cookie Banner Deutschland: jeden Zustand testen
Das Pop-up ist nur die Oberfläche. Entscheidend ist, was die Website vor einer Auswahl, nach Ablehnen, nach Einwilligung in einen Zweck und nach Widerruf speichert, ausliest, sendet und verändert.
Direkte Antwort
- Eine deutsche Website braucht nicht allein deshalb ein Banner, weil sie existiert. Sie braucht einen Consent-Mechanismus, wenn das konkrete Speichern oder Auslesen im Endgerät und eine anschließende Verarbeitung Einwilligung erfordern.
- § 25 TDDDG behandelt das Speichern von Informationen im Endgerät und den Zugriff darauf. Das ist breiter als Cookies und kann Local Storage, Pixel, SDK-Verhalten, Kennungen und Fingerprinting-Techniken umfassen.
- Die DSGVO regelt getrennt die mögliche anschließende Verarbeitung personenbezogener Daten. Dokumentieren Sie beide Fragen separat.
- Entscheiden Sie nicht anhand eines Produktlabels wie Analytics, Chat oder notwendig. Erfassen Sie Zweck, Vorgang, Daten, Zustand und beanspruchte Ausnahme für die verantwortliche Prüfung.
- Testen Sie fünf Zustände: vor Auswahl, Ablehnen, zweckbezogenes Akzeptieren, Ändern und Widerrufen. Ein Screenshot des Banners belegt keine technische Wirkung.
Zwei Regeln, eine Umsetzung
Zuerst prüfen, was das Endgerät berührt. Dann prüfen, was mit personenbezogenen Daten geschieht.
§ 25 TDDDG beginnt mit Einwilligung für das Speichern von Informationen im Endgerät oder den Zugriff darauf und nennt zwei Ausnahmen. Eine betrifft die Übertragung einer Nachricht. Die andere betrifft das, was unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Die DSK Orientierungshilfe Digitale Dienste erklärt, dass TDDDG- und DSGVO-Fragen getrennt sind. Die Endgeräte-Regel kann ohne Personenbezug greifen. Eine anschließende Verarbeitung personenbezogener Daten braucht eine eigene DSGVO-Bewertung.
Ihr Browsertest dokumentiert Vorgänge und Wirkungen. DSB oder Rechtsberatung entscheidet über die Ausnahme, den Personenbezug, die Rechtsgrundlage und den rechtlichen Standard der Consent-Oberfläche.
Fünf-Zustands-Testmatrix
Bei jedem Übergang dieselbe Evidenz erfassen.
| Zustand | Aktion | Erfassen | Frage |
|---|---|---|---|
| Vor Auswahl | Repräsentative Route mit frischem Profil laden und nichts tun | Requests, Response-Header, Cookies, Local-/Session-Storage, IndexedDB, Service Worker, Oberflächenstatus | Was geschieht ohne bestätigende Handlung? |
| Ablehnen | Optionale Zwecke auf dem ersten verfügbaren Weg ablehnen | Neue, entfernte und unveränderte Requests, Speicher, IDs und Bannerstatus | Hat Ablehnen das Verhalten im Scope verändert? |
| Zweckbezogen akzeptieren | Nur einen Zweck akzeptieren | Requests, Tags, Speicher, IDs und Konfigurationsübergang, die genau diese Auswahl verursacht | Blieben andere Zwecke im vorherigen Zustand? |
| Ändern | Einstellungen wieder öffnen und einen Zweck ändern | Oberflächenstatus, Consent-Signal, Tag-Übergang, Speicheränderungen und Logeintrag | Beachtet das System eine spätere Auswahl? |
| Widerrufen | Akzeptierten Zweck widerrufen | Künftige Requests, neuer Speicher, verbleibende IDs, Logverhalten und nächster Seitenaufruf | Was stoppt, was bleibt und welche Rechts- oder Löschentscheidung ist offen? |
Umsetzungschecks
Acht Checks hinter der Banner-Oberfläche.
01
Alle Speichervorgänge inventarisieren
Für jede Technologie festhalten: Auslöser, gespeicherte oder ausgelesene Information, Endpunkt, Zweck, Daten, Empfänger, Trigger und beanspruchte TDDDG-Behandlung. Local Storage, Link-Dekoration, Pixel, Fingerprinting-Inputs, SDKs und Service Worker einbeziehen.
02
Erfassung und Durchsetzung trennen
Die Oberfläche kann eine Auswahl speichern, während fest eingebautes Skript, Plugin, Tag-Manager-Trigger oder Embed sie ignoriert. Verfolgen Sie jede optionale Technologie bis zur Regel, die Ausführung verhindert oder erlaubt. Bestätigen Sie die Wirkung mit Netzwerk- und Speicherevidenz.
03
Auswahl auf der ersten Ebene prüfen
Dokumentieren Sie, ob Ablehnen, Akzeptieren, Einstellungen und Schließen sichtbar, verständlich sowie in Aufwand und Darstellung vergleichbar sind. DSK-Leitfaden und EDSA-Taskforce-Bericht behandeln Ablehnoptionen auf der ersten Ebene und potenziell täuschende Hervorhebung. Die abschließende Bewertung bleibt fallbezogen.
04
Aktive Auswahl verlangen, wenn Einwilligung genutzt wird
Optionale Zwecke sollten nicht vorausgewählt starten. Schließen oder Ignorieren der Oberfläche sollte nicht als bestätigende Einwilligung gespeichert werden. Das EuGH-Urteil Planet49 behandelt vorausgewählte Kästchen und aktive Einwilligung. Erfassen Sie Voreinstellung, Handlung und gesendetes Event.
05
Zweckgrenzen testen
Akzeptieren Sie jeden Zweck einzeln. Prüfen Sie, ob Analytics-Einwilligung auch Werbung, Personalisierung, Embeds oder fremde Anbieter aktiviert. Dokumentieren Sie Bündelung und geben Sie Zweck- und Granularitätsentscheidung an den Datenschutz-Owner.
06
Änderung und Widerruf verfolgen
Machen Sie die Präferenzsteuerung nach dem Erstbesuch erreichbar. Dokumentieren Sie, ob Änderung oder Widerruf künftige optionale Vorgänge stoppt. Gehen Sie nicht davon aus, dass Widerruf frühere Daten oder Kennungen löscht. Halten Sie Verbleibendes fest und weisen Sie die Aufbewahrungs- oder Löschentscheidung zu.
07
Consent Mode als Signal behandeln
Google Consent Mode übermittelt den Consent-Status an Google-Tags. Seine Existenz belegt nicht, dass jeder Tag, Request, jede Kennung oder Verarbeitung blockiert ist. Prüfen Sie Default-Status, Update-Event, Triggerregeln, erweitertes oder Basisverhalten und beobachtete Requests.
08
Jeden Injektionspfad erneut testen
Bei WordPress und GTM Theme-Code, Plugins, Site Kit, Analytics-Plugins, Embeds, Tag-Templates, Custom HTML und serverseitige Container inventarisieren. Betroffene Zustände wiederholen, wenn sich Plugin, Tag, Template, CMP-Konfiguration, Anbieter oder Zweck ändert.
Oberflächenevidenz
Aus einem Layout-Rezept kein Rechtsurteil machen.
Die EDSA-Leitlinien zur Einwilligung behandeln Freiwilligkeit, Spezifität, Informiertheit, Eindeutigkeit und Widerruf. Der Cookie Banner Taskforce Bericht behandelt fehlende Ablehnoptionen, vorausgewählte Kästchen, täuschende Farben und Kontraste, Legitimate-Interest-Claims und Widerrufssymbole.
Nutzen Sie diese Quellen zur Prüfung der konkreten Oberfläche im Kontext. Sichern Sie Desktop- und Mobile-Screenshots, Tastaturreihenfolge, Labels, Zwecktexte, Buttondarstellung, Schließverhalten, Einstellungstiefe und das Event jeder Handlung. Leiten Sie aus Farbe oder Klickzahl allein keine Rechtswirksamkeit ab.
Die Primärquelle für aktive Einwilligung und vorausgewählte Cookie-Steuerungen ist das Planet49-Verfahren.
Mehr als Cookies
Die Regel ist technologieneutral.
Die finalen EDSA-Leitlinien 2/2023 behandeln den technischen Umfang von Speichern und Zugriff nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Die deutsche DSK-Orientierungshilfe nutzt unter dem TDDDG denselben breiteren Rahmen.
Ein Check nur nach Cookies aus einer Namensliste kann Local Storage, Tracking-Pixel, URL- und Link-Kennungen, JavaScript-Zugriff auf Geräteeigenschaften und andere Techniken übersehen. Erfassen Sie Vorgang und Informationsfluss vor der Einordnung.
Nächster Schritt: Compliance
Compliance-Check zu: Cookie Banner DSGVO Deutschland
Schicken Sie uns den aktuellen Stand Ihrer Website. Wir antworten mit den Risiken, die wirklich zählen, nicht mit einer generischen Checkliste.
Release-Smoke-Test
Auf repräsentativen Desktop- und Mobile-Routen ausführen.
✓
Mit frischem Profil starten. Netzwerk- und Browser-Speicherevidenz vor jeder Auswahl sichern.
✓
Ablehnen, jeden Zweck einzeln, Ändern und Widerrufen testen, ohne alten Testzustand wiederzuverwenden.
✓
Bestätigen, dass jede optionale Technologie eine Durchsetzungsregel hat. Eine Banner-Kategorie allein kann die Auswahl nicht durchsetzen.
✓
CMP-Status, GTM- oder Plugin-Konfiguration, Netzwerkrequests und Browser-Speicher vergleichen.
✓
Tastaturzugang, Mobile-Layout, Labels, Einstellungstiefe, Schließaktion und erneutes Öffnen prüfen.
✓
Unzugängliches serverseitiges Verhalten, Rechtsfragen und beanspruchte TDDDG-Ausnahmen als Entscheidung oder Grenze dokumentieren.
Nächster Schritt
Den Banner-Test in die breitere Datenflussprüfung einbetten.
Die DSGVO Website Checkliste führt die Evidenzregister-Methode über Formulare, Anbieter, Hinweise, Betroffenenworkflows, Sicherheit und Aufbewahrung fort. Der Google-Analytics-Leitfaden behandelt GA4-spezifische Umsetzungsfragen.
Für unabhängige Zustandstests, Konfigurationsevidenz, Befund-Ownership und Retest nutzen Sie das technische DSGVO-Audit. Der Kostenleitfaden vergleicht Auditkategorien und veröffentlichte Preise.
Häufige Fragen
Fragen zu Cookie-Bannern in Deutschland.
Ist ein Cookie-Banner für jede deutsche Website Pflicht?
Nein. Entscheidend ist, was die konkrete Umsetzung im Endgerät speichert oder ausliest, ob eine Ausnahme nach § 25 TDDDG greift und welche Verarbeitung personenbezogener Daten folgt. Eine Website ohne einwilligungsbedürftigen Vorgang braucht möglicherweise kein Consent-Banner. Dokumentieren Sie die Fakten und lassen Sie den verantwortlichen Reviewer entscheiden.
Was hat das TTDSG ersetzt?
Das Gesetz wurde im Mai 2024 im Zuge der neuen deutschen Terminologie für digitale Dienste in TDDDG umbenannt. § 25 bleibt die zentrale deutsche Regel für das Speichern von Informationen im Endgerät und den Zugriff darauf.
Muss Ablehnen auf der ersten Banner-Ebene stehen?
Die aktuelle DSK-Orientierungshilfe sagt: Wird Akzeptieren auf der ersten Ebene angeboten, soll dort auch eine deutlich sichtbare Ablehnoption verfügbar sein. Die EDSA-Taskforce behandelt ebenfalls fehlende oder visuell schwache Ablehnwege. Prüfen Sie die gesamte Oberfläche und den Sachverhalt mit dem verantwortlichen Datenschutz- oder Rechts-Owner.
Dürfen optionale Kategorien vorausgewählt sein?
Wo Einwilligung die Grundlage ist, braucht es eine bestätigende Handlung. Planet49 behandelt vorausgewählte Cookie-Steuerungen und hält sie für unzureichend. Erfassen Sie Voreinstellung, Nutzerhandlung und das vom System gespeicherte Event.
Macht Google Consent Mode das Banner compliant?
Keine einzelne Konfiguration belegt Rechtskonformität. Consent Mode übermittelt Status an Google-Tags. Sie müssen trotzdem die rechtliche Behandlung prüfen, Defaults und Updates konfigurieren, alle Injektionspfade kontrollieren sowie Requests und Speicher in jedem Zustand beobachten.
Brauchen wir eine CMP?
Die Quellen verlangen keine bestimmte CMP-Marke. Nutzen Sie eine gepflegte CMP oder eine eigene Umsetzung, die Ihr Team testen und betreiben kann. Dokumentieren Sie in beiden Fällen Erfassung, Durchsetzung, Evidenz, Widerruf, Change-Ownership und Verifikationsgrenzen.
Verfasst von
Vineet Talwar
Co-Founder, Tech & Operations bei Some Tech Work. WordCamp-Speaker in Europa und Asien und Host des WP-Shoutout-Podcasts.
Hier starten
Bereit fürs Gespräch.Buchen Sie eine kurze Diagnose.
Sagen Sie uns, was nicht läuft
Wir lesen jedes Briefing und antworten innerhalb eines Werktags.
Lieber erst sprechen?oder Tech-Stack-Audit anfragen →oder direkt per E-Mail →
Unklar, wo Sie anfangen sollen? Schicken Sie die hängende Entscheidung, den Workflow oder die Seite. Wir sagen, ob ein Diagnosegespräch, ein Tech-Stack-Audit oder ein anderer erster Schritt passt.