Im Juli 2023 verhängte die österreichische Datenschutzbehörde ein Bußgeld gegen einen deutschen Online-Shop, weil der Cookie-Banner keine gleichwertige Ablehnoption bot. Das Bußgeld: €15.000 – für ein Unternehmen mit weniger als 10 Mitarbeitern. Cookie-Banner sind kein bürokratischer Formalismus. Sie sind die rechtliche Eintrittspforte für alles, was Ihre Website über Besucher erfasst.

Welche Cookies brauchen eine Einwilligung?

Nicht alle Cookies sind gleich. Das Wichtigste zuerst: Einwilligung ist nur für nicht-notwendige Cookies erforderlich.

Technisch notwendige Cookies (keine Einwilligung erforderlich)

Diese Cookies dürfen ohne Einwilligung gesetzt werden, weil sie für die grundlegende Funktionalität unerlässlich sind:

  • Session-Cookies (Login-Status, Warenkorb)
  • Sicherheits-Cookies (CSRF-Schutz)
  • Cookie-Einstellungs-Cookies (speichern die Einwilligungsentscheidung)
  • Load-Balancing-Cookies

Cookies, die eine aktive Einwilligung erfordern

Cookie-TypBeispieleEinwilligung
Analyse-CookiesGoogle Analytics, Matomo (nicht anonymisiert)Ja
Marketing-CookiesGoogle Ads, Facebook Pixel, LinkedIn InsightJa
PersonalisierungEmpfehlungsalgorithmen, A/B-TestsJa
Social-Media-EinbettungenYouTube, Instagram-WidgetsJa
Affiliate-TrackingPartnerlinks-TrackingJa
Technisch notwendigSession, CSRF, WarenkorbNein

Was bedeutet „gültige Einwilligung" nach der DSGVO?

Art. 4 Nr. 11 und Art. 7 DSGVO definieren klare Anforderungen an eine gültige Einwilligung. Sie muss:

  1. Freiwillig sein – der Nutzer darf keine Nachteile erleiden, wenn er ablehnt
  2. Informiert sein – der Nutzer muss wissen, wozu er einwilligt
  3. Unmissverständlich sein – aktive Handlung erforderlich (kein Opt-out)
  4. Spezifisch sein – separate Einwilligung für verschiedene Zwecke
  5. Widerrufbar sein – jederzeit, einfach und ohne Nachteile

Warum vorausgefüllte Kästchen illegal sind

Ein vorausgewähltes Häkchen bei „Marketing-Cookies akzeptieren" erfüllt nicht das Kriterium der aktiven Einwilligung. Der Europäische Gerichtshof hat dies im Planet49-Urteil (2019) endgültig klargestellt. Eine vorausgefüllte Einwilligung ist keine Einwilligung – sie ist rechtlich wertlos und kann zu Bußgeldern führen.

Das Gleiche gilt für:

  • Sprachliche Manipulation (z. B. „Akzeptieren" groß und bunt, „Ablehnen" winzig und grau)
  • Versteckte Ablehnoptionen in Untermenüs
  • Dark Patterns, die das Ablehnen unnötig komplizieren
PflichtangabeErforderlichHinweis
Information über Cookie-NutzungJaKlar und verständlich
Zwecke der DatenverarbeitungJaFür jede Kategorie
Namen der eingesetzten DrittanbieterJaZ. B. Google, Meta
Schaltfläche „Alle akzeptieren"Ja
Schaltfläche „Alle ablehnen"JaGleich prominent wie Akzeptieren
Schaltfläche „Einstellungen anpassen"EmpfohlenFür granulare Auswahl
Link zur DatenschutzerklärungJa
Link zum ImpressumEmpfohlen
Möglichkeit zum WiderrufJaJederzeit erreichbar
Keine vorausgefüllten KästchenJaOpt-in, nicht Opt-out
Keine Cookie-WallJaZugang darf nicht verweigert werden

Die Ablehnmöglichkeit muss gleichwertig sein

Dies ist der häufigste Fehler in der Praxis: Der „Alle akzeptieren"-Button ist groß, farbig und prominent. Der „Ablehnen"-Link ist klein, grau und versteckt. Mehrere Datenschutzbehörden – darunter die französische CNIL und das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) – haben ausdrücklich klargestellt, dass die Ablehnoption optisch gleichwertig zur Akzeptier-Option sein muss.

Eine Cookie-Wall blockiert den Zugang zur Website, wenn Nutzer Nicht-notwendige Cookies ablehnen. Das Argument mancher Betreiber: „Wir finanzieren uns durch Werbung, also müssen Nutzer Cookies akzeptieren."

Die DSGVO-Rechtslage ist eindeutig: Einwilligung ist nur freiwillig, wenn der Nutzer eine echte Wahl hat. Wer die Website nicht ohne Einwilligung nutzen kann, hat keine echte Wahl. Der Europäische Datenschutzausschuss (EDSA) hat Cookie-Walls in seinen Leitlinien zur Cookie-Einwilligung ausdrücklich als unzulässig eingestuft.

Ausnahme: Das „Pay or Consent"-Modell (Bezahlen oder Einwilligen) wird aktuell rechtlich diskutiert. Der EDSA hat dazu im April 2024 Leitlinien veröffentlicht, die es unter sehr strengen Bedingungen für möglich halten – jedoch nur für große Plattformen mit ausreichendem Gegenangebot.

Wie lange gilt eine Einwilligung?

Die DSGVO schreibt keine feste Gültigkeitsdauer vor. Aufsichtsbehörden empfehlen jedoch:

  • Erneuerung der Einwilligung spätestens nach 12 Monaten
  • Sofortige Erneuerung, wenn sich die Zwecke oder Drittanbieter wesentlich ändern
  • Technische Lösung: das Einwilligungs-Cookie mit einem Verfallsdatum von 12 Monaten versehen

Der Widerruf der Einwilligung muss jederzeit möglich sein – typischerweise über einen Link im Footer oder über die Datenschutzerklärung. Der Widerruf darf nicht schwieriger sein als die ursprüngliche Einwilligung.

Echte Bußgelder: Beispiele aus der Praxis

Diese Fälle zeigen, dass Cookie-Bußgelder keine theoretische Gefahr sind:

LandBetroffenerJahrBußgeldGrund
FrankreichGoogle2022€150 Mio.Ablehnen zu schwer
FrankreichFacebook/Meta2022€60 Mio.Keine gleichwertige Ablehnoption
ItalienTelecom Italia2021€2,45 Mio.Kein gültiges Consent-Management
DeutschlandOnline-Shop (anonym)2023€15.000Keine Ablehnoption im Banner
NiederlandeTikTok2023€750.000Cookie-Banner nicht kindergerecht

Wie lange müssen Einwilligungen dokumentiert werden?

Sie müssen nachweisen können, dass und wann ein Nutzer eingewilligt hat (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO). Ein gutes Consent-Management-System (CMS) protokolliert:

  • Zeitstempel der Einwilligung
  • Version des Cookie-Banners zum Zeitpunkt der Einwilligung
  • Eingewilligte Kategorien
  • IP-Adresse (anonymisiert oder gehasht)

Diese Protokolle sollten mindestens 3 Jahre aufbewahrt werden (Verjährungsfrist für DSGVO-Bußgelder).

Technische Umsetzung: Was passiert, wenn jemand ablehnt?

Ein häufiger technischer Fehler: Der Banner zeigt zwar eine Ablehnmöglichkeit, aber die Cookies werden trotzdem gesetzt – weil die Skripte nicht korrekt blockiert werden. DSGVO-Konformität erfordert:

  1. Script-Blocking: Marketing- und Analyse-Skripte dürfen erst nach Einwilligung geladen werden
  2. Kein Cookie-Setzen vor Einwilligung: Auch das Setzen von Cookies durch eingebettete Drittanbieter (YouTube, Google Maps) muss bis zur Einwilligung verhindert werden
  3. Korrekte Kategorisierung: Jeder Cookie muss der richtigen Kategorie zugeordnet sein

Unser Cookie-Banner-Generator erstellt einen DSGVO-konformen Banner für Ihre Website – ohne technisches Wissen:

  1. Domain eingeben
  2. Eingesetzte Tools auswählen (Google Analytics, Meta Pixel, etc.)
  3. Farben und Texte anpassen
  4. Code kopieren und auf der Website einfügen

Der Generator berücksichtigt automatisch die aktuellen Anforderungen der deutschen und europäischen Datenschutzbehörden, einschließlich gleichwertiger Ablehn-Schaltflächen und korrektem Script-Blocking.

  1. Kategorisieren: Welche Cookies setzen Sie? Technisch notwendig oder nicht?
  2. Banner gestalten: Gleichwertige Akzeptieren/Ablehnen-Buttons, keine Dark Patterns
  3. Script-Blocking korrekt implementieren – Cookies erst nach Einwilligung setzen
  4. Einwilligungen dokumentieren – Consent-Management-System nutzen
  5. Regelmäßig prüfen – mindestens jährlich, bei Änderungen sofort

Ein DSGVO-konformer Cookie-Banner ist keine Garantie gegen alle Bußgelder, aber er ist die Grundlage für datenschutzkonforme Website-Nutzung und schützt Sie vor den häufigsten und teuersten Verstößen.