Der Banner ist ein Symptom
Ein Cookie-Banner ist keine Funktion, sondern die Folge dessen, was eine Website lädt. Jeder Tag-Manager, jede extern eingebundene Schrift und jedes eingebettete Video kann eine Einwilligung nötig machen. Wer den Banner loswerden will, muss deshalb bei den Ursachen ansetzen, nicht beim Design des Dialogs.
Das lohnt sich doppelt: Ohne Banner sehen Besucher sofort Ihren Inhalt statt eines Dialogs, und Sie müssen keine Einwilligungen verwalten, nachweisen und erneuern.
Was das Gesetz verlangt
Zwei Regelwerke greifen ineinander. § 25 TDDDG (bis Mai 2024 TTDSG) regelt den Zugriff auf das Endgerät: Wer Informationen im Browser speichert oder ausliest, braucht eine Einwilligung, es sei denn, das ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen (Abs. 2 Nr. 2). Das gilt unabhängig davon, ob personenbezogene Daten im Spiel sind.
Die DSGVO regelt zusätzlich die Verarbeitung personenbezogener Daten, etwa von IP-Adressen. Sie verlangt für jede Verarbeitung eine Rechtsgrundlage nach Art. 6.
Der Europäische Datenschutzausschuss legt den Begriff „Zugriff auf das Endgerät“ in seinen Leitlinien 2/2023 weit aus: Nicht nur Cookies, auch lokaler Speicher, Tracking-Pixel und das Auslesen von Geräteeigenschaften können darunterfallen.
Die üblichen Auslöser und ihre Alternativen
| Auslöser | Problem | Alternative |
|---|---|---|
| Tag-Manager, Analytics, Werbepixel | Kennungen im Browser, oft Übermittlung an Drittanbieter | Verzichten, Server-Logs auswerten oder datensparsame Messung auf eigener Instanz |
| Externe Schriften (z. B. Google Fonts) | Übermittlung der IP-Adresse an den Anbieter | Schriften selbst hosten |
| Eingebettete Videos und Karten | Laden bereits beim Seitenaufruf, setzen eigene Kennungen | Vorschaubild mit Klick zum Laden oder einfacher Link |
| Chat-Widgets, Social-Plugins, Heatmaps | Drittanbieter-Skripte mit eigenen Kennungen | Entfernen oder erst nach Einwilligung laden |
| Bibliotheken von CDNs | Anfragen an fremde Server bei jedem Aufruf | Dateien selbst ausliefern |
Wie ernst Gerichte das nehmen, zeigt ein frühes Beispiel: Das Landgericht München I sprach 2022 einem Besucher Schadensersatz zu, weil eine Website Google Fonts dynamisch vom Google-Server geladen und dabei seine IP-Adresse übermittelt hatte (Az. 3 O 17493/20).
Was ohne Einwilligung geht
- Technisch Notwendiges: Sitzungs-Cookies für Anmeldung oder Warenkorb, Sicherheits-Token, Lastverteilung.
- Ausdrücklich gewünschte Einstellungen: etwa helle oder dunkle Darstellung, die erst gespeichert wird, nachdem der Nutzer sie aktiv gewählt hat.
- Server-Protokolle: für Betrieb und Sicherheit, auf Grundlage des berechtigten Interesses und mit kurzer Speicherdauer.
Und die Reichweitenmessung?
Cookielose Werkzeuge auf eigener Instanz senken das Risiko deutlich, lösen das Problem aber nicht automatisch: Auch sie lesen oft Eigenschaften des Geräts wie Bildschirmgröße oder Sprache. Nach der weiten Auslegung des Datenschutzausschusses kann das ein Zugriff auf das Endgerät sein. Es bleiben drei saubere Wege:
- Serverseitige Auswertung der ohnehin anfallenden Protokolle, ohne Zugriff auf das Endgerät.
- Ein abgespecktes Messskript auf eigener Instanz ohne Speicherzugriffe, mit transparenter Information. Es bleibt ein kleines, aber nicht null Restrisiko, das Sie mit Ihrer Datenschutzberatung bewerten sollten.
- Einwilligung, dann aber ehrlich und ohne Tricks.
Die EU-Kommission hat Ende 2025 mit dem sogenannten Digital Omnibus eine Ausnahme für bestimmte eigene Reichweitenmessung vorgeschlagen. Stand Oktober 2026 ist sie nicht in Kraft.
So machen wir es auf dieser Website
- Keine Marketingdienste, keine Drittanbieter-Anfragen und kein Cookie, solange Sie nichts wählen.
- Die Reichweite messen wir selbst, mit einer selbst betriebenen Messung: serverseitig aus dem Seitenabruf, ohne Skript und ohne Kennung im Browser. Global Privacy Control und „Do Not Track“ respektieren wir, widersprechen lässt sich mit einem Klick im Seitenfuß.
- Ein Messskript, Ereignisse, Sitzungsaufnahmen und Heatmaps gibt es nur nach ausdrücklicher Einwilligung: ohne Banner, als Schalter dort, wo man ihn sucht, und jederzeit widerrufbar.
- Schriften, Skripte und Grafiken kommen vom eigenen Server in Deutschland.
- Die Darstellung folgt der Tageszeit; gespeichert wird sie erst, wenn Sie sie selbst festlegen.
- Zugriffsprotokolle löschen wir nach 14 Tagen.
- Im Seitenfuß messen wir live in Ihrem Browser nach, wie viele Anfragen und Cookies diese Seite tatsächlich erzeugt.
Checkliste für Ihre Website
- Alle Anfragen beim Seitenaufruf im Netzwerk-Tab des Browsers auflisten, nicht aus dem Gedächtnis.
- Jede fremde Domain hinterfragen: Brauchen wir das? Geht es selbst gehostet?
- Schriften und Bibliotheken selbst ausliefern.
- Einbettungen erst nach Klick laden.
- Reichweitenmessung bewusst wählen und mit der Datenschutzberatung abstimmen.
- Content-Security-Policy setzen: Sie verhindert, dass später unbemerkt neue Drittanbieter dazukommen.
Quellen
- § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen (abgerufen 18. Oktober 2026)
- EDPB Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2 (7. Oktober 2024)
- Osborne Clarke: Der Digital Omnibus reformiert zwar die EU-Cookie-Regeln (abgerufen 18. Oktober 2026)
HinweisDieser Artikel gibt den Stand vom 18. Oktober 2026 wieder und ist keine Rechtsberatung.