Cookie-Banner Pflicht: Ab wann brauche ich einen Cookie-Banner auf meiner Website?

Einen Cookie-Banner brauchst du nur, wenn deine Website auf den Geräten der Besucher etwas speichert oder ausliest, das sie nicht unbedingt braucht: Statistik-Cookies, Werbepixel oder eingebettete Karten und Videos, die beim Laden der Seite mitkommen. Eine Website ohne all das hat nichts, wofür sie um Erlaubnis fragen müsste, und braucht in Deutschland keinen Banner. Unten findest du die Regel mit ihren amtlichen Quellen, was oft unbemerkt Cookies auf eine Website bringt und wie du deine eigene Seite in fünf Minuten prüfst.

Das ist keine Rechtsberatung, sondern eine Zusammenfassung amtlicher Texte, Stand: 9. November 2026. Wenn dein Geschäft von Tracking abhängt, frag eine Anwältin, deine IHK oder die Datenschutzbehörde deines Bundeslandes.

Die Regel in Deutschland: § 25 TDDDG

Einwilligung vor allem, was nicht unbedingt erforderlich ist. Das steht in § 25 TDDDG, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Bis Mai 2024 hieß es TTDSG; mit dem Digitale-Dienste-Gesetz wurde es umbenannt, inhaltlich blieb § 25 gleich. Danach ist das Speichern von Informationen im Endgerät oder der Zugriff darauf nur erlaubt, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Ohne Einwilligung geht es nur, wenn es unbedingt erforderlich ist, damit du einen Dienst bereitstellen kannst, den der Nutzer ausdrücklich wünscht.

Wie eine Einwilligung aussehen muss, regelt die DSGVO: freiwillig, für den bestimmten Fall, informiert und unmissverständlich, durch eine eindeutige Handlung (Art. 4 Nr. 11), und so leicht zu widerrufen, wie sie erteilt wurde (Art. 7 Abs. 3) (DSGVO auf EUR-Lex). Die deutsche Regel setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um; in den anderen EU-Ländern gilt dasselbe Prinzip.

Was die Aufsichtsbehörden dazu sagen. Die Datenschutzkonferenz (DSK) erklärt § 25 in ihrer Orientierungshilfe für Anbieter:innen von digitalen Diensten (OH Digitale Dienste, Version 1.2, Stand November 2024). Drei Punkte daraus sind für kleine Websites besonders wichtig:

• Es geht nicht nur um personenbezogene Daten. Die Einwilligungspflicht gilt für das Speichern und Auslesen auf dem Gerät, unabhängig davon, ob die Information eine Person betrifft (Rn. 26). „Wir nutzen keine Cookies, nur ein Pixel“ hilft also nicht.
• Ablehnen darf nicht mühsamer sein als Zustimmen. Versperrt ein Banner den Inhalt, muss man ohne zusätzliche Klicks ablehnen können (Rn. 49).
• Zusatzfunktionen sind nicht automatisch gewünscht. Ein Kartendienst, ein Chat oder ein Kontaktformular wird nicht schon dadurch „gewünscht“, dass jemand deine Seite aufruft, sondern erst, wenn er die Funktion bewusst nutzt (Rn. 76).

Was keine Einwilligung braucht: alles, ohne das die Website für das, was der Besucher gerade tut, nicht funktioniert. Zum Beispiel ein Warenkorb, sobald jemand etwas hineinlegt, ein Login oder die Erinnerung daran, dass jemand das Passwort einer privaten Seite eingegeben hat.

Und in Österreich und der Schweiz?

Österreich hat dieselbe EU-Regel in § 165 Abs. 3 TKG 2021 umgesetzt: Daten dürfen nur ermittelt werden, wenn der Nutzer auf Grundlage klarer und umfassender Informationen aktiv eingewilligt hat. Ausgenommen ist, was für die Übertragung oder für einen ausdrücklich gewünschten Dienst unbedingt nötig ist.

Die Schweiz ist kein EU-Land und geht einen anderen Weg. Nach Art. 45c des Fernmeldegesetzes (FMG) müssen Besucher über die Bearbeitung und ihren Zweck informiert werden und sie ablehnen können (Opt-out). Eine vorherige ausdrückliche Zustimmung braucht es laut dem Eidgenössischen Datenschutzbeauftragten nur, wenn die Bearbeitung „unerwartet“ ist, ein hohes Risiko birgt oder besonders schützenswerte Daten betrifft (Merkblatt Cookies des EDÖB, 31. März 2026). Hast du auch Besucher aus der EU, gelten für sie deren Regeln.

Und wenn deine Kundschaft aus Großbritannien oder den USA kommt?

Großbritannien: Seit dem 5. Februar 2026 gilt dort die durch den Data (Use and Access) Act 2025 geänderte Regulation 6 PECR. Sie erlaubt neben der Einwilligung einige Ausnahmen (Schedule A1), etwa Statistik nur zur Verbesserung der eigenen Website, wenn Besucher informiert werden und einfach widersprechen können. Werbung und Tracking über Websites hinweg gehören nicht dazu; Pixel brauchen also auch dort eine Einwilligung.

USA: Ein Bundesgesetz, das einen Cookie-Banner verlangt, gibt es nicht. Der Congressional Research Service schrieb im August 2025, dass es Datenschutzgesetze nur für bestimmte Bereiche gibt und mindestens 19 Bundesstaaten eigene umfassende Gesetze haben (CRS, Preemption and Privacy Law). Die meisten funktionieren per Widerspruch: Kaliforniens CCPA verlangt von größeren Unternehmen, die Daten verkaufen oder teilen, einen Link zum Widersprechen und die Beachtung des Browsersignals Global Privacy Control (California Attorney General: CCPA).

Keine Tracker, kein Banner

Speichert oder liest deine Website nichts, was nicht unbedingt nötig ist, gibt es nichts, wozu jemand einwilligen müsste, und ein Banner würde nur stören. Eine Datenschutzerklärung brauchst du trotzdem: Sie sagt, was die Website mit personenbezogenen Daten macht, zum Beispiel was ein Kontaktformular erfasst. Banner und Datenschutzerklärung sind zwei verschiedene Dinge.

Was oft unbemerkt Cookies auf deine Website bringt

Die wenigsten kleinen Websites setzen Cookies mit Absicht. Sie kommen über etwas, das man eingebaut hat:

• Eingebettetes Google Maps. Google nennt „eingebettete Google Maps“ in seiner Datenschutzerklärung unter den Produkten, die in andere Websites eingebunden sind, und schreibt, dass diese Websites beim Besuch Informationen an Google weitergeben.
• Eingebettete YouTube-Videos. Der Player lädt von Google, sobald die Seite aufgeht. Google führt YouTube-Cookies wie PREF und VISITOR_INFO1_LIVE auf seiner Cookie-Seite auf. Beide Einbettungen und die Lösung: Google Maps und YouTube datenschutzkonform einbinden.
• Statistik. Google Analytics 4 setzt zwei eigene Cookies, _ga und _ga_<container-id>, die standardmäßig zwei Jahre gelten (Google-Analytics-Hilfe).
• Werbepixel von Meta, TikTok, Pinterest oder Google Ads. Sie brauchen in der EU immer eine Einwilligung. Mehr dazu: Meta Pixel rechtssicher in der EU (auf Englisch).
• Chat-Widgets, Buchungs-Widgets und Social-Media-Feeds, die von den Servern einer anderen Firma laden. Prüf bei jedem dessen eigene Dokumentation.
• Google Fonts, die von Google geladen werden. Dafür braucht es nicht einmal ein Cookie: Der Browser des Besuchers verbindet sich mit Google, und Google erhält die IP-Adresse. Das Landgericht München I hat im Januar 2022 einen Websitebetreiber verurteilt, einem Besucher 100 € zu zahlen, weil seine IP-Adresse so ohne Einwilligung an Google ging; die Schriften hätten sich auch ohne Verbindung zu Google nutzen lassen (LG München I, Urteil vom 20. Januar 2022, 3 O 17493/20). Liegen die Schriftdateien auf deiner eigenen Website, passiert das nicht.

So prüfst du deine eigene Website

Du brauchst kein Tool, nur einen Browser am Computer:

1. Öffne deine Website in einem privaten Fenster, damit nichts von früheren Besuchen da ist.
2. Öffne die Entwicklertools (F12 in Chrome, Edge oder Firefox).
3. In Chrome oder Edge: Anwendung → Speicher → Cookies, in Firefox: Web-Speicher → Cookies. Alles, was dort steht, wurde gesetzt, ohne dass du etwas angeklickt hast.
4. Geh zum Tab Netzwerk und lade die Seite neu. Schau dir die Domains in der Liste an: Jede, die nicht deine eigene ist, hat die IP-Adresse deines Besuchers bekommen.
5. Scroll die ganze Seite herunter und schau noch einmal: Manche Einbettungen laden erst, wenn sie ins Bild kommen.

Zeigen Schritt 3 und 4 nur deine eigene Domain, brauchst du wahrscheinlich keinen Banner. Tauchen Google, Meta oder andere auf, lass sie entweder bis zu einem Ja warten oder entfern sie.

So macht es Ginta

Wir machen Ginta, deshalb hier, wie unsere Websites das lösen. Eine Ginta-Website setzt von sich aus keine Cookies, und die Datenschutzerklärung, die Ginta aus dem schreibt, was die Website wirklich nutzt, sagt das auch:

Die Dinge aus der Liste oben erledigt Ginta für dich:

• Google Fonts kommen von der Adresse der Website selbst, der Browser des Besuchers verbindet sich nie mit Google.
• Stockfotos von Pexels kommen ebenfalls von der eigenen Adresse.
• Google Maps fragt zuerst. Eine Seite mit Google-Karte zeigt Gintas Banner mit der Auswahl „Karten“ (die einzige Auswahl, wenn die Website keine Tracker hat). Nach einem Ja erscheint Googles Karte sofort. Bis dahin ist die Karte ein Bild, das Gintas Server erstellt, mit „In Google Maps öffnen“ und „Interaktive Karte anzeigen“, was nur diese eine Karte lädt.
• YouTube und andere Videoplayer laden erst, wenn der Besucher auf Abspielen klickt.
• Besucherzahlen zählt Gintas Server, ohne Cookie: im Tab Besucher jeder Website.

Am 9. November 2026 haben wir zwei Ginta-Demo-Websites in einem frischen Browser geöffnet, krume-leipzig.ginta.page und hollin-mobile-massage.ginta.page, und bis ganz nach unten gescrollt: Jede Anfrage ging an die Adresse der Website selbst, kein Cookie und kein lokaler Speicher wurde gesetzt. (Die Leipziger Website hat eine Karte, deshalb zeigt sie den Banner mit der Auswahl „Karten“; gespeichert wird erst, wenn der Besucher antwortet.)

Fügst du einen Tracker hinzu, kommt der Banner von selbst (auf Seiten mit Google-Karte ist er schon da, bis dahin nur mit der Auswahl „Karten“). Trag in den Einstellungen der Website unter Marketing & Tracking eine ID für Meta Pixel, TikTok Pixel, Google Analytics 4, Google Ads oder Pinterest ein (in jedem Tarif, auch im kostenlosen) oder bitte im Chat darum. Ginta setzt dann einen Banner mit Akzeptieren, Ablehnen und Einstellungen als gleich große Buttons, lädt vor „Akzeptieren“ nichts, setzt den Link Cookie-Einstellungen in den Footer und nennt die Tracker in der Datenschutzerklärung:

Die Einzelheiten stehen auf Pixel und Cookie-Banner (auf Englisch). Ein weiteres Cookie, das eine Ginta-Website setzen kann, wählst du ebenfalls selbst: Machst du eine Website privat, bekommen Besucher nach der Passworteingabe ein Cookie, das sie angemeldet hält. Das ist unbedingt erforderlich.

Wo Ginta schwächer ist

• Die Datenschutzerklärung, die Ginta schreibt, ist vorerst auf Englisch, auch auf deutschen Websites. Für eine Website mit deutscher Kundschaft ist das ein echter Nachteil; klär mit deiner Kanzlei oder deiner IHK, was du brauchst.
• Ginta speichert die Entscheidung jedes Besuchers nicht zentral. Sie bleibt auf dem Gerät des Besuchers. Googles Richtlinie zur Einwilligung der Nutzer in der EU verlangt von Websites mit Google-Produkten, Einwilligungen nachweisen zu können; fragt eine Werbeplattform danach, prüf, was sie akzeptiert.
• Skripte, die Ginta nicht kennt. In bezahlten Tarifen kannst du andere Skripte einbauen. Bekannte Tracker, die von Hand in die Seiten geschrieben wurden, hält Ginta bis „Akzeptieren“ zurück, alles andere nennt es in der Datenschutzerklärung, kann aber nicht wissen, ob ein unbekanntes Skript eine Einwilligung braucht. Trag so ein Skript unter Einstellungen → Marketing & Tracking → Anderes Tracking-Skript ein, dann wartet es auf den Banner.
• Deine Angaben kann Ginta nicht erfinden. Die Datenschutzerklärung braucht deinen Firmennamen und deine Adresse; bis du sie einträgst, steht dort eine Lücke.