Seit dem 1. September 2025 weiß jedes Unternehmen mit einer Webseite, was ein unwirksamer "Alle abwählen"-Button kosten kann: Die französische Datenschutzbehörde CNIL verhängte an diesem Tag ein Bußgeld von 150 Millionen Euro gegen Shein, weil Tracking-Cookies trotz eines Klicks auf "Alle ablehnen" weiterhin gesetzt wurden (CNIL, September 2025). Cookie-Einwilligung ist damit endgültig keine Formalie mehr, die ein Banner-Tool im Hintergrund erledigt.
Wenn Sie für Marketing, Recht oder IT eines deutschen Unternehmens verantwortlich sind, stellt sich früher oder später eine ganz konkrete Frage: ob das eigene Cookie-Banner tatsächlich ausreicht oder ob in Wahrheit nie eine gültige Einwilligung eingeholt wurde. Die Antwort hängt nicht vom Design des Banners ab, sondern von einer sehr genau definierten rechtlichen Schwelle, und die zu kennen ist der einzige verlässliche Schutz vor einem Bußgeld.
Das Wichtigste in Kürze
➤ Cookie-Einwilligung ist die aktive, informierte Zustimmung, die ein Endnutzer vor dem Setzen nicht notwendiger Cookies geben muss: Rechtsgrundlage sind § 25 TDDDG (bis Mai 2024: TTDSG) und die DSGVO gemeinsam, nicht nur eine der beiden.
➤ § 25 TDDDG gilt für den Zugriff auf jede Information auf einem Endgerät, unabhängig davon, ob es sich um personenbezogene Daten handelt. Die DSGVO gilt dagegen nur für personenbezogene Daten. Beide Gesetze greifen bei den meisten Marketing- und Analyse-Cookies gleichzeitig.
➤ Vorausgewählte Checkboxen, reines Weiterscrollen oder ein Ablehnen-Button, der Cookies trotzdem setzt, erzeugen keine wirksame Einwilligung: Das hat der EuGH bereits 2019 im Planet49-Verfahren festgestellt (EuGH, Urteil vom 1.10.2019, Az. C-673/17).
➤ Verstöße gegen § 25 TDDDG können mit bis zu 300.000 Euro Bußgeld belegt werden (§ 28 TDDDG); DSGVO-Verstöße parallel mit bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).
Was ist Cookie-Einwilligung?
Cookie-Einwilligung ist die freiwillige, informierte und unmissverständliche Zustimmung eines Endnutzers, bevor eine Webseite nicht technisch notwendige Cookies oder vergleichbare Technologien auf seinem Gerät speichert oder darauf zugreift. Das schließt klassische Cookies ebenso ein wie Local Storage, Device Fingerprinting oder SDKs in Apps. Die Zustimmung wird durch eine aktive Handlung erteilt, meist einen Klick auf "Akzeptieren" in einem Cookie-Banner, niemals durch Untätigkeit.
Wichtig ist die Abgrenzung: Nicht jedes Cookie braucht eine Einwilligung. Technisch notwendige Cookies (etwa ein Warenkorb oder ein Login-Session-Cookie) sind von der Einwilligungspflicht ausgenommen, weil der Nutzer den Dienst ausdrücklich angefordert hat und der Cookie ohne ihn nicht funktioniert. Analytics-, Marketing- und Personalisierungs-Cookies fallen dagegen fast immer unter die Einwilligungspflicht, selbst wenn ein Anbieter sie als "notwendig für die Optimierung" bezeichnet.
Der Unterschied zwischen einer bloßen Cookie-Information und einer tatsächlichen Einwilligung ist der Punkt, an dem die meisten Webseiten scheitern: Ein Banner, das lediglich mitteilt "Diese Seite verwendet Cookies" und keine echte Ablehnungsoption bietet, informiert: Es holt keine Einwilligung ein.
Die doppelte Rechtsgrundlage: DSGVO und § 25 TDDDG
§ 25 TDDDG setzt auf nationaler Ebene um, was die EU-weite ePrivacy-Richtlinie (2002/58/EG, zuletzt geändert 2009) als Vorgabe für den Schutz von Endgeräten formuliert hat. In Deutschland reicht ein Blick auf die DSGVO allein deshalb nicht aus, weil eine zweite, spezifischere Norm parallel greift. Das frühere TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) wurde am 14. Mai 2024 durch das Digitale-Dienste-Gesetz in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Inhaltlich hat sich an der Cookie-Regel dabei nichts geändert: Lediglich der Begriff "Telemedien" wurde durchgängig durch "digitale Dienste" ersetzt (Dr. Datenschutz, Juni 2024). Wer noch "TTDSG" liest, meint praktisch dieselbe Vorschrift wie bei "TDDDG"; viele Rechtsquellen verwenden beide Bezeichnungen bis heute synonym.
§ 25 Abs. 1 TDDDG verlangt eine Einwilligung für jede Speicherung von oder jeden Zugriff auf Informationen auf einem Endgerät des Nutzers, unabhängig davon, ob diese Information einen Personenbezug hat. Genau hier liegt der praktische Unterschied zur DSGVO, die nur personenbezogene Daten erfasst: Ein rein technisches Gerätemerkmal ohne jeden Personenbezug fällt unter § 25 TDDDG, aber nicht automatisch unter die DSGVO. Die Wirksamkeitskriterien für die Einwilligung selbst verweisen § 25 Abs. 1 Satz 2 TDDDG zufolge dann wiederum auf die DSGVO, konkret auf Art. 4 Nr. 11 und Art. 7. Beide Gesetze greifen bei den meisten Marketing-Cookies also gemeinsam, mit zwei getrennten Bußgeldrahmen: bis zu 300.000 Euro nach § 28 TDDDG und parallel bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro nach Art. 83 Abs. 5 DSGVO.
Eine praktische Erleichterung kommt seit dem 1. April 2025 über die Einwilligungsverwaltungsverordnung (EinwV) hinzu: Sie schafft einen rechtlichen Rahmen für sogenannte PIMS (Personal Information Management Services), zentrale Dienste, über die Nutzer ihre Cookie-Präferenzen einmal hinterlegen und nicht auf jeder Webseite neu bestätigen müssten. In der Praxis ersetzt das klassische Cookie-Banner bislang aber niemand vollständig, weil Anbieter nicht davon ausgehen dürfen, dass jeder Besucher einen PIMS-Dienst nutzt (Haendlerbund, 2025).
Wer die Rechtsgrundlagen der Einwilligung generell (über Cookies hinaus, etwa bei Newsletter-Anmeldungen oder Profiling) gegen berechtigtes Interesse abgrenzen will, findet die Kriterien im Detail im Leitfaden zu berechtigtem Interesse versus Einwilligung nach DSGVO.
Wirksame vs. unwirksame Einwilligung
Ob eine Einwilligung vor Gericht Bestand hat, entscheidet sich an vier Kriterien aus Art. 4 Nr. 11 DSGVO: freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich abgegeben. Fehlt eines davon, ist die gesamte Einwilligung unwirksam, nicht nur "verbesserungswürdig".
Freiwillig: Der Nutzer muss eine echte Wahl haben, ohne dass ihm der Zugang zur Seite verweigert wird, wenn er ablehnt (kein Cookie-Wall).
Informiert: Der Nutzer muss vor der Entscheidung erfahren, welche Cookies zu welchem Zweck von welchen Anbietern gesetzt werden, nicht erst nach einem Klick auf "Mehr erfahren".
Unmissverständlich: Die Zustimmung erfolgt durch eine eindeutige, aktive Handlung. Schweigen, Weiterscrollen oder die reine Weiternutzung der Seite zählen ausdrücklich nicht.
Der Europäische Gerichtshof hat diese Linie schon 2019 im vieldiskutierten Planet49-Verfahren gezogen: Eine vorausgewählte Checkbox, die der Nutzer aktiv abwählen müsste, erzeugt keine wirksame Einwilligung, weil sie kein aktives Verhalten des Nutzers voraussetzt (EuGH, Rechtssache C-673/17). Der Bundesgerichtshof hat diese Auslegung für Deutschland anschließend bestätigt, und sie ist heute in § 25 TDDDG kodifiziert.
Myth #1: "Ein Banner mit einem OK-Button reicht aus, wenn dort auch ein Link zur Datenschutzerklärung steht." Reality: Ohne eine gleichwertige, ebenso sichtbare Ablehnungsoption auf der ersten Banner-Ebene ist das keine wirksame Einwilligung, nur eine Kenntnisnahme.
Myth #2: "Wenn der Nutzer nach dem Banner weitersurft, gilt das als stillschweigende Zustimmung." Reality: Weiterscrollen oder Weiterklicken ist explizit als unwirksame Form der Einwilligung ausgeschlossen; es fehlt die aktive, eindeutige Handlung, die Art. 4 Nr. 11 DSGVO verlangt.
Nicht jede Einwilligung muss übrigens dauerhaft gültig bleiben. Ändert sich der Verwendungszweck oder werden neue Anbieter eingebunden, muss die Zustimmung erneut eingeholt werden. Wie granulare Zustimmung technisch über verschiedene Kanäle hinweg konsistent gehalten wird, beschreibt der Artikel zu Einwilligungsmanagement im Detail.
Dark Patterns: Banner-Gestaltung, die Bußgelder auslöst
Ein Banner kann formal eine Ablehnungsoption enthalten und trotzdem unwirksam sein, wenn das Design den Nutzer gezielt zur Zustimmung drängt. Die Datenschutzkonferenz (DSK) hat ihre "Orientierungshilfe für Anbieter digitaler Dienste" im November 2024 aktualisiert und verlangt darin ausdrücklich, dass die Ablehnungsschaltfläche auf der ersten Banner-Ebene ebenso sichtbar, gleich benannt und optisch gleichrangig zur Zustimmungsschaltfläche gestaltet sein muss (Datenschutzkonferenz, November 2024). Learn more about wie sich die Durchsetzung gegen Consent-Theater 2026 verschärft hat.
Die häufigsten Verstoßmuster:
Asymmetrische Schaltflächen: Ein farbig hervorgehobener "Akzeptieren"-Button neben einem grau kaum sichtbaren "Ablehnen"-Link.
Klick-Tiefe-Ungleichgewicht: Zustimmung mit einem Klick möglich, Ablehnung erst nach mehreren Klicks durch ein Untermenü.
Consent-Theater: Der Banner zeigt eine funktionierende Ablehnungsoption an, im Hintergrund werden Tracking-Cookies aber unabhängig von der Nutzerentscheidung gesetzt oder ausgelesen.
Wie verbreitet solche Muster sind, zeigt eine Feldstudie der Ruhr-Universität Bochum mit der University of Michigan: In einer Stichprobe von 1.000 untersuchten Cookie-Bannern setzten 57 Prozent gezielte Nudging-Techniken ein, um Nutzer zur Zustimmung zu drängen (Utz et al., "(Un)informed Consent", Ruhr-Universität Bochum, September 2019).
Genau dieses letzte Muster war der Kern des Shein-Verfahrens: Die CNIL stellte fest, dass Werbe-Cookies bereits vor jeder Nutzerinteraktion gesetzt wurden und beim Klick auf "Alle ablehnen" weiterhin aktiv blieben – Bußgeld: 150 Millionen Euro (CNIL, 1.9.2025). Am selben Tag verhängte die CNIL gegen Google ein Bußgeld von insgesamt 325 Millionen Euro, unter anderem weil beim Anlegen eines Google-Kontos Cookies ohne wirksame Einwilligung französischer Nutzer gesetzt wurden (CNIL, 1.9.2025).
In Deutschland prüfen Aufsichtsbehörden systematisch statt nur anlassbezogen: Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat rund 1.000 Webseiten bayerischer Anbieter automatisiert auf Cookie-Banner-Konformität geprüft und dabei wiederkehrende Verstöße festgestellt (netzpolitik.org, 2024). Wer im Rahmen einer solchen Prüfung auffällt, kann anschließend nach § 28 TDDDG mit bis zu 300.000 Euro und parallel nach der DSGVO mit deutlich höheren Beträgen belegt werden. Learn more about welche neuen Entwicklungen es 2026 bei der Cookie-Einwilligung gibt.
Ein automatisiertes Cookie-Scanning, das laufend prüft, welche Skripte tatsächlich vor einer Einwilligung ausgeführt werden, deckt genau dieses Consent-Theater-Muster auf, bevor eine Aufsichtsbehörde es tut. Ein manueller Code-Review erfasst neu eingebundene Tracking-Skripte in der Regel zu spät.
Cookie-Banner oder vollwertige Consent-Plattform?
Nicht jede rechtlich zulässige Einwilligungslösung braucht denselben technischen Aufwand. Ein einfacher, selbst codierter Banner kann formal ausreichen, solange er die Wirksamkeitskriterien aus Art. 4 Nr. 11 DSGVO tatsächlich erfüllt. Sobald aber Nachweispflichten, mehrere Domains, mehrsprachige Auftritte oder Werbeintegrationen wie Google Consent Mode oder das IAB Transparency & Consent Framework hinzukommen, stößt ein selbstgebauter Banner schnell an Grenzen.
| Kriterium | Einfacher Eigenbau-Banner | Consent-Management-Plattform |
|---|---|---|
| Nachweis der Einwilligung (Art. 5 Abs. 2 DSGVO) | Meist nicht revisionssicher gespeichert | Manipulationssicheres Protokoll mit Zeitstempel |
| Granulare Kategorien | Häufig nur Alles-oder-nichts | Einzelne Kategorien und Anbieter einzeln wählbar |
| Erkennung neuer Tracker | Manuell, oft veraltet | Automatisches, wiederkehrendes Scanning |
| Mehrsprachigkeit | Meist eine Sprache | Dutzende Sprachen vorkonfiguriert |
| TCF- / Google-Consent-Mode-Anbindung | Meist nicht vorhanden | Nativ integriert |
| Pflege bei Rechtsänderungen | Manuelles Nachpflegen nötig | Zentral aktualisiert |
Diese Tabelle beantwortet nur die Frage "reicht ein Banner, oder brauche ich mehr", nicht die Frage "welcher Anbieter ist der richtige": Für einen ausführlichen Anbietervergleich mit konkreten Funktionsunterschieden lohnt sich ein Blick in den Leitfaden Was ist eine Consent-Management-Plattform?
Wer ohnehin mit dem IAB Transparency & Consent Framework arbeitet, findet die aktuellen Migrationsschritte auf Version 2.3 in der TCF-v2.3-Checkliste.
Best Practices für die Umsetzung
Granulare Auswahl statt Alles-oder-nichts: Nutzer müssen einzelne Kategorien (notwendig, funktional, Analyse, Marketing) separat wählen können, nicht nur "Alle akzeptieren" oder "Alle ablehnen" als einzige Optionen.
Gleichwertige Ablehnungsoption auf der ersten Ebene: Genau wie im Abschnitt zu Dark Patterns beschrieben, muss "Ablehnen" ohne zusätzlichen Klick genauso erreichbar sein wie "Akzeptieren".
Barrierefreiheit: Ein Banner, den Screenreader nicht korrekt vorlesen oder der sich nicht per Tastatur bedienen lässt, schließt einen Teil der Nutzer faktisch von der informierten Entscheidung aus; das widerspricht dem Kriterium "informiert" ebenso wie ein zu klein gedruckter Text.
Lückenloses Audit-Protokoll: Art. 5 Abs. 2 DSGVO verlangt, die Einhaltung der Grundsätze nachweisen zu können. Ohne gespeicherten Zeitstempel, exakten Banner-Text zum Zeitpunkt der Entscheidung und die konkrete Auswahl des Nutzers lässt sich im Streitfall keine wirksame Einwilligung belegen.
Erneuerung bei Zweckänderung: Neue Tracking-Anbieter oder ein geänderter Verwendungszweck erfordern eine neue Einwilligung: Eine bestehende Zustimmung deckt keine nachträglich hinzugefügten Cookies automatisch ab.
Ein Cookie-Scanning, das täglich neue Tracker erkennt und automatisch blockiert, bis eine Einwilligung vorliegt, nimmt genau diese letzte Best Practice aus der manuellen Pflege heraus – Secure Privacys Cookie-Banner-Lösung protokolliert jede Entscheidung fälschungssicher und aktualisiert die Kategorisierung automatisch, wenn sich der Tracker-Bestand einer Seite ändert.
Häufig gestellte Fragen
Ist ein Cookie-Banner in Deutschland gesetzlich vorgeschrieben?
Nicht das Banner selbst ist vorgeschrieben, sondern die wirksame Einwilligung, die es einholen soll. Ein Banner ist derzeit der praktisch einzige Weg, diese Einwilligung nachweisbar einzuholen, solange PIMS-Dienste nach der Einwilligungsverwaltungsverordnung noch keine breite Marktdurchdringung haben.
Braucht Google Analytics eine Cookie-Einwilligung?
Ja. Google Analytics setzt Cookies zu Analysezwecken, die nicht technisch notwendig für die angeforderte Funktion der Seite sind, und fällt damit unter § 25 TDDDG und die DSGVO, unabhängig davon, ob die Daten anonymisiert oder pseudonymisiert verarbeitet werden.
Wie lange bleibt eine Cookie-Einwilligung gültig?
Eine feste gesetzliche Frist gibt es nicht, europäische Aufsichtsbehörden empfehlen aber eine Erneuerung nach etwa 12 bis 13 Monaten sowie sofort bei jeder Änderung der eingebundenen Anbieter oder Zwecke.
Was passiert, wenn ein Nutzer die Einwilligung widerruft?
Der Widerruf muss laut Art. 7 Abs. 3 DSGVO genauso einfach möglich sein wie die ursprüngliche Erteilung. Nach dem Widerruf dürfen die betroffenen Cookies nicht mehr gesetzt und bereits gesetzte, nicht notwendige Cookies sollten deaktiviert werden.
Reicht berechtigtes Interesse als Rechtsgrundlage für Marketing-Cookies?
Nein. Für nicht notwendige Cookies verlangt § 25 TDDDG ausdrücklich eine Einwilligung; berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO kann diese spezifischere Anforderung nicht ersetzen, selbst wenn eine Interessenabwägung im Übrigen zugunsten des Anbieters ausfiele.
Gilt die Einwilligungspflicht auch für mobile Apps?
Ja. § 25 TDDDG erfasst den Zugriff auf Informationen auf einem Endgerät unabhängig vom Zugriffsweg: SDKs in mobilen Apps, die Werbe-IDs oder Gerätekennungen auslesen, unterliegen derselben Einwilligungspflicht wie Cookies im Browser. Learn more about SDKs in mobilen Apps, die Werbe-IDs oder Gerätekennungen auslesen.
Fazit
Cookie-Einwilligung ist in Deutschland kein einstufiger Check, sondern das Zusammenspiel zweier Gesetze mit unterschiedlichem Anwendungsbereich, die sich in den meisten Alltagsfällen überschneiden. Ein Banner, das nur gut aussieht, aber Ablehnung erschwert oder verzögert, hält keiner der beiden Prüfungen stand – wie die Bußgelder gegen Shein und Google im September 2025 gezeigt haben.
Manuell nachzuhalten, welche Skripte auf einer Seite tatsächlich vor Einwilligung laufen, welche Kategorie sie brauchen und ob das Banner-Protokoll im Streitfall Bestand hat, wird ab der zweiten oder dritten Domain kaum noch verlässlich möglich. Secure Privacys Cookie & Consent Solution erkennt neue Tracker per automatischem Scanning, bietet anpassbare Banner in über 70 Sprachen und speichert jede Nutzerentscheidung fälschungssicher für den Nachweis nach Art. 5 Abs. 2 DSGVO. Vereinbaren Sie eine Demo, um zu sehen, wie sich Ihr aktuelles Banner gegen diese Kriterien schlägt.
