Cookie Consent Banner Template Germany

Der rechtliche Rahmen für Cookie-Consent-Banner in Deutschland ergibt sich aus einem komplexen Zusammenspiel europäischer und nationaler Normen: TTDSG § 25 (deutsches Umsetzungsgesetz zur ePrivacy-Richtlinie 2002/58/EG); DSGVO Art. 6 Abs. 1 lit. a (Rechtsgrundlage der Verarbeitung — Einwilligung) und Art. 7 (Bedingungen für die Einwilligung — Freiwilligkeit, Spezifität, Informiertheit, Eindeutigkeit); EuGH C-673/17 (Planet49 GmbH gegen Bundesverband der Verbraucherzentralen, 1. Oktober 2019): Das EuGH-Urteil hat klargestellt, dass vorangekreuzte Checkboxen keine wirksame Einwilligung darstellen und dass die Einwilligung durch eine aktive bestätigende Handlung erteilt werden muss. BGH I ZR 7/16 (Cookie-Einwilligung II, 28. Mai 2020): Der Bundesgerichtshof hat die EuGH-Rechtsprechung auf deutsches Recht übertragen und klargestellt, dass Opt-out-Mechanismen unzulässig sind.

Seit dem 1. Dezember 2021 gelten in Deutschland durch das TTDSG klarere Anforderungen als unter dem zuvor anwendbaren § 15 Abs. 3 TMG: Die Einwilligung muss aktiv und ausdrücklich erteilt werden; Weiterscrollen, Navigieren oder das bloße Nutzen der Website gelten nicht als Einwilligung. Der Bundesgerichtshof (BGH) und die Datenschutzkonferenz (DSK) — das Gremium der deutschen Datenschutzbehörden — haben in mehreren Entscheidungen und Orientierungshilfen die Anforderungen an Cookie-Consent-Banner konkretisiert. Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe für Anbieter von Telemedien (2022) insbesondere klargestellt, dass der Ablehnungsbutton ebenso leicht erkennbar und zugänglich sein muss wie der Annahmebutton. Das Muster auf forms-legal.com berücksichtigt diese deutschen und europäischen Anforderungen vollständig.

Ein Cookie-Consent-Banner ist für alle Website-Betreiber in Deutschland erforderlich, sobald auf der Website nicht technisch notwendige Cookies oder Tracking-Technologien eingesetzt werden. § 25 Abs. 2 TTDSG kennt lediglich zwei Ausnahmen, bei denen kein Consent-Banner erforderlich ist.

Ausnahmen nach § 25 Abs. 2 TTDSG (kein Consent-Banner erforderlich): Erstens dürfen Cookies ohne Einwilligung gesetzt werden, wenn der alleinige Zweck ist, die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz durchzuführen (technische Transport-Cookies). Zweitens dürfen Cookies ohne Einwilligung gesetzt werden, soweit dies unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann (unbedingt notwendige Cookies, z.B. Session-Cookies für den Warenkorb, Login-Cookies, CSRF-Schutz-Cookies).

Für alle anderen Cookie-Kategorien — Analytics, Marketing, Personalisierung, Social-Media-Plugins — ist ein Consent-Banner mit aktiver Einwilligungsmöglichkeit zwingend erforderlich. Dies betrifft insbesondere: Google Analytics 4 (GA4) oder andere Web-Analyse-Tools (Matomo mit Tracking, Hotjar, Clarity): Analytics-Cookies erfordern eine aktive Einwilligung nach § 25 Abs. 1 TTDSG, auch wenn IP-Adressen anonymisiert werden. Facebook Pixel und Instagram Ads: Marketing-Cookies für Social-Media-Retargeting erfordern stets eine ausdrückliche Einwilligung — ohne Consent-Banner sind Meta-Werbeanzeigen in Deutschland datenschutzwidrig. Google Ads Remarketing und Conversion-Tracking: Auch Google Ads-Tags sind einwilligungspflichtig nach § 25 Abs. 1 TTDSG, weshalb Google für den deutschen Markt das Consent Mode v2 eingeführt hat, das Signale des Consent-Banners verarbeitet. YouTube-Videos und Google Maps-Einbettungen: Das Einbetten externer Inhalte (YouTube, Google Maps, Vimeo) setzt standardmäßig Cookies und überträgt Daten an Drittanbieter — auch hierfür ist eine Einwilligung erforderlich, z.B. über eine 2-Klick-Lösung oder einen Consent-Banner.

Die Landesdatenschutzbehörden in Deutschland haben in Prüfaktionen (z.B. Koordinierte Prüfaktion der DSK zu Webseiten und Cookie-Trackern) zahlreiche Website-Betreiber beanstandet, die keine oder unzureichende Cookie-Consent-Banner eingesetzt haben.

Ein rechtskompletter Cookie-Consent-Banner in Deutschland muss nach TTDSG § 25, DSGVO Art. 7 und den Anforderungen aus EuGH C-673/17 (Planet49) sowie BGH I ZR 7/16 mehrere wesentliche Elemente aufweisen.

Aktive Einwilligungshandlung (kein Opt-out): Das fundamentalste Erfordernis des Cookie-Consent-Banners ist die aktive, bestätigende Einwilligungshandlung des Nutzers. Vorausgefüllte Checkboxen, Weiterscrollen und stillschweigende Weiternutzung der Website gelten nach EuGH C-673/17 (Planet49) und BGH I ZR 7/16 nicht als Einwilligung. Der Banner muss eine aktive Bestätigungshandlung des Nutzers erfordern — z.B. Anklicken eines Buttons „Alle akzeptieren“ oder individuelle Auswahl der Cookie-Kategorien.

Gleichwertige Ablehnoption (kein Dark Pattern): Nach der Datenschutzkonferenz (DSK) Orientierungshilfe 2022 und der Rechtsprechung des BGH muss der Button „Ablehnen“ oder „Nur notwendige“ ebenso prominent und leicht zugänglich sein wie der Button „Alle akzeptieren“. Dark Patterns — z.B. ein kleiner, grau gefärbter Ablehnungsbutton gegenüber einem großen, grünen Akzeptierungsbutton — sind datenschutzrechtlich unzulässig und werden von deutschen Datenschutzbehörden aktiv beanstandet.

Granulare Einwilligungsmöglichkeit: Nutzer müssen die Möglichkeit haben, ihre Einwilligung nach Cookie-Kategorien differenziert zu erteilen oder zu verweigern: Notwendige Cookies (immer aktiv), Analytics-Cookies, Marketing-Cookies, Personalisierungs-Cookies, Social-Media-Cookies. Ein „Alles oder nichts“-Banner — also kein Zugang zur Website ohne vollständige Zustimmung — verstößt gegen das Kopplungsverbot nach Art. 7 Abs. 4 DSGVO.

Transparente Information: Der Banner muss klare und verständliche Informationen über die eingesetzten Cookies enthalten: Cookietyp und -name; Anbieter und sein Standort (besonders wichtig bei US-Anbietern — Drittlandtransfer nach Art. 44 DSGVO); Zweck des Cookies; Speicherdauer. Ein vollständiges Cookie-Verzeichnis muss in der Datenschutzerklärung zugänglich sein. Das Muster auf forms-legal.com und die verwandte Datenschutzerklärung für Websites enthalten alle erforderlichen Angaben.

Widerrufsmöglichkeit (Art. 7 Abs. 3 DSGVO): Nutzer müssen ihre Einwilligung jederzeit mit gleichem Aufwand widerrufen können wie sie sie erteilt haben. Eine permanent zugängliche Cookie-Einstellungsseite (z.B. über einen Link im Footer oder ein persistentes Cookie-Symbol auf der Website) ist erforderlich.

Das Ausfüllen der Cookie-Consent-Banner Vorlage in Deutschland ist in wenigen Schritten erledigt. Das Muster auf forms-legal.com enthält alle Pflichtbestandteile.

Erster Schritt: Betreiber- und Website-Angaben. Tragen Sie den vollständigen Namen Ihres Unternehmens, die Website-URL sowie die URLs zur Datenschutzerklärung und zum Impressum ein. Der Consent-Banner muss direkten Zugang zu beiden Dokumenten bieten — Datenschutzerklärung nach Art. 13 DSGVO und Impressum nach DDG § 5.

Zweiter Schritt: Cookie-Kategorien definieren. Dokumentieren Sie alle auf Ihrer Website eingesetzten Cookies und Tracking-Technologien. Unterscheiden Sie nach Kategorien: Notwendige Cookies (keine Einwilligung erforderlich), Analytics-Cookies und Marketing-Cookies (Einwilligung erforderlich). Für jeden eingesetzten Drittanbieter-Dienst (Google Analytics, Facebook Pixel, Hotjar) muss der Anbieter, sein Sitz und ggf. der Drittland-Schutzmechanismus angegeben werden.

Dritter Schritt: Consent-Management-Tool (CMP) auswählen. Für die technische Umsetzung des Cookie-Consent-Banners benötigen Sie ein Consent-Management-Tool (CMP). Gängige Lösungen für Deutschland: Cookiebot (Cybot A/S, Dänemark — EU-konform, TCF 2.2 zertifiziert); Usercentrics GmbH (Deutschland — besonders DSGVO-konform); Borlabs Cookie (Deutschland — WordPress-Plugin, deutsches Unternehmen). Das CMP muss Einwilligungen protokollieren (Zeitstempel, IP-Adresse, Version der Einwilligungserklärung, gewählte Einstellungen) und für Auditzwecke für mindestens drei Jahre speichern.

Vierter Schritt: Banner-Texte anpassen. Passen Sie die Überschrift und den Haupttext des Banners an Ihre spezifische Website an. Halten Sie die Texte kurz und verständlich. Vermeiden Sie Rechtsjargon — der Banner richtet sich an normale Internetnutzer.

Fünfter Schritt: Technische Umsetzung. Stellen Sie sicher, dass nicht notwendige Cookies erst nach der aktiven Einwilligung des Nutzers gesetzt werden — nie vorher. Integrieren Sie das CMP-Tool technisch korrekt in Ihre Website. Testen Sie den Banner in verschiedenen Browsern und auf verschiedenen Geräten (Desktop, Mobile).

Die rechtlichen Anforderungen an den Cookie-Consent-Banner in Deutschland ergeben sich aus dem TTDSG, der DSGVO und der Rechtsprechung des EuGH und des BGH.

TTDSG § 25 — Einwilligungspflicht für Cookies: § 25 Abs. 1 TTDSG (in Kraft seit 1. Dezember 2021) schreibt die aktive Einwilligung für alle nicht technisch notwendigen Cookies und Tracking-Technologien vor. Das TTDSG setzt die EU-ePrivacy-Richtlinie (2002/58/EG, zuletzt geändert durch 2009/136/EG) in deutsches Recht um und ist lex specialis zur DSGVO für die Cookie-Einwilligung. Die Ausnahme für technisch notwendige Cookies nach § 25 Abs. 2 TTDSG ist eng auszulegen: Nur Cookies, die für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind, fallen hierunter.

EuGH C-673/17 (Planet49, 1. Oktober 2019): Das EuGH-Urteil ist die Basis der modernen Cookie-Consent-Rechtsprechung in Europa. Der EuGH stellte fest: Vorangekreuzte Checkboxen genügen nicht den Anforderungen an eine wirksame Einwilligung; die Einwilligung muss durch eine aktive bestätigende Handlung erteilt werden; die Dauer der Speicherung und die Möglichkeit, dass Dritte Zugang zu den Cookies erhalten, müssen im Banner angegeben werden.

BGH I ZR 7/16 (Cookie-Einwilligung II, 28. Mai 2020): Der BGH hat die EuGH-Rechtsprechung auf deutsches Recht übertragen und festgestellt, dass vorangekreuzte Einwilligungscheckboxen nach §§ 12, 15 TMG (jetzt TTDSG) und DSGVO nicht als wirksame Einwilligung gelten. Damit sind Opt-out-Mechanismen für nicht notwendige Cookies in Deutschland eindeutig unzulässig.

DSK-Orientierungshilfe (2022): Die Datenschutzkonferenz (DSK) — das Gremium der deutschen Datenschutzbehörden — hat in ihrer „Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien ab dem 1. März 2022“ (zuletzt aktualisiert 2023) detaillierte Anforderungen an Consent-Banner formuliert, insbesondere zur Gleichwertigkeit von Akzeptier- und Ablehnungsoptionen sowie zur Unzulässigkeit von Dark Patterns. Bußgelder: Verstöße gegen TTDSG § 25 können nach § 28 TTDSG mit Geldbußen bis zu 300.000 Euro geahndet werden; Verstöße gegen DSGVO Art. 7 nach Art. 83 Abs. 5 DSGVO mit bis zu 20.000.000 Euro oder 4 % des weltweiten Jahresumsatzes.

Bei Cookie-Consent-Bannern in Deutschland treten in der Praxis zahlreiche Fehler auf, die zur Unwirksamkeit der Einwilligung und zu Bußgeldern oder Abmahnungen führen können.

Cookies werden vor der Einwilligung gesetzt: Der häufigste technische Fehler ist das Setzen von Analytics- oder Marketing-Cookies, bevor der Nutzer seine Einwilligung erteilt hat. Nach TTDSG § 25 Abs. 1 müssen nicht notwendige Cookies erst nach der aktiven Einwilligung gesetzt werden — nie vorher. Dieser Fehler entsteht häufig durch falsch konfigurierte CMP-Tools oder durch die direkte Integration von Google Analytics oder Facebook Pixel ohne CMP-Kontrolle.

Dark Patterns — ungleichwertige Schaltflächen: Die Datenschutzkonferenz (DSK) hat mehrfach klargestellt, dass der Ablehnungsbutton gleichwertig und ebenso leicht zugänglich sein muss wie der Akzeptierungsbutton. Versteckte Ablehnungsoptionen (z.B. „Einstellungen anpassen“ statt direktem „Ablehnen“), kleinere oder schwerer lesbare Ablehnungsbuttons, graue Buttons für Ablehnen und grüne Buttons für Akzeptieren — all das sind unzulässige Dark Patterns.

Kein Cookie-Verzeichnis: Viele Websites haben einen Consent-Banner, aber kein vollständiges Cookie-Verzeichnis in der Datenschutzerklärung. Das Cookie-Verzeichnis muss alle eingesetzten Cookies mit Name, Anbieter, Zweck und Speicherdauer auflisten. Fehlt das Verzeichnis, ist die Transparenzpflicht nach Art. 13 DSGVO verletzt.

Kein Google Consent Mode v2: Seit dem 6. März 2024 erfordert Google Ads und Google Analytics 4 für den deutschen und europäischen Markt die Implementierung des Google Consent Mode v2. Ohne Consent Mode werden Conversion-Daten und Analytics-Daten unvollständig erfasst und Google-Werbeanzeigen können nicht korrekt gemessen werden. Der Consent Mode überträgt die Einwilligungssignale des CMP-Tools an Google.

Kein Widerruf der Einwilligung: Art. 7 Abs. 3 DSGVO schreibt vor, dass die Einwilligung jederzeit mit gleich einfachem Aufwand widerrufen werden kann. Eine permanent zugängliche Seite zur Cookie-Einstellung (z.B. über ein Cookie-Icon im Footer, einen „Cookie-Einstellungen“-Link oder den Datenschutz-Link) ist zwingend erforderlich.