Cookie Policy Germany (Website)

Die Cookie-Richtlinie für eine Website in Deutschland ist in § 25 Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) geregelt: Das Speichern von Informationen in der Endeinrichtung des Nutzers oder der Zugriff auf bereits gespeicherte Informationen ist nur zulässig, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Diese Regelung setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie (Richtlinie 2002/58/EG in der Fassung der Änderungsrichtlinie 2009/136/EG) um — und geht damit über die reine DSGVO-Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO hinaus: Die §25-TTDSG-Einwilligung erfordert eine freiwillige, spezifische, informierte und eindeutige Willensbekundung des Nutzers, die vor dem Setzen der Cookies eingeholt werden muss — eine nachträgliche Einwilligung ist unzulässig.

Ausnahmen von der Einwilligungspflicht gelten nach §25 Abs. 2 TTDSG nur für zwei Kategorien: erstens, wenn das Speichern oder der Zugriff ausschließlich dem Zweck der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dient; und zweitens, wenn das Speichern oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann. Letzteres entspricht den technisch notwendigen Cookies (strictly necessary cookies) — z.B. Session-Cookies für den Warenkorb, Login-Cookies oder Sicherheits-Cookies zur CSRF-Prävention.

Die Datenschutzkonferenz (DSK) hat im März 2021 eine aktualisierte Orientierungshilfe für Anbieter von Telemedien veröffentlicht, die klarstellt: Analyse-Cookies (Google Analytics, Matomo, Hotjar), Werbe-Cookies (Google Ads, Facebook Pixel, LinkedIn Insight Tag) und Social-Media-Einbindungen (Facebook Like-Button, Twitter Widget) erfordern stets eine vorherige Einwilligung nach §25 TTDSG. Der bloße Hinweis im Footer-Link ohne aktive Opt-in-Mechanismus genügt nicht den gesetzlichen Anforderungen. Das Landgericht München I, das Oberverwaltungsgericht (OVG) und verschiedene Landesdatenschutzbehörden haben in mehreren Entscheidungen (u.a. LG München I, 3 O 17493/20) bestätigt, dass Cookie-Walls — also die Verweigerung des Website-Zugangs für Nutzer, die keine Cookies akzeptieren — in der Regel unzulässig sind, da sie die Freiwilligkeit der Einwilligung nach DSGVO und TTDSG beeinträchtigen.

Eine Cookie-Richtlinie ist in Deutschland für jeden Betreiber einer Website oder App verpflichtend, sobald auf der Website Cookies oder ähnliche Technologien (LocalStorage, SessionStorage, Fingerprinting, Pixel) eingesetzt werden. Die Pflicht zur Information und ggf. zur Einwilligung ergibt sich aus §25 TTDSG, Art. 13 DSGVO und den einschlägigen TMG-Impressumspflichten.

Klassische Situationen, in denen eine rechtsichere Cookie-Richtlinie unverzüglich benötigt wird:

E-Commerce und Online-Shops: Jeder Online-Shop in Deutschland, der Tracking-Technologien für Conversion-Optimierung (Google Ads Conversion Tracking), Remarketing (Facebook Pixel, Google Remarketing), Analyse (Google Analytics 4, Matomo) oder Zahlungsdienstleister-Cookies (PayPal, Stripe) einsetzt, benötigt zwingend ein TTDSG-konformes Cookie-Consent-Management in Verbindung mit einer Cookie-Richtlinie.

Corporate Websites und Unternehmensauftritte: Bereits ein einfacher Unternehmens-Webauftritt, der Google Fonts (nach EuGH C-673/17 in Verbindung mit der deutschen Rechtsprechung des LG München I) oder Google Maps einbettet, sendet IP-Adressen an US-Server — was eine §25-TTDSG-Einwilligung auslösen kann.

Medien, Publisher und News-Portale: Verlage und Online-Medien in Deutschland, die Werbeeinnahmen über programmatische Werbung (Real-Time Bidding, RTB) erzielen und dabei Daten an SSPs (Supply-Side Platforms) und DSPs (Demand-Side Platforms) übermitteln, sind auf eine rechtssichere Consent Management Platform (CMP) angewiesen.

Apps und digitale Dienste: Mobile Apps, die über App-Stores (Google Play Store, Apple App Store) in Deutschland vertrieben werden und Tracking-SDKs (Adjust, AppsFlyer, Firebase) einbinden, unterliegen ebenfalls §25 TTDSG und benötigen sowohl eine In-App-Einwilligung als auch eine Cookie- bzw. Datenschutzrichtlinie.

SaaS-Plattformen und B2B-Dienste: Auch Business-to-Business-Dienste sind von der Cookie-Pflicht nicht ausgenommen: §25 TTDSG schützt natürliche Personen an ihrer Endeinrichtung — das schließt professionelle Nutzer von SaaS-Diensten ein.

Nach-TTDSG-Inkrafttreten: Das TTDSG ist am 1. Dezember 2021 in Kraft getreten. Websites, die ihre Cookie-Richtlinien seither nicht aktualisiert haben, verstoßen möglicherweise gegen die neue Rechtslage — insbesondere wenn sie noch auf die veraltete TMG-Rechtsgrundlage (berechtigtes Interesse nach §15 TMG a.F.) stützen, die nach der Rechtsprechung des Bundesgerichtshofs (BGH I ZR 7/16 — Planet49) und des EuGH (C-673/17) für Analyse- und Werbe-Cookies nicht mehr anwendbar ist.

Eine rechtssichere Cookie-Richtlinie für Websites in Deutschland muss nach §25 TTDSG, DSGVO Art. 13 und den DSK-Orientierungshilfen folgende Kernbestandteile enthalten:

Identifikation des Website-Betreibers (Art. 13 Abs. 1 lit. a DSGVO): Vollständiger Name und Kontaktdaten des Verantwortlichen — i.d.R. identisch mit dem Impressum nach §5 TMG und §5 DDG. Anzugeben sind: Unternehmensname, Anschrift, E-Mail, Telefon, gesetzlicher Vertreter (Geschäftsführer der GmbH, Vorstand der AG), Datenschutzbeauftragter (falls bestellt nach §38 BDSG i.V.m. Art. 37 DSGVO).

Kategorien eingesetzter Cookies und Tracking-Technologien: Die Cookie-Richtlinie muss alle auf der Website eingesetzten Cookies und ähnlichen Technologien nach Kategorien aufschlüsseln: Technisch notwendige Cookies (§25 Abs. 2 TTDSG): Session-Cookies, Login-Cookies, Warenkorb-Cookies, CSRF-Schutz-Cookies — keine Einwilligung erforderlich. Analyse-/Statistik-Cookies: Google Analytics 4 (GA4), Matomo, Hotjar — erfordern Einwilligung nach §25 Abs. 1 TTDSG. Werbe-/Marketing-Cookies: Google Ads, Meta Pixel (Facebook), LinkedIn Insight Tag, Twitter/X Ads Pixel — erfordern Einwilligung nach §25 Abs. 1 TTDSG. Personalisierungs-Cookies: Präferenzen, Spracheinstellungen (soweit nicht technisch notwendig) — erfordern Einwilligung. Social-Media-Einbindungen: Facebook Like-Button, Twitter-Widget, YouTube-Einbettung — erfordern Einwilligung, da Drittanbieter IP-Adressen der Nutzer verarbeiten.

Informationen über jeden Cookie: Für jeden eingesetzten Cookie oder jedes Tracking-Tool sind anzugeben: Name des Cookies oder der Technologie; Anbieter (z.B. Google Ireland Ltd., Meta Platforms Ireland Ltd.); Zweck; Laufzeit (Session oder persistenter Cookie mit Ablaufdatum); Übertragung in Drittländer (z.B. USA) und angewandte Transfergrundlage (Standardvertragsklauseln nach Art. 46 DSGVO).

Einwilligungsmechanismus (Consent Management Platform, CMP): Die Cookie-Richtlinie muss den eingesetzten Consent-Mechanismus beschreiben — Opt-in (aktive Zustimmung vor Cookie-Setzung), keine voreingestellten Häkchen, jederzeit widerrufbar. Gängige CMPs in Deutschland: Usercentrics, Cookiebot, OneTrust, Consentmanager.net. Wichtig: Der IAB TCF 2.2 (Interactive Advertising Bureau Transparency & Consent Framework) wird von der DSK nicht als ausreichend für die TTDSG-Einwilligung anerkannt, wenn er nicht vollständig DSGVO-konform implementiert ist.

Betroffenenrechte und Widerruf (Art. 13 Abs. 2 DSGVO): Die Cookie-Richtlinie muss auf die DSGVO-Betroffenenrechte (Auskunft Art. 15, Berichtigung Art. 16, Löschung Art. 17, Einschränkung Art. 18, Datenübertragbarkeit Art. 20, Widerspruch Art. 21) sowie auf das Recht zum jederzeitigen Widerruf der Cookie-Einwilligung nach §25 TTDSG und Art. 7 Abs. 3 DSGVO hinweisen. Das Portal forms-legal.com stellt dieses Cookie-Richtlinien-Muster bereit. Verwandte Dokumente: Datenschutzerklärung Website nach DSGVO Art. 13 und Einwilligungserklärung Datenverarbeitung nach DSGVO Art. 7.

Das Erstellen einer rechtssicheren Cookie-Richtlinie für eine deutsche Website erfordert eine genaue Bestandsaufnahme aller eingesetzten Cookies und Tracking-Technologien sowie die Dokumentation der Einwilligungsmechanismen.

Schritt 1: Cookie-Audit durchführen. Scannen Sie Ihre Website vollständig auf alle eingesetzten Cookies und Tracking-Technologien. Nutzen Sie dafür Tools wie Cookiebot-Scanner, OneTrust Cookie Scan, Google Chrome DevTools (Application → Cookies) oder das Browser-Plugin Cookiepedia. Erfassen Sie für jedes gefundene Cookie: Name, Domain (First-Party oder Third-Party), Laufzeit, Kategorie und Zweck.

Schritt 2: Kategorisierung nach TTDSG §25. Ordnen Sie jeden Cookie einer der vier Kategorien zu: technisch notwendig (keine Einwilligung nach §25 Abs. 2 TTDSG erforderlich), Statistik/Analyse, Marketing/Werbung, Personalisierung. Holen Sie bei Unklarheiten die technische Dokumentation des jeweiligen Anbieters ein — z.B. die Google Analytics Datenschutzseite, die Meta Pixel Dokumentation oder die Cookie-Informationen des eingesetzten CMS (WordPress, Shopify, TYPO3).

Schritt 3: Website-Betreiber-Daten eingeben. Tragen Sie alle Pflichtangaben zum Verantwortlichen (Art. 13 Abs. 1 lit. a DSGVO) ein: Unternehmensname und Rechtsform (z.B. GmbH), Anschrift, E-Mail-Adresse für Datenschutzanfragen, Datenschutzbeauftragter (sofern bestellt). Prüfen Sie den Gleichklang mit dem Impressum nach §5 DDG (früher TMG).

Schritt 4: Drittanbieter und Drittlandtransfers dokumentieren. Für jeden Drittanbieter-Cookie (Google, Meta, LinkedIn, Microsoft, Hotjar, etc.) sind anzugeben: Anbieteranschrift, zuständige Datenschutzbehörde, Datenschutzerklärung des Anbieters (URL), und die Grundlage für Drittlandtransfers (Standardvertragsklauseln der EU-Kommission, Beschluss 2021/914; Angemessenheitsbeschluss für USA: EU-US Data Privacy Framework 2023, soweit zutreffend).

Schritt 5: Consent Management Platform konfigurieren. Implementieren Sie eine Cookie-Consent-Banner-Lösung, die vor dem Setzen von nicht-notwendigen Cookies eine aktive Einwilligung einholt. Stellen Sie sicher, dass: kein voreingestelltes Häkchen bei Analyse- oder Werbe-Cookies aktiviert ist; die Ablehnung aller nicht-notwendigen Cookies ebenso einfach möglich ist wie die Zustimmung; die Einwilligung revisionssicher gespeichert wird (Opt-in-Protokoll); und der Nutzer seine Einwilligung jederzeit in einem leicht zugänglichen Cookie-Einstellungsbereich widerrufen kann.

Schritt 6: Cookie-Richtlinie verlinken. Verlinken Sie die Cookie-Richtlinie im Datenschutz-Link des Footers, im Cookie-Consent-Banner sowie im Impressum. Stellen Sie sicher, dass die Cookie-Richtlinie barrierefrei zugänglich ist (BITV 2.0 / WCAG 2.1 Level AA für öffentliche Stellen nach §3 BFSG).

Schritt 7: Regelmäßige Aktualisierung. Überprüfen Sie die Cookie-Richtlinie bei jeder Änderung der eingesetzten Dienste (neue Plugins, neue Tracking-Tools, neues CMS-Update). Dokumentieren Sie die Änderungshistorie mit Datum und Art der Änderung.

Die rechtlichen Anforderungen an die Cookie-Richtlinie in Deutschland ergeben sich aus einem Zusammenspiel von TTDSG, DSGVO und der deutschen Aufsichtspraxis.

§25 TTDSG als Kernvorschrift: Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) vom 23. Juni 2021 hat in §25 die Cookie-Einwilligungspflicht neu geregelt. §25 Abs. 1 TTDSG verbietet das Speichern von Informationen auf der Endeinrichtung des Nutzers oder den Zugriff auf dort gespeicherte Informationen ohne vorherige informierte Einwilligung. Die Einwilligung muss den Anforderungen des Art. 7 DSGVO i.V.m. Art. 4 Nr. 11 DSGVO entsprechen: freiwillig, spezifisch, informiert, eindeutig, jederzeit widerruflich.

BGH-Urteil Planet49 und EuGH C-673/17: Der Bundesgerichtshof hat in seinem Urteil vom 28. Mai 2020 (BGH I ZR 7/16 — Planet49) im Einklang mit dem EuGH-Urteil (C-673/17) festgestellt, dass vorausgefüllte Einwilligungshäkchen für Cookies keine wirksame Einwilligung darstellen. Dieses Urteil hat die deutsche Rechtspraxis grundlegend verändert und war Grundlage für die neue §25-TTDSG-Regelung.

DSK-Orientierungshilfe Telemedien 2021: Die Datenschutzkonferenz (DSK) hat im März 2021 eine Orientierungshilfe für Anbieter von Telemedien veröffentlicht, die klarstellt: Analyse-Cookies erfordern eine Einwilligung nach §25 TTDSG; ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO allein genügt nicht als Rechtsgrundlage für Cookies, die das Nutzerverhalten tracken.

Sanktionen: Verstöße gegen §25 TTDSG können nach §28 TTDSG i.V.m. §gg TDDG als Ordnungswidrigkeiten geahndet werden. Zusätzlich können Mitbewerber nach dem UWG (Gesetz gegen den unlauteren Wettbewerb) Abmahnungen bei TTDSG-Verstößen aussprechen — die Abmahnkosten können erheblich sein. Die deutschen Wettbewerbsverbände (abmahnung.de, IDO, wettbewerbszentrale.de) haben in der Vergangenheit aktiv Cookie-Verstöße abgemahnt. Datenschutzbehörden können nach Art. 83 DSGVO Bußgelder verhängen, wenn Cookie-Verletzungen zugleich DSGVO-Verstöße darstellen (z.B. bei unzulässiger Datenweitergabe an Drittanbieter ohne Einwilligung).

Fehler bei der Cookie-Richtlinie in Deutschland sind weit verbreitet und können zu Abmahnungen durch Wettbewerber und Verbände sowie zu Bußgeldern durch Datenschutzaufsichtsbehörden führen.

Voreingestellte Häkchen und Opt-out statt Opt-in: Der häufigste und schwerwiegendste Fehler ist das Voreinschalten von Analyse- und Werbe-Cookies ohne aktive Nutzereinwilligung. Nach BGH Planet49, EuGH C-673/17 und §25 TTDSG ist nur das aktive Opt-in (Anklicken eines nicht voreingestellten Häkchens oder Klicken auf einen Zustimmungsbutton) eine wirksame Einwilligung. Cookie-Banner, die Cookies bereits beim Laden der Seite setzen und nur eine nachträgliche Widerrufsmöglichkeit bieten, sind rechtswidrig.

Versteckte oder schwer auffindbare Ablehnungsoption: Aufsichtsbehörden und Gerichte verlangen, dass die Ablehnung nicht-notwendiger Cookies ebenso einfach möglich sein muss wie die Zustimmung. Cookie-Banner, die den "Ablehnen"-Button in einer Graufarbe oder kleinen Schrift und den "Zustimmen"-Button prominent in einer auffälligen Farbe anzeigen, können als Dark Pattern und damit als Verstoß gegen die Anforderungen einer freiwilligen Einwilligung nach Art. 7 DSGVO bewertet werden.

Veraltete Rechtsgrundlage (§15 TMG a.F.): Manche Websites stützen die Analyse-Cookie-Nutzung noch auf §15 TMG a.F. (berechtigtes Interesse) — diese Rechtsgrundlage ist nach der EuGH- und BGH-Rechtsprechung und dem Inkrafttreten des TTDSG überholt und kann zu Abmahnungen führen.

Fehlende oder unvollständige Cookie-Liste: Die Cookie-Richtlinie muss alle eingesetzten Cookies namentlich auflisten. Eine pauschale Beschreibung wie "Wir verwenden verschiedene Cookies" ohne Auflistung der konkreten Cookies und Anbieter genügt den Informationspflichten aus Art. 13 DSGVO und §25 TTDSG nicht.

Nicht aktualisierte Richtlinie nach Diensteänderungen: Wer neue Marketing-Tools, Analytics-Dienste oder CMS-Plugins einführt, muss die Cookie-Richtlinie sofort aktualisieren und ggf. neue Einwilligungen einholen. Eine veraltete Cookie-Richtlinie, die aktiv eingesetzte Cookies nicht erwähnt, ist ein DSGVO-Verstoß.