Cookie-Banner: sechs Fehler, die teuer werden
Die Punkte, die uns bei Website-Prüfungen am häufigsten begegnen — mit der Rechtsgrundlage dahinter, den Urteilen, die es dazu inzwischen gibt, und dem Hinweis, welcher Fehler wirklich Geld kostet. Stand: 3. September 2026.
Worum es rechtlich geht
Die zentrale Norm ist § 25 TDDDG — das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das seit dem 14. Mai 2024 so heißt und vorher als TTDSG geführt wurde. Absatz 1 sagt in einem Satz alles Wesentliche: Informationen auf dem Endgerät zu speichern oder auf dort gespeicherte Informationen zuzugreifen, ist nur zulässig, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat.
Wichtig ist der Zuschnitt: § 25 betrifft den Zugriff auf das Gerät — nicht nur Cookies, sondern auch Local Storage, Fingerprinting und eingebettete Skripte. Und er gilt unabhängig davon, ob dabei personenbezogene Daten anfallen. Was danach mit den Daten passiert, richtet sich zusätzlich nach der DSGVO; wie die Einwilligung aussehen muss, steht in Art. 4 Nr. 11 und Art. 7 DSGVO.
Die Ausnahme in § 25 Abs. 2 Nr. 2 TDDDG ist eng: erlaubt ohne Einwilligung ist, was unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst funktioniert. Reichweitenmessung „zur Verbesserung des Angebots“ gehört nicht dazu.
Die sechs häufigsten Fehler
1. Das Tracking läuft, bevor jemand geklickt hat
Der häufigste und der folgenreichste Fehler: Google Analytics, der Tag Manager, das Facebook-Pixel oder ein Chat-Widget laden mit der Seite — das Banner fragt erst danach. § 25 Abs. 1 TDDDG erlaubt das Speichern von Informationen auf dem Gerät und den Zugriff darauf aber nur, nachdem der Besucher auf Grundlage klarer und umfassender Informationen eingewilligt hat.
Das VG Hannover hat am 19. März 2025 (Az. 10 A 5385/22) ausdrücklich auch den Google Tag Manager darunter gefasst: Er ist kein neutrales Werkzeug, sondern nur mit Einwilligung zulässig. Wer ihn vorlädt, um „nur die Container-Konfiguration zu holen“, hat den Verstoß bereits begangen.
2. Kein gleichwertiger „Ablehnen“-Button auf der ersten Ebene
Ein großer bunter Knopf „Alle akzeptieren“, daneben ein blasser Link „Einstellungen“ — und Ablehnen erst zwei Klicks später: Genau diese Gestaltung hat das VG Hannover am 19. März 2025 für unzulässig erklärt. Wer eine Zustimmungs-Schaltfläche anbietet, muss auf derselben Ebene eine gleichwertige Ablehnungs-Möglichkeit anbieten. Sonst ist die Einwilligung nicht freiwillig im Sinne von Art. 4 Nr. 11 DSGVO.
Gleichwertig heißt: gleiche Ebene, vergleichbare Größe, vergleichbare Auffälligkeit — nicht grau gegen grün. Die Aufsichtsbehörden verlangen das seit der DSK-Orientierungshilfe für Anbieter:innen von digitalen Diensten (Version 1.2, November 2024) ohnehin; seit dem Urteil gibt es dazu eine gerichtliche Bestätigung.
3. Vorangekreuzte Kästchen und „durch Weitersurfen stimmen Sie zu“
Beides ist seit Jahren erledigt und steht trotzdem noch auf vielen Seiten. Der EuGH hat am 1. Oktober 2019 im Verfahren Planet49 (C-673/17) entschieden: Ein voreingestelltes Ankreuzkästchen, das der Nutzer abwählen müsste, ist keine wirksame Einwilligung. Denn Art. 4 Nr. 11 DSGVO verlangt eine eindeutige bestätigende Handlung — und Nichtstun ist keine Handlung.
Aus demselben Grund trägt der Satz „Durch die weitere Nutzung der Website stimmen Sie der Verwendung von Cookies zu“ nichts: Weitersurfen ist keine Willensbekundung, sondern das Ausbleiben einer solchen.
4. Google Fonts direkt vom Google-Server
Ein Fehler, den fast niemand bewusst einbaut — er steckt in Themes und Baukasten-Vorlagen. Bindet die Seite eine Schrift über fonts.googleapis.com ein, geht beim Aufruf die IP-Adresse des Besuchers an Google, bevor irgendjemand irgendetwas anklicken konnte.
Das LG München I hat dafür am 20. Januar 2022 (Az. 3 O 17493/20) einen Website-Betreiber zu 100 Euro Schadensersatz und zur Unterlassung verurteilt: Ein berechtigtes Interesse fehle, weil sich dieselbe Schrift lokal einbinden lässt, ganz ohne Verbindung zu Google. Genau das ist auch die Lösung — die Schriftdatei auf den eigenen Server legen. Danach braucht es dafür keine Einwilligung mehr.
5. Einmal zugestimmt — und nie wieder wegzubekommen
Viele Banner haben einen Weg hinein, aber keinen hinaus. Art. 7 Abs. 3 DSGVO verlangt das Gegenteil: Die Einwilligung ist jederzeit widerrufbar, und der Widerruf muss so einfach sein wie die Erteilung. Wer mit einem Klick zustimmen konnte, muss mit ungefähr einem Klick zurückkönnen.
In der Praxis heißt das: ein dauerhaft erreichbarer Punkt — ein kleiner Schalter unten links, ein Link „Cookie-Einstellungen“ im Footer. Ein Satz in der Datenschutzerklärung, man möge die Cookies im Browser löschen, erfüllt das nicht.
6. Ein Banner, wo gar keins nötig wäre
Der Fehler in die andere Richtung, und er kostet Kunden statt Bußgeld. § 25 Abs. 2 Nr. 2 TDDDG nimmt alles aus, was unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst funktioniert: das Warenkorb-Cookie, die Sitzungs-Kennung nach dem Login, die gespeicherte Sprachwahl.
Eine Website ohne Tracking, ohne eingebettete Videos, mit lokalen Schriften und ohne externe Karte braucht überhaupt kein Banner. Wer trotzdem eins vorschaltet, verschenkt den ersten Eindruck und trainiert Besuchern das Wegklicken an. Die ehrliche Reihenfolge ist deshalb nicht „Banner drauf“, sondern erst aufräumen — und was danach noch an externen Diensten übrig ist, kommt hinter die Einwilligung.
Was passiert, wenn es falsch ist
Der Weg, der in der Praxis tatsächlich eintritt, ist die Aufsichtsbehörde. Im Fall vor dem VG Hannover hatte die Landesbeauftragte für den Datenschutz Niedersachsen eine Anordnung gegen den Website-Betreiber erlassen; das Gericht hat die Klage dagegen abgewiesen. Ausgelöst wird so etwas meist durch eine Beschwerde — die kostet den Beschwerdeführer nichts.
Daneben steht der Bußgeldweg: Wer entgegen § 25 Abs. 1 Satz 1 TDDDG Informationen speichert oder auf sie zugreift, begeht nach § 28 Abs. 1 Nr. 13 TDDDG eine Ordnungswidrigkeit, die nach Absatz 2 mit einer Geldbuße von bis zu 300.000 Euro geahndet werden kann. Das ist die Obergrenze für den schweren Fall, nicht der Regelsatz für ein schiefes Banner auf einer Handwerker-Website.
Und der dritte Weg trifft die Kleinen am ehesten: Schadensersatz für einzelne Betroffene. Die 100 Euro aus dem Google-Fonts-Urteil des LG München I klingen harmlos — der Ärger liegt in der Unterlassungserklärung und darin, dass ein einzelner Seitenaufruf reicht, um den Anspruch auszulösen.
Zwei dieser Punkte prüfen wir automatisch
Unser kostenloser Rechts-Check sieht sich Ihre Startseite an und meldet, ob dort Tracking-Skripte ohne Einwilligung geladen werden und ob Google Fonts vom Google-Server kommen — dazu Impressum und Datenschutzerklärung. Ohne Anmeldung, das Ergebnis sofort auf dem Bildschirm.
Website kostenlos prüfenHäufige Fragen
Braucht meine Website überhaupt ein Cookie-Banner?
Nur, wenn sie Informationen auf dem Gerät speichert oder darauf zugreift, die nicht unbedingt erforderlich sind. § 25 Abs. 2 Nr. 2 TDDDG nimmt genau das aus, was der ausdrücklich gewünschte Dienst braucht — Warenkorb, Login-Sitzung, Sprachwahl. Eine schlichte Website ohne Tracking, ohne eingebettete Videos und mit lokal eingebundenen Schriften kommt ohne Banner aus.
Reicht der Satz „Durch die Nutzung dieser Website stimmen Sie Cookies zu“?
Nein. Art. 4 Nr. 11 DSGVO verlangt eine unmissverständliche Willensbekundung durch eine eindeutige bestätigende Handlung. Der EuGH hat im Verfahren Planet49 (C-673/17, Urteil vom 1. Oktober 2019) entschieden, dass schon ein voreingestelltes Ankreuzkästchen nicht genügt — bloßes Weitersurfen erst recht nicht.
Muss der „Ablehnen“-Button wirklich auf die erste Ebene?
Nach dem Urteil des VG Hannover vom 19. März 2025 (Az. 10 A 5385/22) ja: Wer „Alle akzeptieren“ anbietet, muss auf derselben Ebene eine gleichwertige Ablehnung anbieten. Die Datenschutzkonferenz verlangt das in ihrer Orientierungshilfe für Anbieter:innen von digitalen Diensten (Version 1.2, November 2024) ebenfalls.
Was kostet ein fehlerhaftes Cookie-Banner?
Drei Wege. Die Aufsichtsbehörde kann Anordnungen treffen — genau darum ging der Fall vor dem VG Hannover. Ein Verstoß gegen § 25 Abs. 1 Satz 1 TDDDG ist nach § 28 Abs. 1 Nr. 13, Abs. 2 TDDDG eine Ordnungswidrigkeit mit einer Geldbuße bis zu 300.000 Euro. Und Betroffene können Schadensersatz verlangen: Das LG München I hat für dynamisch eingebundene Google Fonts 100 Euro zugesprochen (Urteil vom 20. Januar 2022, Az. 3 O 17493/20).
Was sind anerkannte Dienste zur Einwilligungsverwaltung?
Ein Modell, mit dem Nutzer ihre Cookie-Entscheidung zentral verwalten sollen, statt sie auf jeder Seite neu zu treffen. Rechtsgrundlage ist § 26 TDDDG zusammen mit der Einwilligungsverwaltungsverordnung (Verordnung vom 6. Februar 2025, BGBl. 2025 I Nr. 32). Der Beauftragte für den Datenschutz und die Informationsfreiheit des Bundes führt die anerkannten Dienste; der erste ist „Consenter“ der Law & Innovation Technology GmbH, anerkannt am 17. Oktober 2025. Für Website-Betreiber ist das bislang eine Möglichkeit, keine Pflicht.
Ist das hier eine Rechtsberatung?
Nein. Diese Seite fasst zusammen, was uns bei Website-Prüfungen am häufigsten begegnet, und nennt die Fundstellen zum Nachlesen. Sie ersetzt im Einzelfall keine anwaltliche Beratung.
Quellen und Stand
Geprüft am 3. September 2026: § 25 und § 28 TDDDG im Volltext bei gesetze-im-internet.de; Art. 4 Nr. 11 und Art. 7 DSGVO im Verordnungstext; EuGH, Urteil vom 01.10.2019, C-673/17 (Planet49, auf Vorlage des BGH vom 05.10.2017, I ZR 7/16); VG Hannover, Urteil vom 19.03.2025, 10 A 5385/22; LG München I, Urteil vom 20.01.2022, 3 O 17493/20; DSK, Orientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2, November 2024; zur Einwilligungsverwaltung § 26 TDDDG mit der Einwilligungsverwaltungsverordnung (Verordnung vom 06.02.2025, BGBl. 2025 I Nr. 32) und die Liste der anerkannten Dienste beim BfDI.
Keine Rechtsberatung. Diese Seite gibt wieder, was uns bei Website-Prüfungen begegnet, und nennt die Fundstellen zum Nachlesen. Ob Ihr Banner im Einzelfall genügt, hängt davon ab, welche Dienste Sie einsetzen — im Zweifel fragen Sie eine Anwältin oder einen Anwalt.
Passend dazu: Impressum-Fehler, die abgemahnt werden.