Cookie-Banner auf dem Prüfstand

Seite aufrufen, Banner wegklicken, weiterlesen. Für die meisten Menschen besteht Datenschutz im Netz heute vor allem aus genau diesem Ritual. Die Idee dahinter ist, wer Cookies und ähnliche Technologien einsetzt, die nicht unbedingt nötig sind, soll vorher fragen. In der Praxis klicken viele allerdings nur noch reflexartig, um das Pop-up loszuwerden.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat im August neue Empfehlungen für den Umgang mit Cookie-Bannern vorgelegt. Im Rahmen des „Datenbarometers“ hat die damalige BfDI, Louisa Specht-Riemenschneider, Befragungsergebnisse und Empfehlungen veröffentlicht. Das Fazit der Veröffentlichung fällt deutlich aus: Das heutige Banner-Modell ist nicht praxistauglich und der sogenannte Cookie-Manager sollen es ablösen. 

Wie Cookie-Banner heute funktionieren

Cookies sind kleine Textdateien, die eine Website im Browser ablegt und später wieder ausliest. Manche sind für den Betrieb der Seite nötig, etwa für den Warenkorb, die Spracheinstellung oder den Login. Andere dienen der Reichweitenmessung, dem Wiedererkennen über mehrere Seiten hinweg oder personalisierter Werbung. Rechtlich geht es dabei nicht nur um Cookies im engeren Sinn, sondern um jeden Zugriff auf das Endgerät, also auch um Local Storage, Pixel oder Fingerprinting.

In Deutschland regelt § 25 TDDDG, dass die Informationen nur mit Einwilligung auf dem Endgerät gespeichert oder von dort ausgelesen werden dürfen. Ausnahmen sieht § 25 Abs. 2 TDDDG nur in zwei Fällen vor, wenn der Zugriff allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dient oder wenn er unbedingt erforderlich ist, damit ein von den Nutzenden ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. Für die Einwilligung verweist § 25 Abs. 1 S. 2 TDDDG auf die DSGVO. Das TDDDG regelt dabei nur den Zugriff auf das Endgerät. Werden im Anschluss personenbezogene Daten verarbeitet, etwa zur Analyse oder für Werbung, braucht es dafür zusätzlich eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.

Der Cookie-Banner ist das Werkzeug, mit dem Webseitenbetreibende diese Einwilligung einholen. In der Regel steckt dahinter eine Consent-Management-Plattform (CMP). Sie blendet das Banner ein, speichert die Entscheidung und sorgt idealerweise dafür, dass Skripte erst nach einer Zustimmung geladen werden. 

Die Aufsichtsbehörden verlangen seit Jahren, dass Ablehnen genauso einfach sein muss wie Zustimmen. Spätestens seit der Planet49-Entscheidung des EuGH (Urteil vom 1. Oktober 2019, C-673/17) und der Folgeentscheidung des BGH (Urteil vom 28. Mai 2020, I ZR 7/16) ist zudem geklärt, dass vorangekreuzte Kästchen keine wirksame Einwilligung darstellen. Trotzdem findet sich die Ablehnen-Option in der Praxis noch häufig erst auf einer Unterebene, oder sie wird optisch deutlich unscheinbarer gestaltet. Solche manipulativen Gestaltungen werden als „Dark Patterns“ bezeichnet.

Was die BfDI-Befragung ergeben hat

Im Auftrag der BfDI im Rahmen des Projekts „Datenbarometer“ wurden zwischen dem 28. Juli und dem 4. August 2025 telefonisch 1.002 Internetnutzende ab 18 Jahren befragt. Die Ergebnisse zeichnen ein ernüchterndes Bild vom Ideal der „informierten Einwilligung“.

Weniger als die Hälfte der Befragten (43 Prozent) kann nach eigener Aussage genau erklären, was Cookies sind und wozu sie eingesetzt werden. In einzelnen Gruppen liegt der Wert noch deutlich niedriger. 60 Prozent der Befragten lehnen meistens alle Cookies ab, sofern das mit einem Klick möglich ist. Dabei ist es 83 Prozent wichtig, selbst über die Verwendung ihrer Daten im Netz bestimmen zu können.

Zwei Drittel könnten sich vorstellen, einen zentralen Cookie-Manager zu nutzen. 71 Prozent hätten dadurch das Gefühl, mehr Kontrolle über ihre Daten zu haben. 

Cookie-Manager als Alternative: Was die BfDI empfiehlt

Die Grundidee eines Cookie-Managers ist schnell erklärt. Statt auf jeder Website neu zu entscheiden, legen Nutzende ihre Präferenzen einmal zentral fest, etwa im Browser oder in einer eigenen Anwendung. Der Dienst übermittelt diese Entscheidung dann automatisch an die besuchten Seiten. 

In Deutschland gibt es dafür bereits einen Rechtsrahmen. Auf Grundlage von § 26 TDDDG gilt seit April 2025 die Einwilligungsverwaltungsverordnung. Sie regelt, unter welchen Voraussetzungen solche Dienste staatlich anerkannt werden können. Voraussetzung ist nach § 26 Abs. 1 TDDDG unter anderem, dass der Dienst nutzerfreundliche und wettbewerbskonforme Verfahren bietet und der Anbieter unabhängig ist, also kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung und an den verwalteten Daten hat. Der Haken ist, dass die Einbindung für Webseitenbetreibende freiwillig. Sie sind bislang nicht verpflichtet, die dort hinterlegten Entscheidungen zu beachten. Das begrenzt die praktische Reichweite des Modells erheblich.

Aus ihren Befragungsergebnissen leitet die BfDI mehrere Forderungen ab:

• Cookie-Banner als Auslaufmodell begreifen: Wenn viele nicht wissen, worin sie einwilligen, und trotzdem pauschal entscheiden, erfüllt das bisherige Modell seinen Zweck nicht.
• Cookie-Manager zum Standard machen: Wer seine Daten schützen will, soll dafür nicht auf jeder Seite aufs Neue klicken müssen.
• Signale verbindlich ausgestalten: Die im Manager hinterlegte Entscheidung soll für Webseitenbetreibende maßgeblich sein. Zusätzliche Banner sollen dann entfallen.
• Staatliche Anerkennung stärken: Weil die Befragten großen Wert auf eine behördliche Prüfung legen, soll diese Rolle unabhängiger Stellen auch auf EU-Ebene gestärkt werden.
• Gezielt regulieren: Neue Regeln sollen sich auf Bereiche konzentrieren, in denen Uninformiertheit und „Cookie Fatigue“ tatsächlich auftreten, also vor allem auf Webseiten und nicht pauschal auf alle vernetzten Geräte. Gleichzeitig sollen Cookie-Manager auch nachgelagerte DSGVO-Einwilligungen, etwa für profilbasierte Werbung, abdecken können.
• Deutsche Erfahrungen einbringen: Die EinwV soll als Pilotmodell in die europäische Gesetzgebung einfließen.

Einordnung: Banner oder Manager?

Der Befund der BfDI ist wenig überraschend, aber nun mit belastbaren Zahlen unterlegt. Ein Einwilligungsmodell, bei dem die Mehrheit nicht genau weiß, worum es geht und trotzdem dutzendfach am Tag klicken muss, wird dem Anspruch einer informierten Entscheidung kaum gerecht. Ganz so eindeutig, wie es auf den ersten Blick wirkt, ist die Sache trotzdem nicht. Beide Modelle haben Stärken und Schwächen. Für Cookie-Manager spricht vor allem, dass sie das eigentliche Problem an der Wurzel packen. Wer seine Präferenzen einmal bewusst festlegt, entscheidet vermutlich reflektierter als jemand, der zum fünfzigsten Mal am Tag ein Banner wegklickt. Auch Websitebetreibende könnten profitieren: Weniger Banner-Design, weniger Abmahnrisiken, ein ungestörterer Einstieg auf die Seite.

Kritisch wäre u. a., dass Verantwortliche eine Einwilligung nachweisen können müssen (Art. 7 Abs. 1 DSGVO). Kommt die Entscheidung jedoch als automatisches Signal eines externen Dienstes, ist offen, wie dieser Nachweis gelingt und wer haftet, wenn ein Signal fehlerhaft übermittelt oder falsch ausgewertet wird. Wie offen die Haftungsfragen sind, zeigt ein laufendes BGH-Verfahren (I ZR 5/26). Es geht um die Frage, ob ein Trackinganbieter haftet, wenn seine Cookies auf fremden Webseiten ohne Einwilligung gesetzt werden. Ein Urteil steht noch aus. 

Außerdem würde das pauschale Ablehnen die Werbeerlöse drastisch sinken lassen. Anbieter von Webseiten könnten darauf mit Bezahlschranken reagieren. 

Fazit und was Webseitenbetreibende jetzt tun sollten

Das Ende des Cookie-Banners ist gewollt, aber noch nicht in Sicht. Bis dahin gelten § 25 TDDDG und die DSGVO unverändert.

Für Webseitenbetreibende heißt das:

• „Alle ablehnen“ auf die erste Ebene: Nach Auffassung der Aufsichtsbehörden, die auch Gerichte teilen, muss Ablehnen genauso einfach und gleichwertig möglich sein wie Zustimmen.
• Keine Skripte vor der Einwilligung: Prüfen Sie technisch, ob Tracking-Dienste wirklich erst nach einer Zustimmung geladen werden.
• Notwendigkeit ehrlich bewerten: Nicht jedes Tool ist „unbedingt erforderlich“. Weniger Drittanbieter bedeuten auch weniger Einwilligungsbedarf.
• Verständlich informieren: Zwecke und Anbieter klar und knapp beschreiben, ohne Fachjargon.
• Entwicklung im Blick behalten: Stichwort Digitaler Omnibus.