Kurz gesagt: Einen Cookie-Banner brauchst du nur, wenn deine Website etwas einsetzt, für das Besucher einwilligen müssen: Tracking, Werbe-Pixel oder eingebettete Inhalte von Drittanbietern wie Karten und Videos. Technisch notwendige Cookies brauchen keine Einwilligung. Viele kleine Firmenwebsites kommen deshalb ganz ohne Banner aus, wenn sie konsequent auf Fremddienste verzichten.
Was das Gesetz sagt
Die Regel steht in § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Bis Mai 2024 hieß es TTDSG, der Inhalt ist gleich geblieben. Absatz 1 sagt: Informationen auf dem Gerät eines Nutzers speichern oder dort auslesen darfst du nur, wenn er auf Grundlage klarer und umfassender Informationen eingewilligt hat.
Absatz 2 enthält die wichtige Ausnahme. Keine Einwilligung brauchst du, wenn das Speichern oder Auslesen unbedingt erforderlich ist, damit du einen Dienst bereitstellen kannst, den der Nutzer ausdrücklich wünscht (eRecht24 zum TDDDG, Dr. Datenschutz: Cookies zwischen TDDDG und DSGVO).
Das Gesetz gilt übrigens nicht nur für Cookies. Es umfasst jede Form, Daten auf dem Gerät abzulegen oder auszulesen, also zum Beispiel auch den lokalen Speicher des Browsers.
Notwendig oder nicht?
| Dienst | Einwilligung nötig? |
|---|---|
| Warenkorb im Shop | Nein, notwendig für den gewünschten Kauf |
| Login-Sitzung im Kundenbereich | Nein, notwendig für den Login |
| Google Analytics und vergleichbare Statistik-Tools | In der Regel ja |
| Meta-Pixel, Google-Ads-Conversion, Retargeting | Ja |
| Eingebettete Google-Maps-Karte | In der Regel ja |
| Eingebettetes YouTube- oder Vimeo-Video | In der Regel ja |
| Schriften von externen Servern, etwa Google Fonts | Ja, oder lokal einbinden |
| Schriften, Bilder und Skripte vom eigenen Server | Nein |
Bei Drittinhalten wie Karten, Videos und Schriften kommt neben dem TDDDG die Datenschutz-Grundverordnung ins Spiel. Schon beim Laden erfährt der fremde Server die IP-Adresse des Besuchers. Das allein kann eine Einwilligung erfordern, auch wenn kein Cookie gesetzt wird.
Das Google-Fonts-Urteil
Wie ernst das ist, zeigt ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20). Eine Website lud Schriften direkt von Google-Servern. Dabei wurde die IP-Adresse eines Besuchers ohne Einwilligung an Google übertragen. Das Gericht sprach ihm 100 € Schadensersatz zu und drohte für Wiederholungen ein Ordnungsgeld von bis zu 250.000 € an. Die Begründung: Die Weitergabe war nicht nötig, weil sich Schriften auch auf dem eigenen Server ablegen lassen (Bergische IHK zum Urteil).
Nach dem Urteil verschickten Kanzleien massenhaft gleichlautende Forderungsschreiben. Die Bergische IHK hielt diese Welle für rechtsmissbräuchlich und riet, Zahlungsforderungen nicht ungeprüft zu begleichen. Die Lehre für Website-Betreiber bleibt trotzdem: Schriften gehören auf den eigenen Server.
Wann du keinen Banner brauchst
Werden auf deiner Website keine einwilligungsbedürftigen Daten verarbeitet, ist auch kein Einwilligungsbanner erforderlich. So schreibt es die Hamburger Datenschutzbehörde. Dr. Datenschutz empfiehlt, auf solche Dienste möglichst zu verzichten. Für eine typische Handwerker-, Praxis- oder Restaurantseite ist das gut machbar:
- Schriften lokal: Die Schriftdateien liegen auf deinem Webspace, nicht bei Google.
- Karte als Link: Statt einer eingebetteten Karte ein Bild der Anfahrt mit einem Link „Route in Google Maps öffnen“. Erst der Klick führt zu Google.
- Videos per Klick: Ein Vorschaubild, das erst nach einem Klick des Besuchers das Video lädt, mit einem Hinweis auf den Anbieter.
- Kein Tracking oder datensparsames Tracking: Wer wissen will, wie viele Besucher kommen, findet Statistik-Lösungen, die ohne Cookies und ohne Drittanbieter arbeiten. Prüf die Einstellungen trotzdem mit Blick auf die DSGVO.
- Social Media als Link: Einfache Links zu Instagram oder Facebook statt eingebetteter Feeds.
Eine Datenschutzerklärung brauchst du trotzdem immer. Dort beschreibst du auch die notwendigen Cookies, falls es welche gibt. Ein Impressum gehört ebenfalls dazu, siehe unseren Ratgeber zum Impressum.
Wenn du einen Banner brauchst
Setzt du bewusst Analyse- oder Marketing-Tools ein, muss der Banner richtig funktionieren. Der Hamburgische Datenschutzbeauftragte nennt diese Punkte:
- Ablehnen gleichwertig: Auf der ersten Ebene gibt es eine Ablehnen-Option, die genauso prominent ist wie „Akzeptieren“.
- Kein Lenken: Keine verwirrende Gestaltung, die Besucher zur Zustimmung drängt.
- Nichts vorab laden: Dienste werden erst eingebunden, wenn der Besucher eine Wahl getroffen hat.
- Widerruf möglich: Besucher können ihre Entscheidung später ändern, etwa über einen Link im Fußbereich.
Ein Banner, der nur „OK“ anbietet und im Hintergrund schon alles lädt, ist schlechter als gar keiner. Er erweckt den Eindruck von Einwilligung, die es rechtlich nicht gibt.
So prüfst du deine Website selbst
Öffne deine Seite in einem privaten Browserfenster und schau in den Entwicklerwerkzeugen unter „Netzwerk“, welche Adressen geladen werden. Tauchen dort fonts.googleapis.com, google-analytics.com, facebook.net oder youtube.com auf, bevor du irgendwo geklickt hast, werden Daten an Dritte übertragen. Das ist der Moment, in dem du entweder einen Banner brauchst oder den Dienst umbauen solltest.
Häufige Fragen
Reicht ein Hinweis „Diese Seite verwendet Cookies“?
Nein, wenn du einwilligungspflichtige Dienste nutzt. Ein reiner Hinweis ist keine Einwilligung. Nutzt du nur notwendige Cookies, brauchst du dagegen gar keinen Banner. Ein Hinweis in der Datenschutzerklärung reicht dann.
Darf ich Google Maps überhaupt noch einbinden?
Ja, aber erst nach Einwilligung. Üblich ist ein Platzhalter mit dem Hinweis, dass beim Laden Daten an Google übertragen werden, und einem Button „Karte laden“. Einfacher ist ein Link, der Google Maps in einem neuen Fenster öffnet.
Ich habe ein Schreiben wegen Google Fonts bekommen. Was tun?
Nicht sofort zahlen. Prüf, ob deine Seite Schriften tatsächlich von Google lädt, und stell das gegebenenfalls um. Die Bergische IHK rät, Nachweise und eine Vollmacht anzufordern. Bei konkreten Forderungen hol dir anwaltlichen Rat.
Hinweis: Dieser Artikel ist keine Rechtsberatung. Er gibt den Stand Oktober 2026 wieder. Ob deine Website eine Einwilligung braucht, hängt von den konkret eingesetzten Diensten ab.
Lädt deine Seite heimlich Fremddienste?
Im Website-Check sehen wir nach, welche Drittanbieter deine Seite einbindet und ob es auch ohne geht.