Cookie Banner DSGVO: Ablehnen muss so einfach sein wie Zustimmen

1. Einführung: Warum Ihr Cookie Banner über Abmahnung oder Ruhe entscheidet

Wir haben im Juli 18 Fahrschul-Websites aus Niedersachsen und Hessen geprüft. Auf 10 davon fanden wir im Quelltext keine erkennbare Consent-Lösung, und von den Bannern, deren Beschriftung prüfbar war, boten nur 2 von 6 eine Ablehnen-Option an. Der Rest begrüßte Besucher mit einem freundlichen „Alle akzeptieren“ und ließ die zweite Hälfte der gesetzlich geforderten Wahl einfach weg. Genau an dieser Stelle entscheidet sich, ob ein Cookie Banner DSGVO-konform ist oder nur so aussieht.

Auf einen Blick:

• § 25 TDDDG erlaubt das Speichern und Auslesen von Informationen in der Endeinrichtung nur nach Einwilligung; ausgenommen sind unbedingt erforderliche Cookies (§ 25 TDDDG).
• Verstöße gegen die Einwilligungspflicht können mit einem Bußgeld bis zu 300.000 Euro geahndet werden (§ 28 TDDDG), bei DSGVO-Verstößen deutlich mehr.
• Die französische Aufsichtsbehörde CNIL verhängte gegen Google eine Strafe von 325 Millionen Euro, unter anderem weil das Ablehnen von Werbe-Cookies schwerer war als das Akzeptieren (CNIL, September 2025).
• Der Bundesdatenschutzbeauftragte stellt klar: Ein Banner, das nur einen Zustimmen-Button enthält, erfüllt die Anforderungen nicht (BfDI).
• Kreativschock-Stichprobe, Juli 2026: 10 von 18 geprüften Fahrschul-Websites ohne erkennbare Consent-Lösung im Quelltext; nur 2 von 6 prüfbaren Bannern nannten eine Ablehnen-Option.

Ein Cookie Banner ist eine Abfrage, die vor dem Setzen technisch nicht notwendiger Cookies die Einwilligung der Besucher einholt. DSGVO-konform ist es, wenn vorab keine Cookies gesetzt werden, die erste Ebene klar informiert, eine gleichwertige Ablehnen-Schaltfläche direkt neben der Zustimmung steht und der Widerruf genauso einfach funktioniert wie die Erteilung.

Dieser Ratgeber zeigt Ihnen, wann Sie ein Cookie Banner benötigen, welche Anforderungen die Datenschutz-Grundverordnung und das TDDDG an die Einwilligung stellen und welche Gestaltungsfehler regelmäßig vor Gericht landen. Welches Tool die Abfrage technisch umsetzt, haben wir in unserem Cookie Consent Tool Vergleich ausführlich behandelt. Hier geht es um die Regeln dahinter, denn die gelten für jedes Banner, egal von welchem Anbieter. Als Agentur für professionelles Webdesign setzen wir Consent-Lösungen seit Jahren in Kundenprojekten um und sehen dabei immer wieder dieselben Missverständnisse.

2. Wann Sie ein Cookie Banner benötigen und wann nicht

Die Rechtsgrundlage ist erstaunlich klar. Nach § 25 TDDDG ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers nur zulässig, wenn dieser auf Grundlage klarer und umfassender Informationen eingewilligt hat. Das betrifft Cookies, aber auch Local Storage, Fingerprinting und ähnliche Techniken. Die Einwilligung des Nutzers muss dabei den Regeln der DSGVO folgen.

Ausgenommen sind nach Absatz 2 nur Informationen, die unbedingt erforderlich sind, damit der ausdrücklich gewünschte Dienst funktioniert. Ein Warenkorb-Cookie im Onlineshop gehört dazu. Ein Login-Cookie ebenso. Für solche technisch notwendige Cookies brauchen Sie keine Zustimmung und damit auch kein Banner.

Ein Cookie ist dabei zunächst nichts Böses: eine kleine Textdatei, die der Browser speichert, damit die Website Sie wiedererkennt. Wie eine Garderobenmarke im Theater. Problematisch wird es erst, wenn aus der Garderobenmarke ein Detektiv wird, der Ihnen nach dem Verlassen des Hauses durch die Stadt folgt. Genau das tun Tracking-Cookies für personalisierte Werbung, und genau deshalb verlangt das Gesetz vorher eine informierte Zustimmung der Nutzer.

Die Faustregel lautet also: Sobald Ihre Website Cookies verwenden will, die nicht unbedingt erforderlich sind, etwa für Google Analytics, Werbenetzwerke, eingebettete YouTube-Videos oder Karten, müssen Sie vorher eine Einwilligung einholen. Setzt Ihre Website ausschließlich technisch notwendige Cookies, dürfen Sie auf das Banner komplett verzichten. Ein Hinweis in der Datenschutzerklärung genügt dann. Welche weiteren Pflichten die Datenschutz-Grundverordnung an Ihren Auftritt stellt, lesen Sie in unserem Überblick zu den DSGVO Grundlagen für Websites.

Kurz zusammengefasst: Ein Cookie Banner ist Pflicht, sobald technisch nicht notwendige Cookies gesetzt oder Informationen aus der Endeinrichtung ausgelesen werden sollen. Es ist keine Pflicht, wenn Ihre Website nur unbedingt erforderliche Cookies nutzt. Das Banner ist also kein Ausweis von Seriosität, sondern die Folge einer technischen Entscheidung, die Sie selbst in der Hand haben.

3. Wirksame Einwilligung: Diese Anforderungen müssen Cookie Banner erfüllen

Die DSGVO definiert die Einwilligung als freiwillige, informierte und unmissverständliche Willensbekundung für den bestimmten Fall. Aus dieser Definition leiten die Datenschutzbehörden konkrete Prüfkriterien ab, die Ihr Banner erfüllen muss, bevor es Daten verarbeiten lässt.

• Vorher fragen: Das Banner erscheint, bevor Cookies gesetzt werden. Ein Tool, das erst nach dem Laden der Tracking-Skripte fragt, dokumentiert seinen eigenen Verstoß.
• Aktive Handlung: Weiterscrollen, Weiternutzen oder Untätigkeit sind keine Einwilligung. Vorausgewählte Häkchen sind unzulässig.
• Informiert: Die erste Ebene nennt Zwecke, Anbieter und Datenverarbeitung konkret. Floskeln wie „Wir verbessern Ihr Surferlebnis“ reichen den Datenschutzbehörden nicht.
• Granular: Besucher können einzelne Arten von Cookies getrennt erlauben, etwa Statistik und Marketing. Eine Pauschal-Zustimmung für alles zugleich ist angreifbar.
• Widerruflich: Die Entscheidung lässt sich jederzeit ändern, zum Beispiel über einen dauerhaften Link im Footer.

Den Widerruf regelt die Verordnung wörtlich in Art. 7 Abs. 3 DSGVO: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.“ Ein Banner, das die Zustimmung mit einem Klick einsammelt, den Widerruf aber hinter fünf Menüebenen versteckt, scheitert an genau diesem Satz.

Dazu kommt die Dokumentationspflicht: Sie müssen nachweisen können, wann welche Einwilligung eingeholt wurde. Seriöse Consent-Lösungen protokollieren das automatisch.

Kurz zusammengefasst: Eine wirksame Einwilligung ist vorherig, aktiv, informiert, granular, dokumentiert und widerruflich. Fehlt eines dieser Merkmale, ist die Einwilligung unwirksam, und jedes danach gesetzte Cookie steht rechtlich auf nichts. Die gesetzlichen Anforderungen gelten unabhängig davon, welches Consent Tool Sie einsetzen.

4. Gestaltung des Cookie Banners: Ablehnen gehört auf die erste Ebene

Die häufigste Streitfrage ist die Gestaltung des Cookie Banners selbst. Der Bundesbeauftragte für den Datenschutz formuliert es unmissverständlich: „Ein Cookie-Banner, das nur einen ‚zustimmen‘-Button enthält, erfüllt diese Anforderungen nicht“, und weiter: „Die Ablehnung einer Verarbeitung muss so einfach sein, wie deren Zustimmung“ (BfDI). Auf der ersten Ebene des Cookie Banners gehören demnach zwei gleichwertige Schaltflächen nebeneinander: Alle akzeptieren und Alle ablehnen.

Gleichwertig heißt: gleiche Größe, gleicher Kontrast, gleiche Ebene. Ein knalliger Zustimmen-Button neben einem blassgrauen Ablehnen-Textlink ist der Klassiker unter den Verstößen. Die Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses hat solche Muster in ihrem Abschlussbericht systematisch eingeordnet. Kein Ablehnen-Button auf der ersten Ebene, vorangekreuzte Kästchen, täuschende Button-Farben und -Kontraste, fehlender Widerrufs-Zugang: All das wertet die große Mehrheit der europäischen Aufsichtsbehörden als Verstoß.

Dass das keine Theorie ist, zeigt der Blick nach Frankreich. Die CNIL sanktionierte Google mit 325 Millionen Euro, unter anderem weil das Ablehnen personalisierter Werbe-Cookies bei der Kontoerstellung schwieriger war als das Akzeptieren (CNIL, September 2025). Für deutsche Webseitenbetreiber drohen bei Verstößen gegen § 25 TDDDG Bußgelder bis 300.000 Euro nach § 28 TDDDG. Bei unwirksamer Einwilligung kommt der DSGVO-Rahmen von bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes hinzu.

Wie weit Anspruch und Wirklichkeit auseinanderliegen, zeigt unsere eigene Stichprobe. Wir haben im Juli die Startseiten von 18 Fahrschul-Websites aus Niedersachsen und Hessen automatisiert im Quelltext geprüft: 10 zeigten keine erkennbare Consent-Lösung. Bei 6 der 8 gefundenen Banner war die Button-Beschriftung im Quelltext prüfbar, und nur 2 davon nannten eine Ablehnen-Option. Die Mehrheit stellt Besucher also vor eine Wahl, die keine ist.

Ein Banner ohne echte Ablehnen-Option ist wie eine Fernbedienung ohne Aus-Knopf. Einschalten geht mit einem Druck, ausschalten nur für den, der das Batteriefach aufschraubt.

Ein DSGVO-konformer Cookie-Banner zeigt also auf der ersten Ebene zwei gleichwertige Buttons für Zustimmung und Ablehnung, verlinkt Datenschutzerklärung und Impressum, kommt ohne vorausgewählte Häkchen aus und bietet einen dauerhaft erreichbaren Widerruf. Eindeutige Bezeichnung der Buttons ist Pflicht: „Alle akzeptieren“ und „Alle ablehnen“ statt „Okay“.

5. Dark Patterns und häufige Fehler, die Sie vermeiden sollten

Dark Patterns sind Gestaltungstricks, die Nutzer zu einer Zustimmung schieben sollen, die sie freiwillig nicht geben würden. Das Spektrum reicht von Farbpsychologie bis zu versteckten Links. Die Aufsichtsbehörden werten solches Nudging als Verstoß gegen den Grundsatz von Treu und Glauben, denn eine geschobene Einwilligung ist keine freiwillige.

Diese Fehler sehen wir in der Praxis am häufigsten:

• Kein Ablehnen auf Ebene eins: Die Ablehnung versteckt sich hinter „Einstellungen“. Genau dieses Muster hat die EDPB-Taskforce als Verstoß eingeordnet.
• Farb-Gefälle: Zustimmen leuchtet, Ablehnen verblasst. Die Optionen sind nicht mehr gleichwertig.
• Unklare Beschriftung: „Okay“ oder „Verstanden“ sind keine unmissverständliche Zustimmung.
• Cookie-Wall ohne Alternative: Wer den Zugang zur Website komplett von der Zustimmung abhängig macht, nimmt der Einwilligung die Freiwilligkeit.
• Tool installiert, Skripte ungeblockt: Das Banner fragt, aber die Tracking-Skripte laden trotzdem sofort. Das Banner wird zur Attrappe.

Der letzte Punkt ist tückisch, weil er von außen unsichtbar bleibt. In einer früheren Kreativschock-Stichprobe unter 16 Göttinger Betriebs-Websites zeigten nur 7 eine erkennbare Consent-Lösung, und 2 banden Google-Analytics-Skripte ungeblockt ein, eine davon trotz installiertem Consent-Tool (Juli 2026). Die aktuelle Fahrschul-Stichprobe bestätigt das Bild mit 8 von 18 erkennbaren Lösungen: Das Problem ist branchenübergreifend stabil. Ein Banner zu haben und ein funktionierendes Consent Management zu haben, sind zwei verschiedene Dinge.

Prüfen Sie deshalb nach der Implementierung eines Cookie Banners immer den Effekt: Browser-Entwicklertools öffnen, Seite neu laden, ablehnen und beobachten, ob trotzdem Cookies gesetzt oder Tracker geladen werden. Fünf Minuten Aufwand, die Ihnen im Streitfall viel Ärger ersparen. Denken Sie auch daran, dass Ihre Datenschutzerklärung die eingesetzten Dienste und die Widerrufsmöglichkeit beschreiben muss, das Banner ersetzt sie nicht.

Ein aktuelles Cookie Banner ist außerdem kein Einmal-Projekt. Jedes neue Plugin, jedes eingebettete Video und jede Marketing-Kampagne kann neue Dienste mitbringen, die eine Einwilligung brauchen.

6. Unsere Position: Das beste Cookie Banner ist oft gar keins

Die meisten Ratgeber zum Thema erklären, fast jede Website brauche ein Consent-Banner, und konzentrieren sich dann auf Tool-Auswahl und Optimierung der Zustimmungsrate. Unsere Position: Für viele kleine Unternehmens-Websites ist die banner-freie Website die sauberere Lösung, weil sie das Risiko an der Wurzel beseitigt, statt es zu verwalten.

Wer keinen Hund hält, benötigt kein Schild „Vorsicht, Hund“.

Die Rechnung dahinter: Das Banner ist nur nötig, weil Dienste im Hintergrund Informationen in der Endeinrichtung speichern oder auslesen. Streichen Sie diese Dienste, entfällt die Einwilligungspflicht nach § 25 TDDDG. Schriften lassen sich lokal hosten, wie in unserem Ratgeber Google Fonts lokal einbinden beschrieben. Statistik funktioniert cookielos mit Tools wie Matomo ohne Cookies. Videos lassen sich per Zwei-Klick-Vorschaubild einbetten, das erst nach einem bewussten Klick lädt.

Unsere Stichprobe stützt diese Strategie: Von den 10 Fahrschul-Websites ohne erkennbare Consent-Lösung luden 6 auch keine Google-Dienste im Quelltext, sie kommen also mutmaßlich rechtmäßig ohne Banner aus. Die anderen 4 banden Google Fonts oder ungeblockte Google-Tag-Skripte ein und bräuchten entweder ein Banner oder einen Frühjahrsputz. Banner-frei ist kein Zufall, sondern eine bewusste technische Entscheidung.

Ehrgeizige Marketing-Ziele können personalisierte Werbung und damit ein Banner rechtfertigen. Für eine Handwerker-, Praxis- oder Vereins-Website, die vor allem gefunden werden und informieren will, gilt das selten. Bedenken Sie auch die Nutzerseite: Jedes Banner ist eine Hürde vor Ihrem Inhalt, und ein erheblicher Teil der Besucher lehnt ab, sodass die erkaufte Statistik ohnehin lückenhaft bleibt.

7. Fazit

Ein Cookie Banner ist kein Deko-Element, sondern ein Rechtsdokument im Kleinformat. Es muss vor dem Setzen nicht notwendiger Cookies erscheinen, auf der ersten Ebene eine gleichwertige Wahl zwischen Zustimmen und Ablehnen bieten und den Widerruf genauso einfach machen wie die Erteilung. Dark Patterns, vorausgewählte Häkchen und versteckte Ablehnen-Links machen die Einwilligung unwirksam und damit angreifbar.

Noch besser als das perfekte Banner ist die Website, die keins benötigt.

Prüfen Sie zuerst, welche Dienste wirklich Informationen in der Endeinrichtung speichern, werfen Sie Ballast ab und entscheiden Sie dann bewusst. Das Ergebnis spüren Ihre Besucher sofort: Die Seite öffnet sich, nichts springt ins Bild, der Inhalt ist einfach da. Und wo ein Banner nötig bleibt, zeigt es zwei gleich große Schaltflächen, deren Beschriftung jeder versteht. Wenn Sie zusätzlich wissen möchten, wie Ihre Website in Suchmaschinen dasteht, hilft eine SEO-Analyse Ihrer Website als Startpunkt.

8. Anhang: Checkliste für Ihren DSGVO-konformen Cookie Banner

• Bestandsaufnahme: Welche Cookies und Dienste nutzt Ihre Website tatsächlich? (Entwicklertools oder Cookie-Scanner)
• Verzicht geprüft: Lassen sich Fonts lokal hosten, Statistik cookielos erheben, Videos per Zwei-Klick einbetten?
• Banner erscheint vor dem Setzen einwilligungspflichtiger Cookies, keine Skripte laden vorab
• Erste Ebene: „Alle akzeptieren“ und „Alle ablehnen“ gleichwertig in Größe, Farbe und Kontrast
• Konkrete Information über Zwecke, Dienste und Anbieter, keine vorausgewählten Häkchen
• Granulare Auswahl nach Kategorien möglich
• Widerruf dauerhaft erreichbar, etwa als Link im Footer
• Einwilligungen werden protokolliert und sind nachweisbar
• Impressum und Datenschutzerklärung bleiben ohne Zustimmung erreichbar und werden nicht verdeckt
• Nach jedem Plugin- oder Kampagnen-Start: Banner-Abdeckung erneut prüfen

Kontakt aufnehmen

Sie möchten Ihre Consent-Lösung prüfen lassen oder Ihre Website ganz vom Banner befreien? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden:

Disclaimer: Alle genannten Zahlen, Zeitangaben und Einschätzungen sind Erfahrungswerte aus der Agentur-Praxis beziehungsweise zum Zeitpunkt der Veröffentlichung live geprüfte Quellenangaben. Sie können sich durch neue Rechtsprechung und Behördenpraxis ändern. Diese Inhalte ersetzen keine fachjuristische Beratung.