Cookie-Recht — § 25 TDDDG, Planet49 und Banner-Pflicht

Würdigung — die Frage ist nicht „Banner ja/nein", sondern „was tut die Seite?"#

Das Cookie-Banner wird oft als unvermeidliches Übel behandelt: Man baut eines ein, weil „man das halt braucht". Diese Reihenfolge ist verkehrt. Ob ein Banner nötig ist, hängt nicht von einer Pflicht zum Banner ab, sondern davon, ob die Seite Dinge tut, die eine Einwilligung erfordern. Setzt eine Seite Tracking-Cookies, lädt sie Analyse-Skripte oder bindet sie Drittanbieter ein, die das Endgerät auslesen — dann braucht es eine Einwilligung, und das Banner ist der Weg, sie einzuholen. Tut sie das alles nicht, ist das Banner überflüssig.

Für eine Steuerkanzlei ist das eine befreiende Erkenntnis: Das Banner ist kein Schicksal, sondern eine Folge von Technik-Entscheidungen. Wer die Technik schlank hält, spart sich die rechtliche Konstruktion — und das schlechte erste Signal eines aufpoppenden Zustimmungs-Dialogs.

Was § 25 TDDDG verlangt#

§ 25 Abs. 1 TDDDG (seit der Umbenennung des TTDSG 2024 unter diesem Kürzel) ist eindeutig: Das Speichern von Informationen auf dem Endgerät eines Nutzers — und der Zugriff darauf — ist nur zulässig, wenn der Nutzer auf Basis klarer Informationen eingewilligt hat. Entscheidend ist das Wort „vor": Die Einwilligung muss vorliegen, bevor der Cookie gesetzt oder das Skript geladen wird. Ein Banner, das erst erscheint, während im Hintergrund schon Tracking läuft, erfüllt das nicht.

§ 25 Abs. 2 TDDDG nennt die Ausnahme: Keine Einwilligung ist nötig, wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert — etwa ein Warenkorb-Cookie oder ein Cookie, das die Spracheinstellung speichert. Diese Ausnahme ist eng: Reichweitenmessung, Marketing und komfortable Analyse fallen nicht darunter.

BGH Planet49 und EuGH — wie die Rechtsprechung dahin kam#

Die Linie ist höchstrichterlich gefestigt. Der EuGH hat im Urteil C-673/17 (Planet49) vom 01.10.2019 entschieden, dass eine Einwilligung in nicht notwendige Cookies aktiv erfolgen muss — ein voreingestelltes Häkchen genügt nicht. Der BGH hat das mit Urteil I ZR 7/16 (Planet49) vom 28.05.2020 für das deutsche Recht bestätigt. Seitdem ist klar: Stillschweigen, vorausgewählte Kästchen oder „Weitersurfen gilt als Zustimmung" sind unwirksam.

Daraus folgen die Anforderungen an ein rechtskonformes Banner, falls man eines braucht: Ablehnen muss so einfach sein wie Annehmen, nichts darf vorausgewählt sein, vor dem Klick darf kein einwilligungspflichtiger Cookie gesetzt werden, und die Auswahl muss granular möglich sein. Genau an diesen Punkten scheitern die meisten real eingesetzten Banner — was sie selbst zur Abmahn-Angriffsfläche macht.

Wann ein Banner Pflicht ist — und wann nicht#

Die praktische Entscheidung lässt sich auf eine Frage reduzieren: Setzt die Seite irgendetwas ein, das nicht unter die Ausnahme „unbedingt erforderlich" fällt?

• Banner nötig: Google Analytics, Marketing-Pixel, eingebettete Karten oder Videos mit Tracking, Schriften vom Fremd-CDN, Chat-Widgets mit Cookies, reCAPTCHAreCAPTCHA · zum GlossarGoogles Bot-Schutz — funktional, aber DSGVO-kritisch wegen US-Datentransfer und Cookie-Pflicht..
• Kein Banner nötig: rein technisch notwendige Cookies (z. B. ein Cookie, das eine Formular-Sitzung absichert), und cookielose, datensparsame Bausteine.

Der entscheidende Hebel ist also die Auswahl der Bausteine. Eine cookielose Analytics-Lösung, selbst gehostete Schriften und eine Bot-Abwehr ohne reCAPTCHA führen in der Summe dazu, dass gar nichts Einwilligungspflichtiges passiert — und das Banner entfällt rechtlich, nicht durch Tricks.

Wie man den Banner vermeidet — cookielos bauen#

Auf fahoch2.de gibt es kein Cookie-Banner, weil es nichts gibt, wofür eine Einwilligung nötig wäre: keine Tracking-Cookies, keine Fremd-Skripte außer cookielosem Analytics, keine eingebetteten Tracking-Inhalte. Das ist die saubere Auflösung der Banner-Frage — nicht „ein besseres Banner bauen", sondern die Voraussetzung für das Banner entfernen. Die technische Seite dieser Architektur ist im Artikel zur cookielosen Kanzlei-Website im Detail beschrieben.

Wichtig: Wer cookielos baut, muss die Datenschutzerklärung ehrlich daran anpassen. Eine Seite, die „keine Cookies" behauptet, aber über ein vergessenes Plugin doch welche setzt, hat einen Widerspruch zwischen Aussage und Realität — und der ist selbst abmahnbar.

Für eine vollständige Prüfung von Cookie-Einsatz, Banner-Konformität und Datenschutzerklärung empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

§ 25 TDDDG verlangt eine Einwilligung, bevor nicht-notwendige Cookies gesetzt oder Skripte geladen werden; die Planet49-Urteile (EuGH C-673/17 vom 01.10.2019, BGH I ZR 7/16 vom 28.05.2020) haben festgelegt, dass diese Einwilligung aktiv erfolgen muss — kein vorausgewähltes Häkchen. Ein Banner ist dann Pflicht, wenn die Seite einwilligungspflichtige Dinge tut (Tracking, Fremd-Skripte, eingebettete Inhalte mit Cookies). Die enge Ausnahme gilt nur für technisch unbedingt notwendige Cookies. Wer doch ein Banner einsetzt, muss es so konfigurieren, dass Tracker WIRKLICH erst nach Einwilligung feuern — sonst ist es nur Deko. Der eleganteste Weg ist deshalb nicht das perfekte Banner, sondern eine Bauweise, die gar nichts Einwilligungspflichtiges einsetzt — dann entfällt das Banner rechtlich. Wer cookielos baut, muss nur die Datenschutzerklärung ehrlich daran ausrichten.

Quellen#

• TDDDG § 25 — Schutz der Privatsphäre bei Endeinrichtungen — abgerufen 2026-05-29
• EuGH C-673/17 (Planet49), Urteil vom 01.10.2019 — abgerufen 2026-05-29
• BGH I ZR 7/16 (Planet49), Urteil vom 28.05.2020 — abgerufen 2026-05-29
• DSGVO Art. 6, 7 (VO EU 2016/679) — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Ob ein konkreter Dienst einwilligungspflichtig ist, gehört in die anwaltlich geprüfte Datenschutzerklärung.