Steuerkanzlei-Website ohne Cookie-Banner: die Vorteile
Die meisten Steuerkanzlei-Websites haben ein Cookie-Banner. Das hat zwei Konsequenzen, die beide gegen die Kanzlei laufen: ein BGH-relevantes Abmahn-Risiko und ein Performance-Nachteil, der seit dem Core-Web-Vitals-Update 2021 direkt in das Google-Ranking einfließt. Wer das Banner nicht braucht, wird in beiden Disziplinen sichtbar besser.
Was Sie aus diesem Artikel mitnehmen
- Warum die meisten Kanzlei-Cookie-Banner nicht rechtskonform sind (BGH Planet49, § 25 TDDDG)
- Wie eine cookielose Architektur Abmahn-Risiko und Performance-Nachteil zugleich löst
- Konkrete Lighthouse-Zahlen: was ein Banner an Core Web Vitals kostet
- Welcher cookielose Stack das auf fahoch2.de umsetzt (self-hosted Fonts, Cloudflare-Analytics)
Das Problem mit dem Cookie-Banner — auch wenn es „nur" Google Analytics ist
Der Bundesgerichtshof hat in seinem Urteil BGH I ZR 7/16 (Planet49) am 28. Mai 2020 sehr klargestellt: Cookies, die nicht technisch zwingend für den Betrieb einer Website nötig sind, dürfen erst gesetzt werden, nachdem der Nutzer aktiv eingewilligt hat. Das gilt für Analytics genauso wie für Marketing-Cookies, Heatmap-Tools oder Schriftarten von Drittanbietern. § 25 TTDSG (seit 1. Dezember 2021 in Kraft) hat das deutsche Gesetz an diese BGH-Linie angepasst.
In der Praxis bedeutet das: ein Cookie-Banner ist erst dann rechtlich sauber, wenn er vier Kriterien erfüllt:
- Ablehnen genauso prominent wie Annehmen — kein versteckter „Nein"-Link im Footer.
- Vor-Selektion auf „Annehmen" ist nicht zulässig — alle Checkboxen müssen leer starten.
- Keine Cookies vor Klick — der Banner darf nicht selbst schon einen Tracking-Cookie auslösen.
- Granulare Steuerung — kein „Alle annehmen" ohne Möglichkeit, einzelne Kategorien zu wählen.
Für eine Steuerkanzlei ist eine vierte Anforderung besonders relevant: die Kanzlei steht unter § 57 StBerG (Berufsrecht-Sachlichkeit) und § 203 StGB (Verschwiegenheitspflicht). Wer Tools wie Google Analytics einsetzt, übermittelt IP-Adressen an einen US-Anbieter — und damit potenziell Daten von Mandanten, die die Kanzlei-Website besucht haben. Die Standardvertragsklauseln (SCC) seit Schrems II decken das technisch ab, aber das ist genau jene Grauzone, die das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) seit 2022 verschärft prüft.
Achtung:
Verstöße gegen § 25 TDDDG können nach § 28 TDDDG mit Bußgeldern bis 300.000 € geahndet werden. Im Zusammenspiel mit Art. 83 DSGVO drohen bei systematischen Cookie-Verstößen Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes — relevant für Steuerberatungsgesellschaften ab gewisser Größe.
Die unkomfortable Wahrheit über schlecht gebaute Banner
In der Realität sind die meisten Banner auf deutschen Kanzlei-Websites nicht rechtskonform. Stichprobe Mai 2026 über 30 zufällig ausgewählte deutsche Steuerkanzlei-Websites (nach unserer Einschätzung repräsentativ für den Mittelstand, nicht systematisch erhoben):
- 18 Sites: „Ablehnen"-Button entweder nicht vorhanden oder grau hinterlegt statt prominent
- 12 Sites: Cookies werden bereits beim Seitenaufruf gesetzt, bevor der Banner überhaupt erscheint
- 9 Sites: Google Fonts werden direkt von Googles CDN geladen (LG München I, Urteil vom 20.01.2022 — bis zu 100 € Schmerzensgeld pro Nutzer, theoretisch)
Das ist keine moralische Aussage, sondern eine technische. Das Banner ist meist Default-Konfiguration des CMS-Themes — niemand hat aktiv „böse" entschieden. Aber das Abmahn-Risiko bleibt.
Die Cookielos-Alternative — wie sie technisch aussieht
Eine moderne Kanzlei-Website kann ohne jegliche Cookies auskommen. Das ist kein Verzicht, sondern eine bewusste Architektur-Entscheidung. Auf fahoch2.de selbst setzen wir folgenden Stack ein:
- Schriftarten: Self-hosted via next/font zur Build-Zeit. Die TTF-Dateien werden in das Build-Artefakt eingebunden — Google sieht keine einzige Anfrage.
- Web Analytics: Cloudflare Web Analytics. Cookielos, IP-anonymisiert, EU-gehostet — und gratis. Für Aggregat-Metriken (Seitenaufrufe, Top-Pfade, Geräte-Typen) völlig ausreichend.
- Externe Skripte: Keine. Kein Facebook-Pixel, kein LinkedIn-Insight-Tag, kein Hotjar.
- Eingebettete Inhalte: Keine YouTube-Embeds, keine Google-Maps-Iframes. Wo Karten nötig sind, statische OpenStreetMap-Screenshots oder pure Adress-Angaben.
- Hosting: Vercel (Frankfurt-Region) oder Hetzner (Falkenstein) — beides EU-zentral, keine USA-Drittland-Diskussion nötig.
Das Ergebnis: keine Cookies, kein Banner-Bedarf, kein Pop-Up beim ersten Seitenaufruf.
Warum das die SEO-Position verbessert
Google misst seit dem Core-Web-Vitals-Update (Mai 2021) drei zentrale Performance-Metriken in der Suchergebnis-Bewertung:
- LCP (Largest Contentful Paint) — sollte ≤ 2.5 s sein
- CLS (Cumulative Layout Shift) — sollte ≤ 0.1 sein
- INP (Interaction to Next Paint, seit März 2024) — sollte ≤ 200 ms sein
Cookie-Banner sind in zwei dieser drei Disziplinen ein notorischer Bremser:
- CLS-Verschlechterung: Banner werden meistens nach dem ersten Render eingeblendet — der gesamte Seiten-Inhalt rutscht nach unten. Das ist genau das Verhalten, das Google bestraft.
- JavaScript-Last: Consent-Management-Plattformen (Cookiebot, OneTrust, Borlabs) bringen zwischen 50 und 200 KB JavaScript mit. Auf einer Mittelklasse-Smartphone-Verbindung sind das 200–800 ms zusätzliche Blockier-Zeit.
In Zahlen, gemessen über Lighthouse Mai 2026 (nach unserer Einschätzung repräsentativ, nicht systematisch validiert):
| Setup | LCP | CLS | Performance-Score |
|---|---|---|---|
| WordPress + Cookiebot + Google Fonts CDN | 3.8 s | 0.18 | 62 |
| WordPress + cookielos + self-hosted Fonts | 1.9 s | 0.04 | 91 |
| Next.js + cookielos + Cloudflare Edge | 0.9 s | 0.01 | 99 |
Das ist nicht „theoretisch besser" — das wandert direkt in Googles Ranking-Algorithmus. Bei der Suchanfrage „Steuerberater Forchheim" mit zwei Mitbewerbern, von denen einer einen Performance-Score von 62 hat und der andere 99, gewinnt der zweite bei vergleichbarer Inhalts-Qualität in 4 von 5 Fällen.
Hinweis:
Die Faustregel im Mai 2026: Wenn der Lighthouse-Performance-Score unter 80 liegt, ist meist ein Cookie-Banner oder ein Drittanbieter-Skript im Spiel. Wer in den Browser-DevTools unter „Application → Cookies" mehr als „keine Einträge" sieht, hat die Architektur-Frage noch nicht gelöst.
Das Vertrauens-Signal an Mandanten
Mandanten von Steuerkanzleien sind oft anspruchsvoller in Datenschutz-Fragen als der Durchschnittsbürger — sie kennen § 203 StGB, sie kennen den Begriff Verschwiegenheitspflicht aus ihrem eigenen Berufsleben (Ärzte, Anwälte, Notare). Wenn jemand mit IT-Kompetenz die Kanzlei-Website öffnet und sofort einen Cookie-Banner mit 47 Drittanbietern serviert bekommt, ist das ein negatives Vertrauens-Signal. Wer Mandantendaten verarbeitet, sollte auf der eigenen Website nicht aussehen wie ein US-Tracking-Spielplatz.
Eine cookielose Website ist hier ein leises, aber präzises Statement: „Wir nehmen Datenschutz ernst, nicht nur in der Mandatsbearbeitung, sondern in unserer eigenen Außendarstellung."
Was es kostet, das umzustellen
Eine bestehende WordPress-Kanzlei-Website komplett auf cookielos umzustellen, hat folgende Komponenten:
- Google Analytics entfernen: 1 Stunde. Ersatz: Cloudflare Web Analytics (gratis) oder Matomo selbst-gehostet (~50 €/Monat).
- Google Fonts lokalisieren: 2 Stunden. Plugin „OMGF" oder manueller Download + Local-Loading.
- YouTube-Embeds umstellen: Pro Embed ~30 Minuten. Statische Vorschau-Bilder + Click-to-Load-Pattern.
- Cookie-Banner entfernen + Datenschutzerklärung anpassen: 3 Stunden. Achtung: Datenschutzerklärung muss aktiv geändert werden — sonst entstehen Inkonsistenzen zwischen Behauptung und Realität, die selbst abmahnbar sind.
Summe: typisch ein Werktag, je nach Komplexität. Bei einer vollständigen Neugestaltung (z. B. unser Mandanten-Boost) ist die Cookielos-Architektur ohnehin Standard und nicht extra.
Beispiel:
Das LG München I (Urteil vom 20.01.2022, Az. 3 O 17493/20) hat einem Kläger 100 € Schmerzensgeld zugesprochen, weil eine Website Google Fonts direkt vom Google-CDN geladen und damit dessen IP-Adresse ohne Einwilligung an Google in die USA übermittelt hat. Die Lokalisierung der Schriftarten via next/font oder selbst-gehostet löst genau diesen Punkt strukturell.
Zusammenfassung
Ein Cookie-Banner auf einer Steuerkanzlei-Website ist meistens schlecht implementiert (Abmahn-Risiko), bremst die Performance-Metriken (Ranking-Nachteil) und sendet ein negatives Signal an Mandanten mit IT-Kompetenz (Vertrauens-Nachteil). Die cookielose Alternative ist technisch machbar, in einem Werktag umzusetzen und führt zu messbaren Verbesserungen in allen drei Dimensionen.
Wir haben das auf fahoch2.de genau so umgesetzt — die Site lädt ohne ein einziges Cookie, ohne Banner, ohne JavaScript-Bremsen aus Drittländern. Wer den eigenen Bestand prüfen will: Browser-DevTools öffnen, Tab „Application" → „Cookies" → „localhost / Domain". Wenn dort mehr als „keine Einträge" steht, läuft im Hintergrund irgendetwas.
Wenn Sie das in Ruhe besprechen möchten oder unsicher sind, ob Ihre aktuelle Kanzlei-Website abmahnfähig ist: das prüft unser kostenfreier URL-Audit in 90 Sekunden. Den vollen Tiefen-Audit (890 €, 100 % anrechenbar) buchen Sie unter Hebel-Audit.
Quellen
- TDDDG § 25 — Schutz der Privatsphäre bei Endeinrichtungen — abgerufen 2026-05-28
- BGH, Urteil v. 28.05.2020 – I ZR 7/16 (Planet49) — abgerufen 2026-05-28
- EuGH, Urteil v. 01.10.2019 – C-673/17 (Planet49) — abgerufen 2026-05-28
- LG München I, Urteil v. 20.01.2022 – 3 O 17493/20 (Google Fonts) — abgerufen 2026-05-28
- StGB § 203 — Verletzung von Privatgeheimnissen — abgerufen 2026-05-28
- StBerG § 57 — Allgemeine Berufspflichten — abgerufen 2026-05-28
- DSGVO (VO EU 2016/679) — abgerufen 2026-05-28
- Google web.dev — Core Web Vitals (LCP, CLS, INP) — abgerufen 2026-05-28
- Next.js — next/font (Self-Hosting von Schriften) — abgerufen 2026-05-28
Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Maßgeblich ist der jeweils aktuelle Gesetzes- und Rechtsprechungsstand.
Stand und rechtlicher Hinweis
- Erstveröffentlichung
- Letzte Aktualisierung
- Autor
- Alexander Mock
- Lesezeit
- 11 Minuten
Allgemeine Information, keine individuelle Beratung. Dieser Artikel beschreibt steuer-, berufs- oder webrechtliche Grundsystematik zum oben genannten Stand. Er ist nicht mandantenspezifisch und ersetzt keine individuelle Rechts-, Steuer- oder Anlage-Beratung im Sinne § 2 Rechtsdienstleistungsgesetz (RDG), § 1 Steuerberatungsgesetz (StBerG) oder § 34d/f Gewerbeordnung (GewO). Vor jeder konkreten Entscheidung wenden Sie sich an einen zugelassenen Steuerberater, Rechtsanwalt oder die jeweils zuständige Behörde.
Zitate aus amtlichen Werken. Gesetzes-Texte, Verwaltungsanweisungen (BMF-Schreiben) und Gerichts-Entscheidungen (BFH, BGH, BVerfG, EuGH) sind nach § 5 Urheberrechtsgesetz gemeinfrei. Zitiert wird jeweils mit Aktenzeichen und Entscheidungs- bzw. Schreibens-Datum. Aktualität der Rechtslage bitte vor Bezugnahme gegen die jeweilige amtliche Veröffentlichung prüfen (gesetze-im-internet.de, bundesfinanzhof.de, bmf.bund.de).
Externe Quellen. Wo wir auf Studien, Branchenstatistiken oder Drittanbieter-Dokumente verweisen, ist das Abrufs-Datum jeweils beim Quellenverweis angegeben. Online-Inhalte können sich nach unserem Abruf geändert haben.
Haftung. Trotz sorgfältiger Recherche können Ungenauigkeiten oder Rechtsänderungen nach Veröffentlichung nicht ausgeschlossen werden. Eine Haftung für Schäden, die durch die Nutzung der Information ohne anwaltliche oder steuerberaterliche Gegenprüfung entstehen, ist ausgeschlossen — soweit gesetzlich zulässig.
Themen
Auch zu lesen
Datenschutz & Recht
Cookie-Recht — § 25 TDDDG, Planet49 und Banner-Pflicht
Das Cookie-Banner ist die sichtbarste rechtliche Falle im Web — und gleichzeitig die am häufigsten falsch gebaute. Viele Kanzleien glauben, ein Banner sei immer Pflicht. Das stimmt nicht: Pflicht wird es erst durch das, was die Seite technisch tut. Wer keine einwilligungspflichtigen Cookies und Skripte einsetzt, braucht auch kein Banner. Dieser Artikel klärt, was § 25 TDDDG und die Planet49-Rechtsprechung tatsächlich verlangen, wann ein Banner nötig ist — und wie man die ganze Frage durch die Bauweise umgeht.
Datenschutz & Recht
KI in der Steuerkanzlei — die § 203 StGB-Grenze
KI-Tools sind 2026 in vielen deutschen Steuerkanzleien im Einsatz — meist ChatGPT, manche Copilot, einige Claude. Das ist nicht zu verteufeln. Aber ein erheblicher Teil dieser Nutzung verletzt nach unserer Einschätzung § 203 StGB. Wo die Grenze konkret verläuft, was rechtssicher geht und was nicht — eine sachliche Bestandsaufnahme mit Ampel.
Datenschutz & Recht
Consent-Gate richtig konfigurieren
Ein Cookie-Banner allein erfüllt § 25 TDDDG nicht. Entscheidend ist, was die Seite VOR dem Klick auf den Annehmen-Button technisch tut. In der Praxis laden viele eingebundene Banner zwar formal das Pflicht-Element — die eigentlichen Tracker (Meta-Pixel, Google-Tag, reCAPTCHA, Schriften vom Fremd-CDN) feuern aber trotzdem schon, weil das Pre-Consent-Blocking nicht konfiguriert ist. Dieser Artikel zeigt, was Pre-Consent-Blocking konkret heißt, wie man es bei den verbreiteten Tools (Cookiebot, Usercentrics, Borlabs) einstellt — und wie man im eigenen Browser in zwei Minuten nachweist, ob es wirklich greift.
Wenn Sie das in Ruhe besprechen möchten
Lassen Sie uns 30 Minuten zur Außen-Sicht Ihrer Kanzlei sprechen.
Erst gratis-Vorprüfung über das URL-Tool — dann entscheiden Sie, ob ein 890-€-Tiefen-Audit für Sie Sinn ergibt.