Cookie-Consent richtig umsetzen: DSGVO, TDDDG und was Google verlangt

Cookie Consent und DSGVO werden in fast jeder Diskussion in einen Topf geworfen. Das ist der Grund, warum so viele Banner an einer Stelle passen und an zwei anderen nicht: Drei Regelwerke gelten gleichzeitig und verlangen jeweils etwas anderes.

Wer die drei sauber trennt, spart sich zwei Sorten Ärger: Einwilligungen, die im Zweifel unwirksam sind, und Einwilligungen, die man gar nicht gebraucht hätte.

Cookie Consent nach DSGVO, TDDDG und Google: wer verlangt was

Die DSGVO regelt, ob du personenbezogene Daten verarbeiten darfst und auf welcher Grundlage. Für Analytics und Werbung ist das in der Praxis die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a, plus Artikel 7 Absatz 3: Der Widerruf muss so einfach sein wie die Erteilung. Was die DSGVO nicht verlangt: eine Einwilligung für jede Verarbeitung. Kontaktformular, Bestellabwicklung und Serverlogs laufen über andere Rechtsgrundlagen.

Das TDDDG setzt eine Ebene davor an. Seit dem 14. Mai 2024 heißt das Gesetz nicht mehr TTDSG, sondern Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG. Der entscheidende Paragraf blieb inhaltlich gleich. § 25 Absatz 1 erlaubt die Speicherung von Informationen in der Endeinrichtung oder den Zugriff auf bereits gespeicherte Informationen nur mit Einwilligung. Der wichtigste Punkt: § 25 greift unabhängig davon, ob personenbezogene Daten anfallen. Local Storage zählt wie ein Cookie, ein Fingerprinting-Skript ohne jede ID auch. Wer argumentiert, es seien ja keine personenbezogenen Daten im Spiel, hat § 25 schlicht übersehen. Was das TDDDG nicht regelt: was danach mit den Daten passiert. Das ist wieder DSGVO. Ein Verstoß gegen § 25 Absatz 1 Satz 1 kann nach § 28 TDDDG mit bis zu 300.000 Euro geahndet werden. Das ist nicht die Obergrenze: Der DSGVO-Rahmen nach Artikel 83 Absatz 5 mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes kommt obendrauf.

Google ist kein Gesetzgeber, sondern Vertragspartner. Seit dem 6. März 2024 verlangt Google über seine EU-Nutzereinwilligungsrichtlinie von Werbetreibenden im EWR und in Großbritannien den Consent Mode v2 mit vier Signalen: ad_storage, analytics_storage, ad_user_data und ad_personalization. In Googles Entwicklerdokumentation steht ausdrücklich, dass standardmäßig keine Werte gesetzt sind. Du musst die Defaults also selbst auf denied setzen, bevor ein Tag feuert. Was der Consent Mode nicht leistet: Er macht dein Banner nicht rechtmäßig, er sorgt nur dafür, dass Google die Einwilligung mitbekommt.

Was ohne Einwilligung erlaubt bleibt

Jede Funktion, die unnötig hinter dem Banner landet, kostet Reichweite. § 25 Absatz 2 Nummer 2 nimmt aus, was unbedingt erforderlich ist, um den vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Die Entscheidungsregel dafür hat zwei Stufen. Erstens: Liest oder schreibt das Skript etwas auf dem Endgerät? Wenn nein, ist § 25 raus und nur die DSGVO zuständig. Wenn ja, zweitens: Ist der Zugriff technisch nötig für genau die Funktion, die der Nutzer gerade ausgelöst hat? Wenn nein, brauchst du die Einwilligung. Wenn ja, darf er einwilligungsfrei laufen, aber nur so lange und mit so wenig Inhalt wie nötig. Die Aufsichtsbehörden prüfen dabei vier Dimensionen: Zeitpunkt des Setzens, Laufzeit, Inhalt und setzende Domain.

Die Datenschutzkonferenz trennt in ihrer Orientierungshilfe für Anbieter digitaler Dienste, Version 1.2 vom November 2024, Basisdienst und Zusatzfunktionen. Ohne Einwilligung dürfen laufen: Session-Cookies für den Betrieb, Log-in und Authentifizierung, Lastverteilung, Systeme zur Betrugsprävention und IT-Sicherheit, die Speicherung der Einwilligungsentscheidung selbst.

Zwei Feinheiten daraus kennt kaum jemand. Erstens: Das Warenkorb-Cookie ist nach Auffassung der Aufsichtsbehörden erst dann unbedingt erforderlich, wenn tatsächlich ein Artikel in den Warenkorb gelegt wurde. Beim bloßen Stöbern im Shop nicht. Ein Shop, der die Warenkorb-Session schon auf der Startseite anlegt, hat genau hier einen Befund. Zweitens: Wirtschaftliche Erforderlichkeit zählt nicht. Dass sich dein Geschäftsmodell ohne Tracking schlechter rechnet, begründet laut Orientierungshilfe keine Ausnahme.

Und die ehrliche Grenze: Für Reichweitenmessung gibt es keinen Freifahrtschein. Die Datenschutzkonferenz trifft dazu bewusst keine Pauschalaussage, weil der Begriff zu unbestimmt ist und der konkrete Zweck entscheidet. Eine reine Zählung von Seitenaufrufen aus Logfiles ohne Zugriff aufs Endgerät fällt gar nicht erst unter § 25. Sobald IDs im Spiel sind, brauchst du die Einwilligung. Auch bei selbst gehosteten Werkzeugen.

Häufige Fehler, mit Ursache und Folge

Ablehnen ist versteckt oder schwächer. Das Verwaltungsgericht Hannover hat am 19. März 2025 unter dem Aktenzeichen 10 A 5385/22 entschieden, dass ein Banner mit “Alle akzeptieren” auch eine gleichwertige Ablehnen-Schaltfläche auf der ersten Ebene braucht. Das Gericht hielt im selben Verfahren fest, dass der Google Tag Manager einwilligungspflichtig ist. Die Datenschutzkonferenz ist differenzierter als viele Zusammenfassungen: Allein eine andere Farbwahl kippt die Freiwilligkeit nicht zwangsläufig. Klar unzulässig ist dagegen eine Schaltfläche “Einstellungen oder Ablehnen”, die erst auf eine zweite Ebene führt. Folge: Die eingeholten Einwilligungen sind unwirksam, das Tracking dahinter ungedeckt.

Skripte laden vor der Einwilligung. Der häufigste technische Befund. Das Banner sieht sauber aus, aber Tag Manager, Analytics-Skript oder Chat-Widget starten schon beim Seitenaufruf. Ursache ist fast immer, dass die Tags im Quelltext hart eingebunden sind statt über den Consent-Status gesteuert.

Der Consent-Cookie ist selbst das Problem. Viele Consent-Plattformen setzen einen Cookie mit eindeutiger Benutzerkennung, obwohl für das Speichern des Einwilligungsstatus keine ID nötig ist. Die Datenschutzkonferenz benennt genau das: Es dränge sich der Verdacht auf, derselbe Cookie werde auch für Marketingzwecke des Anbieters genutzt. Wer sein Tool ohnehin prüft, schaut sich auch europäische Alternativen an.

“Weitersurfen gilt als Zustimmung”. Steht immer noch auf zu vielen Seiten und war schon nach dem Planet49-Urteil des Bundesgerichtshofs von 2020 nicht haltbar. Scrollen ist keine bestätigende Handlung.

Kein Widerruf. Ohne dauerhaft erreichbaren Link zurück in die Einstellungen verletzt du Artikel 7 Absatz 3 DSGVO. Ein Footer-Link reicht, er muss nur das Banner wieder öffnen.

Google Fonts vom CDN. Das Landgericht München I sprach am 20. Januar 2022 unter dem Aktenzeichen 3 O 17493/20 einem Kläger 100 Euro Schadensersatz zu, weil eine Website Schriften dynamisch von Google-Servern nachlud und damit die IP-Adresse übertrug. Danach lief eine Abmahnwelle, die spätere Gerichte allerdings überwiegend als rechtsmissbräuchlich einstuften. Am Fix ändert das nichts, er dauert zehn Minuten: Schriften lokal ausliefern.

Karten und Videos ohne Platzhalter. Ein eingebettetes YouTube-Video baut die Verbindung beim Laden der Seite auf, nicht beim Klick auf Play. Solche Inhalte gehören hinter einen Platzhalter, der erst nach Einwilligung nachlädt.

Dein Banner in fünf Minuten selbst prüfen

Neues privates Fenster, Entwicklertools mit F12 öffnen, dann Seite laden und zunächst nichts anklicken.

1. Netzwerk-Tab, Cache deaktivieren, filtern nach googletagmanager.com, google-analytics.com, fonts.gstatic.com, connect.facebook.net, doubleclick.net, youtube.com. Jeder Treffer vor deinem ersten Klick ist ein Befund.
2. Tab “Anwendung”, Bereich Cookies und Local Storage: Dort darf vor dem Klick nur stehen, was den Dienst technisch trägt. Einträge wie _ga, _gid, _fbp oder IDE gehören nicht dazu.
3. Consent-Eintrag anschauen: Steht darin eine eindeutige Nutzer-ID? Für den reinen Einwilligungsstatus braucht es keine.
4. Konsole öffnen, dataLayer ausgeben und nach dem consent-Eintrag suchen. Alle vier Signale müssen vor dem Klick auf denied stehen.
5. Fenster auf 375 Pixel Breite ziehen: Ist der Ablehnen-Button ohne Scrollen sichtbar und optisch vergleichbar?
6. Footer-Link suchen und anklicken: Öffnet sich das Banner erneut und lässt sich alles widerrufen?
7. Karte oder Video anklicken: Lädt der Inhalt wirklich erst jetzt nach?
8. Cookie-Liste in der Datenschutzerklärung gegen das abgleichen, was tatsächlich im Browser landet.

Auf einer normalen Unternehmensseite sind die Befunde meist in einem halben bis einem Tag abgearbeitet. Im Shop dauert es länger, weil Zahlungsanbieter, Bewertungssystem, Chat, Retargeting und A/B-Testing einzeln zugeordnet und blockiert werden müssen. Grob überschlagen aus unseren Projekten: zwei bis vier Tage. Rechne danach mit einer Lücke im Tracking und arbeite mit Googles modellierten Werten.

Ab wann sich eine kommerzielle Consent-Plattform gegenüber einer selbst gebauten Lösung rechnet, ist ein Erfahrungswert aus unseren Projekten und keine belegte Zahl: bis etwa fünf einwilligungspflichtige Drittdienste selbst bauen, ab etwa zwölf kaufen. Nicht der Bau ist der Kostenblock, der dauert in beiden Fällen ähnlich lange, sondern die laufende Pflege der Cookie-Liste und im Nachweis, welche Banner-Version wann welche Einwilligung eingeholt hat. Dazwischen entscheidet, wie oft sich dein Tag-Bestand ändert.

Wann du das Banner besser nicht anfasst. Mitten im Relaunch mit laufender Tag-Migration. Wer Consent-Logik gegen eine Tag-Landschaft debuggt, die sich täglich ändert, weiß am Ende nicht, ob der Fehler im Banner, im Tag Manager oder im neuen Template sitzt. Erst die Tags festziehen, dann das Consent-Setup dagegen prüfen. Kostet zwei Wochen Geduld und spart mehrere Tage Fehlersuche.

Was sich gerade bewegt

Seit dem 1. April 2025 gilt die Einwilligungsverwaltungsverordnung, kurz EinwV. Sie schafft den Rahmen für anerkannte Dienste, über die Nutzer ihre Einwilligung zentral verwalten. Im Register des BfDI steht seit dem 17. Oktober 2025 mit Consenter genau ein Dienst. Für dein Banner ändert das heute nichts.

Auf EU-Ebene läuft der Digital Omnibus. Die Kommission hatte im November 2025 ein maschinenlesbares Browsersignal vorgeschlagen, das Banner überflüssig machen sollte. Nach Berichten von noyb hat der Rat diesen Artikel im Juni 2026 aus seinem Kompromisstext gestrichen, das Parlament hat noch keine Position bezogen. Warte also nicht darauf.

Dieser Beitrag gibt unsere Projektpraxis wieder und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung deines Falls fragst du einen Fachanwalt für IT-Recht oder deinen Datenschutzbeauftragten.

Hat deine Prüfliste mehr Befunde als Haken, bauen wir Consent-Setups im Rahmen unserer Webentwicklung so um, dass Recht und Messung beide funktionieren. Sortieren lässt sich der Stapel aber zuerst, mit deinem Banner und offenen Entwicklertools. Genau dafür ist die Fokus-Session da, 60 Minuten lang: Was lädt bei dir vor der Einwilligung, welche Befunde löst du technisch, welche gehören in die Rechtsberatung?