Cookie-Banner 2026: § 25 TDDDG + Art. 6 DSGVO korrekt umsetzen

1. § 25 TDDDG vs. Art. 6 DSGVO — was gilt wann?

Kurzantwort: Für jedes Cookie und jedes vergleichbare Tag gelten in Deutschland zwei getrennte Prüfungen: § 25 TDDDG entscheidet über den Zugriff auf das Endgerät, Art. 6 DSGVO über die anschließende Verarbeitung der dabei gewonnenen Daten. Beide Stufen brauchen eine eigene Rechtsgrundlage.

Maßgeblich ist in Deutschland das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz); die Cookie-Regel steht dort in § 25. Nach der Orientierungshilfe Digitale Dienste der Datenschutzkonferenz (v1.2, November 2024, Rn. 6) entspricht § 25 TDDDG inhaltlich seiner Vorgängernorm; geändert wurde die Begrifflichkeit („digitale Dienste“ statt „Telemedien“).

Zwei-Stufen-Test:

1. Stufe 1 — § 25 TDDDG: Darf ich überhaupt etwas auf dem Endgerät des Nutzers speichern/lesen? Nach § 25 Abs. 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat; Information und Einwilligung haben nach den Vorgaben der DSGVO zu erfolgen. Ohne Einwilligung geht es nur in den beiden Fällen des § 25 Abs. 2 TDDDG: wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist, oder wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.
2. Stufe 2 — Art. 6 DSGVO: Wenn ja, darf ich die Daten anschließend verarbeiten? Art. 6 Abs. 1 DSGVO lässt eine Verarbeitung nur zu, wenn mindestens einer von sechs Erlaubnistatbeständen erfüllt ist: Einwilligung (lit. a), Vertrag oder vorvertragliche Maßnahmen (lit. b), rechtliche Verpflichtung (lit. c), lebenswichtige Interessen (lit. d), öffentliches Interesse oder öffentliche Gewalt (lit. e), berechtigte Interessen (lit. f). Buchstabe f gilt nicht für die Verarbeitung, die Behörden in Erfüllung ihrer Aufgaben vornehmen.

Beide Stufen müssen separate Rechtsgrundlagen haben. § 25 erlaubt nur zwei Wege: technische Notwendigkeit oder Einwilligung. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) reicht für § 25 NICHT. Wo die Einwilligung der Weg ist, kommt auf Stufe 2 Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage in Betracht.

2. EuGH + BGH: was ist entschieden

Kurzantwort: Fünf Leitentscheidungen prägen die Banner-Praxis: EuGH C-673/17 Planet49 (vorab-aktivierte Checkbox unwirksam), BGH I ZR 7/16 Cookie-II (Opt-In zwingend ins deutsche Recht übernommen), EuGH C-252/21 Meta-Bundeskartellamt (personalisierte Werbung nicht „vertragsnotwendig"), OVG Lüneburg 14 LA 1/24 (visuell hervorgehobener „Akzeptieren"-Button als Dark Pattern) und EuGH C-446/21 Schrems-Werbung (Targeting-Einschränkungen für sensible Daten).

Für die Konfiguration folgt daraus zweierlei. Erstens die Voreinstellung: Alle einwilligungsbedürftigen Kategorien starten deaktiviert (Default-Off, EuGH C-673/17 Planet49). Zweitens der Sonderfall sensibler Daten: Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung von Daten, aus denen etwa ethnische Herkunft, politische Meinungen oder religiöse Überzeugungen hervorgehen, sowie die Verarbeitung von Gesundheitsdaten oder Daten zum Sexualleben grundsätzlich untersagt; Ausnahmen nennt Art. 9 Abs. 2 DSGVO, darunter die ausdrückliche Einwilligung. Ein Werbe-Targeting, das solche Merkmale ansteuert oder aus Profilen ableitet, braucht deshalb eine eigene Prüfung.

3. 7 Banner-Pflichten 2026

Kurzantwort: Ein Cookie-Banner muss 2026 sieben Pflichten erfüllen: Banner vor jedem nicht-essentiellen Tag, Equal Choice (Akzeptieren/Ablehnen gleich groß und prominent), granulare Kategorien-Auswahl, transparente Anzeige von Zweck/Anbieter/Drittlandtransfer/Speicherdauer pro Cookie, ebenso einfacher Widerruf wie Einwilligung (Art. 7 Abs. 3 DSGVO), nachweisbares Consent-Logging (Art. 7 Abs. 1 DSGVO) und Re-Consent bei Tag-Änderung.

1. Vor jedem nicht-essentiellen Tag Banner zeigen — vor der Auswahl darf kein einziges nicht-essentielles Tag feuern; im frischen Browser-Profil ohne bestehende Cookies gegenprüfen (Audit-Punkt 1). Warum: § 25 Abs. 1 TDDDG setzt die Einwilligung vor das Speichern und Auslesen selbst; ob die Daten später ausgewertet werden, ist eine eigene Frage nach Art. 6 DSGVO. Fundstelle: § 25 Abs. 1 TDDDG
2. Equal Choice: Akzeptieren/Ablehnen gleich groß, gleich farbig, gleicher Kontrast. Warum: Die visuelle Hervorhebung des "Akzeptieren"-Buttons ist als Dark Pattern beanstandet worden (OVG Lüneburg 14 LA 1/24, siehe Abschnitt 2). Prüfschritt: beide Optionen auf derselben Ebene, gleiche Fläche, gleicher Kontrast.
3. Granular: Kategorien (Statistik / Marketing / Externe Medien) einzeln wählbar. Warum: Information und Einwilligung haben nach § 25 Abs. 1 TDDDG den Vorgaben der DSGVO zu folgen — eine pauschale Zustimmung über alle Kategorien hinweg kann der Nutzer nicht steuern, sondern nur hinnehmen. Fundstelle: § 25 Abs. 1 TDDDG
4. Transparenz: Zweck, Anbieter, Drittlandtransfer, Speicherdauer pro Cookie sichtbar. Warum: § 25 Abs. 1 TDDDG macht die Einwilligung von klaren und umfassenden Informationen abhängig; die Garantie für den Drittlandtransfer gehört zusätzlich in die Dokumentation (Abschnitt 8). Fundstelle: § 25 Abs. 1 TDDDG
5. Widerruf so einfach wie Einwilligung (Art. 7 Abs. 3 DSGVO) — Praxisempfehlung: Re-Open-Link im Footer. Warum: Die betroffene Person kann jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Fundstelle: Art. 7 Abs. 3 DSGVO
6. Consent-Logging: wer/wann/welcher Status — 3 Jahre aufbewahren (Beweislast). Warum: Art. 7 Abs. 1 DSGVO verlangt, dass der Verantwortliche die Einwilligung nachweisen kann. Achtung: Die Aufbewahrungsdauer von 3 Jahren ist eine Praxisempfehlung aus der Beweisführung — Art. 7 Abs. 1 DSGVO verlangt die Nachweisbarkeit, nennt aber keine Frist. Fundstelle: Art. 7 Abs. 1 DSGVO
7. Re-Consent nach 6-12 Monaten oder bei Tag-Änderung. Achtung: Auch das ist ein Praxis-Rhythmus, keine gesetzliche Frist — eine gesetzliche Gültigkeitsdauer der Einwilligung gibt es nicht (Einordnung siehe FAQ). Vom Rhythmus unabhängig ist der Anlassfall: Ändert sich das Tag-Set, deckt die alte Information die neue Lage nicht mehr — die Einwilligung ist dann neu einzuholen (§ 25 Abs. 1 TDDDG).

4. Dark Patterns die teuer werden

Kurzantwort: Behörden und Gerichte sanktionieren fünf typische Dark Patterns: hervorgehobener Zustimmungs-Button, Cookie-Wall ohne gleichwertige Alternative, verstecktes Ablehnen, Tracking auf berechtigtes Interesse gestützt, Scrollen als Zustimmung. Zu jedem Muster steht die konforme Alternative.

• "OK"-Button bunt + "Mehr Optionen" als grauer Link — widerspricht dem Equal-Choice-Prinzip (Abschnitt 3, Pflicht 2); zur visuellen Hervorhebung als Dark Pattern siehe Abschnitt 2. Stattdessen: beide Optionen als gleichwertige Schaltflächen auf der ersten Ebene.
• Cookie-Wall ohne Pay-Alternative — EDSA Stellungnahme 08/2024 unwirksam. Stattdessen: echte gleichwertige Alternative mit transparentem Preis.
• Verstecktes Ablehnen hinter mehreren Klicks — widerspricht dem Equal-Choice-Prinzip (Abschnitt 3, Pflicht 2); Bußgeldrahmen siehe Abschnitt 9. Stattdessen: "Ablehnen" mit derselben Klicktiefe wie "Akzeptieren".
• "Berechtigtes Interesse" für Tracking — § 25 TDDDG verlangt Einwilligung, kein berecht. Interesse. Stattdessen: Einwilligung einholen oder das Tag entfernen; ohne Einwilligung bleiben nur die beiden Ausnahmen des § 25 Abs. 2 TDDDG.
• "Indem Sie weiterscrollen" stimmen Sie zu — keine aktive Handlung, unwirksam. Stattdessen: aktive Auswahl abwarten; bis dahin lädt kein nicht-essentielles Tag.

5. Tools-Vergleich (DACH-Markt)

Kurzantwort: Die Tabelle vergleicht fünf im DACH-Raum angebotene Banner-Tools: Borlabs Cookie, Cookiebot, Usercentrics, Iubenda und Real Cookie Banner. Sie nennt je Tool Einstiegspreis, Serverstandort (mit Selfhosting-Hinweis, wo verfügbar), TCF-2.2-Unterstützung (nur Cookiebot und Usercentrics) und eine Einsatzempfehlung. Ob ein Tool Ihre Pflichten trägt, entscheiden zusätzlich drei Punkte unterhalb der Tabelle.

Preis- und Funktionsangaben dieser Tabelle sind der Stand der Vorfassung dieses Artikels (Stand 02.05.2026) — Konditionen ändern sich, prüfen Sie sie vor der Auswahl beim Anbieter.

Unabhängig vom Produkt entscheiden drei Punkte darüber, ob das Werkzeug Ihre Pflichten trägt: die Nachweisfähigkeit (lässt sich je Nutzer, Zeitpunkt und Kategorie belegen, was zugestimmt wurde?), die Auftragsverarbeitung (verarbeitet der Anbieter Daten in Ihrem Auftrag?) und der Drittlandbezug (wohin fließen die Daten, und mit welcher Garantie?). Was daraus an Dokumentations- und Vertragspflichten folgt, steht in Abschnitt 8.

6. 12-Punkte-Banner-Audit

Kurzantwort: Der Audit prüft in zwölf Punkten Bannerauslieferung, Auswahlgleichheit, Transparenz je Cookie, Widerruf, Consent-Speicherung und Tag-Manager-Konfiguration. Zwei Punkte sind K.-o.-Kriterien: Lädt vor der Auswahl ein Tag (Punkt 1) oder steht der Tag-Manager-Default nicht auf denied (Punkt 10), ist der Rest der Konfiguration ohne Wirkung.

1. Erscheint Banner VOR jedem Marketing-Tag?
2. "Ablehnen" gleich prominent wie "Akzeptieren"?
3. Granulare Kategorien (mind. 3) wählbar?
4. Pro Cookie: Anbieter, Zweck, Speicherdauer sichtbar?
5. Drittlandtransfer (USA, UK) explizit kommuniziert?
6. Re-Open-Link im Footer ("Cookie-Einstellungen")?
7. Consent in CMP gespeichert (Praxis: 3 Jahre, Einordnung Abschnitt 3)?
8. Re-Consent-Logik als Praxis-Rhythmus von 6-12 Monaten vorgesehen (keine gesetzliche Frist, Einordnung Abschnitt 3)?
9. Banner mobil testbar (Equal Choice in Portrait)?
10. Tag-Manager-Integration: Default = denied?
11. Google Consent Mode v2 implementiert?
12. Datenschutzerklärung verlinkt + sichtbar?

Prüfen Sie die Punkte 1 und 10 zuerst — den Prüfschritt im frischen Browser-Profil beschreibt Abschnitt 3, Pflicht 1; die Norm dahinter ist § 25 Abs. 1 TDDDG. Die Punkte 7 und 8 sind Nachweis- und Rhythmus-Fragen (Einordnung in Abschnitt 3). Praxis-Rhythmus (Empfehlung, keine gesetzliche Frist): den Audit quartalsweise wiederholen und zusätzlich anlassbezogen, sobald ein Tag, ein Dienstleister oder eine Kategorie dazukommt.

7. Österreich: § 165 TKG 2021 statt § 25 TDDDG

Kurzantwort: In Österreich gilt § 25 TDDDG nicht — der Zugriff auf Endeinrichtungen richtet sich dort nach § 165 TKG 2021, der für Tracking-Cookies ebenfalls Opt-In verlangt. Die DSGVO gilt in beiden Ländern unmittelbar; Art. 6, Art. 7 und Art. 9 DSGVO gelten dort unverändert. Unterschiedlich ist der nationale Überbau: Erlaubnisnorm, Aufsichtsbehörde und die ergänzenden nationalen Strafbestimmungen.

Die folgende Tabelle nennt je Rechtsraum die einschlägige Norm.

Nicht zum Banner gehört der Newsletter-Versand — dafür gelten in Österreich Art. 6 DSGVO und § 174 TKG 2021 (unerbetene Nachrichten) mit Einwilligung bzw. Double-Opt-In. Praxisempfehlung für Sites, die beide Rechtsräume bedienen: die Banner-Konfiguration einheitlich führen, Erlaubnisnorm und zuständige Behörde aber je Land getrennt dokumentieren.

8. Dokumentation: was die Aufsicht sehen will

Kurzantwort: Das Banner ist nur die sichtbare Hälfte. Nachweisbar sein müssen zusätzlich die Einwilligung selbst (Art. 7 Abs. 1 DSGVO), der Vorgang im Verarbeitungsverzeichnis (Art. 30 DSGVO), der Vertrag mit dem Dienstleister, soweit dieser im Auftrag verarbeitet (Art. 28 DSGVO), die fristgerechte Reaktion auf Betroffenenanträge (Art. 12 Abs. 3 DSGVO) und — falls Ihr Tracking-Setup ein voraussichtlich hohes Risiko birgt — die Datenschutz-Folgenabschätzung selbst (Art. 35 Abs. 1 DSGVO).

• Einwilligungsnachweis: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat Art. 7 Abs. 1 DSGVO. Das ist die gesetzliche Wurzel des Consent-Logs aus Abschnitt 3.
• Eintrag im Verarbeitungsverzeichnis: Der Cookie-Banner gehört zu den typischen Verarbeitungstätigkeiten eines KMU. Aufzunehmen sind unter anderem Empfängerkategorien, Drittlandübermittlungen samt Garantie (Standardvertragsklauseln, Data Privacy Framework, Binding Corporate Rules), geplante Löschfristen und der Verweis auf das TOM-Konzept — Details im Artikel Verarbeitungsverzeichnis erstellen.
• Auftragsverarbeitung: Soweit die Consent-Management-Plattform oder das Analyse-Tool personenbezogene Daten in Ihrem Auftrag verarbeitet, dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten Art. 28 Abs. 1 DSGVO, und brauchen einen Vertrag mit dem Mindestinhalt nach Art. 28 Abs. 3 DSGVO — Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen.
• Betroffenenanträge: Fragt jemand nach seinen Consent-Daten, gilt die Frist des Art. 12 Abs. 3 DSGVO: unverzüglich, in jedem Fall binnen eines Monats nach Eingang; Verlängerung um zwei Monate bei Komplexität oder Antragszahl, aber nur mit Unterrichtung samt Gründen innerhalb des ersten Monats.
• Folgenabschätzung prüfen: Ob Ihr Tracking-Setup eine Datenschutz-Folgenabschätzung auslöst, entscheidet Art. 35 Abs. 1 DSGVO (voraussichtlich hohes Risiko) anhand der Regelbeispiele in Abs. 3 — systematische umfassende Bewertung persönlicher Aspekte mit Rechtswirkung, umfangreiche Verarbeitung besonderer Kategorien, systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Die Prüfreihenfolge in Aufsichtsverfahren folgt erfahrungsgemäß einem wiederkehrenden Muster (Praxisbeobachtung, keine amtliche Vorgabe): Verarbeitungsverzeichnis, dann Auftragsverarbeitungsverträge, dann TOM-Konzept, dann Datenschutz-Folgenabschätzung. Wer den Banner sauber gebaut, ihn aber nirgends dokumentiert hat, fällt bereits im ersten Schritt auf.

9. Bußgeldrahmen und Zuständigkeit

Kurzantwort: Welcher Bußgeldrahmen gilt, hängt vom Verstoßtyp ab. Verstöße gegen die Grundsätze der Verarbeitung, gegen die Rechtsgrundlagen und die Einwilligungsbedingungen (Art. 5, 6, 7, 9 DSGVO) sowie gegen die Betroffenenrechte (Art. 12 bis 22 DSGVO) fallen unter Art. 83 Abs. 5 DSGVO — bis 20 Mio. EUR oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Verstöße gegen Pflichten u. a. aus Art. 25 bis 39 DSGVO — darunter Auftragsverarbeitung, Verzeichnis und Folgenabschätzung — fallen unter Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. EUR oder 2 %.

Neben Art. 83 DSGVO enthält das TDDDG einen eigenen Bußgeldtatbestand: Ordnungswidrig handelt, wer entgegen § 25 Abs. 1 Satz 1 TDDDG eine Information speichert oder auf eine Information zugreift (§ 28 Abs. 1 Nr. 13 TDDDG); die Geldbuße beträgt bis zu 300.000 EUR (§ 28 Abs. 2 TDDDG). Für die Praxis entscheidend ist die Gestaltung des Banners: keine Speicherung und kein Auslesen vor der Einwilligung, "Ablehnen" gleichwertig zu "Akzeptieren" und ein nachweisbares Consent-Log (Abschnitte 3 und 6).

Zuständig ist in Deutschland für nichtöffentliche Stellen — also für Unternehmenswebsites — die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG). Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist nur für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). In Österreich ist die Datenschutzbehörde als nationale Aufsichtsbehörde nach Art. 51 DSGVO eingerichtet (§ 18 Abs. 1 DSG) und entscheidet auch über die Verwaltungsstrafen nach § 62 DSG.