Cookie-Banner 2026: § 25 TDDDG + Art. 6 DSGVO korrekt umsetzen

1. § 25 TDDDG vs. Art. 6 DSGVO — was gilt wann?

Seit 14.05.2024 heißt das Gesetz nicht mehr TTDSG, sondern TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Der materielle Inhalt von § 25 ist unverändert.

Zwei-Stufen-Test:

1. Stufe 1 — § 25 TDDDG: Darf ich überhaupt etwas auf dem Endgerät des Nutzers speichern/lesen?
2. Stufe 2 — Art. 6 DSGVO: Wenn ja, darf ich die Daten anschließend verarbeiten?

Beide Stufen müssen separate Rechtsgrundlagen haben. § 25 erlaubt nur zwei Wege: technische Notwendigkeit oder Einwilligung. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) reicht für § 25 NICHT.

2. EuGH + BGH: was ist entschieden

Kurzantwort: Fünf Leitentscheidungen prägen die Banner-Praxis: EuGH C-673/17 Planet49 (vorab-aktivierte Checkbox unwirksam), BGH I ZR 7/16 Cookie-II (Opt-In zwingend ins deutsche Recht übernommen), EuGH C-252/21 Meta-Bundeskartellamt (personalisierte Werbung nicht „vertragsnotwendig"), OVG Lüneburg 14 LA 1/24 (visuell hervorgehobener „Akzeptieren"-Button als Dark Pattern) und EuGH C-446/21 Schrems-Werbung (Targeting-Einschränkungen für sensible Daten).

3. 7 Banner-Pflichten 2026

Kurzantwort: Ein rechtskonformer Cookie-Banner muss 2026 sieben Pflichten erfüllen: Banner vor jedem nicht-essentiellen Tag, Equal Choice (Akzeptieren/Ablehnen gleich groß und prominent), granulare Kategorien-Auswahl, transparente Anzeige von Zweck/Anbieter/Drittlandtransfer/Speicherdauer pro Cookie, ebenso einfacher Widerruf wie Einwilligung (Art. 7 Abs. 3 DSGVO), Consent-Logging über 3 Jahre und Re-Consent nach 6-12 Monaten oder bei Tag-Änderung.

1. Vor jedem nicht-essentiellen Tag Banner zeigen — kein "Walking-Cookie" laden
2. Equal Choice: Akzeptieren/Ablehnen gleich groß, gleich farbig, gleicher Kontrast
3. Granular: Kategorien (Statistik / Marketing / Externe Medien) einzeln wählbar
4. Transparenz: Zweck, Anbieter, Drittlandtransfer, Speicherdauer pro Cookie sichtbar
5. Widerruf so einfach wie Einwilligung (Art. 7 Abs. 3 DSGVO) — Re-Open-Link im Footer Pflicht
6. Consent-Logging: wer/wann/welcher Status — 3 Jahre aufbewahren (Beweislast)
7. Re-Consent nach 6-12 Monaten oder bei Tag-Änderung

4. Dark Patterns die teuer werden

Kurzantwort: Behörden und Gerichte sanktionieren fünf typische Dark Patterns: bunter „OK"-Button mit grauem „Mehr Optionen"-Link (VG Berlin 2024), Cookie-Walls ohne Pay-Alternative (EDPA-Stellungnahme 08/2024), verstecktes Ablehnen hinter mehreren Klicks (DSK-Bußgelder bis 50.000 EUR), „berechtigtes Interesse" als Tracking-Rechtsgrundlage (§ 25 TDDDG verlangt Einwilligung) und Scrollen als Zustimmung (keine aktive Handlung, unwirksam).

• "OK"-Button bunt + "Mehr Optionen" als grauer Link — VG Berlin 2024, Verbot bei Verlag
• Cookie-Wall ohne Pay-Alternative — EDPA Stellungnahme 08/2024 unwirksam
• Verstecktes Ablehnen hinter mehreren Klicks — DSK Bußgeldpraxis: bis 50.000 EUR
• "Berechtigtes Interesse" für Tracking — § 25 TDDDG verlangt Einwilligung, kein berecht. Interesse
• "Indem Sie weiterscrollen" stimmen Sie zu — keine aktive Handlung, unwirksam

5. Tools-Vergleich (DACH-Markt)

Kurzantwort: Im DACH-Markt dominieren fünf Banner-Tools: Borlabs Cookie (ab 39 EUR/Jahr, WordPress, Selfhosting DE), Cookiebot (ab 14 EUR/Monat, EU-Server, TCF 2.2), Usercentrics (ab 39 EUR, Enterprise/Multi-Brand, TCF 2.2), Iubenda (ab 9 EUR, Klein- und Solo-Betrieb) und Real Cookie Banner (ab 49 EUR/Jahr, WordPress mit DACH-Fokus, Selfhosting DE).

6. 12-Punkte-Banner-Audit

Kurzantwort: Ein vollständiger Banner-Audit prüft zwölf Punkte: Erscheint der Banner vor jedem Marketing-Tag, ist „Ablehnen" gleich prominent wie „Akzeptieren", sind mindestens drei granulare Kategorien wählbar, werden Anbieter/Zweck/Speicherdauer pro Cookie sichtbar, ist Drittlandtransfer (USA, UK) explizit kommuniziert, gibt es einen Re-Open-Link im Footer, wird Consent in der CMP über 3 Jahre gespeichert, läuft Re-Consent nach 12 Monaten, funktioniert Equal Choice mobil, ist Tag-Manager-Default = denied, ist Google Consent Mode v2 implementiert und ist die Datenschutzerklärung verlinkt?

1. Erscheint Banner VOR jedem Marketing-Tag?
2. "Ablehnen" gleich prominent wie "Akzeptieren"?
3. Granulare Kategorien (mind. 3) wählbar?
4. Pro Cookie: Anbieter, Zweck, Speicherdauer sichtbar?
5. Drittlandtransfer (USA, UK) explizit kommuniziert?
6. Re-Open-Link im Footer ("Cookie-Einstellungen")?
7. Consent in CMP gespeichert (3 Jahre)?
8. Re-Consent-Logik nach 12 Monaten?
9. Banner mobil testbar (Equal Choice in Portrait)?
10. Tag-Manager-Integration: Default = denied?
11. Google Consent Mode v2 implementiert?
12. Datenschutzerklärung verlinkt + sichtbar?