Cookieless Marketing Zukunft 2026+: 5 Strategien

Hauptartikel: Cookie-Banner § 25 TDDDG — die Anforderungen an das Cookie-Banner nach § 25 TDDDG und Art. 6 DSGVO im Überblick.

Deutschland / Österreich: Die Erlaubnisnorm für das Speichern von Informationen auf Endgeräten und den Zugriff darauf ist national geregelt — in Deutschland § 25 Abs. 1 TDDDG (Aufsicht: zuständige Landesdatenschutzbehörde), in Österreich § 165 TKG 2021 (Aufsicht: Datenschutzbehörde, § 18 Abs. 1 DSG). Beide setzen Art. 5 Abs. 3 der Richtlinie 2002/58/EG um. Der inhaltliche Maßstab der Einwilligung ist in beiden Ländern identisch, weil er unmittelbar aus der DSGVO folgt (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO).

Rechtsrahmen: § 25 TDDDG und Art. 6 DSGVO

Jede der fünf Strategien ist durch zwei getrennte Prüfungen zu führen — die eine ersetzt die andere nicht. In Deutschland entscheidet zuerst § 25 TDDDG darüber, ob überhaupt etwas in der Endeinrichtung gespeichert oder von dort gelesen werden darf; erst danach entscheidet Art. 6 Abs. 1 DSGVO über die anschließende Verarbeitung der personenbezogenen Daten.

§ 25 Abs. 1 TDDDG erlaubt die Speicherung von Informationen in der Endeinrichtung des Endnutzers und den Zugriff auf bereits dort gespeicherte Informationen nur, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat; Information und Einwilligung haben gemäß der DSGVO zu erfolgen. Keine Einwilligung verlangt § 25 Abs. 2 TDDDG in zwei Fällen: wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist, oder wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. Damit kennt diese Stufe nur zwei Wege: technische Notwendigkeit oder Einwilligung. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt sie nicht — der Rückgriff darauf ist ein wiederkehrender Prüfbefund bei Bannern.

Seit dem 14. Mai 2024 heißt das Gesetz TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz); der materielle Inhalt des § 25 ist gegenüber der Vorgängerfassung unverändert. Die zweite Stufe folgt aus Art. 6 Abs. 1 DSGVO: Die Verarbeitung ist nur rechtmäßig, wenn mindestens einer der sechs Erlaubnistatbestände erfüllt ist — Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigtes Interesse.

Österreich: § 165 TKG 2021 statt § 25 TDDDG

In Österreich tritt § 165 TKG 2021 an die Stelle des § 25 TDDDG und verlangt für Tracking-Cookies ebenfalls ein Opt-in; Aufsicht ist dort die Datenschutzbehörde (§ 18 Abs. 1 DSG). Dieser Artikel führt die Prüfschritte 1 und 2 nur für Deutschland aus; für Österreich ist § 165 TKG 2021 im Wortlaut heranzuziehen. Die Schritte 3 bis 5 folgen unmittelbar aus der DSGVO und gelten in beiden Ländern gleich.

1. Pirsch / Plausible (cookieless Analytics)

Cookieloses Analytics setzt an der ersten Prüfstufe an: Server-seitiges Zählen ohne Cookies. Pirsch hostet nach Anbieterangaben in Deutschland, Plausible in der EU. Ob ein Setup ohne Einwilligung auskommt, entscheidet nicht die Produktkategorie, sondern die Prüfung nach § 25 Abs. 1 TDDDG im Einzelfall: Maßgeblich ist allein, ob Informationen in der Endeinrichtung gespeichert oder von dort ausgelesen werden. Prüfen Sie das für Ihre Installation konkret — als Praxisweg: Browser-Entwicklertools öffnen, unter Anwendung beziehungsweise Speicher nachsehen, ob Cookies, localStorage oder sessionStorage gesetzt werden, die Angaben des Anbieters zur Speicherung in der Endeinrichtung dazunehmen und das Ergebnis mit Datum im Verarbeitungsverzeichnis festhalten. Matomo wird typischerweise im Selbsthosting betrieben — zu prüfen ist dann Ihre eigene Installation, nicht die eines Anbieters. Für Fathom ist der Hostingort vor Einsatz zu klären; der Prüfmaßstab ist derselbe.

Die zweite Stufe entfällt dadurch nicht — zur Prüfreihenfolge siehe oben. Webanalyse gehört als eigene Verarbeitungstätigkeit ins Verarbeitungsverzeichnis: mit Zweck, Kategorien betroffener Personen und Daten, Empfängern, geplanten Löschfristen und Verweis auf das TOM-Konzept (Art. 30 Abs. 1 DSGVO). Die Rechtsgrundlage führt die Praxis als zusätzliches Feld, weil sie in Art. 30 Abs. 1 nicht genannt ist, aber aus der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO folgt.

Wird die Einwilligung als Grundlage gewählt, muss der Verantwortliche nachweisen können, dass eingewilligt wurde (Art. 7 Abs. 1 DSGVO), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Wird stattdessen ein anderer Tatbestand gewählt, ist diese Wahl je Zweck zu begründen und im Verzeichnis festzuhalten.

2. Server-Side Tracking via GTM

Ein serverseitiger Aufbau verlagert die Datenverarbeitung, nicht den Prüfmaßstab. Beim serverseitigen Tag Manager laufen die Daten über einen eigenen Server, statt direkt aus dem Browser zu den Werkzeug-Anbietern zu gehen. Das reduziert Verluste durch Adblocker und gibt Ihnen mehr Kontrolle über den Datenfluss. Solange in der Endeinrichtung Informationen gespeichert oder ausgelesen werden, bleibt die erste Stufe einschlägig; § 25 Abs. 1 TDDDG stellt seinem Wortlaut nach allein auf die Speicherung von Informationen in der Endeinrichtung und den Zugriff auf dort bereits gespeicherte Informationen ab — ein Merkmal zum Standort des auswertenden Servers enthält die Norm nicht. Zu prüfen ist hier ein anderes Objekt als bei Analytics: ob das serverseitige Setup ein eigenes Cookie über Ihre Domain setzt oder eine Kennung in localStorage ablegt. Dokumentiert wird das Ergebnis wie oben beschrieben.

Praktisch führt Server-Side-Tracking zu einer zusätzlichen Vertragsebene. Wer den Server durch einen Dienstleister betreiben lässt, darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Der Auftragsverarbeitungsvertrag muss Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegen (Art. 28 Abs. 3 DSGVO).

Zwei Punkte fallen bei Prüfungen regelmäßig auf: Drittlandübermittlungen samt Garantien müssen im Verarbeitungsverzeichnis stehen — ein fehlender Drittland-Hinweis bei US-Tools gehört nach Praxiserfahrung zu den häufigen Verzeichnis-Fehlern — und der Drittlandtransfer ist im Banner explizit zu kommunizieren. Für die Tag-Manager-Integration gilt als Prüfpunkt, dass der Ausgangszustand aller Consent-Signale „denied“ ist — dazu Abschnitt 5.

3. First-Party Customer Data Platform (CDP)

Eine CDP bündelt Profile — und damit auch die Pflichten. Eine eigene Daten-Plattform tritt an die Stelle des Trackings über Drittanbieter; eingesetzt werden dafür etwa Segment oder RudderStack (Open Source). Vor dem Einsatz ist für die konkrete Plattform zu klären, wo verarbeitet wird und wer Auftragsverarbeiter ist: Steht ein Drittland fest, gehören Übermittlung und Garantien in das Verarbeitungsverzeichnis, und es gilt derselbe Auftragsverarbeitungsvertrag nach Art. 28 Abs. 1 und Abs. 3 DSGVO wie beim serverseitigen Tag Manager. Für jeden Zweck, zu dem Daten zusammengeführt werden, ist ein eigener Tatbestand nach Art. 6 Abs. 1 DSGVO zu bestimmen; der Zweck gehört als Pflichtangabe in das Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO), die Rechtsgrundlage wird — wie oben — als Praxisfeld ergänzt.

Zwei Leitentscheidungen begrenzen dabei den Spielraum. Der EuGH hat in C-252/21 (Meta/Bundeskartellamt, 2023) entschieden, dass „notwendig zur Vertragserfüllung“ eng auszulegen ist — personalisierte Werbung ist danach nicht vertragsnotwendig. In C-446/21 (Schrems-Werbung, 2024) hat er entschieden, dass sensible Daten nicht aus Werbeprofilen hergeleitet werden dürfen; für solche Daten gilt ohnehin das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO mit engen Ausnahmen.

Ab einer bestimmten Tiefe wird die Plattform selbst prüfpflichtig: Eine Datenschutz-Folgenabschätzung ist insbesondere bei systematischer umfassender Bewertung persönlicher Aspekte mit Rechtswirkung, bei umfangreicher Verarbeitung besonderer Datenkategorien oder bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche erforderlich (Art. 35 Abs. 1 und Abs. 3 DSGVO). In Deutschland greift die Pflicht zur Benennung eines Datenschutzbeauftragten nach § 38 Abs. 1 BDSG neben der Schwelle von in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen auch unabhängig von der Personenzahl — nämlich dann, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. In Österreich gibt es keine zusätzliche zahlenmäßige Schwelle; die Benennungspflicht folgt dort unmittelbar aus Art. 37 DSGVO.

4. Contextual Targeting

Kontextbasierte Aussteuerung verschiebt den Anknüpfungspunkt von der Person zur Seite. Ausgesteuert wird nach dem Inhalt der aufgerufenen Seite, nicht nach Merkmalen der Person; ein Tracking der Person findet nicht statt. Das entschärft genau die Frage, an der personenbezogene Werbung rechtlich hängt: Auf „Erfüllung eines Vertrags“ (Art. 6 Abs. 1 lit. b DSGVO) lässt sich personalisierte Werbung nach EuGH C-252/21 nicht stützen, und für den Endgeräte-Zugriff verlangt § 25 Abs. 1 TDDDG eine Einwilligung, für die ein berechtigtes Interesse nicht genügt.

Der Prüfmaßstab entfällt damit nicht, er wird nur kürzer. In der Praxis lohnt der Blick auf drei Bausteine der Auslieferung, die daraufhin zu prüfen sind, ob sie Informationen in der Endeinrichtung ablegen oder auslesen: Frequency Capping (soweit es einen Zähler je Endgerät verwendet), Klick- und View-Messung über Pixel mit Kennung sowie A/B-Tests der Kreation. Wo das der Fall ist, bleibt § 25 Abs. 1 TDDDG einschlägig und damit die Einwilligung erforderlich, sofern keine der beiden Ausnahmen des § 25 Abs. 2 TDDDG greift. Wird dagegen weder ein Zähler noch eine Kennung in der Endeinrichtung abgelegt oder ausgelesen, ist diese Stufe nicht eröffnet — der Befund ist je Kampagnen-Setup zu dokumentieren. Werden personenbezogene Daten verarbeitet, gilt zusätzlich die zweite Stufe.

Inhaltlich gilt die Grenze des Art. 9 Abs. 1 DSGVO auch hier: Sensible Merkmale — etwa Gesundheit, religiöse oder weltanschauliche Überzeugungen, sexuelle Orientierung — unterliegen dem grundsätzlichen Verarbeitungsverbot mit engen Ausnahmen; nach EuGH C-446/21 dürfen sie insbesondere nicht aus Werbeprofilen hergeleitet werden. Der Zweck jeder Kampagnen-Verarbeitung gehört als Pflichtangabe in das Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO); die Rechtsgrundlage wird — wie oben — als Praxisfeld ergänzt.

5. Google Consent Mode v2

Consent Mode v2 ist die technische Umsetzung einer Einwilligungsentscheidung, nicht ihr Ersatz. Der Ausgangszustand aller Consent-Signale ist „denied“. Mit Einwilligung werden vollständige Daten übertragen; ohne Einwilligung werden nur aggregierte und modellierte Daten übertragen, deren Rechtmäßigkeit sich weiter nach der oben dargestellten Prüfreihenfolge richtet.

Die Wirksamkeit der Einwilligung selbst richtet sich weiter nach § 25 Abs. 1 TDDDG und der DSGVO. Sie setzt klare und umfassende Informationen und eine aktive Handlung voraus: Eine vorab aktivierte Checkbox ist keine Einwilligung (EuGH C-673/17, Planet49, 2019); der BGH hat diese Linie mit I ZR 7/16 (Cookie-II, 2020) in das deutsche Recht übernommen. „Akzeptieren“ und „Ablehnen“ müssen gleich prominent sein — ein visuell hervorgehobener Akzeptieren-Button wurde vom OVG Lüneburg (14 LA 1/24, 2025) als Dark Pattern bewertet. Die Kategorien müssen einzeln wählbar bleiben, und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO), praktisch über einen Re-Open-Link im Footer.

Für den Nachweis gilt Art. 7 Abs. 1 DSGVO: Der Verantwortliche muss belegen können, dass eingewilligt wurde. Eine gesetzliche Gültigkeitsdauer der Einwilligung gibt es nicht; auch die Datenschutzkonferenz nennt in der Orientierungshilfe Digitale Dienste (v1.2, November 2024, Rn. 63) unter Verweis auf die EDSA-Leitlinien 05/2020 (Rn. 110) keine feste Frist — neu einzuholen ist die Einwilligung, wenn sich der bestimmte Fall ändert, und ein Re-Consent nach 6 bis 12 Monaten ist ein Praxis-Rhythmus. Als Praxisempfehlung — nicht als gesetzliche Frist — hat sich ein Consent-Logging über 3 Jahre etabliert.

Für jede Zeile der folgenden Tabelle gilt: Sobald ein Zugriff auf die Endeinrichtung vorliegt und keine der beiden Ausnahmen des § 25 Abs. 2 TDDDG greift, ist die Einwilligung nach § 25 Abs. 1 TDDDG erforderlich.

Dokumentation und Nachweis bei einer Aufsichtsanfrage

Bei einer Aufsichtsanfrage steht das Verarbeitungsverzeichnis am Anfang; danach folgen in der Prüfpraxis der Auftragsverarbeitungsvertrag, das TOM-Konzept und die Datenschutz-Folgenabschätzung. Anfragende Stelle ist in Deutschland die nach Landesrecht zuständige Datenschutz-Aufsichtsbehörde für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG). Art. 30 Abs. 4 DSGVO verlangt die Vorlage des Verzeichnisses „auf Anfrage“; die Erwartung einer Übermittlung binnen 1 bis 2 Wochen ist ein Erfahrungswert aus der Praxis, keine Fristangabe der Norm. Halten Sie die Unterlagen deshalb vorab vollständig vor, statt sie erst auf Anforderung zu erstellen — wer beim Verzeichnis nicht liefern kann, hat für die übrigen Ebenen keine Grundlage.

Das TOM-Konzept ist dabei kein Schlagwort, sondern ein eigenes Dokument: Es enthält die allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO. Im Verarbeitungsverzeichnis steht davon nur der Verweis — ein zentrales Konzept für alle Verarbeitungen, nicht ein eigenes je Verarbeitungstätigkeit; TOM-Inhalte in das Verzeichnis zu kopieren, statt darauf zu verweisen, gehört zu den häufigen Verzeichnis-Fehlern. Geprüft wird das Konzept daran, ob es zur Risikolage der dokumentierten Verarbeitungen passt.

Die Ausnahme des Art. 30 Abs. 5 DSGVO hilft dabei kaum: Sie greift nur kumulativ — weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 oder strafrechtlichen Daten. Der amtliche Wortlaut stellt dabei auf „ein Risiko“ ab, nicht auf ein hohes Risiko; die Schwelle „hohes Risiko“ gilt nur für die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO. Personaldaten, CRM und Newsletter sind regelmäßige Verarbeitungen — damit ist die Ausnahme in der Praxis fast nie einschlägig.

Markteinschätzungen: was 2026 zu beobachten bleibt

Die folgenden Punkte sind Markt- und Zukunftseinschätzungen, Stand der Erstfassung (02.05.2026), soweit nicht anders angegeben. Sie sind keine Rechtsaussagen; die rechtliche Einordnung steht jeweils dabei.

• Google Privacy Sandbox / Topics API: noch nicht final, Beobachtung 2026/27. An der Prüfreihenfolge ändert das nichts: Solange Informationen in der Endeinrichtung gespeichert oder von dort ausgelesen werden, bleibt § 25 Abs. 1 TDDDG einschlägig.
• Cookie-Banner-Aufwand: Werkzeuge, die weder Informationen in der Endeinrichtung speichern noch von dort auslesen, brauchen keine Einwilligung nach § 25 Abs. 1 TDDDG — das Banner wird um diese Werkzeuge schlanker. Ob das zutrifft, entscheidet die Prüfung je Werkzeug; für die anschließende Verarbeitung bleibt Art. 6 Abs. 1 DSGVO maßgeblich.
• Digital Omnibus: Die Europäische Kommission hat am 19.11.2025 vorgeschlagen, den digitalen Rechtsrahmen zu vereinfachen und dabei unter anderem die DSGVO und die ePrivacy-Richtlinie zu ändern (Verfahren 2025/0360(COD)). Zum Stand 17.08.2026 war kein Rechtsakt in Kraft; solange das Gesetzgebungsverfahren nicht abgeschlossen ist, gilt der bisherige Rechtsrahmen unverändert — maßgeblich bleiben die oben genannten Normen in ihrer geltenden Fassung.

Praktisch heißt das: Setzen Sie eine Wiedervorlage auf diese Punkte und prüfen Sie bei jeder Änderung nur zwei Fragen — ändert sich etwas daran, ob Informationen in der Endeinrichtung gespeichert oder ausgelesen werden (§ 25 Abs. 1 TDDDG), und ändert sich der Erlaubnistatbestand der anschließenden Verarbeitung (Art. 6 Abs. 1 DSGVO)? Bis dahin bleibt die oben dargestellte Prüfreihenfolge unverändert anwendbar. Als Praxis-Rhythmus — nicht als gesetzliche Frist — bietet sich derselbe Takt an, der für das Verarbeitungsverzeichnis ohnehin üblich ist: quartalsweise Review, zusätzlich anlassbezogen bei neuen Werkzeugen oder neuen Auftragsverarbeitern. Nächste redaktionelle Überprüfung dieses Abschnitts: viertes Quartal 2026.