Cookies und Einwilligung: Was 2026 wirklich gilt
Cookie-Banner sind auf fast jeder Website. Trotzdem sind viele davon rechtlich wertlos, weil sie das Falsche machen: fragen, aber trotzdem vorher laden. Hier ist der Stand Juli 2026.
Die Rechtsgrundlage hat sich verschoben
Lange wurde über die DSGVO diskutiert. Maßgeblich ist heute § 25 TDDDG (früher TTDSG, seit Mai 2024 umbenannt). Und der ist strenger, als viele denken:
Erfasst ist nicht nur der klassische Cookie, sondern jede Speicherung von Informationen im Endgerät und jeder Zugriff auf bereits gespeicherte Informationen. Also auch Local Storage, Session Storage, Device Fingerprinting und Advertising IDs. Wer denkt, er sei mit "wir nutzen keine Cookies" fein raus, irrt oft.
Ohne Einwilligung geht nur, was unter die engen Ausnahmen von § 25 Abs. 2 TDDDG fällt: erforderlich für die Übertragung einer Nachricht oder unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.
Kommt danach eine Verarbeitung personenbezogener Daten, gilt zusätzlich die DSGVO. Zwei Ebenen, beide müssen stimmen.
Was ohne Einwilligung geht
Nicht alle First-Party-Cookies sind automatisch notwendig. Die Nachweislast für die technische Notwendigkeit liegt bei dir als Betreiber. Typischerweise unproblematisch:
- Warenkorb und Checkout
- Login- und Authentifizierungsstatus
- Sicherheits- und Anti-Angriff-Cookies
- Sprachwahl, soweit für die gewählte Darstellung erforderlich
- Die Speicherung der Consent-Entscheidung selbst
Was Einwilligung braucht
- Reichweitenmessung und Analyse, auch Matomo im Cookie-Modus
- Marketing- und Retargeting-Pixel
- A/B-Testing und Personalisierung
- Eingebettete Drittinhalte: YouTube, Google Maps, Schriften von fremden Servern, Captchas, Chat-Widgets
Der häufigste Fehler
Nicht das Banner ist das Problem, sondern was dahinter passiert. Sehr viele Websites zeigen ein korrektes Banner an und laden trotzdem vorher Skripte nach: über den Tag Manager, über ein Theme, über ein Plugin, das niemand mehr auf dem Schirm hat.
§ 25 TDDDG verlangt die Einwilligung vor Speicherung oder Zugriff. Ein Banner, das erst danach fragt, ist Dekoration.
Anforderungen an ein belastbares Banner
- "Alle akzeptieren" und "Alle ablehnen" gleich sichtbar auf der ersten Ebene. Ein Ablehnen, das erst zwei Klicks tiefer auftaucht, ist angreifbar.
- Keine irreführende Button-Hierarchie, keine Farbtricks, keine Zusatzhürden.
- Granulare Kategorien mit klaren Zwecken, Anbietern, Speicherdauer und Widerrufshinweis.
- Keine erneute Abfrage nach jedem Seitenaufruf, wenn abgelehnt wurde.
- Ein dauerhaft erreichbarer Link zum Widerruf, etwa "Datenschutzeinstellungen" im Footer.
- Versionierte Protokollierung: Zeitpunkt, Banner-Version, Auswahl, Zwecke.
Die Datenschutzerklärung ersetzt das Opt-in nicht. Sie bleibt trotzdem Pflicht.
Neu: die Einwilligungsverwaltungsverordnung (EinwV)
Seit dem 1. April 2025 gibt es die EinwV. Sie schafft ein freiwilliges Alternativmodell zum Banner auf jeder einzelnen Seite: Anerkannte Dienste dürfen Einwilligungseinstellungen nach § 25 Abs. 1 TDDDG zentral für Nutzer verwalten.
Im öffentlichen Register der BfDI steht bisher genau ein anerkannter Dienst: Consenter (Law & Innovation Technology GmbH), anerkannt am 17. Oktober 2025.
Zwei Dinge dazu:
- Die Nutzung ist freiwillig. Dein bestehendes Consent-Tool bleibt zulässig.
- Ein anerkannter Dienst ist kein Freifahrtschein. Informationspflichten und die DSGVO-Wirksamkeit der Einwilligung bleiben deine Verantwortung.
Kurz: interessant zu beobachten, aber noch kein Grund umzustellen.
Neu: auch Dienstleister können haften
Das OLG Frankfurt am Main hat am 11. Dezember 2025 entschieden (Az. 6 U 81/23): Nicht nur der sichtbare Websitebetreiber ist verantwortlich. Auch ein Drittunternehmen, das Analyse-Cookies auf fremden Websites einsetzt oder veranlasst, kann eigener Verantwortlicher sein. Das Gericht sprach dem Kläger Unterlassung und 100 Euro immateriellen Schadensersatz zu.
Für Agenturen, Adtech- und Analytics-Dienstleister ist das relevant: Eine vertragliche Zusicherung des Kunden mindert das Regressrisiko, verhindert aber nicht zwingend die eigene Außenhaftung.
Was tatsächlich passieren kann
| Ebene | Risiko |
|---|---|
| Aufsicht nach TDDDG | Bußgeld wegen unzulässigem Endgerätezugriff |
| Aufsicht nach DSGVO | Bußgeld, wenn die Folgeverarbeitung keine Rechtsgrundlage hat |
| Abhilfemaßnahmen | Anordnung zur Unterlassung oder Löschung |
| Zivilrecht | Unterlassung und im Einzelfall Schadensersatz, siehe OLG Frankfurt |
Die alte Erzählung "Abmahnwelle" ist nicht das Hauptrisiko. Das Hauptrisiko ist die technische Realität deiner Seite.
Schnell-Check in fünf Minuten
- Browser im privaten Fenster öffnen (Chrome oder Firefox).
- Entwicklertools öffnen (F12), Tab Netzwerk, dann Tab Anwendung.
- Deine Website aufrufen und nichts im Banner anklicken.
- Im Netzwerk-Tab schauen: Gehen Requests an fremde Domains raus? Google, Facebook, Fonts, Maps, YouTube?
- Unter Anwendung nachsehen: Werden Cookies oder Local-Storage-Einträge gesetzt, die nicht zum Betrieb gehören?
Findest du dort etwas, hast du kein Banner-Problem, sondern ein Blockier-Problem.
Consent-Tools für WordPress
Preise Stand Juli 2026:
| Tool | Preis (1 Website) | Besonderheit |
|---|---|---|
| Borlabs Cookie 3.0 | 49 € netto/Jahr | Verbreitet im DACH-Raum, Scanner und Vorlagenbibliothek |
| Real Cookie Banner PRO | 59 € brutto/Jahr | Consent-Daten bleiben auf dem eigenen Server |
| Complianz Premium | 59 USD/Jahr | Regionenabhängige Logik, Rechtstexte enthalten |
| Cookiebot | 0 € bis 50 Unterseiten, danach ab ca. 10 €/Monat | Cloud-basiert, automatischer Scan |
Achtung bei Borlabs: Die Preise sind netto, und cloudnahe Funktionen wie Scanner, Bibliothek, Geo-Restriktion und TCF hängen an der laufenden Lizenz. Läuft die aus, fallen sie weg.
Ein ausführlicher Vergleich steht im Cookie-Banner-Vergleich.
Was du konkret tun solltest
Sofort: Den Schnell-Check oben machen. Alles, was vor der Einwilligung lädt, notieren.
Diese Woche: Nicht-essentielle Skripte im Consent-Tool blockieren, statt sie nur zu deklarieren. Google Consent Mode ist ein technisches Signal und ersetzt die Einwilligung nicht.
Laufend: Nach jedem Plugin-Update und jedem neuen Einbau erneut prüfen. Genau dabei rutschen die meisten Verstöße rein.
Fazit
Ein Cookie-Banner ist schnell installiert. Die Arbeit steckt darin, dafür zu sorgen, dass vorher wirklich nichts lädt. Wer das einmal sauber aufsetzt und danach bei jeder Änderung nachkontrolliert, hat das Thema erledigt.
Weiterführende Artikel:
- Cookie-Banner-Plugins im Vergleich
- Datentransfer in die USA: Was heute gilt
- DSGVO-konformes Webhosting
Dieser Beitrag ist eine allgemeine Einordnung und keine Rechtsberatung.
Du bist unsicher, ob deine Website sauber blockt? Schreib mir, ich prüfe das für dich, oder sieh dir gleich an, wie wir Cookie Banner einrichten und laufend pflegen.