Rechtsfrage
Cookies, Tracking und das Consent-Banner
§ 25 Abs. 1 TDDDG betrifft den Zugriff auf die Endeinrichtung und gilt unabhängig davon, ob dabei personenbezogene Daten anfallen. Für das, was mit den Daten danach geschieht, liefert er keine Rechtsgrundlage. Diese Prüfung folgt aus Art. 6 Abs. 1 DSGVO. Beide Prüfungen nützen wenig, solange niemand misst, ob die Seite sich an das Banner hält.
Sechzig Dienste hinter einem Banner
Das Banner steht seit zwei Jahren auf der Seite, eingerichtet von der Agentur, die auch die Seite gebaut hat. In der Verwaltungsoberfläche stehen sechzig Dienste, von denen im Betrieb niemand mehr alle zuordnen kann. Was die Seite beim Aufruf tatsächlich lädt, hat seither niemand nachgesehen.
Zwei Einwilligungen, von denen die erste die zweite nicht ersetzt
Wofür genau eine Einwilligung gebraucht wird, ist die Frage, an der die meisten Bannerkonzepte schon vor der Gestaltung scheitern. Der Zugriff auf die Endeinrichtung und die Verarbeitung der dabei gewonnenen Daten sind zwei Vorgänge mit zwei Prüfungen.
Die Reihenfolge der Prüfung
Zugriff auf das Gerät
§ 25 Abs. 1 TDDDG. Er greift bei jeder Speicherung und jedem Auslesen, nach der Rechtsprechung des EuGH unabhängig davon, ob dabei personenbezogene Daten betroffen sind.
Ausnahme oder Einwilligung
§ 25 Abs. 2 TDDDG erfasst die Übertragung einer Nachricht und das, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Alles Übrige braucht die Einwilligung.
Die Verarbeitung danach
Art. 6 Abs. 1 DSGVO. Die Einwilligung nach § 25 TDDDG deckt das Setzen der Kennung, nicht ihre Auswertung, ihre Zusammenführung und ihre Weitergabe an Dritte.
3 von 3
Die Trennung hat eine praktische Folge. Eine allein auf § 25 TDDDG gestützte Einwilligung benennt für die anschließende Profilbildung und die Weitergabe an Werbepartner keine Rechtsgrundlage. Nach Art. 5 Abs. 2 DSGVO muss sie vorab feststehen.
Auf der anderen Seite ist die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG enger, als sie gelesen wird. Maßstab ist der Dienst, den die Nutzerin ausdrücklich wünscht, nicht aber der, den der Betrieb braucht. Das VG Hannover hat den Google Tag Manager aus drei Gründen nicht unter die Ausnahme gefasst. Er erleichtert dem Betreiber die Einbindung anderer Dienste. Er bietet der Nutzerin keine Funktion. Die Steuerung des Ladevorgangs ist auch ohne ihn möglich.
Die Grenze ist nicht die Symmetrie, sondern die Lenkung
Wie ein Banner aussehen muss, wird verbreitet mit einem Satz beantwortet, den die Rechtsprechung so nicht hergibt.
Was dagegen feststeht, ist die Grenze in der anderen Richtung. Das Banner darf nicht gezielt zur Einwilligung hinlenken und von der Ablehnung abhalten. Die Aufsichtsbehörden beschreiben zugleich, wie eine solche Lenkung in ihrer Prüfpraxis entsteht, nämlich selten durch ein einzelnes Merkmal und meistens durch mehrere zusammen. Beurteilt wird deshalb das Banner im Ganzen und nicht der einzelne Knopf.
Fünf Merkmale, die in der Gesamtschau zur Lenkung wurden
Das Kreuz, das zustimmt
Oben rechts stand „Akzeptieren & schließen x“. Ein Kreuz an dieser Stelle schließt nach allgemeiner Erwartung ein Fenster. Dass es eine Willenserklärung abgibt, ist überraschend.
Das Banner, das nur den Ablehnenden wiederkehrt
Nach einer Zustimmung blieb das Banner fort. Nach einer gespeicherten Auswahl erschien es bei jedem Besuch erneut. Technisch notwendig ist dieser Unterschied nicht.
Die Farbe, die eine Empfehlung ausspricht
„Alle akzeptieren“ war farbig hervorgehoben, „Auswahl speichern“ nicht. Die Aufsichtsbehörden verlangen für die Ablehnung eine in Größe, Farbe, Kontrast und Schriftbild vergleichbare Gestaltung.
Die Angabe unterhalb der Sichtkante
Der Hinweis auf die Übermittlung in Drittländer und die Zahl der eingebundenen Dienste standen erst nach dem Herunterscrollen im Banner. Wer nur die sichtbare Fläche liest, entscheidet ohne sie.
Zwei inhaltliche Angaben verlangt der EuGH ausdrücklich. Es sind die Funktionsdauer der Cookies und die Auskunft darüber, ob Dritte auf sie zugreifen können.
Kein Banner ist besser als die Seite, auf der es steht
Ob die Seite tut, was das Banner ankündigt, prüft nach unserer Erfahrung fast niemand. Genau daran hängt die Rechtmäßigkeit, denn erst nach der aktiven Handlung darf gespeichert und ausgelesen werden.
Der niedersächsische Landesbeauftragte hat die Seite eines Verlags in seinem eigenen IT-Labor aufgerufen. Schon vor jeder Interaktion mit dem Banner gingen IP-Adresse, Gerätekonfiguration, Land und Referrer an einen Server in den Vereinigten Staaten. Ein Skript wurde auf dem Gerät abgelegt. Beanstandet wurde damit nicht das Banner, sondern was hinter ihm lief.
In einer halben Stunde zu beantworten
Vier Fragen an die eigene Seite
von 3
Die Einwilligungsverwaltung ist dabei selbst eine Verarbeitung. Der Standard des Branchenverbands IAB Europe legt mit dem TC-String eine Zeichenfolge auf dem Gerät ab, die eingebundene Dienstleister auslesen können. Zusammen mit der IP-Adresse ist sie nach der Rechtsprechung des EuGH ein personenbezogenes Datum.
So unterstützen wir Sie beim Consent-Banner
Am Anfang steht keine Rechtsprüfung, sondern eine Aufnahme. Die Seite wird in einem frischen Browserprofil dreimal aufgerufen, ohne Interaktion, nach Ablehnung und nach Zustimmung. Was dabei geladen wird, ergibt die Liste, gegen die sich Einwilligungsoberfläche, Verarbeitungsverzeichnis und Datenschutzhinweise abgleichen lassen. Erst danach lohnt die Arbeit an Beschriftung und Anordnung.
Häufige Fragen
Gilt § 25 TDDDG nur für Cookies?
Nein. Die Vorschrift erfasst jede Speicherung von Informationen in der Endeinrichtung und jeden Zugriff auf dort bereits gespeicherte Informationen. Zählpixel, lokale Speicher, Gerätemerkmale und das Auslesen von Schriftarten fallen darunter. Nach der Rechtsprechung des EuGH kommt es nicht darauf an, ob dabei personenbezogene Daten anfallen.
Muss auf der ersten Ebene ein Ablehnen-Knopf stehen?
Nach der Orientierungshilfe der Aufsichtsbehörden dort, wo die Nutzerin mit dem Banner umgehen muss, um die Seite weiter zu lesen. Im Übrigen nicht. Die Aufsichtsbehörden fügen allerdings hinzu, dass gängige Banner diese Voraussetzung sehr häufig erfüllen. Eine Schaltfläche „Einstellungen oder Ablehnen“, die auf eine weitere Ebene führt, genügt dort nicht.
Ist Reichweitenmessung ohne Einwilligung möglich?
Nur, wenn sie ohne Zugriff auf die Endeinrichtung auskommt, etwa über eine serverseitige Auswertung ohne Kennung. Sobald eine Kennung gesetzt oder ausgelesen wird, ist § 25 Abs. 1 TDDDG einschlägig. Die Ausnahme des Absatzes 2 verlangt, dass der Zugriff für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Die eigene Auswertung gehört nach Auffassung der Aufsichtsbehörden nicht dazu.
Nützt ein anerkannter Dienst zur Einwilligungsverwaltung?
Bisher kaum. § 26 TDDDG und die seit dem 01.04.2025 geltende Einwilligungsverwaltungsverordnung sehen vor, dass die Bundesbeauftragte für den Datenschutz solche Dienste anerkennt. Im öffentlichen Register steht bis heute ein einziger anerkannter Dienst, anerkannt am 17.10.2025. Solange die verbreiteten Browser die Einstellungen nicht auswerten, bleibt das Banner die praktisch maßgebliche Form der Abfrage.
Weitere Fragen aus diesem Bereich
Microsoft 365
Ob Microsoft 365 eingesetzt werden darf, ist in den meisten Unternehmen längst entschieden.
Personalmanagement-Systeme
Ein Personalmanagement-System ist datenschutzrechtlich so gut wie sein Berechtigungskonzept.
Videoüberwachung
Maßstab für private Videoüberwachung ist Art. 6 Abs. 1 Buchst.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.