Vorweg: das hier ist keine Rechtsberatung

Dieser Artikel erklärt dir, worum es bei Cookie-Banner, Kontaktformular und externen Diensten geht, damit du bei deinem Webbetreuer die richtigen Fragen stellen kannst. Rechtsberatung im Einzelfall darf in Deutschland nur ein Anwalt leisten, und bei einigen Punkten ist die Lage auch unter Fachleuten nicht einheitlich. Wo das so ist, schreibe ich es dazu.

Viele kleine Betriebe haben einen Banner, obwohl sie keinen brauchen. Andere brauchen einen und haben keinen. Beides ist unnötig.

Die Rechtsgrundlage dafür ist in Deutschland Paragraf 25 des TDDDG. Das Gesetz hieß bis Mai 2024 TTDSG, inhaltlich hat sich bei diesem Punkt nichts geändert. Wenn in deiner Datenschutzerklärung noch TTDSG steht, ist das ein Zeichen, dass die Seite länger nicht angefasst wurde.

Die Regel in einfachen Worten: Einwilligung brauchst du, wenn auf dem Gerät deines Besuchers etwas gespeichert oder ausgelesen wird, das nicht unbedingt nötig ist, damit die Seite funktioniert.

Kein Banner nötig ist meistens bei:

  • Einer reinen Informationsseite mit Texten und Bildern
  • Schriften, die auf deinem eigenen Server liegen
  • Einem Warenkorb oder einer Anmeldung, also Dingen, die der Besucher ausdrücklich will

Banner nötig ist, sobald eines davon läuft:

  • Analyse-Werkzeuge wie Google Analytics
  • Werbe-Pixel, zum Beispiel von Meta
  • Eingebettete Videos von Fremdanbietern
  • Eine eingebettete Karte, die direkt beim Laden Daten überträgt
  • Schriften, die vom Server eines Anbieters geladen werden

Wichtig dabei: Berechtigtes Interesse hilft dir an dieser Stelle nicht weiter. Paragraf 25 kennt nur zwei Wege, technische Notwendigkeit oder Einwilligung.

Der eleganteste Weg ist oft, den Banner überflüssig zu machen. Wenn du Schriften lokal ablegst und auf Werkzeuge verzichtest, die du ohnehin nie anschaust, brauchst du vieles gar nicht erst abzufragen.

Wenn du einen brauchst: so muss er aussehen

Ein Banner, der nur einen großen grünen Knopf zeigt, schützt dich nicht. Er dokumentiert eher, dass die Einwilligung unwirksam war. Diese Punkte sind weitgehend unstrittig:

  1. Nichts startet vor der Entscheidung. Die Dienste dürfen erst laden, wenn jemand zugestimmt hat. Ein Banner, hinter dem das Tracking schon läuft, ist nur Dekoration.
  2. Ablehnen so einfach wie Zustimmen. Gleiche Ebene, vergleichbare Größe und Sichtbarkeit. Ein Ablehnen, das drei Klicks tief versteckt ist, erfüllt das nicht.
  3. Keine Vorauswahl. Haken bei Marketing dürfen nicht schon gesetzt sein.
  4. Weiterscrollen ist keine Zustimmung. Es braucht eine aktive Handlung.
  5. Widerruf muss möglich sein, und zwar so leicht wie die Zustimmung. In der Praxis ein kleiner Link im Fußbereich.
  6. Verständlich informieren, also welcher Dienst, zu welchem Zweck, von wem.

Google Fonts: der häufigste Fehler auf kleinen Seiten

Schriften sehen harmlos aus, sind aber der Klassiker. Wenn deine Seite eine Schrift direkt vom Server des Anbieters lädt, wird dabei die IP-Adresse deines Besuchers dorthin übertragen. Das passiert schon beim Aufruf, bevor irgendjemand irgendwo zugestimmt hat.

Das Landgericht München I hat am 20. Januar 2022 entschieden, dass das ohne Einwilligung ein Verstoß ist, und dem Kläger Schadenersatz zugesprochen. Danach kam eine Welle von Abmahnschreiben, teils von unseriösen Absendern. Unabhängig davon, wie man zu diesen Schreiben steht: Der technische Punkt bleibt.

Die Lösung ist einfach und kostet nichts. Die Schriftdateien werden heruntergeladen und auf deinem eigenen Server abgelegt. Dann wird keine Verbindung zum Anbieter aufgebaut. Für einen Entwickler ist das Arbeit von einer halben Stunde.

Dasselbe Prinzip gilt für andere Dinge, die von fremden Servern nachgeladen werden, etwa Symbolsätze oder Skripte aus einem Content-Netzwerk.

Karten und Videos: einbetten, aber richtig

Eine eingebettete Karte und ein eingebettetes Video sind die zweithäufigste Ursache. Beide bauen beim Laden eine Verbindung zum Anbieter auf.

Zwei praktische Wege:

  • Zwei-Klick-Lösung. Statt der Karte siehst du zuerst ein Vorschaubild mit einem Hinweis. Erst wenn jemand klickt, wird die echte Karte geladen.
  • Ganz ersetzen. Für die meisten Betriebe reicht ein Bildschirmfoto der Karte plus ein Link zur Routenplanung. Das lädt schneller und löst das Problem komplett.

Der zweite Weg ist der, den wir kleinen Betrieben meistens empfehlen. Eine eingebettete Karte sieht nett aus, aber kaum jemand plant seine Route im Fenster auf deiner Seite. Ein Link tut es auch.

Das Kontaktformular: was wirklich nötig ist

Hier kursiert viel Halbwissen. Unstrittig sind diese Punkte:

  • Verschlüsselte Verbindung. Wenn der Browser bei deiner Adresse kein Schloss zeigt, gehen die Eingaben offen durchs Netz. Das ist der wichtigste Punkt überhaupt und heute technisch kostenlos.
  • Nur abfragen, was du brauchst. Jedes Pflichtfeld muss einen Grund haben. Die Geburtsdaten brauchst du für eine Terminanfrage nicht.
  • Hinweis auf die Datenschutzerklärung in der Nähe des Absendeknopfes, mit Link.
  • Löschen, wenn der Zweck weg ist. Eine Anfrage von 2019 muss nicht ewig im Postfach liegen. Leg eine Frist fest und halte dich daran.
  • Vertrag mit dem Hoster. Wer deine Seite und damit die Anfragen technisch verarbeitet, braucht eine Vereinbarung zur Auftragsverarbeitung. Das macht in der Regel dein Anbieter, frag aber danach.

Umstritten ist die Pflicht-Checkbox mit dem Text "Ich habe die Datenschutzerklärung gelesen". Viele Fachleute halten sie für überflüssig, weil die Verarbeitung ohnehin auf einer anderen Grundlage beruht, und ein erzwungenes Häkchen ist kein guter Beleg für Freiwilligkeit. Andere setzen sie weiter ein. Das ist ein Punkt, den du mit deinem Anwalt klären solltest, statt irgendeine Vorlage zu kopieren.

Noch ein praktischer Hinweis: Spamschutz-Werkzeuge von Fremdanbietern laden ebenfalls externe Inhalte. Wenn du so etwas einsetzt, gehört es in die Betrachtung mit hinein. Oft reicht eine einfache Rechenaufgabe oder ein verstecktes Feld als Schutz.

In zehn Minuten prüfen, was deine Seite wirklich lädt

Du musst dafür nichts können. Es gibt zwei Wege:

  1. Entwicklerwerkzeuge im Browser. Rechtsklick auf deine Seite, "Untersuchen", dann der Reiter mit den Netzwerkanfragen. Seite neu laden und schauen, welche fremden Adressen auftauchen. Alles, was nicht deine eigene Domain ist, ist ein Kandidat.
  2. Kostenlose Prüfdienste. Es gibt mehrere Seiten, bei denen du deine Adresse eingibst und eine Liste der geladenen Fremdinhalte bekommst.

Schreib die Ergebnisse auf. Diese Liste ist genau das, was dein Anwalt oder dein Rechtstexte-Dienst von dir braucht, und sie macht die Prüfung deutlich schneller. Wer seine Seite bei uns bauen lässt, bekommt sie ohnehin, weil wir wissen, was verbaut wurde. Wie wir Seiten aufbauen, steht unter Webseiten mit System.

Was sich gerade bewegt

Zwei Entwicklungen solltest du kennen, ohne dass du heute etwas tun musst.

Seit dem 1. April 2025 gibt es in Deutschland die Einwilligungsverwaltungsverordnung. Sie soll den Weg für Dienste öffnen, bei denen Nutzer ihre Einstellungen zentral verwalten. Für dich als Webseitenbetreiber ist die Anbindung freiwillig, ein eigener Banner bleibt erlaubt und ist weiter der Normalfall.

Auf EU-Ebene wird außerdem über eine Vereinfachung der Cookie-Regeln diskutiert. Solange daraus nichts beschlossen und umgesetzt ist, gilt Paragraf 25 TDDDG unverändert. Lass dir also nichts verkaufen, was mit einer künftigen Rechtslage begründet wird.

Was dein Webbetreuer macht und was zum Anwalt gehört

Technik, also die Aufgabe deines Webbetreuers: Verschlüsselung einrichten, Schriften lokal ablegen, externe Einbindungen entfernen oder auf Zwei-Klick umstellen, den Banner so einstellen, dass vorher nichts lädt, und dir eine Liste aller eingebundenen Dienste geben.

Inhalt und Bewertung, also die Aufgabe eines Anwalts oder eines Rechtstexte-Dienstes mit Aktualisierungsservice: die Texte selbst, die Frage nach der Checkbox, Besonderheiten deiner Branche, alles rund um Werbung und Einwilligungen per Mail.

Eine letzte Einschätzung aus der Praxis: Der wirksamste Schritt ist fast immer, die Zahl der externen Dienste zu reduzieren. Was gar nicht erst geladen wird, musst du weder erklären noch abfragen. Viele kleine Betriebsseiten kommen damit auf eine Lösung, die sauberer, schneller und einfacher ist als jeder ausgefeilte Banner.