Cookie-Banner-Pflicht: Wann braucht eine Handwerker-Website ein Banner?
Ein Cookie-Banner ist nach § 25 TDDDG nur nötig, wenn eine Website Informationen im Endgerät des Besuchers speichert oder auf dort gespeicherte Informationen zugreift und das für den gewünschten Dienst nicht unbedingt erforderlich ist. Eine reine Visitenkarten-Website ohne Reichweitenmessung, ohne eingebettete Karte und ohne extern geladene Schriften braucht deshalb in aller Regel kein Banner.
Auf vielen Ratgeberseiten steht pauschal, jede Website brauche ein Banner. Das ist zu kurz gegriffen. Es kommt darauf an, was Ihre Seite technisch tut — und das lässt sich in wenigen Minuten feststellen.
Was § 25 TDDDG wirklich sagt
Die Rechtsgrundlage heißt heute TDDDG, ausgeschrieben: Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten. Unter dem früheren Namen TTDSG finden Sie denselben Paragrafen — wenn Ihnen also ein älterer Text zum TTDSG begegnet, geht es um dieselbe Vorschrift.
§ 25 trägt die amtliche Überschrift „Schutz der Privatsphäre bei Endeinrichtungen". Absatz 1 sagt: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die dort bereits gespeichert sind, ist nur zulässig, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Für die Information und die Einwilligung selbst verweist der Absatz ausdrücklich auf die Datenschutz-Grundverordnung.
Absatz 2 nennt die Ausnahmen. Eine davon ist für Betriebswebsites die entscheidende: Die Einwilligung ist nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Nachlesen können Sie das im Original beim Bundesamt für Justiz: § 25 TDDDG.
Zwei Dinge fallen an diesem Text auf, die im Alltag ständig durcheinandergehen.
Erstens: Das Wort Cookie steht gar nicht darin. Der Paragraf spricht von Informationen im Endgerät. Ob die über ein Cookie, über den lokalen Speicher des Browsers oder auf einem anderen Weg dorthin kommen, ist egal. Der Name „Cookie-Banner" hat sich eingebürgert, die Vorschrift ist aber breiter.
Zweitens: Der Maßstab ist „unbedingt erforderlich". Nicht „praktisch", nicht „üblich", nicht „für uns wichtig". Ein Sitzungs-Cookie, das Ihr Kontaktformular braucht, um die Eingaben bis zum Absenden zusammenzuhalten, fällt darunter. Eine Statistik, die Ihnen zeigt, wie viele Besucher aus Wuppertal kamen, fällt nicht darunter — so nützlich sie für Sie ist.
Und noch eine Abgrenzung: § 25 regelt den Zugriff auf das Gerät. Was danach mit den Daten geschieht — Übertragung an einen Dienstleister, Auswertung, Speicherdauer —, richtet sich zusätzlich nach der Datenschutz-Grundverordnung. Beides kann greifen, und beides wird getrennt beurteilt.
Wer wissen will, was auf dem Spiel steht: § 28 Absatz 1 Nummer 13 TDDDG führt den Verstoß gegen § 25 Absatz 1 Satz 1 ausdrücklich als Ordnungswidrigkeit auf, der Rahmen liegt nach Absatz 2 bei bis zu 300.000 Euro (§ 28 TDDDG). Das ist der gesetzliche Höchstrahmen für den schwersten denkbaren Fall, nicht die zu erwartende Rechnung für eine Betriebswebsite. Es zeigt nur: Der Punkt ist keine reine Formsache.
Sie brauchen ein Cookie-Banner, wenn …
Trifft einer dieser Punkte auf Ihre Website zu, brauchen Sie eine Einwilligung, bevor die betreffende Technik lädt:
- Sie messen Besucherzahlen mit einem Werkzeug, das dafür etwas im Browser ablegt oder ausliest — etwa Google Analytics oder eine vergleichbare Lösung.
- Sie haben eine Karte eingebettet, die direkt beim Anbieter geladen wird (typischerweise Google Maps in einem Kartenfenster).
- Sie zeigen Videos, die vom Portal geladen werden (YouTube, Vimeo).
- Sie haben ein Werbe- oder Wiedererkennungspixel eingebaut, weil Sie Anzeigen schalten.
- Sie binden ein Chatfenster, ein Bewertungs-Widget oder einen Terminkalender eines fremden Anbieters ein.
Sie brauchen kein Cookie-Banner, wenn …
Ihre Seite besteht aus Ihren eigenen Inhalten und nichts davon greift ohne Notwendigkeit auf das Gerät zu:
- Texte, Fotos und Kontaktdaten liegen auf Ihrem eigenen Hosting.
- Schriften und Symbole werden von Ihrem eigenen Server ausgeliefert, nicht von einem fremden.
- Statt einer eingebetteten Karte steht die Adresse als Text auf der Seite, dazu ein Link zur Route.
- Es gibt ein Kontaktformular, das nur das setzt, was für den Versand nötig ist.
- Es gibt keine Besucherauswertung — oder sie läuft ausschließlich über die Server-Protokolle Ihres Hosters, ohne Zugriff auf das Endgerät.
Das ist keine exotische Konstellation. Das ist der Normalfall bei einer Betriebswebsite mit fünf bis acht Seiten. Wer so eine Seite baut, kann die Cookie-Banner-Pflicht von vornherein vermeiden — und das ist die angenehmere Lösung, weil jedes Banner eine zusätzliche Hürde zwischen Besucher und Telefonnummer ist.
Die drei Einbindungen, die auf Handwerker-Seiten das Banner auslösen
In fast allen Fällen, in denen eine Handwerker-Website plötzlich ein Banner braucht, sind es dieselben drei Bausteine. Für jeden gibt es eine datensparsame Alternative.
Die eingebettete Karte
Ein Kartenfenster auf der Kontaktseite sieht gut aus und wird vom Anbieter geladen, sobald die Seite aufgeht. Damit legt ein Dritter etwas im Browser Ihres Besuchers ab, bevor der überhaupt etwas angeklickt hat.
Die datensparsame Alternative: Adresse als Text, dazu ein normaler Link zur Route oder zu Ihrem Eintrag bei Google. Das ist für den Besucher sogar praktischer, weil er die Navigation direkt in seiner gewohnten App öffnet. Wie Sie diesen Eintrag richtig aufsetzen, steht im Beitrag zum Google Unternehmensprofil. Wenn Sie auf das Kartenfenster nicht verzichten wollen, laden Sie es erst nach einem Klick auf eine Vorschaufläche.
Schriften, die von einem fremden Server geladen werden
Viele Vorlagen holen ihre Schriftarten bei jedem Seitenaufruf von einem externen Anbieter. Dabei wird mindestens die IP-Adresse des Besuchers an diesen Anbieter übertragen — das ist eine Frage der Datenschutz-Grundverordnung. Ob zusätzlich § 25 TDDDG greift, wird unterschiedlich beurteilt.
Die gute Nachricht: Sie müssen diese Frage nicht entscheiden. Die saubere Lösung ist in beiden Fällen dieselbe — die Schriften liegen auf Ihrem eigenen Server und werden von dort ausgeliefert. Das ist keine große Sache, meist eine Stunde Arbeit, und nebenbei lädt die Seite schneller. Bei einem Website-Relaunch sollte das ohnehin auf der Liste stehen.
Eingebettete Videos
Ein Imagefilm oder eine Baustellenaufnahme direkt auf der Seite ist stark. Das eingebettete Abspielfenster lädt allerdings beim Seitenaufruf mit, auch wenn niemand auf Start drückt.
Die datensparsame Alternative: ein Standbild mit Abspielsymbol, und das Video wird erst geladen, wenn der Besucher darauf klickt. Vor diesem Klick verlässt nichts das Gerät. Diese Lösung ist in gängigen Systemen als fertige Erweiterung verfügbar.
Was ein wirksames Cookie-Banner können muss
Wenn die Cookie-Banner-Pflicht für Ihre Seite gilt, reicht ein Hinweiskasten mit einem Bestätigungsknopf nicht. Die Aufsichtsbehörde für den Datenschutz des Bundes formuliert die Anforderungen deutlich: Nutzer müssen eine echte freiwillige Wahl haben, ein Banner mit ausschließlich einer Zustimmen-Schaltfläche erfüllt das nicht, die Ablehnung muss so einfach sein wie die Zustimmung, und eine erteilte Einwilligung muss jederzeit über eine leicht zugängliche Möglichkeit widerrufbar sein (nachzulesen bei der BfDI zum Cookie-Banner).
Daraus ergeben sich fünf Anforderungen, die Sie an Ihrer eigenen Seite prüfen können:
- Ablehnen auf derselben Ebene. Neben „Alle akzeptieren" gehört auf die erste Ebene eine gleichwertige Schaltfläche zum Ablehnen. Nicht zwei Klicks tiefer, nicht als blasser Textlink.
- Keine Vorauswahl. Nach der Definition in der Datenschutz-Grundverordnung ist eine Einwilligung eine unmissverständliche, bestätigende Handlung. Ein Kästchen, das schon angehakt ist, ist keine Handlung des Besuchers.
- Erst fragen, dann laden. Ein Banner nützt nichts, wenn die Statistik oder das Kartenfenster im Hintergrund längst gestartet ist. Das ist der häufigste technische Fehler überhaupt.
- Konkret informieren, bevor gefragt wird. Welche Dienste laufen, wozu — und zwar erreichbar, bevor jemand zustimmt.
- Widerruf jederzeit. Ein dauerhaft erreichbarer Punkt, über den die Entscheidung geändert werden kann. Ein Link im Fußbereich genügt.
Für die Verwaltung solcher Einwilligungen sieht § 26 TDDDG anerkannte Dienste zur Einwilligungsverwaltung vor. Für einen Handwerksbetrieb ist das derzeit kein Thema, das Sie aktiv angehen müssen — es zeigt aber, dass sich an dieser Stelle noch etwas bewegt.
Die Fehler, die immer wieder vorkommen
- Banner da, Technik läuft trotzdem. Ein eingekauftes Banner wurde eingebaut, die Skripte werden aber weiterhin beim Seitenaufruf geladen. Die Einwilligung läuft damit ins Leere.
- Nur Akzeptieren. Ein Kasten mit „Verstanden" und sonst nichts. Das ist der Klassiker aus dem Jahr 2018 und heute überholt.
- Ein Banner ohne Anlass. Die Seite lädt gar nichts Einwilligungspflichtiges, trotzdem klebt ein Banner davor. Das kostet Anfragen ohne jeden Gegenwert.
- Kein Widerruf. Wer einmal zugestimmt hat, findet keine Stelle mehr, an der er das ändern könnte.
- Eine Datenschutzerklärung, die nicht zur Seite passt. Aus einer Vorlage übernommen, listet sie Dienste auf, die nie eingebaut wurden — oder verschweigt die, die tatsächlich laufen. Beides fällt bei einer Prüfung sofort auf.
In zehn Minuten selbst prüfen, was Ihre Seite lädt
Sie brauchen dafür niemanden. Öffnen Sie Ihre Website im Browser am Rechner und drücken Sie F12. Im Bereich „Netzwerk" laden Sie die Seite neu und sehen, welche fremden Adressen aufgerufen werden. Steht dort nur Ihre eigene Domain und die Ihres Hosters, ist die Lage einfach. Tauchen fremde Anbieter auf, wissen Sie, worüber Sie mit Ihrem Dienstleister sprechen müssen.
Im selben Werkzeug finden Sie unter „Anwendung" beziehungsweise „Speicher" die Cookies und den lokalen Speicher. Was dort vor jeder Zustimmung schon liegt, sollte etwas sein, das für den Betrieb der Seite unbedingt erforderlich ist.
Was das für Ihre Website bedeutet
Die Cookie-Banner-Pflicht ist für die meisten Handwerksbetriebe kleiner, als sie klingt. Die einfachste Lösung ist fast immer, die einwilligungspflichtigen Bausteine gar nicht erst einzubauen: eigene Schriften, Adresse statt Kartenfenster, Video erst auf Klick. Dann brauchen Sie kein Banner und Ihre Besucher keine Entscheidung, bevor sie Ihre Telefonnummer sehen.
Wenn Sie ohnehin gerade über Ihre Seite nachdenken: Die Punkte hängen zusammen. Beim Thema Barrierefreiheit auf der Website stellt sich dieselbe Frage nach Pflicht und Ausnahme, und wer seine Seite selbst aufbaut, entscheidet mit jeder Erweiterung mit, ob am Ende ein Banner nötig wird.
Wenn Sie nicht sicher sind, was Ihre bestehende Seite lädt, schauen wir gemeinsam drauf: Der kostenlose Website-Check sagt Ihnen unter anderem, welche fremden Dienste beim Aufruf Ihrer Startseite mitgeladen werden.
Zur Einordnung, mit wem Sie es hier zu tun haben: ASR Webdesign ist mein Einzelunternehmen. Ich bin Nikola, sitze in Wuppertal und baue Websites für Handwerksbetriebe — zum Festpreis zwischen 1.490 € und 3.990 € netto, in der Regel 14 Tage bis online, sobald die Inhalte freigegeben sind.
Ein Hinweis zum Schluss, sachlich gemeint: Dieser Beitrag gibt den Stand der oben verlinkten Vorschriften wieder und ersetzt keine Rechtsberatung im Einzelfall. Sobald über Ihre Seite gebucht, bestellt oder Werbung ausgesteuert wird, lohnt sich der Blick einer Fachanwältin oder eines Fachanwalts.
Häufige Fragen
Braucht jede Website ein Cookie-Banner?
Nein. Nach § 25 TDDDG ist eine Einwilligung nur nötig, wenn eine Website Informationen im Endgerät speichert oder darauf zugreift, ohne dass das für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Eine Seite, die nur eigene Inhalte von einem eigenen Server ausliefert, kommt ohne Banner aus.
Gilt die Cookie-Banner-Pflicht auch für kleine Handwerksbetriebe?
Ja, § 25 TDDDG unterscheidet nicht nach Betriebsgröße. Es kommt allein darauf an, was die Website technisch tut. Ein Zweimannbetrieb mit Google Analytics braucht eine Einwilligung, ein Betrieb mit 40 Mitarbeitern und einer reinen Informationsseite ohne fremde Einbindungen nicht.
Reicht ein Hinweis mit nur einem Bestätigungsknopf?
Nein. Die Datenschutzaufsicht des Bundes stellt klar, dass ein Banner mit ausschließlich einer Zustimmen-Schaltfläche die Anforderungen nicht erfüllt und dass die Ablehnung so einfach sein muss wie die Zustimmung. Ein Kasten mit „Verstanden" ist deshalb keine wirksame Einwilligung.
Muss ich ein Banner einbauen, wenn ich nur eine Karte eingebettet habe?
Wenn das Kartenfenster direkt beim Anbieter geladen wird und dabei etwas im Browser des Besuchers abgelegt wird, brauchen Sie dafür eine Einwilligung. Sie können das umgehen, indem Sie die Adresse als Text angeben und verlinken oder die Karte erst nach einem Klick laden.
Ist ein Cookie-Banner dasselbe wie eine Datenschutzerklärung?
Nein, das sind zwei getrennte Dinge. Die Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten und ist unabhängig davon nötig, ob Ihre Seite ein Banner braucht. Das Banner holt eine Einwilligung ein — und zwar nur dort, wo eine erforderlich ist.