Cookies und Tracking

Start › IT-Recht › Datenschutz › Cookies und Tracking

Cookie-Banner, Analyse-Tools, Pixel und Fingerprinting sind ein Dauerthema für Website- und App-Betreiber. Aufsichtsbehörden prüfen sie systematisch, Verbände und Mitbewerber mahnen ab, Nutzer klagen auf Schadensersatz. Wir prüfen Consent-Lösungen, beraten zu rechtssicherem Tracking und verteidigen gegen Abmahnungen und Klagen.

§ 25 TDDDG: Wann eine Cookie-Einwilligung nötig ist

Das frühere TTDSG heißt seit Mai 2024 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Nach § 25 Abs. 1 TDDDG braucht jede Speicherung von Informationen auf dem Endgerät und jeder Zugriff darauf eine Einwilligung. Das betrifft Cookies ebenso wie Local Storage, Pixel, SDKs in Apps und Fingerprinting. Ob personenbezogene Daten betroffen sind, spielt dafür keine Rolle.

Ausnahmen gelten nach § 25 Abs. 2 nur, wenn der Zugriff technisch für die Übertragung erforderlich oder unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Darunter fallen etwa Warenkorb, Login, Spracheinstellung und Sicherheitsfunktionen. Reichweitenmessung, Marketing und A/B-Tests fallen nach Auffassung der Aufsichtsbehörden in der Regel nicht darunter.

Für die anschließende Verarbeitung personenbezogener Daten gilt daneben die DSGVO. Wer einwilligungspflichtig Cookies setzt, stützt die nachfolgende Auswertung meist ebenfalls auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Anforderungen an den Cookie-Banner

• Vor der Einwilligung werden keine einwilligungspflichtigen Cookies gesetzt und keine Skripte geladen.
• Ablehnen muss so einfach sein wie Zustimmen. Nach der Rechtsprechung mehrerer Gerichte und der Praxis der Aufsichtsbehörden bedeutet das in der Regel einen gleichwertigen Ablehnen-Button auf der ersten Ebene.
• Keine vorangekreuzten Kästchen, keine irreführende Farbgestaltung, kein „Weitersurfen gilt als Zustimmung“.
• Konkrete Angaben zu Zwecken, Anbietern, Speicherdauer und Drittlandübermittlungen.
• Widerruf jederzeit und einfach möglich, etwa über einen dauerhaft erreichbaren Link.
• Einwilligungen werden protokolliert, um sie nachweisen zu können (Art. 7 Abs. 1 DSGVO).

Einwilligungsverwaltungsverordnung (EinwV)

Seit dem 1. April 2025 gilt die Verordnung über Dienste zur Einwilligungsverwaltung auf Grundlage von § 26 TDDDG. Nutzer sollen ihre Entscheidungen bei einem anerkannten Dienst hinterlegen können, der sie an Websites weitergibt. Die Anerkennung erfolgt durch die BfDI, die ein öffentliches Register führt. Für Website-Betreiber ist die Einbindung freiwillig. Die Verantwortung für die Wirksamkeit der Einwilligung bleibt beim Anbieter. Praktisch hat die Verordnung die Banner bisher nicht ersetzt.

Tracking-Tools: Google Analytics, Meta-Pixel, Server-Side-Tracking

Bei Analyse- und Marketingtools sind regelmäßig drei Fragen zu klären: die Einwilligung nach § 25 TDDDG, die Rolle der Beteiligten (Auftragsverarbeitung oder gemeinsame Verantwortlichkeit) und der Drittlandtransfer. Bei Social-Media-Plugins und Pixeln liegt nach der Rechtsprechung des EuGH für die Erhebung und Übermittlung häufig gemeinsame Verantwortlichkeit mit dem Plattformbetreiber vor.

Server-Side-Tracking verlagert die Datenübermittlung vom Browser auf den eigenen Server. Das verbessert die Kontrolle, beseitigt aber die Einwilligungspflicht nicht, wenn weiterhin Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Gleiches gilt für Fingerprinting und für Lösungen, die als „cookieless“ beworben werden.

Haftung: Abmahnung, Bußgeld, Schadensersatz

Verstöße gegen § 25 TDDDG sind bußgeldbewehrt (§ 28 TDDDG). Verbraucherverbände klagen auf Unterlassung. Zunehmend verlangen auch einzelne Nutzer Schadensersatz wegen Tracking ohne Einwilligung. Beim BGH ist ein Verfahren anhängig, in dem es um die Haftung eines Tracking-Anbieters geht, der Cookies auf fremden Websites setzt; das OLG Frankfurt hatte ihn verpflichtet, selbst sicherzustellen, dass eine Einwilligung vorliegt (I ZR 5/26). Die Entscheidung kann die Verteilung der Verantwortung zwischen Website-Betreibern und Anbietern neu ordnen.

Digital-Omnibus: Geplante Änderungen der Cookie-Regeln

Die EU-Kommission hat am 19. November 2025 vorgeschlagen, die Cookie-Regeln teilweise in die DSGVO zu verlagern (Art. 88a DSGVO-E), Ausnahmen für aggregierte Reichweitenmessung und Sicherheitszwecke zu schaffen, eine Ein-Klick-Ablehnung vorzuschreiben und nach einer Ablehnung eine Sperrfrist für erneute Abfragen einzuführen. Der Rat hat am 21. Oktober 2026 seine Position festgelegt: Er will die Regelung in der ePrivacy-Richtlinie belassen, die Ausnahmen erweitern, die Sperrfrist auf vier Monate verkürzen und die Pflicht zur Beachtung von Browser-Signalen streichen. Das Parlament hat noch keine Position. Bis zu einer Einigung und dem Inkrafttreten gilt § 25 TDDDG unverändert.

Typische Mandate

• Prüfung von Websites, Shops und Apps auf eingesetzte Cookies, Skripte und SDKs.
• Konfiguration und Texte der Consent-Management-Plattform, Datenschutzerklärung.
• Verträge mit Agenturen und Tool-Anbietern, Vereinbarungen nach Art. 26 DSGVO.
• Abwehr von Abmahnungen, Unterlassungs- und Schadensersatzklagen, Anhörungen der Aufsicht.

Häufige Fragen zu Cookies

Brauche ich einen Banner, wenn ich nur technisch notwendige Cookies nutze?

Nein. Sie müssen die Cookies aber in der Datenschutzerklärung beschreiben. Häufig werden über eingebundene Schriften, Karten oder Videos unbemerkt weitere Dienste geladen.

Ist eine Cookie-Paywall („Pay or OK“) zulässig?

Die deutschen Aufsichtsbehörden halten sie unter Bedingungen für möglich, etwa bei einer gleichwertigen, angemessen bepreisten Alternative ohne Tracking. Die Gestaltung ist im Einzelfall zu prüfen.

Gilt § 25 TDDDG auch für Apps?

Ja. Zugriffe auf Werbe-IDs, Gerätekennungen oder lokale Speicher durch eingebundene SDKs sind ebenso einwilligungspflichtig wie Cookies im Browser.

Verwandte Themen

• Online-Marketing
• Onlineshop
• Apps
• Muster Datenschutzerklärung
• Telemedienrecht
• Datentransfer in Drittländer