Fast jede Website öffnet heute mit einem Banner: „Wir verwenden Cookies …“, dazu Schaltflächen, von denen eine auffällig grün ist. Viele Unternehmer:innen glauben, dieses Popup sei Pflicht. Das stimmt nicht. Pflicht ist die Einwilligung – und die brauchst du nur, wenn deine Website etwas tut, das eine Einwilligung erfordert. Wer darauf verzichtet, braucht auch keinen Banner. Diese Website hier hat keinen. Hier steht, wie das rechtlich funktioniert und was es dir bringt.
Wann ein Banner wirklich nötig ist
Zwei Gesetze regeln das Thema in Deutschland:
- § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis 2024 TTDSG): Wer Informationen auf dem Gerät der Nutzer:innen speichert oder darauf zugreift – Cookies, Local Storage, Fingerprinting –, braucht dafür eine Einwilligung. Ausgenommen ist nur, was unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst funktioniert: der Warenkorb im Shop, der Login, die Sprachauswahl.
- Art. 6 DSGVO: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. IP-Adressen zählen dazu. Für Tracking, Werbe-Pixel und Analyse-Dienste kommt in der Praxis nur die Einwilligung in Frage.
Der Europäische Gerichtshof hat 2019 im Fall Planet49 (C-673/17) klargestellt, dass eine Einwilligung aktiv erfolgen muss – vorangekreuzte Kästchen genügen nicht. Der Bundesgerichtshof hat das 2020 bestätigt. Die Datenschutzkonferenz der Aufsichtsbehörden (DSK) beschreibt in ihrer Orientierungshilfe für Telemedien, wie ein Banner aussehen muss, wenn man einen braucht: gleichwertige Schaltflächen für Ja und Nein, keine Tricks, keine Vorauswahl.
Die Umkehrung ist der entscheidende Punkt: Setzt deine Website keine nicht notwendigen Cookies und bindet keine Drittanbieter ein, gibt es nichts, wozu Nutzer:innen einwilligen müssten. Dann ist der Banner nicht nur überflüssig – er wäre irreführend.
Was eine Website ohne Banner ausmacht
Damit das funktioniert, muss die Website konsequent gebaut sein. Unsere Regeln:
- Keine Analyse- und Tracking-Skripte. Kein Google Analytics, kein Tag Manager, keine Werbe-Pixel von Meta, LinkedIn oder TikTok.
- Keine Drittanbieter-Einbettungen, die von sich aus laden. Videos, Karten, Social-Feeds und Chat-Widgets kontaktieren fremde Server, sobald die Seite öffnet – mit IP-Adresse und oft mit Cookies.
- Schriften und Skripte selbst hosten. Google Fonts, die vom Google-Server geladen werden, übertragen bei jedem Besuch die IP-Adresse. Das Landgericht München I hat dafür 2022 Schadensersatz zugesprochen (Urteil vom 20. Januar 2022, 3 O 17493/20). Lokal gehostete Schriften lösen das Problem vollständig.
- Kontakt ohne Drittanbieter. Kein Formular-Dienst, kein reCAPTCHA, kein Newsletter-Popup eines externen Anbieters. Wie Kontakt ohne Formular funktioniert, beschreibt unser Artikel Kontaktformular ohne Backend.
- Cookies nur, wo sie unbedingt nötig sind. Eine statische Unternehmenswebsite braucht in der Regel gar keine. Ein Shop braucht einen Warenkorb-Cookie – der ist erlaubt, ohne Einwilligung, muss aber in der Datenschutzerklärung stehen.
- Hosting in Deutschland. Damit entfällt die Frage nach Drittlandtransfers gleich mit.
Das Ergebnis ist eine Website, deren Datenschutzerklärung auf eine Seite passt – weil es kaum etwas zu erklären gibt.
Die üblichen Verdächtigen und ihre Alternativen
| Statt … | … nutzen wir |
|---|---|
| Google Analytics, Matomo, Hotjar | Google Search Console (Impressionen, Klicks, Rankings, technische Fehler – ohne Skript auf deiner Seite) |
| Google Fonts vom Google-Server | dieselben Schriften lokal gehostet |
| YouTube-/Vimeo-Einbettung | Vorschaubild, das erst per Klick lädt, oder ein Link zum Video |
| Google Maps als Karte | statisches Kartenbild oder Link zur Route |
| Social-Media-Buttons und -Feeds | einfache Links zu deinen Profilen |
| Kontaktformular mit reCAPTCHA | vorformulierte E-Mail, die im E-Mail-Programm öffnet |
| Chat-Widgets | E-Mail, Telefon, klare Antwortzeit |
| Tag Manager, Consent-Management-Tool | nichts – beide erübrigen sich |
Keine dieser Alternativen ist ein Verzicht auf Funktion. Sie ist meist die klarere Lösung: schneller, robuster, ohne Abhängigkeit von einem Anbieter, der seine Bedingungen ändern kann.
„Aber ich brauche doch Zahlen“
Das ist der häufigste Einwand – und er ist berechtigt. Nur: Die Zahlen, die für ein kleines oder mittleres Unternehmen zählen, liefert die Google Search Console kostenlos und ohne Cookie: Für welche Suchbegriffe erscheinst du, wie oft wird geklickt, welche Seiten ranken, wo gibt es technische Probleme. Das ist die Grundlage jeder Local-SEO-Arbeit. Dazu kommen aggregierte Server-Statistiken deines Hosters und die einfachste Kennzahl von allen: die Anfragen, die tatsächlich ankommen.
Was Analytics-Suiten darüber hinaus liefern – Verweildauer, Scrolltiefe, Klickpfade –, wird in kleinen Unternehmen selten ausgewertet und noch seltener in Entscheidungen übersetzt. Es kostet dafür Ladezeit, Vertrauen und eine Einwilligung, die viele Besucher:innen verweigern. Wer sie verweigert, taucht in der Statistik ohnehin nicht auf – die Zahlen sind also unvollständig, genau in dem Moment, in dem man ihnen vertraut.
Was das rechtlich und wirtschaftlich bringt
- Weniger Risiko. Ohne Tracking gibt es nichts, was falsch eingewilligt, falsch dokumentiert oder falsch übertragen werden könnte. Die meisten Abmahnungen und Beschwerden im Datenschutz drehen sich genau um diese Punkte.
- Keine laufenden Kosten für Consent-Tools. Consent-Management-Plattformen kosten je nach Anbieter monatlich Geld und wollen gepflegt werden.
- Schnellere Website. Jedes Drittanbieter-Skript ist ein zusätzlicher Request, oft mehrere. Ohne sie lädt die Seite in Sekundenbruchteilen – gut für Nutzer:innen und für die Core Web Vitals, die Google bewertet.
- Weniger Angriffsfläche. Fremde Skripte auf deiner Seite sind fremder Code auf deiner Seite. Fällt ein Anbieter aus oder wird kompromittiert, betrifft es dich mit.
- Barrierefreiheit. Cookie-Banner mit winzigen Schaltflächen und versteckten Ablehnen-Optionen sind oft die erste Hürde für Menschen mit Einschränkungen – und seit dem BFSG für viele Anbieter auch rechtlich relevant. Mehr dazu in Barrierefreie Website: Was das BFSG verlangt.
- Vertrauen. Eine Website, die nichts abfragt, wirkt so, wie ein gutes Unternehmen wirken will: aufgeräumt, respektvoll, souverän.
Wenn du trotzdem Tracking willst
Es gibt Fälle, in denen Tracking oder Werbeanzeigen bewusst gewollt sind – etwa bei größeren Kampagnen mit klarer Erfolgsmessung. Dann setzen wir das als Zusatzleistung um: mit einer Einwilligung, die den Vorgaben der DSK entspricht, mit Dokumentation und so datensparsam wie möglich. Unser Standard bleibt aber die Website ohne diese Technologien – weil sie für die meisten Unternehmen die bessere, sicherere und günstigere Lösung ist, und weil bezahlte Reichweite nur wirkt, solange bezahlt wird.
Fazit
Ein Cookie-Banner ist kein Gesetz, sondern ein Symptom: Er zeigt, dass eine Website Dinge tut, die eine Einwilligung brauchen. Wer auf Tracking, Werbe-Pixel und fremde Einbettungen verzichtet, Schriften selbst hostet und in Deutschland hostet, braucht keinen – und hat eine schnellere, sicherere Website mit einer Datenschutzerklärung, die man lesen kann. Sichtbarkeit misst die Search Console, Erfolg messen die Anfragen.
Du willst wissen, was auf deiner aktuellen Website alles lädt, ohne dass jemand eingewilligt hat? Schreib uns über die Kontaktseite. Wir prüfen es und sagen dir, wie deine Website ohne Banner auskommt. Eine Rechtsberatung ersetzt das nicht – für den letzten Blick auf die Datenschutzerklärung empfehlen wir eine Anwältin oder einen Generator wie eRecht24.
