Praxis
Cookie-Banner-Fehler vermeiden: Abmahnrisiken und typische Stolperfallen
Fehlerhafte Cookie-Banner sind eine der häufigsten Abmahnursachen im Datenschutzrecht. Dieser Ratgeber zeigt die typischsten Fehler und erklärt, wie sie vermieden werden.
Mateusz Viola Inhalt
Ein Cookie-Banner, der nicht den Anforderungen der DSGVO und der ePrivacy-Richtlinie entspricht, ist kein Kavaliersdelikt. Er kann zu Abmahnungen durch Wettbewerber, zu Beschwerden bei Datenschutzbehörden und zu behördlichen Bußgeldern führen. Die gute Nachricht: Die häufigsten Fehler sind bekannt und lassen sich mit überschaubarem Aufwand vermeiden.
Fehler 1: Vorladen von Tracking-Skripten
Der gravierendste technische Fehler ist das Laden von Analyse- oder Tracking-Skripten, bevor der Nutzer eine Einwilligungsentscheidung getroffen hat. Das betrifft Google Analytics, Facebook Pixel, Google Ads Conversion-Tags und ähnliche Dienste.
Auch wenn der Cookie-Banner sichtbar ist und der Nutzer noch keine Auswahl getroffen hat, dürfen diese Skripte nicht ausgeführt werden. Oft werden sie im <head>-Bereich der Seite direkt eingebunden und starten daher beim Seitenaufruf sofort, unabhängig vom Einwilligungsstatus.
Die korrekte Umsetzung: Alle Tracking-Skripte werden erst nach positiver Einwilligung geladen, entweder über den Google Tag Manager mit korrekter Consent-Mode-Konfiguration oder durch dynamisches Einfügen des Skript-Tags per JavaScript nach Einwilligung.
Fehler 2: Keine gleichwertige Ablehnungsoption
Wenn die Schaltfläche „Alle akzeptieren” prominent platziert ist, aber die Ablehnungsoption fehlt oder mehrere Klicks erfordert, liegt ein Dark Pattern vor. Aufsichtsbehörden und Gerichte werten das als Verstoß gegen die Freiwilligkeit der Einwilligung.
Konkrete Erscheinungsformen dieses Fehlers:
Es gibt nur eine Schaltfläche „Akzeptieren”, aber keine direkte Ablehnung auf der ersten Banner-Ebene.
Die Ablehnung ist als grauer Text oder als Link gestaltet, während die Einwilligung als farbiger Button hervorgehoben wird.
Der Nutzer muss in den „Einstellungen” jeden einzelnen Dienst manuell abschalten, um alle nicht notwendigen Cookies abzulehnen.
Richtig ist: Entweder zwei gleichwertige Schaltflächen auf der ersten Ebene, „Akzeptieren” und „Ablehnen”, oder eine Einstellungsschaltfläche mit der Option, alle optionalen Cookies auf einen Schlag abzulehnen.
Fehler 3: Vorangehakte Checkboxen
Kategorien wie „Statistik” oder „Marketing” dürfen im Einstellungsbereich des Banners nicht vorausgewählt sein. Vorausgewählte Optionen gelten nicht als wirksame Einwilligung, weil der Nutzer aktiv zustimmen muss, nicht aktiv widersprechen.
Dieser Grundsatz geht auf das EuGH-Urteil Planet49 von 2019 zurück und ist seitdem ständige Rechtsprechung.
Fehler 4: Kein dauerhafter Widerruf möglich
Ein Cookie-Banner, der nach der ersten Einwilligung nicht mehr aufrufbar ist, verstößt gegen die Widerrufspflicht aus Artikel 7 Absatz 3 DSGVO. Nutzer müssen jederzeit ihre Einstellungen ändern können.
Die Lösung ist ein dauerhaft sichtbarer Link im Footer oder ein kleines Schaltflächensymbol am Seitenrand, das den Banner erneut öffnet. Der Link muss in der Desktop- und in der Mobilansicht erreichbar sein.
Fehler 5: Unvollständige Diensteübersicht
Der Cookie-Banner muss alle eingesetzten Dienste mit Cookies und deren Zwecke nennen. Ein generischer Hinweis auf „Drittanbieter” ohne namentliche Nennung reicht nicht aus.
Wenn auf der Website Google Analytics, ein Facebook Pixel, ein Live-Chat-Dienst und ein CDN mit Tracking eingebettet sind, müssen alle vier im Banner oder in dessen erweiterter Ansicht aufgeführt sein, inklusive Datenschutzhinweis und Aufbewahrungsdauer der gesetzten Cookies.
Fehler 6: Fehlendes oder falsches Impressum und Datenschutzhinweis
Der Cookie-Banner muss Verlinkungen auf den Datenschutzhinweis und das Impressum enthalten, die bereits vor einer Einwilligungsentscheidung aufrufbar sind. Wer den Datenschutzhinweis erst nach Einwilligung zugänglich macht, verstößt gegen die Informationspflichten der DSGVO.
Auch der Inhalt des Datenschutzhinweises muss korrekt sein und alle im Banner genannten Dienste abdecken.
Fehler 7: Cookie-Wall ohne Alternative
Eine Cookie-Wall ist ein Mechanismus, der den Zugang zur Website vom Akzeptieren von Tracking-Cookies abhängt. Ohne Einwilligung kein Inhalt. Die meisten europäischen Datenschutzbehörden stufen Cookie-Walls als unzulässig ein, weil sie die Freiwilligkeit der Einwilligung untergraben.
Eine Ausnahme diskutieren Behörden für ein Bezahlmodell: Wer keine Cookies akzeptiert, zahlt einen Geldbetrag für die Nutzung. Dieses Modell ist rechtlich noch nicht abschließend geklärt und erfordert sorgfältige Abwägung.
Fehler 8: Falsche oder fehlende Rechtsgrundlagen
Im Datenschutzhinweis und im Cookie-Banner muss die Rechtsgrundlage für jede Verarbeitungskategorie angegeben sein. Für Analyse- und Marketing-Cookies ist das ausnahmslos die Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO.
Manche Betreiber versuchen, Tracking-Cookies unter das berechtigte Interesse nach Artikel 6 Absatz 1 lit. f DSGVO zu subsumieren. Das ist für Werbe-Tracking nach überwiegender Auffassung der Datenschutzbehörden nicht zulässig.
Werkzeug für die korrekte Umsetzung
Mit dem Generator auf dieser Seite lässt sich ein regelkonformer Cookie-Banner konfigurieren, der die genannten Fehler von vornherein vermeidet: keine vorangehakten Checkboxen, gleichwertige Ablehnoption auf der ersten Ebene, vollständige Diensteauflistung und integrierter Widerrufsmechanismus.
Zusammenfassung
Die häufigsten Cookie-Banner-Fehler sind technischer und gestalterischer Natur: Vorladen von Skripten, fehlende Ablehnoption, vorausgewählte Checkboxen, kein dauerhafter Widerruf und unvollständige Diensteübersicht. Jeder dieser Fehler kann zu einer Abmahnung oder einem Bußgeldverfahren führen. Eine sorgfältige Implementierung mit einer geprüften Consent-Lösung ist deshalb keine Kür, sondern Pflicht.
Häufige Fragen
Wer kann wegen eines fehlerhaften Cookie-Banners abmahnen?
Abmahnungen kommen sowohl von Mitbewerbern über das UWG als auch von Datenschutz-Vereinen und Verbraucherschutzorganisationen. Daneben können Datenschutzbehörden Bußgelder verhängen. Die Kombination aus privatrechtlicher Abmahnung und behördlichem Verfahren ist möglich.
Ist ein Cookie-Banner auf einer kleinen Website mit wenig Besuchern auch Pflicht?
Ja. Die Pflicht zur Einwilligung hängt nicht von der Besucherzahl ab, sondern davon, ob Cookies zu anderen als technisch notwendigen Zwecken gesetzt werden. Auch eine kleine Website mit Google Analytics oder einem Facebook-Pixel benötigt einen korrekten Cookie-Banner.
Quellen
- OLG München, Urteil 29 U 2490/23 e zu Dark Patterns in Cookie-Bannern (2023)
- Verbraucherzentrale Bundesverband, Leitfaden Dark Patterns in Cookie-Bannern (2022)
Über die Autorenschaft
Mateusz Viola
Betreiber und redaktionelle Verantwortung cookie-consent-generator.de
Themengebiet: Mathematik, Kalenderrechnung, Schaltjahre, Statistik und ISO 8601
Mehr über Mateusz Viola →Verwandte Artikel
Grundlagen
Cookie-Banner: Wann ist er Pflicht?
Wann braucht eine Website einen Cookie-Banner? Überblick über die rechtliche Lage nach DSGVO und TDDDG – mit praktischen Beispielen.
Lesezeit 6 Min.
Recht
DSGVO und Cookies: Die Rechtsgrundlagen im Überblick
Welche Rechtsgrundlagen der DSGVO für Cookies relevant sind und wie Einwilligung, berechtigtes Interesse und Vertragserfüllung abzugrenzen sind.
Lesezeit 7 Min.
Recht
TDDDG erklärt: Was das deutsche Datenschutzgesetz für Cookies bedeutet
Das TDDDG (früher TTDSG) ergänzt die DSGVO beim Thema Cookies. Dieser Ratgeber erklärt Paragraph 25 und was er für Website-Betreiber konkret bedeutet.
Lesezeit 6 Min.