Abmahn-Infos · Stand Oktober 2026

Cookie-Banner und Abmahnung: Fünf Fehler, jeder mit Wortlaut und Quelle

Ein Cookie-Banner allein schützt nicht vor einer Abmahnung: Es kommt darauf an, ob vor der Einwilligung schon etwas gespeichert oder ausgelesen wird und ob die Einwilligung wirksam ist.

Kurz gesagt: § 25 Abs. 1 TDDDG verlangt die Einwilligung, bevor etwas auf dem Gerät Ihrer Besucher gespeichert oder ausgelesen wird, das nicht „unbedingt erforderlich“ ist. Der Banner hilft nur, wenn diese Einwilligung wirksam ist, und daran scheitern die fünf Fehler unten. Ob ein Fehler bei Ihnen abgemahnt werden kann, beurteilt eine Anwältin oder ein Anwalt. Wie es ohne Banner geht: Website ohne Cookie-Banner. Keine Rechtsberatung.

Nein. Der Banner ist nur das Mittel, eine Einwilligung einzuholen. Das Gesetz fragt, ob sie vorlag, bevor etwas passiert ist: Speichern oder Auslesen auf dem Gerät ist „nur zulässig, wenn der Endnutzer … eingewilligt hat“ (§ 25 Abs. 1 TDDDG). Ausgenommen ist, was „unbedingt erforderlich“ ist für einen „vom Nutzer ausdrücklich gewünschten digitalen Dienst“ (§ 25 Abs. 2 Nr. 2).

Woran man eine wirksame Einwilligung misst, beschreiben die deutschen Datenschutzaufsichtsbehörden in ihrer Orientierungshilfe „OH Digitale Dienste“ (Version 1.2, Stand November 2024). Sie ist die Sicht der Behörden, kein Gesetz und kein Urteil. Die fünf Fehler unten folgen ihrem Wortlaut und, wo es sie gibt, den Urteilen von EuGH und BGH.

Was wir nicht belegen können: wie oft Cookie-Banner abgemahnt werden. Dazu haben wir keine belastbare Zahl gefunden und nennen deshalb keine.

Die fünf Fehler

1. Ablehnen ist schwerer als Zustimmen

Wortlaut: Versperrt der Banner die Seite, müssen Besucher „ihre Ablehnung zumindest ohne Mehraufwand an Klicks (gegenüber der Zustimmung) äußern können“ (OH Digitale Dienste, Rn. 48). Steht neben „Alles Akzeptieren“ nur „Einstellungen“ oder „Details“, liegt nach Rn. 49 „regelmäßig“ keine wirksame Einwilligung vor.

Einschränkung: Eine Ablehnfunktion auf erster Ebene ist laut Rn. 124 „nicht generell erforderlich“, sondern nur, wenn man den Banner anklicken muss, um weiterzukommen. Ein Urteil von EuGH oder BGH zum Ablehnen-Knopf zitieren wir nicht; die beiden unten genannten Urteile sagen dazu nichts.

So prüfen Sie es: Zählen Sie die Klicks bis „alles abgelehnt“ und bis „alles akzeptiert“. Die Zahl sollte gleich sein.

2. Dienste laden, bevor jemand zugestimmt hat

Wortlaut: Es ist „nicht zulässig, wenn einwilligungsbedürftige Cookies bereits mit dem erstmaligen Aufruf einer Website gesetzt und erst anschließend die Einwilligung abgefragt wird“ (Rn. 36). Solange der Banner steht, werden „keine Inhalte von fremden Servern geladen, soweit eine Einwilligung hierfür erforderlich ist“ (Rn. 121).

Einschränkung: Eine fremde Adresse im Netzwerk-Tab ist für sich noch kein Verstoß gegen § 25 TDDDG, denn der regelt nur Speichern und Auslesen auf dem Gerät. Das Laden fremder Inhalte ist daneben ein Thema der DSGVO: Damit ist „regelmäßig eine Offenlegung personenbezogener Daten“ an den fremden Server verbunden, für die eine Rechtsgrundlage nötig ist (Rn. 101; als Beispiele nennt die Orientierungshilfe Schriftarten, Stadtpläne und Videos).

So prüfen Sie es: Seite im privaten Fenster öffnen, F12, Reiter „Netzwerk“, neu laden, den Banner nicht anklicken. Schneller geht es mit dem kostenlosen Tracker-Check. Die Schritte im Einzelnen stehen im Selbsttest der Cookie-Banner-Einrichtung.

3. Vorangekreuzte Kästchen

Wortlaut: Nach dem EuGH liegt eine wirksame Einwilligung „nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen … durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss“ (Urteil vom 01.10.2019, C-673/17 „Planet49“, Rn. 63). Der BGH hat das im selben Fall übernommen: Ein voreingestelltes Ankreuzkästchen „genügt diesem Einwilligungserfordernis nicht“ (Urteil vom 28.05.2020, I ZR 7/16, Leitsatz b).

Einschränkung: Der BGH entschied zum damaligen § 15 Abs. 3 TMG, nicht zum heutigen TDDDG. Die Aufsichtsbehörden sagen es für das heutige Recht so: „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der Nutzenden können demgegenüber keine Einwilligung darstellen.“ (Rn. 44)

So prüfen Sie es: Im Banner „Einstellungen“ öffnen. Kein Schalter für Statistik oder Marketing darf schon eingeschaltet sein.

4. Der Widerruf ist versteckt

Wortlaut: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.“ (Art. 7 Abs. 3 Satz 4 DSGVO). Die Aufsichtsbehörden halten es für unzulässig, wenn erst „eine Datenschutzerklärung aufgerufen und dann in dieser zu der richtigen Stelle gescrollt werden muss“; als machbar nennen sie „einen stets sichtbaren Direktlink oder ein Icon“ (Rn. 62).

So prüfen Sie es: Stimmen Sie zu und suchen Sie dann den Weg zurück. Üblich ist ein Link „Cookie-Einstellungen“ im Fuß jeder Seite.

5. Banner und Datenschutzerklärung sagen Verschiedenes

Wortlaut: Die Informationen an verschiedenen Stellen müssen „kongruent“ sein. In der Praxis fallen Seiten auf, „in deren Bannern zur Einwilligungsabfrage andere Informationen enthalten sind als in der Datenschutzerklärung, insbesondere andere Rechtsgrundlagen, andere Drittanbieter, andere Zwecke“ (Rn. 40).

So prüfen Sie es: Legen Sie die Diensteliste des Banners neben die Datenschutzerklärung. Ein erfundenes Beispiel: Der Banner nennt 14 Dienste, die Erklärung drei. Dann stimmt eine der beiden Listen nicht. Welche Dienste Ihre Seite lädt und welche davon in der Erklärung fehlen, zeigt der kostenlose Datenschutz-Abgleich.

Weniger Dienste, kleinerer Banner

Die Aufsichtsbehörden schreiben selbst: „Daher sollten entsprechende Einwilligungsbanner nur eingesetzt werden, wenn tatsächlich eine Einwilligung notwendig ist.“ (Rn. 116) Der ruhigere Weg ist deshalb oft, die Zahl der Dienste zu verringern, die eine brauchen: Schriften lokal einbinden (ob Ihre Seite extern lädt, zeigt der Google-Fonts-Checker), Karten und Videos als Zwei-Klick-Lösung einbinden. Wie Sie Schritt für Schritt prüfen, ob Ihre Seite ohne Banner auskommt, zeigt der Beitrag Website ohne Cookie-Banner.

Was Sie selbst schaffen und wo es aufhört

Die Fehler 1, 3 und 4 lassen sich nach unserer Erfahrung oft in den Einstellungen des Banner-Plugins beheben, Fehler 5 mit einem sorgfältigen Abgleich. Fehler 2 ist Handarbeit: Jedes Skript muss einzeln so eingebunden werden, dass es erst nach der Einwilligung lädt.

Dafür gibt es die Cookie-Banner-Einrichtung für 249 € Festpreis, mit Netzwerkanalyse als PDF. Dabei setzen wir standardmäßig das kostenlose Plugin Complianz ein; Lizenzkosten fallen dafür nicht an. Soll die ganze Seite geprüft werden, nimmt das Abmahnsicher-Komplettpaket für 349 € Banner, Nachladeverhalten und Einbettungen zusammen und behebt die technischen Funde gleich mit. Eine Zusage gegen Abmahnungen ist beides nicht, und die rechtliche Bewertung gehört zu einer Anwältin oder einem Anwalt.

Quellen

Keine Rechtsberatung — nur die Quellen im Wortlaut. Randnummern (Rn.) ohne weitere Angabe meinen die Orientierungshilfe.

Häufige Fragen

Kann ich wegen meines Cookie-Banners abgemahnt werden?

Für Ihre Seite können wir das nicht beurteilen, das ist eine Rechtsfrage für eine Anwältin oder einen Anwalt. Belegt ist ein Fall bis zum Bundesgerichtshof: Dort klagte der Bundesverband der Verbraucherzentralen gegen einen Gewinnspielanbieter, und der BGH entschied am 28.05.2020 (I ZR 7/16), dass ein voreingestelltes Ankreuzkästchen für Cookies dem Einwilligungserfordernis nicht genügt (bundesgerichtshof.de, abgerufen 09.10.2026). Wie oft Cookie-Banner abgemahnt werden, dazu haben wir keine belastbare Zahl gefunden und nennen deshalb keine.

Muss „Ablehnen“ auf der ersten Ebene des Banners stehen?

Nach der Orientierungshilfe der Datenschutzaufsichtsbehörden nicht in jedem Fall: Eine Ablehnfunktion auf erster Ebene sei „nicht generell erforderlich, sondern nur dann, wenn Nutzer:innen mit dem Einwilligungsbanner interagieren müssen, um den Besuch der Webseite fortzusetzen“ (Rn. 124). Bei gängigen Bannern seien die Voraussetzungen dafür aber „sehr häufig“ erfüllt (Rn. 125). Quelle: OH Digitale Dienste, Version 1.2, abgerufen 09.10.2026.

Darf der Knopf „Alle akzeptieren“ farbig hervorgehoben sein?

Die Aufsichtsbehörden schreiben: „Allein eine unterschiedliche Farbwahl muss nicht zwangsläufig dazu führen, dass die Freiwilligkeit abzulehnen ist.“ (OH Digitale Dienste, Rn. 130). Anders sehen sie es, wenn die Ablehnung im Fließtext versteckt, außerhalb des Banners platziert oder wegen Kontrast und Schriftgröße „praktisch unlesbar“ ist (Rn. 131). Abgerufen 09.10.2026.

Brauche ich für Statistik ohne Cookies keine Einwilligung?

Eine pauschale Antwort geben die Aufsichtsbehörden nicht. Ob eine Reichweitenmessung ohne Einwilligung rechtmäßig ist, könne „allenfalls für eine genau definierte Konfiguration und Zweckbestimmung“ festgelegt werden (OH Digitale Dienste, Rn. 89, abgerufen 09.10.2026). Wir sagen deshalb von keinem Statistik-Werkzeug, es sei einwilligungsfrei. Lassen Sie Ihre Einstellung prüfen.

Zum Weiterlesen

Ihre Seite jetzt auf Tracker checken →kostenlos, ohne Anmeldung