# DSGVO-Anforderungen an die Cookie-Einwilligung erklärt

> Was DSGVO und ePrivacy-Richtlinie verlangen, bevor Sie Cookies setzen: vorherige Opt-in-Einwilligung, gleichwertige Ablehnung, einfacher Widerruf und Nachweis.

Source: https://cookiesh.eu/de/blog/gdpr-cookie-consent-requirements  
Published: 2026-01-08

## Key takeaways

- In der EU brauchen nicht notwendige Cookies wie Analyse- und Werbe-Cookies eine vorherige Opt-in-Einwilligung, bevor sie gesetzt oder ausgelesen werden.
- Die ePrivacy-Richtlinie legt fest, wann eine Einwilligung nötig ist, die DSGVO definiert, was eine wirksame Einwilligung ausmacht.
- Unbedingt erforderliche Cookies, etwa für eine Login-Sitzung oder einen funktionierenden Warenkorb, sind von der Einwilligungspflicht ausgenommen.
- Cookies abzulehnen muss genauso einfach sein wie sie zu akzeptieren, und Besucher müssen ihre Einwilligung jederzeit widerrufen können.
- Sie müssen die Einwilligung nachweisen können. Dokumentieren Sie daher, was jeder Besucher wann und bei welcher Banner-Version gewählt hat.

Nach EU-Recht brauchen Sie die vorherige Opt-in-Einwilligung eines Besuchers, bevor Sie ein Cookie setzen oder auslesen, das für den angefragten Dienst nicht unbedingt erforderlich ist. Diese Einwilligung muss den Maßstab der DSGVO erfüllen: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich. Besucher müssen genauso einfach ablehnen wie zustimmen und ihre Meinung jederzeit ändern können, und Sie müssen nachweisen können, was sie gewählt haben.

## Welche Gesetze regeln Cookies in der EU?

Zwei Rechtsakte greifen ineinander. Die ePrivacy-Richtlinie bestimmt, wann Sie für ein Cookie eine Einwilligung brauchen, und die Datenschutz-Grundverordnung (DSGVO) legt fest, was eine wirksame Einwilligung ausmacht.

Artikel 5 Absatz 3 der ePrivacy-Richtlinie erfasst das Speichern von Informationen auf dem Endgerät eines Nutzers und das Auslesen von Informationen daraus. Darunter fallen Cookies, aber auch Local Storage, Tracking-Pixel, Gerätekennungen und vergleichbare Techniken. Die Regel gilt unabhängig davon, ob es sich bei den Informationen um personenbezogene Daten handelt.

Die DSGVO liefert den Maßstab für die Einwilligung. Artikel 4 Nr. 11 definiert die Einwilligung, Artikel 7 regelt die Bedingungen dafür. Erheben Cookies personenbezogene Daten, wie es die meisten Analyse- und Werbe-Cookies tun, regelt die DSGVO außerdem alles, was Sie anschließend mit diesen Daten tun. Wie sich die beiden Gesetze die Arbeit aufteilen, lesen Sie in [ePrivacy-Richtlinie vs. DSGVO](/de/blog/eprivacy-directive-vs-gdpr).

Da die ePrivacy-Richtlinie eine Richtlinie und keine Verordnung ist, setzt jeder EU-Mitgliedstaat sie in eigenes nationales Recht um. Die Kernregel ist überall gleich, doch die Aufsichtsbehörden unterscheiden sich in ihren Leitlinien und Durchsetzungsschwerpunkten.

## Welche Cookies brauchen eine Einwilligung?

Jedes Cookie und jede vergleichbare Technologie braucht eine Einwilligung, es sei denn, sie ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, oder dient ausschließlich der Übertragung einer Nachricht. Entscheidend ist der Zweck, nicht die Frage, ob es sich um ein First-Party- oder ein Third-Party-Cookie handelt.

| Zweck des Cookies | Beispiel | Einwilligung nötig? |
| --- | --- | --- |
| Authentifizierung | Hält einen Nutzer während einer Sitzung angemeldet | Nein, unbedingt erforderlich |
| Warenkorb | Merkt sich die in den Warenkorb gelegten Artikel | Nein, unbedingt erforderlich |
| Lastverteilung | Leitet Anfragen an denselben Server weiter | Nein, unbedingt erforderlich |
| Speicherung der Einwilligung | Merkt sich die Cookie-Auswahl des Besuchers | Nein, unbedingt erforderlich |
| Präferenzen | Sprach- oder Anzeigeeinstellungen | Hängt davon ab, ob der Nutzer die Einstellung ausdrücklich gewählt hat |
| Analyse | Zählt Besuche und verfolgt Nutzerpfade | Ja, in den meisten Fällen |
| Werbung | Retargeting, Conversion-Tracking, Profilbildung | Ja |
| Social-Media-Einbindungen | Teilen-Buttons, eingebettete Beiträge, Pixel | Ja, sofern sie Kennungen setzen oder auslesen |

Zwei Punkte sorgen immer wieder für Verwirrung. Erstens braucht auch ein First-Party-Analyse-Cookie in den meisten EU-Ländern eine Einwilligung. Einige Aufsichtsbehörden akzeptieren eng gefasste Ausnahmen für streng konfigurierte Reichweitenmessung, doch das sollten Sie als länderspezifische Ausnahme betrachten.

Zweitens bedeutet „unbedingt erforderlich“ erforderlich für den Dienst, den der Nutzer angefragt hat, nicht erforderlich für Ihr Geschäftsmodell. Unser Leitfaden zu [unbedingt erforderlichen Cookies](/de/blog/strictly-necessary-cookies) behandelt die Grauzonen.

## Was macht eine Cookie-Einwilligung wirksam?

Eine Einwilligung ist nur wirksam, wenn sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird, und zwar durch eine eindeutige bestätigende Handlung. Für ein Cookie-Banner ergeben sich daraus einige konkrete Regeln.

- **Opt-in statt Opt-out.** Nicht notwendige Kategorien sind zunächst deaktiviert. In seinem Planet49-Urteil (C-673/17, 2019) hat der Gerichtshof der Europäischen Union (EuGH) entschieden, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung ist.
- **Keine stillschweigende Einwilligung.** Nach Auffassung des Europäischen Datenschutzausschusses (EDSA), der gemeinsame Leitlinien für die EU-Aufsichtsbehörden herausgibt, ist Scrollen oder Weitersurfen keine Einwilligung.
- **Granulare Auswahl.** Nutzer sollten zum Beispiel Analyse akzeptieren und Marketing ablehnen können, statt vor einem einzigen Alles-oder-nichts-Schalter zu stehen.
- **Echte Informationen.** Erklären Sie, wer die Cookies setzt, wozu sie dienen, wie lange sie gespeichert bleiben und welche Dritten Daten erhalten.
- **Freiwilligkeit.** Ablehnen muss genauso einfach sein wie Zustimmen, und der Zugang zu Ihrer Website sollte nicht davon abhängen, dass nicht notwendige Cookies akzeptiert werden.

Unsere [Checkliste für eine wirksame Einwilligung](/de/blog/valid-consent-checklist) geht jeden Punkt einzeln durch.

## Was bedeutet „vorherige“ Einwilligung in der Praxis?

Es bedeutet, dass nichts Nicht-Notwendiges läuft, bevor der Besucher zugestimmt hat. Ein Banner, das eine Auswahl speichert, während Analyse- und Werbe-Tags schon beim Laden der Seite ausgelöst wurden, ist nicht konform, so ausgefeilt es auch aussehen mag.

Das ist vor allem eine technische Aufgabe. Skripte von Drittanbietern, Tag-Manager-Container und eingebettete Widgets müssen zurückgehalten werden, bis die jeweilige Kategorie freigegeben ist, und der Einwilligungsstatus muss bei jedem Seitenaufruf geprüft werden, damit eine Ablehnung auch eine Ablehnung bleibt.

Wenn Sie Google-Werbe- oder Mess-Tags für Besucher im Europäischen Wirtschaftsraum (EWR) einsetzen, verlangt Google seit März 2024 außerdem Consent-Mode-Signale. Diese Signale übermitteln die Auswahl des Besuchers an die Google-Tags. Sie sind eine Vorgabe aus Googles eigenen Richtlinien und ersetzen nicht die gesetzliche Pflicht, zuerst eine Einwilligung einzuholen.

## Was gehört neben dem Banner noch zur Compliance?

Das Banner ist nur der sichtbare Teil. Ein konformes Setup folgt in der Regel acht Schritten:

1. **Website prüfen.** Erfassen Sie jedes Cookie, jeden Local-Storage-Schlüssel, jedes Pixel und jedes Drittanbieter-Skript, auch solche, die über Plugins und Tag-Manager hinzukommen.
2. **Nach Zweck klassifizieren.** Ordnen Sie jedes Element den Kategorien notwendig, Präferenzen, Analyse oder Marketing zu und entfernen Sie alles, was Sie nicht mehr nutzen.
3. **Vor der Einwilligung blockieren.** Halten Sie jedes nicht notwendige Skript zurück, bis seine Kategorie freigegeben ist.
4. **Klar fragen.** Zeigen Sie auf der ersten Ebene gleichwertig hervorgehobene Optionen zum Akzeptieren und Ablehnen sowie eine Möglichkeit zur Auswahl pro Kategorie.
5. **Dokumentieren.** Veröffentlichen Sie eine Cookie-Richtlinie, die dem entspricht, was Ihre Website tatsächlich setzt.
6. **Widerruf erleichtern.** Nach Artikel 7 Absatz 3 muss der Widerruf der Einwilligung so einfach sein wie ihre Erteilung. Sorgen Sie daher für einen dauerhaft verfügbaren Link oder Button, der die Einstellungen wieder öffnet.
7. **Nachweise führen.** Artikel 7 Absatz 1 verlangt, dass Sie die Einwilligung nachweisen können. Protokollieren Sie deshalb die Auswahl, den Zeitpunkt und die angezeigte Banner-Version.
8. **Regelmäßig wiederholen.** Scannen Sie erneut, sobald Sie Tags hinzufügen, Anbieter wechseln oder die Website überarbeiten.

## Was passiert, wenn Sie etwas falsch machen?

Die Sanktionen können erheblich sein. Nach Artikel 83 Absatz 5 DSGVO können die schwersten Verstöße, darunter Verstöße gegen die Bedingungen für die Einwilligung, mit Geldbußen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Cookie-Verstöße, die auf Grundlage nationaler ePrivacy-Gesetze verfolgt werden, unterliegen den Sanktionsregeln des jeweiligen Landes.

Die Aufsichtsbehörden haben gezeigt, dass sie diese Befugnisse auch nutzen. Im Dezember 2021 verhängte die französische Datenschutzbehörde CNIL Geldbußen von 150 Mio. € gegen Google und 60 Mio. € gegen Facebook, weil das Ablehnen von Cookies auf ihren Websites mehr Aufwand erforderte als das Akzeptieren. Die Behörden können auch Änderungen an Ihrem Banner anordnen. Unsere Analyse, [was Website-Betreiber aus Bußgeldverfahren zu Cookies lernen können](/de/blog/cookie-enforcement-lessons), schlüsselt die Muster auf, die immer wieder sanktioniert werden.

## Fazit

Die Cookie-Einwilligung nach DSGVO lässt sich auf eine einfache Abfolge reduzieren: wissen, was Ihre Website setzt, alles Nicht-Notwendige blockieren, klar fragen und eine gleichwertige Ablehnungsoption bieten, die Antwort auf jeder Seite respektieren und Nachweise aufbewahren. Die meisten Fehler entstehen in den Lücken zwischen diesen Schritten, etwa durch ein Tag, das am Audit vorbei hinzugefügt wurde, oder ein Banner, das Entscheidungen speichert, ohne sie durchzusetzen. Tools wie Cookiesh können Cookie-Scans, Skript-Blockierung und Einwilligungsprotokollierung automatisieren, doch welche Cookies Sie tatsächlich brauchen, bleibt Ihre Entscheidung.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Gilt die DSGVO für meine Website, wenn mein Unternehmen seinen Sitz außerhalb der EU hat?

Unter Umständen ja. Die DSGVO erfasst auch Organisationen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten, und das Tracking von Besuchern per Cookie ist eine typische Form der Verhaltensbeobachtung. Wenn Sie sich an ein Publikum in der EU richten, sollten Sie eine Einwilligung nach EU-Maßstab einplanen.

### Ist ein Cookie-Banner gesetzlich vorgeschrieben?

Ein Banner als solches schreibt kein Gesetz vor. Vorgeschrieben ist eine informierte, vorherige Einwilligung für nicht notwendige Cookies, und ein Banner ist schlicht der gängigste Weg, sie einzuholen. Eine Website, die ausschließlich unbedingt erforderliche Cookies setzt, braucht womöglich keine Einwilligungsabfrage, muss aber trotzdem erklären, was sie einsetzt.

### Gelten die Einwilligungsregeln auch für Local Storage und Tracking-Pixel?

Ja. Die ePrivacy-Regel betrifft das Speichern von Informationen auf dem Endgerät einer Person und den Zugriff darauf, unabhängig von der Technik. Local Storage, Pixel, Kennungen aus mobilen SDKs und Device Fingerprinting werden genauso behandelt wie Cookies.

### Kann ich dasselbe Banner für Besucher aus der EU und den USA verwenden?

Das ist möglich, die Regeln unterscheiden sich jedoch. EU-Recht verlangt eine Opt-in-Einwilligung vor nicht notwendigen Cookies, während Gesetze wie der CCPA auf einem Opt-out-Modell beruhen. Viele Websites zeigen deshalb regionsspezifische Banner, damit jede Zielgruppe die passende Wahl bekommt.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [EuGH, Rechtssache C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)