Aktualisierung am 12. Oktober 2026: Wir haben diesen Artikel hinsichtlich der aktuellen datenschutzrechtlichen Anforderungen überprüft und überarbeitet. Dabei wurden insbesondere die rechtlichen Grundlagen nach DSGVO und TDDDG präzisiert sowie die Empfehlungen zur Gestaltung und technischen Umsetzung von Consent-Bannern aktualisiert.
Consent-Banner sind auf fast allen Websites zu finden, aber viele Unternehmen machen immer noch Fehler, die nicht nur die Nutzererfahrung beeinträchtigen, sondern auch rechtliche Risiken bergen. Hier sind die 6 häufigsten Fehler und wie Sie diese einfach vermeiden können.
1. Fehlender Zugriff auf rechtliche Informationen und unklare Datenverarbeitung
Ein häufiger Fehler bei der Gestaltung von Consent-Bannern ist, dass Nutzer erst nach einer Einwilligung auf das Impressum oder die Datenschutzerklärung zugreifen können. Nach Art. 13 und 14 DSGVO müssen Nutzer über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Die Impressumspflicht ergibt sich in Deutschland grundsätzlich aus § 5 DDG. Beide Dokumente müssen unabhängig von der Einwilligungsentscheidung zugänglich bleiben.
Darüber hinaus muss im Banner der Zweck der Datenverarbeitung kurz und klar kommuniziert werden. Detaillierte Informationen, wie welche personenbezogenen Daten betroffen sind, was mit ihnen passiert und wer Zugriff darauf hat, können über einen Link zur Datenschutzerklärung bereitgestellt werden.
Tipp: Stellen Sie sicher, dass das Impressum und die Datenschutzerklärung immer im Footer der Website verlinkt und ohne Einwilligung zugänglich sind. Alternativ können Sie einen klar sichtbaren Link direkt im Consent-Banner integrieren. Das Banner selbst sollte eine kurze Erklärung des Verarbeitungszwecks enthalten, z. B. „Wir verwenden Cookies zur Analyse der Nutzung und für personalisierte Werbung“, und auf die Datenschutzerklärung verlinken, wo die detaillierten Informationen bereitstehen.
Abbildung 1. ein Beispiel, das alle notwendigen Informationen beinhaltet
2. Irreführendes Design
Ein weiteres häufiges Problem bei der Gestaltung von Cookie-Bannern ist die Nutzung von Dark Patterns. Es handelt sich um irreführende Designelemente, die den Nutzer unbewusst zur Zustimmung drängen. Oft ist die Schaltfläche „Akzeptieren“ optisch hervorgehoben, während „Ablehnen“ oder „Einstellungen anpassen“ schwerer zu finden oder weniger auffällig gestaltet sind. Dies kann den Eindruck erwecken, dass die Einwilligung die einzige sinnvolle Option ist.
Laut Art. 7 DSGVO muss die Einwilligung jedoch freiwillig erfolgen. Das bedeutet, der Nutzer muss eine echte Wahl haben, ohne durch das Design beeinflusst zu werden. Wenn das Banner die Ablehnung erschwert, fehlt die Freiwilligkeit und die Einwilligung ist unwirksam.
Tipp: Gestalten Sie die Optionen zum Akzeptieren, Ablehnen und Anpassen der Einwilligung so, dass sie leicht zu finden und zu bedienen sind. Vermeiden Sie irreführende Farben, eine manipulative Hervorhebung einzelner Optionen oder zusätzliche Schritte, die das Ablehnen unnötig erschweren. Nutzer müssen ihre Entscheidung freiwillig und informiert treffen können.
Abbildung 2. Ein Beispiel für Dark Patterns
3. Keine differenzierte Auswahl von Cookies
Eine Einwilligung muss sich auf konkrete Zwecke beziehen. Nach § 25 TDDDG und den Anforderungen der DSGVO an eine wirksame Einwilligung müssen Nutzer nachvollziehen können, wofür ihre Zustimmung eingeholt wird.
Werden Einwilligungen für mehrere voneinander unabhängige Zwecke benötigt, beispielsweise für Webanalyse und personalisierte Werbung, müssen Nutzer darüber getrennt entscheiden können. Ein Consent-Banner mit ausschließlich den Optionen „Alle akzeptieren“ und „Alle ablehnen“ kann daher unzureichend sein, wenn keine weiteren Auswahlmöglichkeiten bestehen.
Tipp: Ermöglichen Sie Nutzern, ihre Einwilligung für einzelne Zwecke gezielt zu erteilen oder abzulehnen. Erläutern Sie verständlich, welche Datenverarbeitungen mit der jeweiligen Auswahl verbunden sind. Die Einstellungen können beispielsweise über eine zweite Ebene des Consent-Banners angeboten werden.
Abbildung 3. Ein Beispiel mit einer klaren Auswahlmöglichkeit
4. Deutliche und verständliche Überschrift
Neben den Mindestinformationen im Cookie-Banner spielt auch die sprachliche und visuelle Gestaltung eine zentrale Rolle. Laut Art. 12 DSGVO müssen Informationen „präzise, transparent, verständlich und leicht zugänglich“ in einfacher Sprache dargestellt werden. Oft werden jedoch Überschriften verwendet, die zu vage sind und nicht deutlich machen, worum es bei der Einwilligung tatsächlich geht. Sätze wie „Wir respektieren Ihre Privatsphäre“ oder „Zur Verbesserung der Nutzererfahrung“ reichen nicht aus, um den Nutzer über die Tragweite der Entscheidung aufzuklären.
Tipp: Verwenden Sie eindeutige Überschriften, die erkennen lassen, weshalb eine Einwilligung erforderlich ist. Erläutern Sie im begleitenden Text verständlich, zu welchen Zwecken Daten verarbeitet werden. Nutzer sollten bereits vor ihrer Entscheidung nachvollziehen können, worin sie einwilligen.
Abbildung 5. + 6. Die Abbildung 5 ist ein Beispiel für eine unklare Überschrift. Die Überschrift in Abbildung 6 ist klar und transparent.
5. Keine einfache Möglichkeit, die Einwilligung zu widerrufen oder zu ändern
Nach Art. 7 Abs. 3 DSGVO haben Nutzer das Recht, ihre Einwilligung jederzeit zu widerrufen oder zu ändern. Viele Cookie-Banner bieten diese Möglichkeit jedoch entweder gar nicht oder machen sie schwer auffindbar.
Tipp: Stellen Sie sicher, dass Nutzer ihre Einwilligung jederzeit einfach widerrufen oder ändern können, beispielsweise über einen dauerhaft erreichbaren Link im Footer. Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung der Einwilligung. Achten Sie darauf, dass die Entscheidung auch technisch umgesetzt wird und Datenverarbeitungen, die ausschließlich auf der widerrufenen Einwilligung beruhen, für die Zukunft beendet werden.
Abbildung 7. Zugriffauf den Consent-Layer über den Footer der Website
6. Datenschutzfreundliche Voreinstellungen
Nach Art. 25 DSGVO müssen Websites bereits bei der technischen Gestaltung und durch entsprechende Voreinstellungen den Datenschutz berücksichtigen. Eine Einwilligung erfordert außerdem eine aktive Entscheidung. Vorausgewählte Checkboxen oder automatisch aktivierte, einwilligungspflichtige Tracking-Technologien erfüllen diese Voraussetzung nicht.
Nach § 25 TDDDG ist das Speichern von Informationen auf Endgeräten oder der Zugriff auf bereits gespeicherte Informationen grundsätzlich einwilligungspflichtig. Ausnahmen bestehen insbesondere dann, wenn der Vorgang ausschließlich der Nachrichtenübertragung dient oder unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Tipp: Deaktivieren Sie einwilligungspflichtige Tracking-Technologien standardmäßig, bis eine wirksame Einwilligung vorliegt. Das gilt für Cookies ebenso wie für andere Technologien, beispielsweise Local Storage. Werden dabei personenbezogene Daten verarbeitet, ist zusätzlich eine Rechtsgrundlage nach der DSGVO erforderlich.
Technische Umsetzung des Consent-Banners
Ob ein Consent-Banner die gesetzlichen Anforderungen erfüllt, hängt auch von seiner technischen Umsetzung ab. Websites müssen sicherstellen, dass einwilligungspflichtige Technologien erst aktiviert werden, nachdem Nutzer ihre Zustimmung erteilt haben.
Nach § 25 TDDDG betrifft dies insbesondere das Speichern und Auslesen von Informationen auf Endgeräten, etwa durch Cookies oder Local Storage. Werden personenbezogene Daten verarbeitet, müssen zusätzlich die Anforderungen der DSGVO berücksichtigt werden.
Ein häufiger Fehler besteht darin, dass Tracking-Technologien bereits vor der Einwilligung aktiv werden oder trotz einer Ablehnung beziehungsweise eines Widerrufs weiterhin Daten verarbeiten.
Tipp: Überprüfen Sie regelmäßig, ob Ihre Website die Einwilligungsentscheidungen technisch korrekt umsetzt. Mit dem decareto Datenschutz-Check lassen sich Cookies, Storage-Technologien, Drittanbieter-Anfragen und das Consent-Verhalten automatisiert analysieren. So können mögliche Datenschutz-Lücken frühzeitig erkannt werden.
Durch kontinuierliches Website-Monitoring lassen sich außerdem Veränderungen feststellen, beispielsweise wenn neue Dienste oder Skripte eingebunden oder bestehende Einstellungen angepasst werden.
Quellen:
https://www.hh-datenschutz.de/fileadmin/mustervorlagen/Handreichung_Cookie-Consent-Banner.pdf
