Cookie-Banner nach DSGVO: der vollständige Leitfaden (2026)

Was ist ein Cookie-Banner?

Ein Cookie-Banner (auch Cookie-Hinweis, Consent-Banner oder Cookie-Pop-up) ist die Meldung, die eine Website beim ersten Besuch anzeigt, um über Cookies und ähnliche Tracker zu informieren und die Entscheidung des Besuchers einzuholen. Er erscheint meist am unteren Bildschirmrand oder als zentriertes Fenster, mit Schaltflächen zum Akzeptieren, Ablehnen oder Anpassen.

Der Banner ist nur der sichtbare Teil. Dahinter muss ein Einwilligungsmechanismus drei Aufgaben erfüllen: Skripte zurückhalten, die nicht notwendige Cookies setzen, sie nur für die akzeptierten Kategorien freigeben und die Entscheidung protokollieren. Dieser Mechanismus ist in der Regel eine Consent-Management-Plattform (CMP); unser Artikel Was ist eine Consent-Management-Plattform erklärt die Grundlagen. Unser Leitfaden zur Auswahl einer Consent-Management-Plattform zeigt, was ein ernsthaftes Werkzeug von einem dekorativen Pop-up unterscheidet.

Ein Cookie-Banner ist außerdem etwas anderes als eine Cookie-Richtlinie. Der Banner holt die Einwilligung ein; die Richtlinie ist die Seite, die jedes Cookie mit Zweck, Anbieter und Laufzeit im Detail auflistet. Sie brauchen beides, und der Banner sollte auf die Richtlinie verlinken. Unser Leitfaden zur Cookie-Richtlinie nach DSGVO erklärt, was diese Seite enthalten muss.

Wenn Sie einen fertigen Cookie-Banner suchen, der die folgenden Regeln bereits umsetzt, ist genau das die Aufgabe von FlowConsent. Die Grundsätze gelten aber für jedes Werkzeug.

Cookie-Banner, Consent-Banner, Cookie-Hinweis: dasselbe?

In der Praxis werden die Begriffe synonym verwendet. „Cookie-Hinweis“ bezeichnet manchmal eine reine Informationsleiste („Diese Website verwendet Cookies, OK“). Das reicht in der EU nicht aus, sobald nicht notwendige Cookies im Spiel sind, denn sie informiert, ohne zu fragen. Ein Cookie-Banner nach DSGVO muss fragen und ein „Nein“ akzeptieren.

Brauchen Sie einen Cookie-Banner?

Sie brauchen einen Cookie-Banner, sobald Ihre Website oder ein darin eingebundener Drittdienst Informationen auf dem Endgerät des Besuchers speichert oder ausliest, und zwar für einen Zweck, der für den gewünschten Dienst nicht unbedingt erforderlich ist. Das betrifft die meisten Websites: Google Analytics, Google Ads, das Meta Pixel, der LinkedIn Insight Tag, Hotjar, eingebettete YouTube-Videos, Google Maps und viele Chat-Widgets setzen oder lesen Cookies.

Keine Einwilligung brauchen unbedingt erforderliche Cookies: Sitzungs- und Login-Cookies, der Warenkorb, Lastverteilung, Sicherheitstoken oder das Cookie, das die Einwilligungsentscheidung selbst speichert. Manche Reichweitenmessungen können in einigen Ländern ebenfalls ausgenommen sein, wenn sie sehr eingeschränkt konfiguriert sind. Unser Artikel zu Matomo und dem Cookie-Banner zeigt, wie das in einem konkreten Fall aussieht und warum die deutschen Behörden hier strenger sind als die CNIL.

Wenn Sie unsicher sind, beantwortet unser Artikel die Frage brauche ich einen Cookie-Banner auf meiner Website anhand konkreter Szenarien. Und wenn Sie Ihre Besucher ganz ohne Einwilligung messen möchten, lesen Sie unseren Leitfaden zu Cookieless Analytics, bevor Sie Ihren Banner entfernen: Die meisten Websites laden noch mindestens ein Drittanbieter-Tool, das eine Einwilligung erfordert.

Die Rechtsgrundlagen für den Cookie-Banner nach DSGVO

Der europäische Rahmen

Zwei Regelwerke greifen ineinander. Die ePrivacy-Richtlinie (Artikel 5 Absatz 3) verlangt eine vorherige Einwilligung, bevor Informationen auf dem Gerät eines Nutzers gespeichert oder ausgelesen werden, sofern dies nicht unbedingt erforderlich ist. Die DSGVO legt fest, was eine wirksame Einwilligung ist: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich, durch eine eindeutige bestätigende Handlung (Artikel 4 Nr. 11), vom Verantwortlichen nachweisbar (Artikel 7 Absatz 1) und so einfach zu widerrufen wie zu erteilen (Artikel 7 Absatz 3). Unser Artikel zu den Voraussetzungen einer wirksamen DSGVO-Einwilligung erläutert jede dieser Anforderungen.

Der Europäische Gerichtshof hat im Urteil Planet49 (2019) bestätigt, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung ist. Der Europäische Datenschutzausschuss (EDSA) stellt in seinen Leitlinien zur Einwilligung klar, dass Scrollen oder Weitersurfen ebenfalls keine Einwilligung ist. Der Bericht seiner Cookie-Banner-Taskforce (2023) listet Praktiken auf, die nationale Behörden als unzulässig ansehen, etwa fehlende Ablehnen-Schaltflächen und irreführende Farben.

Nationale Behörden

Jedes Land setzt die Richtlinie über ein eigenes Gesetz und eine eigene Behörde um:

• Deutschland: § 25 TDDDG (früher TTDSG), mit der Orientierungshilfe der Datenschutzkonferenz (DSK) für Anbieter digitaler Dienste.
• Frankreich: Artikel 82 der Loi Informatique et Libertés, durchgesetzt von der CNIL, deren Leitlinien von 2020 zu den detailliertesten in Europa gehören.
• Spanien: Artikel 22.2 LSSI, mit dem 2023 an den EDSA angepassten Cookie-Leitfaden der AEPD.
• Vereinigtes Königreich: die PECR, durchgesetzt vom ICO, mit Regeln sehr nahe am EU-Modell.

Die Durchsetzung ist real. Die CNIL hat 2021 Google und Facebook sanktioniert, weil das Ablehnen schwieriger war als das Akzeptieren. Unsere Übersicht der CNIL-Bußgelder wegen Cookies nennt weitere Fälle. Was sich zuletzt geändert hat, lesen Sie in DSGVO und Cookies 2026.

Außerhalb Europas

Die USA folgen überwiegend einem Opt-out-Modell. Nach dem CCPA in der durch den CPRA geänderten Fassung müssen Einwohner Kaliforniens dem „Verkauf oder Teilen“ ihrer Daten widersprechen können, und Unternehmen müssen das Signal Global Privacy Control beachten. Unser Vergleich CCPA vs. DSGVO bei Cookies erklärt die praktischen Unterschiede, und unser Leitfaden zu Cookies außerhalb Europas behandelt Brasilien, Südafrika, Singapur und Indien.

Was ein DSGVO-konformer Cookie-Banner enthalten muss

Auf der ersten Ebene, vor jedem Klick, muss der Banner zeigen:

1. Eine kurze Beschreibung der Zwecke, etwa „Reichweitenmessung“, „Werbung“ oder „personalisierte Inhalte“, in verständlicher Sprache.
2. Die Identität der Beteiligten, die Cookies setzen, oder einen direkten Link zu dieser Liste.
3. Eine Schaltfläche „Alle akzeptieren“ und eine Schaltfläche „Alle ablehnen“ mit gleicher Gewichtung.
4. Eine Möglichkeit zur Auswahl nach Zwecken („Anpassen“ oder „Einstellungen“).
5. Einen Link zur Cookie-Richtlinie mit allen Details.

Auf der zweiten Ebene können Besucher jede Kategorie einzeln aktivieren. Nicht notwendige Kategorien müssen standardmäßig deaktiviert sein. Eine klare Struktur ist hier entscheidend, und unser Leitfaden zu den DSGVO-Cookie-Kategorien zeigt, wie Sie Tracker in notwendig, Präferenzen, Statistik und Marketing einteilen.

Nach der Entscheidung muss der Besucher den Banner jederzeit wieder öffnen können, um seine Einwilligung zu ändern oder zu widerrufen, meist über einen Link im Footer oder ein kleines schwebendes Symbol. Die Entscheidung selbst sollte nur begrenzt gespeichert werden: Die CNIL empfiehlt, Zustimmung wie Ablehnung etwa sechs Monate zu speichern, bevor erneut gefragt wird, und begrenzt die Laufzeit von Trackern auf 13 Monate. Unser Artikel zur Cookie-Speicherdauer und der 13-Monats-Regel erläutert beide Fristen.

Gestaltungsregeln: gleichwertige Optionen, keine Dark Patterns

Die Behörden prüfen inzwischen genau die Gestaltung des Banners, nicht nur seinen Text. Der Grundsatz ist einfach: Ablehnen muss so einfach sein wie Akzeptieren.

• Gleiche Ebene: „Alle ablehnen“ steht auf der ersten Ebene neben „Alle akzeptieren“ und nicht hinter „Einstellungen“ versteckt.
• Gleiches Gewicht: gleiche Größe, gleicher Kontrast, gleicher Stil. Eine leuchtende Schaltfläche neben einem grauen Textlink ist nicht ausgewogen.
• Kein Druck: keine Formulierungen, die ein schlechtes Gewissen machen, kein Schließen-Kreuz, das stillschweigend als Zustimmung gilt, keine wiederholten Pop-ups nach einer Ablehnung.
• Keine vorausgewählten Kästchen im Einstellungsbereich.

Diese Techniken heißen Dark Patterns. Unser Artikel über Cookie-Dark-Patterns und CNIL-Verbote listet sie mit echten Beispielen auf. Wie ausgewogene Layouts in der Praxis aussehen, zeigen unsere DSGVO-Cookie-Banner-Beispiele und Best Practices.

Eine verwandte Frage ist die Cookie-Wall, die den Zugang zu Inhalten sperrt, bis der Besucher akzeptiert. Der EDSA hält eine so erlangte Einwilligung in der Regel nicht für freiwillig, während einige nationale Behörden den Einzelfall prüfen, wenn eine faire Alternative besteht. Unser Leitfaden Cookie-Wall: zulässig oder nicht und welche Alternativen zeigt, wo die Grenze verläuft.

Den Text des Cookie-Banners formulieren

Der Text ist Teil der Konformität. Besucher müssen in wenigen Sekunden verstehen, wozu sie einwilligen, daher sollte die erste Ebene kurz und konkret bleiben. Eine gute Struktur besteht aus drei Sätzen: wer fragt und warum („Wir und unsere Partner verwenden Cookies“), wofür („um die Reichweite zu messen und passende Werbung anzuzeigen“) und was der Besucher tun kann („Sie können akzeptieren, ablehnen oder nach Zwecken auswählen und Ihre Entscheidung jederzeit ändern“).

Vermeiden Sie vage Formeln wie „um Ihr Erlebnis zu verbessern“, die nichts über die tatsächlichen Zwecke aussagen. Nennen Sie nur Kategorien, die es auf Ihrer Website wirklich gibt, und sprechen Sie nicht von Werbung, wenn Sie keine schalten. Schaltflächen sollten eindeutige Verben tragen: „Alle akzeptieren“, „Alle ablehnen“, „Anpassen“. Ein winziger Link „Weiter ohne Zustimmung“ als einzige Ablehnungsoption oder ein „Mehr erfahren“ anstelle einer Ablehnung reicht nicht. Formulierungen zum Anpassen nach Website-Typ, mit Beschriftungen für Schaltflächen und Kategoriebeschreibungen, finden Sie in unseren Vorlagen für Cookie-Banner-Texte.

Der Banner muss außerdem in der Sprache der Seite verfügbar sein. Gibt es Ihre Website auf Englisch, Französisch und Spanisch, braucht der Banner samt Einstellungsbereich dieselben Sprachen. Prüfen Sie auf dem Smartphone, dass beide Hauptschaltflächen ohne Scrollen sichtbar sind und der Banner den Inhalt nicht so stark verdeckt, dass Besucher sich zur Zustimmung gedrängt fühlen.

Einen Cookie-Banner auf Ihrer Website einrichten: Schritt für Schritt

Schritt 1: die Cookies Ihrer Website erfassen

Ohne zu wissen, welche Skripte Cookies setzen, können Sie keinen Banner korrekt konfigurieren. Listen Sie jeden Tracker mit Anbieter, Erst- oder Drittanbieter-Status, Laufzeit und Zweck auf. Unsere vollständige Methode für ein Cookie-Audit beschreibt das Vorgehen.

Sie wissen nicht, was Ihre Website heute setzt? Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt, vor und nach einem Klick auf „Ablehnen“.

Schritt 2: jeden Tracker einordnen

Ordnen Sie jedes Cookie einer Kategorie zu: notwendig, Präferenzen, Statistik oder Marketing. Jede Kategorie wird zu einem Schalter im Einstellungsbereich. Seien Sie streng: Ein Cookie ist nur dann „notwendig“, wenn der vom Besucher gewünschte Dienst ohne es nicht funktioniert.

Schritt 3: ein Werkzeug wählen und installieren

Sie können einen Banner selbst programmieren, aber eine Consent-Management-Plattform übernimmt Blockierung, Speicherung der Nachweise und Aktualisierungen. Unser Leitfaden zur CMP-Auswahl nennt die entscheidenden Kriterien. Die Installation hängt von Ihrem System ab: Lesen Sie unsere Leitfäden zum Cookie-Banner auf Webflow, zur Cookie-Einwilligung auf WordPress, zu Shopify-Cookies und DSGVO und zu Next.js-Cookies und DSGVO.

Schritt 4: Skripte bis zur Einwilligung blockieren

Dieser Schritt wird am häufigsten falsch umgesetzt. Jedes nicht notwendige Skript muss inaktiv bleiben, bis der Besucher seine Kategorie akzeptiert. Einen Banner anzuzeigen, während Google Analytics im Hintergrund bereits läuft, ist der häufigste Verstoß bei Prüfungen. Die Blockierung kann die CMP übernehmen (Umschreiben oder Kapseln der Script-Tags) oder ein Tag-Manager, der auf das Einwilligungssignal wartet. Eingebettete Inhalte brauchen dieselbe Behandlung: Unser Leitfaden zu YouTube nocookie zeigt, wie Sie die Cookies von Videoplayern begrenzen.

FlowConsent zum Beispiel hält jedes nicht notwendige Skript zurück, bis der Besucher entschieden hat, gibt dann nur die akzeptierten Kategorien frei und speichert die Entscheidung in einem exportierbaren Einwilligungsprotokoll.

Schritt 5: den Nachweis der Einwilligung speichern

Die DSGVO legt Ihnen die Nachweispflicht auf. Speichern Sie für jede Entscheidung eine pseudonyme Kennung, Datum und Uhrzeit, die akzeptierten oder abgelehnten Kategorien und die angezeigte Banner-Version. Unser Artikel zum Nachweis der Cookie-Einwilligung erklärt, was Sie wie lange speichern sollten.

Schritt 6: die drei Szenarien testen

Öffnen Sie ein privates Fenster und testen Sie vollständige Ablehnung, teilweise Zustimmung (zum Beispiel nur Statistik) und vollständige Zustimmung. Prüfen Sie jeweils in den Entwicklertools des Browsers, welche Cookies gesetzt werden und welche Netzwerkanfragen die Seite verlassen. Laden Sie die Seite neu, um zu prüfen, ob die Entscheidung gespeichert bleibt, öffnen Sie dann den Banner erneut und widerrufen Sie die Einwilligung, um sicherzugehen, dass die Skripte stoppen.

Cookie-Banner und Google Consent Mode v2

Wenn Sie Google Ads, GA4 oder Floodlight nutzen, muss Ihr Banner auch Einwilligungssignale an Google senden. Seit März 2024 verlangt Google den Consent Mode v2 (mit den Parametern ad_user_data und ad_personalization), damit Mess- und Personalisierungsfunktionen für Nutzer im Europäischen Wirtschaftsraum weiter funktionieren. Eine CMP setzt den Standardzustand vor der Entscheidung auf „denied“ und aktualisiert ihn danach. Unser Leitfaden zur Implementierung von Google Consent Mode v2 beschreibt die Einrichtung, und unser Vergleich Consent Mode Basic vs. Advanced hilft bei der Entscheidung, ob Google-Tags vor der Einwilligung überhaupt laden dürfen.

Einwilligungsrate, Consent Fatigue und Performance

Ein konformer Banner erhält weniger Zustimmungen als ein manipulativer, und das ist zu erwarten. Sie können die Rate trotzdem rechtskonform verbessern: mit klaren Formulierungen, einer gut gewählten Position und einer kurzen ersten Ebene. Unser Leitfaden zum Messen und Verbessern der Cookie-Einwilligungsrate zeigt die zulässigen Hebel.

Besucher sehen zudem Dutzende Banner pro Woche und klicken, ohne zu lesen. Unser Artikel über Consent Fatigue erklärt, wie ein kürzerer, ehrlicherer Banner zu bewussteren Entscheidungen führt.

Schließlich ist der Banner Code, der auf jeder Seite lädt. Ein schweres Skript kann das Rendern verzögern oder Layout-Verschiebungen verursachen. Unsere Analyse zur Auswirkung einer CMP auf die Core Web Vitals hilft Ihnen, den Banner schnell zu halten.

Häufige Fehler beim Cookie-Banner

Cookies vor jeder Interaktion. Der häufigste und schwerste Fehler. Wenn Analyse- oder Werbe-Tags beim Laden der Seite feuern, ist der Banner reine Dekoration. Die Blockierung muss technisch sein, nicht nur optisch.

„Ablehnen“ weniger sichtbar als „Akzeptieren“. Ein blasser Link neben einer farbigen Schaltfläche oder eine Ablehnung erst auf der zweiten Ebene erfüllt den Maßstab „so einfach wie Zustimmen“ nicht.

Schließen oder Scrollen als Einwilligung werten. Wer den Banner ohne Auswahl schließt, hat abgelehnt, nicht zugestimmt.

Kein Widerruf möglich. Ohne dauerhaften Link „Cookie-Einstellungen“ oder ein Symbol erfüllt der Banner Artikel 7 Absatz 3 DSGVO nicht.

Kein Nachweis gespeichert. Wenn Sie nicht zeigen können, wann und wie ein Besucher eingewilligt hat, können Sie Ihre Konformität bei einer Prüfung nicht belegen.

Eingebettete Inhalte und neue Tags vergessen. Videos, Karten, Social-Media-Widgets und später vom Marketing hinzugefügte Tags entgehen dem Banner oft. Scannen Sie Ihre Website regelmäßig erneut.

Bei jedem Besuch erneut fragen. Den Banner nach jeder Ablehnung wieder anzuzeigen, ist eine Form von Druck. Speichern Sie die Ablehnung und respektieren Sie sie.

Checkliste für einen DSGVO-konformen Cookie-Banner

1. Vollständiges Cookie-Audit, jeder Tracker mit Anbieter und Zweck erfasst.
2. Tracker in klare Kategorien eingeteilt, nicht notwendige standardmäßig deaktiviert.
3. Zwecke auf der ersten Ebene verständlich beschrieben.
4. „Alle akzeptieren“ und „Alle ablehnen“ auf der ersten Ebene, gleiche Größe und gleicher Stil.
5. Einstellungsbereich vorhanden, ohne vorausgewählte Kästchen.
6. Keine nicht notwendigen Cookies vor der Einwilligung, in den Browser-Tools geprüft.
7. Eingebettete Inhalte (YouTube, Maps, Social-Media-Widgets) bis zur Einwilligung blockiert.
8. Widerruf jederzeit von jeder Seite aus möglich.
9. Zeitgestempelter Nachweis für jede Entscheidung gespeichert.
10. Signale für Google Consent Mode v2, wenn Sie Google Ads oder GA4 nutzen.
11. Link zu einer vollständigen Cookie-Richtlinie.
12. Entscheidung in einem angemessenen Abstand erneuert (laut CNIL etwa sechs Monate).
13. Regelmäßige Scans, um neue Tracker zu erkennen.

Wie FlowConsent den Cookie-Banner umsetzt

FlowConsent zeigt einen Banner mit „Alle akzeptieren“ und „Alle ablehnen“ auf der ersten Ebene und blockiert jedes nicht notwendige Skript vor der Einwilligung, einschließlich Google-Tags, Pixeln und eingebetteter Inhalte. Google Consent Mode v2 ist integriert, sodass Google ohne zusätzliche Einrichtung die richtigen Signale erhält. Ein automatischer Cookie-Scan erkennt die Tracker Ihrer Website und hilft bei der Einordnung, und jede Entscheidung wird als exportierbarer Einwilligungsnachweis gespeichert, gehostet in Europa.

Die Installation dauert etwa zehn Minuten auf Webflow, WordPress, Shopify, Wix, Framer oder über den Google Tag Manager. Der kostenlose Tarif deckt bis zu 25.000 Sitzungen pro Monat ab, Pro kostet 14,99 € pro Monat für bis zu 100.000 Sitzungen. Um Layout, Farben und Texte an Ihre Marke anzupassen und dabei ausgewogene Schaltflächen zu behalten, folgen Sie der Dokumentation zur Banner-Anpassung.