> Unbedingt erforderlich, funktional, Analyse, Marketing: die 4 Cookie-Kategorien nach DSGVO und TDDDG und wann Sie eine Einwilligung brauchen. > > Canonical: https://www.flowconsent.com/de/blog/dsgvo-cookie-kategorien-vollstaendiger-leitfaden [Rechtliches](https://www.flowconsent.com/de/blog?category=regulation) # Die 4 DSGVO-Cookie-Kategorien: vollständiger Leitfaden Veröffentlicht am 26. März 2026 · Aktualisiert am 9. Oktober 2026 · 5 Min. Lesezeit Kurz gesagt Notwendig, funktional, Analyse oder Marketing: So ordnen Sie Ihre Cookies nach DSGVO und TDDDG richtig ein, erkennen, welche eine Einwilligung brauchen, und konfigurieren Ihre CMP pro Kategorie. ## TL;DR DSGVO und ePrivacy-Richtlinie teilen Cookies nach ihrem Zweck in vier Kategorien ein: unbedingt erforderliche, funktionale, Analyse- (Performance-) und Marketing-Cookies. Nur unbedingt erforderliche Cookies sind von der Einwilligungspflicht ausgenommen. Für alle anderen Kategorien brauchen Sie eine vorherige, freiwillige und informierte Einwilligung, bevor etwas auf dem Endgerät der Nutzer gespeichert wird. In Deutschland ergibt sich diese Pflicht aus § 25 TDDDG (früher TTDSG). Wer diese Einteilung verstanden hat, kann Cookie-Banner und CMP sauber konfigurieren. ## Die vier Cookie-Kategorien nach der DSGVO Das europäische Recht legt keine starre Liste von Cookie-Kategorien fest. In der Praxis haben sich aber, gestützt auf die Hinweise der Aufsichtsbehörden (in Deutschland die Orientierungshilfe der DSK, in Frankreich die CNIL, im Vereinigten Königreich das ICO) und der großen CMP-Anbieter, vier Gruppen durchgesetzt. Sie strukturieren das Cookie-Banner und entscheiden darüber, welche Cookies eine Einwilligung erfordern. Die entscheidende Unterscheidung lautet: Entweder ist ein Cookie für den Betrieb der Website unbedingt erforderlich (dann ist keine Einwilligung nötig), oder er ist es nicht (dann ist eine vorherige Einwilligung Pflicht). Funktionale, Analyse- und Marketing-Cookies fallen alle in die zweite Gruppe. ## Unbedingt erforderliche Cookies (essenziell) Ein unbedingt erforderlicher Cookie ist einer, ohne den die Website nicht richtig funktioniert. Er wird als Reaktion auf eine Aktion der Nutzer gesetzt (Anmeldung, Artikel in den Warenkorb legen, Sprache wählen) und dient ausschließlich diesem Zweck. Diese Cookies benötigen nach der ePrivacy-Richtlinie keine Einwilligung. In Deutschland regelt das § 25 Abs. 2 Nr. 2 TDDDG: Ausgenommen ist, was unbedingt erforderlich ist, damit der Anbieter einen ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Typische Beispiele: Session-Cookies für die Anmeldung, Warenkorb-Cookies, Sicherheits-Cookies (CSRF-Tokens), Cookies für die Lastverteilung (Load Balancing) und der Cookie, der die Einwilligungsentscheidung speichert (also der Cookie der CMP selbst). Wichtig: Dass ein Cookie für die Website „nützlich“ oder „wichtig“ ist, macht ihn noch nicht unbedingt erforderlich. Die DSK legt diesen Maßstab ausdrücklich eng aus. Ein Analyse-Cookie mag für Ihre Geschäftsziele unverzichtbar sein, für den von den Nutzern gewünschten Dienst ist er es nicht. ## Funktionale Cookies (Präferenzen) Ein funktionaler Cookie speichert Angaben, die Nutzer bereits gemacht haben, um ihr Erlebnis zu personalisieren: Darstellungsmodus (Dark Mode oder Light Mode), gewählte Region, über mehrere Sitzungen gemerkte Anmeldedaten, Einstellungen des Videoplayers, Verlauf eines Live-Chats. Diese Cookies sind für den Betrieb der Website nicht unbedingt erforderlich. Die Seite funktioniert auch ohne sie, nur weniger komfortabel. Nach DSGVO, ePrivacy-Richtlinie und TDDDG dürfen funktionale Cookies daher erst nach einer Einwilligung gesetzt werden. Die Grenze zwischen „unbedingt erforderlich“ und „funktional“ ist nicht immer scharf. Eine einfache Faustregel: Kann die Website den gewünschten Dienst auch ohne diesen Cookie erbringen (selbst wenn es etwas umständlicher ist), dann ist der Cookie funktional und nicht unbedingt erforderlich. ## Analyse-Cookies (Performance und Statistik) Ein Analyse-Cookie (auch Performance-Cookie) erfasst, wie Besucher die Website nutzen: aufgerufene Seiten, Verweildauer, Absprungrate, Traffic-Quellen, Fehlermeldungen. Die Daten werden zusammengefasst ausgewertet, um Inhalte und Leistung der Website zu verbessern. Das bekannteste Beispiel ist Google Analytics (Cookies \_ga und \_gid). Auch Matomo, Plausible, Piano Analytics oder Adobe Analytics arbeiten mit Analyse-Cookies. Grundsätzlich brauchen Analyse-Cookies eine Einwilligung. In Frankreich sieht die CNIL eine Ausnahme für streng konfigurierte Reichweitenmessung vor (nur für den Betreiber selbst, ausschließlich anonyme Statistiken, keine Verknüpfung mit anderen Verarbeitungen, keine Weitergabe an Dritte). Die DSK ist hier zurückhaltender: Reichweitenmessung gilt in Deutschland nur in engen Ausnahmefällen als unbedingt erforderlich im Sinne von § 25 Abs. 2 TDDDG. [Google Analytics erfüllt diese Voraussetzungen](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform) in der Standardkonfiguration in keinem Fall. ## Marketing-Cookies (Werbung und Targeting) Ein Marketing-Cookie (auch Werbe- oder Targeting-Cookie) verfolgt das Surfverhalten, um personalisierte Werbung auszuspielen. Solche Cookies bilden ein Nutzerprofil aus Interessen, Käufen und Suchanfragen und teilen diese Informationen mit Werbenetzwerken. Typische Beispiele: Facebook Pixel, Google Ads (Remarketing-Cookies), DoubleClick, Retargeting-Cookies, Cookies von Social-Media-Buttons und Cookies von Affiliate-Plattformen. Marketing-Cookies brauchen immer eine vorherige Einwilligung, ohne Ausnahme. Häufig handelt es sich um Drittanbieter-Cookies (gesetzt von einer anderen Domain als der besuchten Website), was sie aus Datenschutzsicht besonders heikel macht. ## Welche Einwilligung für welche Kategorie? Unbedingt erforderliche Cookies benötigen keine Einwilligung, Sie müssen die Nutzer aber trotzdem darüber informieren. Funktionale Cookies brauchen eine vorherige Einwilligung. Analyse-Cookies ebenfalls, abgesehen von eng begrenzten Ausnahmen für streng konfigurierte Messwerkzeuge. Marketing-Cookies setzen immer eine vorherige Einwilligung voraus. Um diese Einwilligungssignale an Google-Dienste weiterzugeben, sollten Sie [Google Consent Mode v2](https://www.flowconsent.com/de/blog/google-consent-mode-v2-implementierung-leitfaden) einrichten. Die Einwilligung muss freiwillig sein (keine [Cookie Wall](https://www.flowconsent.com/de/blog/cookie-wall-dsgvo-zulaessig-alternativen), außer unter strengen Bedingungen), für den konkreten Fall erteilt werden (pro Kategorie, keine Pauschaleinwilligung), informiert erfolgen (die Nutzer wissen, worauf sie sich einlassen) und unmissverständlich sein (durch eine aktive Handlung, keine vorausgewählten Kästchen). Ablehnen muss so einfach sein wie Zustimmen, und ein Widerruf muss jederzeit möglich sein. ## So konfigurieren Sie Ihre CMP nach Kategorien Eine Consent-Management-Plattform (CMP) wie FlowConsent zeigt die Cookie-Kategorien im [Cookie-Banner](https://www.flowconsent.com/de/blog/cookie-banner-dsgvo-konform-leitfaden) an und lässt die Nutzer für jede Kategorie einzeln zustimmen oder ablehnen. Die übliche Konfiguration hat vier Stufen: 1. Unbedingt erforderliche Cookies: immer aktiv, nicht abwählbar. 2. Funktionale Cookies: standardmäßig deaktiviert, Einwilligung erforderlich. 3. Analyse-Cookies: standardmäßig deaktiviert, Einwilligung erforderlich. 4. Marketing-Cookies: standardmäßig deaktiviert, Einwilligung erforderlich. Jede Kategorie braucht eine verständliche Beschreibung ihres Zwecks und idealerweise eine Liste der zugehörigen Cookies mit Laufzeit und Anbieter. Der [Cookie-Scanner von FlowConsent](https://www.flowconsent.com/de/scan) erkennt die Cookies auf Ihrer Website automatisch und ordnet sie den Kategorien zu. ## Häufige Fehler bei der Einordnung **Google Analytics als „unbedingt erforderlich“ einstufen.** Google Analytics setzt Tracking-Cookies, die für den Betrieb der Website nicht nötig sind. Sie gehören in die Kategorie Analyse und brauchen eine Einwilligung. **Cookies von Drittanbieter-Widgets übersehen.** Social-Media-Buttons, eingebettete Videoplayer ([YouTube](https://www.flowconsent.com/de/blog/youtube-nocookie-videos-ohne-cookies-dsgvo), Vimeo), Google Maps und Chat-Tools setzen alle Cookies. Sie müssen der passenden Kategorie zugeordnet und bis zur Einwilligung blockiert werden. **Funktionale Cookies als „unbedingt erforderlich“ behandeln.** Ein Cookie, der den Darstellungsmodus oder Navigationseinstellungen speichert, ist funktional. Die Website funktioniert auch ohne ihn. **Cookies in der Cookie-Richtlinie nicht nach Kategorien aufschlüsseln.** Die [Cookie-Richtlinie](https://www.flowconsent.com/de/blog/cookie-richtlinie-dsgvo-leitfaden) sollte jede Kategorie mit den zugehörigen Cookies, ihrem Zweck, ihrer Laufzeit und ihrem Anbieter beschreiben. **Nicht erforderliche Kategorien vorab aktivieren.** Eine Einwilligung setzt eine aktive Handlung voraus. Funktionale, Analyse- und Marketing-Kategorien müssen im Cookie-Banner standardmäßig deaktiviert sein. ## So prüfen Sie die Cookies Ihrer Website nach Kategorien Ein [Cookie-Audit](https://www.flowconsent.com/de/blog/cookie-audit-website-vollstaendige-methode) beginnt mit einem vollständigen Scan der Website, der alle Cookies und Tracker erfasst. Anschließend ordnen Sie jeden Cookie einer der vier Kategorien zu. Dokumentieren Sie für jeden gefundenen Cookie Namen, Domain (First Party oder Third Party), Laufzeit, Zweck und Kategorie. Lässt sich der Zweck eines Cookies nicht klären, behandeln Sie ihn vorsorglich als Marketing-Cookie, also nach der strengsten Kategorie. Prüfen Sie alle Seiten Ihrer Website, nicht nur die Startseite. Manche Unterseiten enthalten Widgets oder iframes, die zusätzliche Cookies setzen (eingebettete YouTube-Videos, Formulare von Drittanbietern, Conversion-Pixel). ## Checkliste: Cookies nach Kategorien einordnen und verwalten - Website scannen und alle aktiven Cookies und Tracker erfassen. - Jeden Cookie einer der vier Kategorien zuordnen (unbedingt erforderlich, funktional, Analyse, Marketing). - CMP so konfigurieren, dass das Cookie-Banner die Kategorien getrennt anzeigt. - Unbedingt erforderliche Cookies dauerhaft aktiv lassen (nicht abwählbar). - Funktionale, Analyse- und Marketing-Cookies standardmäßig deaktivieren. - Skripte nicht eingewilligter Kategorien tatsächlich blockieren (nicht nur das Banner ausblenden). - Jede Kategorie mit den zugehörigen Cookies in der [Cookie-Richtlinie](https://www.flowconsent.com/de/blog/cookie-richtlinie-dsgvo-leitfaden) beschreiben. - Prüfen, ob für Ihre Analyse-Cookies ausnahmsweise keine Einwilligung nötig ist (strenge Kriterien nach § 25 Abs. 2 TDDDG). - Website regelmäßig prüfen, um neue Cookies aus Updates oder neuen Widgets zu erkennen. - Für jede Kategorie die Ablehnung testen und kontrollieren, dass die zugehörigen Cookies nicht gesetzt werden. ## Fazit Die Einteilung in vier Kategorien (unbedingt erforderlich, funktional, Analyse, Marketing) ist die Grundlage jeder DSGVO-konformen Cookie-Verwaltung. Nur unbedingt erforderliche Cookies sind von der Einwilligung ausgenommen. Alle anderen Kategorien müssen standardmäßig blockiert und erst nach ausdrücklicher Einwilligung aktiviert werden. Anregungen, wie Sie diese Kategorien Ihren Besuchern präsentieren, finden Sie in unseren [Beispielen für Cookie-Banner](https://www.flowconsent.com/de/blog/dsgvo-cookie-banner-beispiele-best-practices). Um die Cookies Ihrer Website zu erkennen und einzuordnen, starten Sie einen [kostenlosen Scan mit FlowConsent](https://www.flowconsent.com/de/scan). [Zurück zum Blog](https://www.flowconsent.com/de/blog) Artikel teilen · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fdsgvo-cookie-kategorien-vollstaendiger-leitfaden) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fdsgvo-cookie-kategorien-vollstaendiger-leitfaden) Fragen ## Häufige Fragen zu diesem Thema. Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Welche Cookie-Kategorien erfordern eine Einwilligung im Sinne der DSGVO? Alle Kategorien außer den unbedingt erforderlichen Cookies. Funktionale, analytische und Marketing-Cookies erfordern eine vorherige, freiwillige, spezifische und informierte Einwilligung, bevor sie auf dem Endgerät des Nutzers gespeichert werden. ### Ist ein Sprachpräferenz-Cookie unbedingt erforderlich oder funktional? Das hängt von der Website ab. Wenn die Website ohne Kenntnis der Sprache des Nutzers keinen Inhalt anzeigen kann (keine Standardversion), ist das Sprachcookie unbedingt erforderlich. Wenn die Website mit einer Standardsprache funktioniert und das Cookie nur eine Präferenz speichert, ist es funktional und bedarf einer Einwilligung. ### Ist Google Analytics als analytisches Cookie von der Einwilligungspflicht befreit? Nein, nicht in seiner Standardkonfiguration. Die CNIL sieht eine Ausnahme für Zielgruppenmesstools vor, die streng begrenzt konfiguriert sind (anonyme Daten, kein Teilen mit Dritten, keine Verknüpfung). Google Analytics erfüllt in seiner Standardkonfiguration diese Kriterien nicht. ### Hinterlassen Social-Sharing-Buttons Marketing-Cookies? Ja. Die Sharing-Buttons von Facebook, LinkedIn, Twitter/X und anderen sozialen Netzwerken setzen in der Regel Drittanbieter-Cookies, die das Surfverhalten des Nutzers für Werbezwecke verfolgen. Diese Cookies gehören zur Marketing-Kategorie und erfordern eine Einwilligung. ### Können funktionale und analytische Cookies in einer Kategorie zusammengefasst werden? Das ist technisch möglich, aber nicht empfehlenswert. Die DSGVO erfordert eine zweckspezifische Einwilligung. Das Zusammenfassen von Kategorien mit unterschiedlichen Zwecken reduziert die Granularität der Nutzerwahl und kann von Datenschutzbehörden als nicht konform angesehen werden. ### Wie erkennt man, ob ein Cookie unbedingt erforderlich ist oder nicht? Stellen Sie sich die Frage: Kann die Website den vom Nutzer angeforderten Dienst ohne dieses Cookie erbringen? Wenn ja, ist das Cookie nicht unbedingt erforderlich. Ein Analytics-Cookie, ein Personalisierungscookie oder ein Werbe-Cookie ist niemals unbedingt erforderlich, auch wenn er für Ihr Unternehmen wichtig ist. Weiterlesen ## Mehr zum Thema. [Alle Artikel](https://www.flowconsent.com/de/blog) [Plattform-Anleitungen · 13. März 2026](https://www.flowconsent.com/de/blog/wordpress-cookie-einwilligung-dsgvo-leitfaden) ### [Cookie-Einwilligung auf WordPress: der vollständige DSGVO-Leitfaden](https://www.flowconsent.com/de/blog/wordpress-cookie-einwilligung-dsgvo-leitfaden) [WordPress verwaltet die Cookie-Einwilligung nicht von Haus aus. Plugin, externe CMP oder manuelle Integration: So machen Sie Ihre WordPress-Website DSGVO-konform.](https://www.flowconsent.com/de/blog/wordpress-cookie-einwilligung-dsgvo-leitfaden) [Artikel lesen ](https://www.flowconsent.com/de/blog/wordpress-cookie-einwilligung-dsgvo-leitfaden)· [Plattform-Anleitungen · 19. Juni 2026](https://www.flowconsent.com/de/blog/woocommerce-dsgvo-konformitaet-leitfaden) ### [WooCommerce und DSGVO: vollständiger Konformitätsleitfaden](https://www.flowconsent.com/de/blog/woocommerce-dsgvo-konformitaet-leitfaden) [WooCommerce setzt funktionale Cookies und Drittanbieter-Tracking-Skripte, die der DSGVO unterliegen. Dieser Leitfaden erklärt, welche Cookies eine Einwilligung erfordern.](https://www.flowconsent.com/de/blog/woocommerce-dsgvo-konformitaet-leitfaden) [Artikel lesen ](https://www.flowconsent.com/de/blog/woocommerce-dsgvo-konformitaet-leitfaden)· [Marketing-Tools · 1. Juli 2026](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) ### [Die Cookies \_ga, \_gid und \_gat erklärt: Zweck, Laufzeit und Einwilligung nach DSGVO](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) [Was die Google-Analytics-Cookies \_ga, \_ga\_\, \_gid und \_gat tun, wie lange sie gespeichert bleiben, warum § 25 TDDDG eine Einwilligung verlangt und was Consent Mode v2 ändert.](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) [Artikel lesen](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)