— Leitfaden

Cookie-Banner nach DSGVO und TDDDG, plus Google Consent Mode v2

Welche Websites ein Banner brauchen, wie ein wirksames aussieht, wofür die höchsten Bußgelder verhängt wurden und was Consent Mode v2 macht, denn das ist nicht dasselbe wie ein Banner.

Von Level UI9 Min. Lesezeit

Ein Cookie-Banner gibt es aus einem einzigen Grund: In der EU darf eine Website nur dann etwas auf dem Gerät eines Besuchers speichern oder von dort auslesen, wenn der Besucher eingewilligt hat, es sei denn, es ist für das, was er angefordert hat, unbedingt erforderlich. Google Consent Mode v2 ist etwas anderes: Er gibt die Antwort des Besuchers an die Google-Tags weiter, und seit März 2024 braucht Google ihn für Werbung und Messung bei europäischem Traffic. Dieser Leitfaden erklärt, wann du ein Banner brauchst und wann nicht, wofür Behörden Bußgelder verhängt haben, wie du Consent Mode einrichtest und warum unsere eigene Website gar kein Banner hat. Er beschreibt die Rechtslage im Oktober 2026 und ist keine Rechtsberatung.

Was auf einer typischen Website vorher eine Einwilligung braucht

Auf der WebsiteVorher einwilligen?Warum
Login-Sitzung, Warenkorb, gewählte SpracheNeinUnbedingt erforderlich für etwas, das der Besucher angefordert hat
Speichern der Cookie-EntscheidungNeinNötig, um die Entscheidung selbst zu respektieren
Google Analytics 4 mit CookiesJaAnalyse-Cookies sind nicht unbedingt erforderlich
Google-Ads-Tag, Meta Pixel, LinkedIn Insight TagJaWerbe-Cookies und Kennungen
Eingebettetes YouTube-Video oder Google MapsJa, oder erst per Klick ladenDie Einbettung setzt oder liest Speicher von Dritten, sobald sie lädt
Chat-Widget eines DrittanbietersMeist jaViele speichern eine Kennung, bevor jemand den Chat öffnet
Analyse auf dem eigenen Server ohne Cookie oder gespeicherte IDKeine Einwilligung für SpeicherungNichts wird auf dem Gerät gespeichert oder ausgelesen; die DSGVO gilt trotzdem für die Daten
Schriften von Googles ServernKeine Cookie-FrageEs wird kein Cookie gesetzt, aber jeder Besuch schickt die IP-Adresse an Google; hoste die Schriften selbst

Ein allgemeiner Überblick über die Rechtslage im Oktober 2026, keine Rechtsberatung. Was ein bestimmtes Tool speichert, hängt von seiner Konfiguration ab; prüf es im Browser, wie unten beschrieben.

Die Regel hinter jedem Banner

Die Cookie-Regel ist im Kern nicht die DSGVO. Sie steht in Artikel 5 Absatz 3 der ePrivacy-Richtlinie: Wer Informationen auf dem Gerät eines Nutzers speichert oder auf dort gespeicherte Informationen zugreift, braucht nach klarer Information dessen Einwilligung, außer es dient nur der Übertragung einer Nachricht oder ist für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich. Das umfasst Cookies, Local Storage, Gerätekennungen und vergleichbare Techniken, egal ob die Daten personenbezogen sind. Jedes Land setzt das in eigenes Recht um: in Deutschland mit § 25 TDDDG, in Rumänien mit Artikel 4 Absatz 5 des Gesetzes 506/2004. Die DSGVO kommt über die Definition der Einwilligung ins Spiel: freiwillig, für einen bestimmten Fall, informiert, unmissverständlich und so leicht zu widerrufen, wie sie erteilt wurde.

Brauchst du überhaupt eins? Nicht unbedingt

Wenn nichts auf deiner Website eine Einwilligung braucht, brauchst du kein Banner, und eine Website so zu bauen ist eine legitime Entscheidung, kein Schlupfloch. Unsere eigene Website ist ein Beispiel: levelui.com, levelui.de und levelui.ro setzen für Besucher keine Cookies und laden keine Skripte von Dritten, es gibt also nichts zu fragen. Besuche zählen wir mit eigener Analyse auf dem eigenen Server, die kein Cookie speichert und keine Kennung länger als einen Tag behält. Wir werben zwar bei Google, melden eine Anfrage aber von unserem Server an Google Ads, erst wenn sie bei uns angekommen ist und nur, wenn der Besucher im Formular ein nicht vorausgewähltes Kästchen angehakt hat, das genau das erlaubt.

Die meisten Websites brauchen ein Banner wegen ein oder zwei Tools, nicht wegen der Website selbst: Analyse mit Cookies, ein Werbepixel, ein eingebettetes Video. Jedes davon ist eine Entscheidung. Cookiefreie Analyse kann Google Analytics ersetzen, wenn du keine Werbung schaltest; die Möglichkeiten vergleichen wir in Google-Analytics-Alternativen. Videos und Karten können erst laden, wenn jemand darauf klickt. Schriften können von deinem eigenen Server kommen, was auch schneller ist, wie unser Webfont-Leitfaden gemessen hat. Eine Datenschutzerklärung brauchst du so oder so; was wegfällt, ist die Frage.

Wie ein wirksames Banner aussieht

Ablehnen muss genau so viel Aufwand kosten wie Zustimmen: ein Klick, auf der ersten Ebene. Das ist der Punkt, den die Behörden am konsequentesten durchsetzen. Ein Banner mit leuchtendem „Alle akzeptieren“ und einer Ablehnung, die hinter „Einstellungen“ versteckt ist, ist das klassische Dark Pattern, und die Cookie-Banner-Taskforce der europäischen Datenschutzbehörden hat sich im Januar 2023 darauf verständigt, dass eine fehlende Ablehnungsoption auf der ersten Ebene ein Problem ist.

Die übrigen Regeln folgen daraus, was Einwilligung bedeutet. Nichts, was eine Einwilligung braucht, darf laden, bevor der Besucher geantwortet hat; warten müssen also die Tags, nicht nur die Cookies. Kästchen dürfen nicht vorausgewählt sein: Der Europäische Gerichtshof hat im Fall Planet49 am 1. Oktober 2019 entschieden, dass ein vorab angekreuztes Kästchen keine Einwilligung ist. Scrollen oder Weitersurfen ist auch keine. Jeder Zweck, etwa Statistik oder Marketing, braucht eine eigene Wahl. Der Besucher muss erfahren, wer was wozu bekommt, er muss seine Meinung so leicht ändern können, wie er zugestimmt hat, meist über einen kleinen Link oder ein Symbol, das das Banner wieder öffnet, und du musst später nachweisen können, dass eingewilligt wurde.

Wofür die Bußgelder verhängt wurden

Die höchsten Cookie-Bußgelder betreffen Banner, die nicht taten, was sie versprachen. Am 1. September 2025 verhängte die französische Datenschutzbehörde CNIL gegen Shein 150 Millionen Euro: Werbe-Cookies wurden gesetzt, sobald ein Besucher ankam, vor jeder Entscheidung, und weitere wurden gesetzt und ausgelesen, nachdem Besucher auf Ablehnen geklickt hatten. Am selben Tag traf es Google mit 325 Millionen Euro, unter anderem, weil das Ablehnen von Werbe-Cookies beim Anlegen eines Google-Kontos bis Oktober 2023 schwerer war als das Zustimmen. Schon im Dezember 2021 hatte sie Google mit 150 Millionen und Facebook mit 60 Millionen Euro belegt, weil Ablehnen mehrere Klicks kostete und Zustimmen einen.

Auch kleinere Websites zahlen, in kleinerem Maßstab. In Deutschland kann ein Verstoß gegen § 25 TDDDG bis zu 300.000 Euro kosten, und in Rumänien setzt die Datenschutzbehörde ANSPDCP das Gesetz 506/2004 auch gegen ganz normale Firmenwebsites durch. Ein gekauftes und installiertes Banner ist noch keine Rechtskonformität; ein Banner, das wirklich blockiert, was es zu blockieren verspricht, schon.

Google Consent Mode v2 erklärt

Consent Mode ist kein Banner. Er ist der Weg, auf dem dein Banner den Google-Tags mitteilt, was der Besucher gewählt hat, damit sich Google Analytics und Google Ads danach richten. Er arbeitet mit vier Signalen: ad_storage für Werbe-Cookies, analytics_storage für Analyse-Cookies, ad_user_data für das Senden von Nutzerdaten an Google zu Werbezwecken und ad_personalization für personalisierte Werbung wie Remarketing. Die letzten beiden kamen mit Version 2 im November 2023 dazu.

Seit Anfang März 2024 verlangt Google diese Signale für Besucher aus dem Europäischen Wirtschaftsraum. Ein Werbetreibender, der keine Einwilligungssignale sendet, verliert seine EWR-Besucher aus den Remarketing-Zielgruppen und aus Googles Messfunktionen. Eine Website, die in Europa Google Ads schaltet, braucht also beides: ein Banner, das fragt, und Consent Mode, der die Antwort weitergibt.

Consent Mode Basic oder Advanced

Im Basic-Modus laden die Google-Tags gar nicht, bis der Besucher geantwortet hat, und lehnt er ab, geht nichts an Google, nicht einmal die Ablehnung. Im Advanced-Modus laden die Tags sofort mit auf „abgelehnt“ gesetzter Einwilligung und senden, solange sie fehlt, cookielose Pings; Google nutzt sie, um die Conversions zu modellieren, die es nicht mehr direkt sieht. Laut Googles eigener Dokumentation liefert Advanced ein werbetreibendenspezifisches Modell, Basic dagegen ein allgemeines, und die Modellierung setzt erst ein, wenn eine Website genug Daten sendet.

Advanced holt mehr Daten zurück, deshalb mögen Werbetreibende ihn, aber diese Pings gehen trotzdem vom Browser des Besuchers an Google, bevor irgendwer irgendetwas zugestimmt hat. Basic ist die vorsichtige Wahl, und die empfehlen wir, solange deine Datenschutzberatung Advanced nicht freigegeben hat. Was dir modellierte Daten wert sind, hängt von deinem Werbebudget ab; diese Seite betrachten wir in Google Ads vs. Meta Ads: Kosten.

Eine Consent-Plattform wählen und prüfen

Die meisten Websites nutzen eine Consent-Management-Plattform statt eines selbst gebauten Banners, und wenn du bei Google wirbst, nimm eine aus Googles Liste zertifizierter Plattformen: Cookiebot, Usercentrics, OneTrust, Didomi, iubenda, CookieYes und Complianz, das übliche WordPress-Plugin, stehen alle darauf. Eine zertifizierte Plattform sendet die Consent-Mode-Signale für dich; übrig bleibt, jedes Tool auf der Website dem richtigen Zweck zuzuordnen und sicherzustellen, dass es wirklich auf die Einwilligung wartet.

Dann teste selbst, denn eine falsch konfigurierte Plattform ist der häufigste Grund, warum ein Banner nur Dekoration ist. Öffne die Website in einem privaten Fenster und schau, bevor du irgendetwas anklickst, in die Entwicklertools des Browsers: Die Cookie-Liste darf nur notwendige Cookies enthalten, und der Netzwerk-Tab darf keine Anfragen an Google Analytics, Google Ads, Meta oder andere Tracker zeigen. Klick auf Ablehnen, lade neu und prüf noch einmal. Gib dem Banner zuletzt einen festen Platz im Layout, damit es beim Erscheinen nicht die Seite verschiebt, was bei den Core Web Vitals zählt. Es ist auch das Erste, was Besucher sehen: In unserer Stichprobe von 20 Landingpages verdeckten 14 einen Teil des ersten Bildschirms mit einem.

Deutschland, Rumänien und was sich ändern könnte

In Deutschland steht die Cookie-Regel seit dem 14. Mai 2024 in § 25 TDDDG; damals wurde das TTDSG umbenannt, ohne dass sich am Inhalt etwas änderte. Seit dem 1. April 2025 erlaubt die Einwilligungsverwaltungsverordnung außerdem anerkannte Dienste zur Einwilligungsverwaltung, die die Entscheidungen eines Besuchers zentral speichern, damit Websites sie auslesen können, statt erneut zu fragen. Die Banner haben sie nicht verschwinden lassen. In Rumänien erlaubt Artikel 4 Absatz 5 des Gesetzes 506/2004 die Speicherung nur, wenn der Nutzer zugestimmt und vorher klare, vollständige Informationen bekommen hat, auch über den Zweck.

Auf EU-Ebene würde der Digital-Omnibus-Vorschlag der Kommission vom November 2025 die Cookie-Regel in die DSGVO verschieben, die Ablehnung mit einem einzigen Klick vorschreiben, Websites nach einer Ablehnung sechs Monate lang erneutes Fragen verbieten und Browsern erlauben, Einwilligungssignale automatisch zu senden. Im Oktober 2026 wird er noch in den Ausschüssen des Europäischen Parlaments beraten, nichts davon gilt also schon. Sicher ist die Annahme, dass jede Änderung das Ablehnen leichter macht, nicht schwerer.

Was wir empfehlen

Lade weniger, und das Banner schrumpft mit, manchmal bis auf nichts. Geh jedes Skript auf der Website durch und frag dich, ob es eine Einwilligungsabfrage wert ist. Hoste Schriften selbst, lade Videos und Karten per Klick und nutze cookiefreie Analyse, wenn du keine Werbung schaltest. Schaltest du Werbung in Europa, nimm eine zertifizierte Consent-Plattform mit Consent Mode v2 im Basic-Modus, teste sie im Browser wie oben beschrieben und führe die Tools in deiner Datenschutzerklärung auf.

Wir richten das im Rahmen unserer Arbeit mit Google Analytics 4 ein, verbinden Consent Mode mit dem Banner und prüfen, dass Ablehnen die Tags wirklich blockiert. Wenn du lieber gar kein Banner brauchen willst, ist das eine Frage, wie die Website gebaut ist, und damit unsere Webentwicklung.

Quellen

Gesetzestexte und Google-Dokumentation geprüft am 10. Oktober 2026. Die Prüfung unserer eigenen Websites (keine Cookies gesetzt, keine Skripte von Dritten) erfolgte am selben Tag auf je vier Seiten jeder Domain.

War das hilfreich?
Diesen Artikel teilen
Verwandte LeistungWebdesign, Webentwicklung & PlattformenVerwandte LeistungOnline-MarketingPassendes PaketGoogle-Analytics-4-EinrichtungPassendes PaketTechnische Analyse

— FAQ

Häufig gestellte Fragen

Unsicher, was dein Banner wirklich blockiert?

Wir prüfen, welche Tools vor der Einwilligung laden, verbinden Consent Mode mit deinem Banner und sagen dir, auf welche du verzichten könntest, um weniger Banner zu brauchen.

Projekt startenWhatsApp