Was ist ein Cookie?

Ein Cookie ist eine kleine Textdatei, die eine Website im Browser des Besuchers speichert, um ihn beim nächsten Seitenaufruf wiederzuerkennen. Cookies halten etwa den Login, den Warenkorb oder die Spracheinstellung fest, werden aber auch für Statistik und Werbung genutzt. Für alle nicht notwendigen Cookies brauchen Sie in Deutschland vorher eine Einwilligung.

Einfach erklärt: Ein Cookie ist ein Merkzettel, den die Website beim Besucher hinterlegt. Dieser Artikel zeigt, welche Arten es gibt, was das Gesetz verlangt und wie Sie Ihre Website mit möglichst wenig Aufwand rechtssicher aufstellen.

Was ein Cookie ist

Das Web ist von Haus aus vergesslich: Jeder Seitenaufruf ist für den Server zunächst ein neuer, unbekannter Besuch. Cookies lösen dieses Problem. Der Server schickt beim ersten Aufruf eine kleine Datei mit, der Browser speichert sie und sendet sie bei jedem weiteren Aufruf derselben Domain zurück.

Ein Cookie enthält meist nur eine Kennung und einige Angaben: Name, Wert, zuständige Domain und Ablaufdatum. Es ist kein Programm und kann keine Schadsoftware ausführen. Heikel wird es erst, wenn über Cookies das Verhalten von Menschen über viele Websites hinweg verfolgt wird.

Neben Cookies gibt es verwandte Techniken wie den Local Storage des Browsers oder sogenannte Fingerprints. Rechtlich werden sie ähnlich behandelt: Entscheidend ist nicht die Technik, sondern ob Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden.

Welche Arten von Cookies es gibt

Safari und Firefox blockieren Drittanbieter-Cookies standardmäßig. Chrome lässt sie weiterhin zu; Google hat den lange angekündigten Ausstieg 2025 aufgegeben. Für Ihre Rechtspflichten ändert das nichts.

Rechtslage: TDDDG und DSGVO

In Deutschland greifen zwei Regelwerke ineinander:

• TDDDG § 25 (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG): Das Speichern und Auslesen von Informationen auf dem Endgerät ist nur mit Einwilligung erlaubt – es sei denn, es ist für den vom Nutzer gewünschten Dienst unbedingt erforderlich. Das gilt unabhängig davon, ob personenbezogene Daten betroffen sind.
• DSGVO: Werden über Cookies personenbezogene Daten verarbeitet, etwa Kennungen oder IP-Adressen, braucht es zusätzlich eine Rechtsgrundlage und Informationen in der Datenschutzerklärung. Bei Diensten außerhalb der EU kommen Fragen zur Datenübermittlung hinzu.

Die Einwilligung muss freiwillig, informiert und aktiv erteilt werden. Vorausgewählte Häkchen reichen nicht, das haben der Europäische Gerichtshof und der Bundesgerichtshof klargestellt. Und sie muss so einfach widerrufbar sein, wie sie erteilt wurde.

Was ein gutes Cookie-Banner ausmacht

• „Ablehnen“ ist genauso leicht erreichbar wie „Akzeptieren“, am besten auf derselben Ebene.
• Vor der Entscheidung werden keine einwilligungspflichtigen Cookies gesetzt und keine externen Dienste geladen.
• Zwecke und Anbieter sind verständlich benannt, nicht in Fachsprache versteckt.
• Die Einstellungen lassen sich jederzeit wieder öffnen, etwa über einen Link im Footer.
• Das Banner verdeckt nicht die ganze Seite auf dem Smartphone. Das schadet der User Experience.

Beispiele aus dem Mittelstand

• Handwerksbetrieb: Die Website nutzt nur ein Kontaktformular und eine datensparsame Statistik ohne Cookies. Ein großes Banner ist dann oft gar nicht nötig – ein Hinweis in der Datenschutzerklärung genügt.
• Online-Shop eines Herstellers: Warenkorb und Login laufen über notwendige Cookies ohne Einwilligung. Werbe-Pixel für Kampagnen werden erst nach Zustimmung geladen.
• Eingebettete Videos und Karten: Ein Dienstleister zeigt Videos und eine Anfahrtskarte. Statt sie direkt einzubinden, erscheint zunächst ein Vorschaubild; erst nach Klick werden die externen Inhalte geladen.

Typische Fehler

• Tracking vor der Einwilligung: Statistik- oder Werbeskripte laden sofort, das Banner ist nur Kulisse. Das ist der häufigste Anlass für Abmahnungen und Beschwerden.
• Kein Ablehnen-Knopf auf der ersten Ebene.
• Vergessene Einbindungen: Schriftarten, Chat-Widgets oder Buchungstools von Drittanbietern setzen eigene Cookies oder übertragen IP-Adressen, ohne dass es jemand bemerkt hat.
• Veraltete Cookie-Liste: Die Datenschutzerklärung nennt Dienste, die längst entfernt sind, aber nicht die neuen.
• Messlücken falsch deuten: Wer Einwilligungen einholt, sieht in Werkzeugen wie Google Analytics nur einen Teil der Besucher. Zahlen vor und nach Einführung des Banners sind nicht direkt vergleichbar.

In der Praxis: Websites mit wenig Cookies und sauberer Einwilligung

Der einfachste Weg zu einem rechtssicheren Auftritt ist, gar nicht erst viele Cookies zu setzen. Im Website-Abo bauen wir Websites mit lokal eingebundenen Schriften, datensparsamer Statistik auf Servern in Deutschland und der EU sowie externen Inhalten erst nach Klick. Sollen Kampagnen gemessen werden, richten wir bei Kampagnen die Einwilligung so ein, dass Werbe-Pixel wirklich erst nach Zustimmung laden. Eine Rechtsberatung ersetzt das nicht; die Datenschutzerklärung sollte fachkundig geprüft sein.

Häufige Fragen

Brauche ich immer ein Cookie-Banner?

Nein. Setzt Ihre Website nur technisch notwendige Cookies und bindet keine einwilligungspflichtigen Dienste ein, ist keine Einwilligung nötig. Informieren müssen Sie in der Datenschutzerklärung trotzdem.

Sind Cookies gefährlich?

Für den Rechner nicht, es sind reine Textdateien. Datenschutzrechtlich relevant sind sie, weil sie Wiedererkennung und Profilbildung über Websites hinweg ermöglichen.

Was ist der Unterschied zwischen TTDSG und TDDDG?

Es ist dasselbe Gesetz. Im Mai 2024 wurde das TTDSG im Zuge des Digital Services Act in TDDDG umbenannt; die Regel zur Einwilligung in § 25 blieb inhaltlich gleich.