Der Cookie-Banner ist zum Symbol des modernen Internets geworden: Kaum eine Seite lässt sich öffnen, ohne dass zuerst ein Dialog den Blick auf den Inhalt verstellt. Viele Betreiberinnen und Betreiber halten ihn für eine unvermeidliche Pflicht, für ein notwendiges Übel, das eben dazugehört. Das ist ein Missverständnis. Ein Einwilligungsbanner ist keine gesetzliche Grundausstattung jeder Website, sondern die Folge einer konkreten technischen Entscheidung: Er wird ausgelöst, sobald eine Seite Dienste einbindet, die eine vorherige Einwilligung verlangen. Wer diese Dienste gar nicht erst lädt, braucht in vielen Fällen kein Banner. Dieser Beitrag zeigt, warum der lästige Dialog oft vermeidbar ist, welche Cookies wirklich einwilligungsfrei bleiben, was einen Banner überhaupt erzwingt und wie eine datensparsame Seite aussieht, die ihren Besuchern die Klickstrecke erspart. Er ergänzt damit den Leitfaden, wie ein Consent-Dialog rechtssicher aufgesetzt wird: Denn nicht jede Seite braucht diesen Dialog überhaupt.
Warum der Cookie-Banner oft vermeidbar ist
Am Anfang steht eine einfache Beobachtung: Der Banner ist ein Symptom, keine Ursache. Er erscheint nicht, weil ein Gesetz pauschal verlangt, jede Website müsse einen Zustimmungsdialog zeigen.
Er erscheint, weil auf der Seite etwas passiert, das ohne Einwilligung nicht passieren darf, typischerweise das Speichern oder Auslesen von Informationen auf dem Endgerät der Besucher zu Zwecken, die über den reinen Betrieb der Seite hinausgehen. Ein Analyse-Skript, das Nutzer über Seiten hinweg wiedererkennt, eine eingebettete Karte, die beim Laden die IP-Adresse an einen fremden Server überträgt, ein Video-Player, der Marketing-Cookies setzt, ein Schrift-Dienst, der jede Seitenansicht meldet: Jeder dieser Bausteine bringt seinen eigenen Rechtfertigungsbedarf mit. Nimmt man sie weg, verschwindet mit ihnen der Grund für den Dialog. Genau hier liegt der Hebel. Die meisten Unternehmensseiten brauchen keinen einzigen dieser Dienste, um ihre Aufgabe zu erfüllen; sie sind über die Jahre eingebaut worden, ohne dass jemand den Preis in Form der Einwilligungspflicht bewusst abgewogen hätte.
Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, hält dazu unmissverständlich fest: Wer ausschließlich technisch notwendige Cookies einsetzt und auf externe Tracking-Dienste verzichtet, benötigt in der Regel kein Einwilligungsbanner (Datenschutzkonferenz). Der Umkehrschluss ist entscheidend, denn nicht die Website an sich erzeugt die Pflicht, sondern das, was sie zusätzlich einbindet. Der Weg zu einer Seite ohne Banner führt deshalb nicht über einen besseren Dialog, sondern über eine kürzere Liste eingebundener Dienste. Das ist keine juristische Spitzfindigkeit, sondern eine Gestaltungsfrage, die schon in der Konzeptphase entschieden wird. Wer eine neue Seite plant, kann Datensparsamkeit von Beginn an einziehen; die Leistungen von XICflow sind genau darauf ausgelegt. Und wer unsicher ist, ob die eigene Seite überhaupt in den strengen Anwendungsbereich fällt, findet in der Einordnung, wer vom BFSG und den Pflichten betroffen ist, eine erste Orientierung.
Kein Banner heißt nicht kein Datenschutz
TDDDG Paragraf 25: Wann eine Einwilligung nötig wird
Die rechtliche Grundlage liefert das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, das die frühere Regelung des TTDSG fortführt.
Sein Paragraf 25 regelt den Zugriff auf Endgeräte: Das Speichern von Informationen im Browser oder das Auslesen bereits gespeicherter Informationen ist grundsätzlich nur mit vorheriger Einwilligung zulässig. Von dieser Einwilligungspflicht gibt es zwei Ausnahmen. Die erste betrifft die reine Übertragung einer Nachricht, die zweite und praktisch wichtigere erfasst Speichervorgänge, die unbedingt erforderlich sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst überhaupt bereitgestellt werden kann. Genau das sind die technisch notwendigen Cookies. Alles, was darüber hinausgeht, also Reichweitenmessung, Marketing und Einbindungen sozialer Netzwerke, fällt unter die Einwilligungspflicht (Datenschutzkonferenz). Der Paragraf zieht damit eine klare Linie: notwendig auf der einen Seite, alles Weitere auf der anderen.
Wichtig ist, dass diese Prüfung technikneutral funktioniert. Das TDDDG spricht bewusst nicht nur von Cookies, sondern allgemein von Informationen, die auf dem Endgerät gespeichert oder von dort ausgelesen werden. Ob ein Dienst dafür ein klassisches Cookie, den lokalen Speicher des Browsers oder einen digitalen Fingerabdruck nutzt, ändert an der Einwilligungspflicht nichts. Der Europäische Gerichtshof hat den Maßstab für diese Einwilligung früh gesetzt: Sie muss aktiv erfolgen, ein voreingestelltes Häkchen genügt nicht (EuGH). Neben das TDDDG tritt die Datenschutz-Grundverordnung, sobald personenbezogene Daten verarbeitet werden, also praktisch stets dann, wenn ein externer Dienst die IP-Adresse der Besucher erhält. Wer beide Regelwerke gemeinsam betrachtet, erkennt schnell: Der aufwendigste Teil ist nicht das Formulieren eines Dialogs, sondern das Verwalten der Datenflüsse, die ihn nötig machen. Wie sich diese beiden Prüfungen zu einem sauberen Dialog fügen, wenn er sich nicht vermeiden lässt, beschreibt der Leitfaden zum rechtssicheren Consent-Dialog.
Technisch notwendige Cookies brauchen keine Einwilligung
Die einwilligungsfreien Cookies sind keine kleine Restmenge, sondern decken den Alltag einer Unternehmensseite weitgehend ab. Einwilligungsfrei ist, was der Nutzer für die von ihm gewünschte Funktion zwingend benötigt.
Dazu zählen der Warenkorb eines Shops, der die Auswahl über mehrere Seiten hinweg behält, das Session-Cookie, das eine angemeldete Sitzung zusammenhält, das Cookie, das die getroffene Cookie-Entscheidung selbst speichert, ein Token zur Abwehr von Formularmissbrauch oder die Merkung der gewählten Sprache. Auch ein Cookie, das kurzzeitig die Last auf mehrere Server verteilt, gehört dazu. Der gemeinsame Nenner: Ohne diese Speichervorgänge funktioniert der ausdrücklich gewünschte Dienst nicht oder nur eingeschränkt. Solche Cookies dürfen ohne Dialog gesetzt werden; die Datenschutzkonferenz stellt genau darauf ab (Datenschutzkonferenz). Sie gehören dennoch in die Datenschutzerklärung, transparent aufgeführt, damit Besucher nachvollziehen können, was auf ihrem Gerät gespeichert wird.
Warenkorb und Sitzung
Warenkorb- und Session-Cookies halten Auswahl und angemeldete Sitzung zusammen. Einwilligungsfrei, weil sie für die gewünschte Funktion zwingend sind.
Login und Sicherheit
Anmeldung und ein Token gegen Formularmissbrauch schützen den Betrieb. Ohne diese Speichervorgänge ließe sich der Dienst nicht sicher bereitstellen.
Sprache und Auswahl
Die gewählte Sprache und die Cookie-Entscheidung selbst dürfen gespeichert werden, ohne dass dafür ein Dialog nötig wäre.
Reichweitenmessung
Analyse-Skripte, die Nutzer über Seiten hinweg wiedererkennen, gehen über das Notwendige hinaus und verlangen eine vorherige Einwilligung.
Marketing
Retargeting- und Werbe-Cookies dienen nicht dem Betrieb der Seite, sondern der Vermarktung, und sind deshalb einwilligungspflichtig.
Soziale Netzwerke
Eingebundene Schaltflächen und Inhalte sozialer Netzwerke übertragen Daten an Dritte und lösen die Einwilligungspflicht aus.
Was einen Banner überhaupt auslöst
In der Praxis sind es fast stets dieselben Bausteine, die aus einer harmlosen Unternehmensseite eine einwilligungspflichtige machen.
Die Größenordnung ist beachtlich: Rund 92 Prozent der Websites binden mindestens einen Drittanbieter ein (Web Almanac), und 45 Prozent aller Requests gehen an Dritte (Web Almanac). Jeder dieser Bausteine ist ein potenzieller Auslöser. Am häufigsten stecken dahinter vier Kategorien: eingebettete Karten, die beim Laden Standort und IP-Adresse an einen Kartendienst schicken; Video-Player, die Cookies für Reichweite und Werbung setzen; Web-Schriften, die von einem fremden Server nachgeladen werden und dabei jede Seitenansicht melden; und Analyse-Werkzeuge, die das Verhalten über Seiten hinweg protokollieren. Hinzu kommen Schaltflächen sozialer Netzwerke, Chat-Fenster und Symbolbibliotheken. Keiner dieser Dienste ist für die Grundfunktion einer Website erforderlich, und genau deshalb löst jeder von ihnen die Einwilligungspflicht aus.
Tabelle waagerecht wischen
| Baustein | Erzwingt ein Banner? | Datensparsame Alternative |
|---|---|---|
| Eingebettete Karte eines Kartendienstes | Ja, überträgt IP an Dritte | Statische Kartengrafik mit Link zur Route |
| Video von einer externen Plattform | Ja, setzt Marketing-Cookies | Selbst gehostetes Video oder Vorschaubild mit Link |
| Web-Schriften von einem fremden Server | Ja, meldet jede Seitenansicht | Schriften lokal auf dem eigenen Server ausliefern |
| Reichweitenmessung per Analyse-Skript | Ja, erfordert Einwilligung | Aggregierte Auswertung ohne Zugriff auf das Endgerät |
| Warenkorb- und Sitzungs-Cookies | Nein, technisch notwendig | Ohne Dialog zulässig, in der Datenschutzerklärung nennen |
| Kontaktformular auf eigener Domain | Nein, keine Dritten | Direkt auf dem eigenen Server verarbeiten |
Der Blick auf die Tabelle zeigt das Muster: Fast jeder Banner-Auslöser hat eine datensparsame Entsprechung, die dieselbe Aufgabe erfüllt, ohne fremde Server ins Spiel zu bringen. Eine Route lässt sich als statische Grafik mit einem Link zur Navigation zeigen, statt eine interaktive Fremdkarte einzubetten. Ein Erklärvideo kann selbst gehostet oder durch ein anklickbares Vorschaubild ersetzt werden. Schriften liegen auf dem eigenen Server, statt bei jedem Seitenaufruf von außen nachgeladen zu werden. Diese Alternativen sind nicht nur rechtlich unkomplizierter, sondern meist auch schneller, weil sie Verbindungen zu Drittservern einsparen. Wie sich externe Inhalte wie Karten, Videos und Schriften datensparsam einbinden lassen, vertieft ein eigener Beitrag.
Externe Dienste ersetzen oder weglassen
Der praktische Weg zu einer Seite ohne Banner beginnt mit einer Bestandsaufnahme: Welche externen Verbindungen baut die Seite beim Laden auf? Diese Frage lässt sich mit den Entwicklerwerkzeugen jedes Browsers in wenigen Minuten beantworten.
Jede Verbindung zu einer fremden Domain ist ein Kandidat für die Prüfung. Für jeden Dienst stellt sich dieselbe Entscheidung: ersetzen, selbst hosten oder ganz weglassen. Kartendienste lassen sich durch eine statische Karte oder ein einfaches Adressfeld ersetzen; wer eine interaktive Karte wirklich braucht, kann sie hinter einen Klick legen, sodass sie erst nach einer bewussten Handlung lädt. Videos wandern auf den eigenen Server oder werden als Vorschaubild mit Link dargestellt. Schriften werden lokal eingebunden, was technisch einfach ist und zugleich Ladezeit spart. Symbolbibliotheken lassen sich als eingebettete Grafiken statt als externe Schriftdatei ausliefern. Was übrig bleibt, ist eine Seite, die mit dem eigenen Server auskommt.
Karten
Statische Kartengrafik mit Link zur Routenplanung statt eingebetteter Fremdkarte, die IP und Standort überträgt.
Videos
Video selbst hosten oder als Vorschaubild mit Link darstellen, damit beim Laden kein Marketing-Cookie gesetzt wird.
Schriften
Web-Schriften lokal ausliefern, statt sie bei jedem Aufruf von einem fremden Server zu holen, der die Ansicht meldet.
Reichweite
Aggregierte Auswertung ohne Zugriff auf das Endgerät der Besucher, sodass die Einwilligungspflicht nicht ausgelöst wird.
Marketing
Auf Retargeting-Pixel verzichten und Kampagnen über gekennzeichnete Ziel-Adressen statt über gesetzte Cookies messen.
Chat und Formulare
Kontaktformular und Chat auf der eigenen Domain betreiben, ohne ein fremdes Skript in die Seite zu laden.
- Entwicklerwerkzeuge des Browsers öffnen und den Netzwerk-Tab beim Laden der Seite beobachten; jede fremde Domain ist ein Prüfkandidat.
- Für jede externe Verbindung entscheiden: ersetzen, selbst hosten oder ersatzlos streichen.
- Web-Schriften und Symbole vom eigenen Server ausliefern, statt sie extern nachzuladen.
- Karten und Videos hinter einen bewussten Klick legen oder durch statische Alternativen ersetzen.
- Reichweitenmessung auf ein Verfahren umstellen, das ohne Zugriff auf das Endgerät auskommt.
- Nach dem Umbau erneut prüfen, ob überhaupt noch ein einwilligungspflichtiger Dienst geladen wird.
Wenn ein Banner doch nötig ist: die Regeln
Nicht jede Seite kommt ohne externe Dienste aus. Ein Buchungssystem, ein Bezahldienst oder eine eingebettete Landkarte können im Einzelfall unverzichtbar sein.
Dann ist ein Einwilligungsbanner Pflicht, und für dieses Banner gelten klare Regeln, die die Aufsichtsbehörden regelmäßig durchsetzen. Die wichtigste betrifft die Gleichwertigkeit der Auswahl: Die Möglichkeit, alle Cookies abzulehnen, muss so einfach und gleich sichtbar erreichbar sein wie die Möglichkeit, alle zu akzeptieren (Datenschutzkonferenz-Beschluss). Ein Banner, das einen großen, farbigen Akzeptieren-Knopf zeigt, das Ablehnen aber hinter einem grauen Link oder einer zusätzlichen Ebene versteckt, gilt als unzulässig. Ebenso wenig dürfen Kästchen vorangekreuzt sein, denn der Europäische Gerichtshof hat aktive Einwilligung verlangt (EuGH). Und die Nutzung der Seite darf nicht davon abhängen, dass eingewilligt wird, solange es um nicht notwendige Cookies geht.
Ablehnen muss gleich sichtbar sein
Ein sauber gebautes Banner ist außerdem selbst ein Stück Software, das gepflegt, getestet und barrierefrei bedienbar sein muss. Es darf den Tastaturfokus nicht einsperren, muss mit unterstützender Technik funktionieren und die getroffene Entscheidung zuverlässig speichern, damit sie nicht bei jedem Aufruf erneut abgefragt wird. Auch der Widerruf muss so einfach möglich sein wie die Einwilligung. All das ist machbar, kostet aber Aufwand, den eine datensparsame Seite gar nicht erst erzeugt. Die Rechnung ist einfach: Jeder eingebundene Fremddienst spart vielleicht eine Stunde Umsetzung, erzeugt aber einen dauerhaften Pflege- und Prüfaufwand für das Banner, das er nötig macht. Der Leitfaden zu Impressum, Datenschutzerklärung und weiteren Rechtstexten zeigt, wie sich der rechtliche Rahmen der Seite insgesamt schlank halten lässt.
Ein Banner, das entfällt, spart doppelt
Datensparsamkeit als Geschäftsvorteil
Der Verzicht auf fremde Tracker ist mehr als eine rechtliche Bequemlichkeit; er zahlt direkt auf die Wirkung der Seite ein.
Der erste Effekt ist Geschwindigkeit: Jeder eingesparte Drittanbieter bedeutet eine Verbindung weniger, ein Skript weniger, eine mögliche Blockade weniger beim Aufbau der Seite. Bei im Median 24 Drittanbietern je Seite (Web Almanac) summiert sich das zu spürbarer Ladezeit. Der zweite Effekt ist das Nutzererlebnis: Wer eine Seite ohne vorgeschalteten Dialog öffnet, sieht sofort den Inhalt statt einer Klickstrecke. Das senkt die Absprungrate gerade auf dem Smartphone, wo ein Banner schnell den halben Bildschirm einnimmt. Der dritte Effekt ist Vertrauen: Eine Seite, die von sich aus keine Daten an Dritte weitergibt, muss darüber auch nicht verhandeln. Für viele Betriebe, von der Praxis über die Kanzlei bis zum Handwerk, ist gerade dieser sichtbare Respekt vor den Daten der Besucher ein Argument, das zur eigenen Positionierung passt. Wie eine statische Auslieferung dabei zugleich die Ladezeit drückt, zeigt der Beitrag zu PageSpeed 100 und statischer Auslieferung.
Datensparsamkeit ist zudem robust gegen den Wandel der Rechtslage. Wer keine fremden Dienste einbindet, muss nicht jede neue Entscheidung zur Ausgestaltung von Bannern nachvollziehen, keine Vertragsanlagen zur Auftragsverarbeitung mit Drittanbietern pflegen und keine Datenübermittlungen in Drittländer prüfen. Die Angriffsfläche für Beanstandungen schrumpft auf das, was die Seite selbst tut. Das ist auch ein Sicherheitsgewinn, denn jedes eingebundene Fremdskript ist ein Stück Code, das man nicht selbst kontrolliert. Wer eine neue Seite plant, sollte diese Punkte schon im Briefing für den KI-Website-Builder festhalten, denn die Entscheidung für oder gegen externe Dienste fällt am günstigsten ganz am Anfang. Auch eine Online-Terminbuchung lässt sich datensparsam gestalten, ohne dass ein fremdes Buchungsskript ein Banner erzwingt.
So liefert XICflow ohne externe Tracker aus
XICflow ist von Grund auf für diese datensparsame Bauweise ausgelegt. Die Seiten werden als statisches HTML ausgeliefert, ohne dass beim Aufruf Verbindungen zu fremden Servern aufgebaut werden.
Schriften liegen lokal auf der eigenen Domain, Symbole sind als Grafiken eingebettet, und wo eine Karte oder ein Video sinnvoll ist, kommen datensparsame Varianten zum Einsatz, die erst nach einer bewussten Handlung laden oder ganz ohne Fremddienst auskommen. Die integrierte Reichweitenmessung arbeitet so, dass sie ohne einwilligungspflichtigen Zugriff auf das Endgerät auskommt. Das Ergebnis: In vielen Fällen entsteht eine Seite, die überhaupt kein Einwilligungsbanner benötigt, weil sie ausschließlich technisch notwendige Cookies verwendet. Datenschutzerklärung und Impressum werden dennoch mitgeliefert und lassen sich um die Angaben des Betriebs ergänzen. Wie dieser Weg von der Idee zur fertigen Seite abläuft, beschreibt die Übersicht So funktioniert XICflow; konkrete Beispiele zeigen die Demo-Websites.
Das ersetzt keine individuelle Prüfung des Einzelfalls: Wer bewusst einen externen Bezahldienst, ein Buchungssystem oder eine eingebettete Fremdkarte einsetzt, benötigt weiterhin ein Banner und die passende rechtliche Grundlage. Aber die Grundhaltung kehrt sich um. Statt zuerst Dienste einzubinden und danach mühsam die Einwilligung zu organisieren, beginnt die Seite datensparsam, und jeder Fremddienst muss sich rechtfertigen, bevor er hinzukommt. Diese Reihenfolge ist der eigentliche Unterschied. Was der Aufbau kostet und welche Leistungen enthalten sind, zeigt die Preisübersicht; weitere Beiträge zu Recht, Technik und Aufbau sammelt das XICflow-Blog.
Der aufwendigste Cookie-Banner ist der, den man sich hätte sparen können. Wer keine fremden Dienste lädt, muss auch keine Einwilligung dafür einholen.
So gehen Sie es an
- Netzwerk-Analyse im Browser durchführen und alle Verbindungen zu fremden Domains auflisten.
- Jeden externen Dienst prüfen: ersetzen, selbst hosten oder ersatzlos streichen.
- Web-Schriften und Symbole lokal ausliefern, Karten und Videos durch datensparsame Varianten ersetzen.
- Reichweitenmessung auf ein Verfahren ohne Zugriff auf das Endgerät umstellen.
- Prüfen, ob nach dem Umbau nur noch technisch notwendige Cookies gesetzt werden; dann entfällt die Bannerpflicht in der Regel.
- Falls ein Fremddienst unverzichtbar bleibt: Banner mit gleichwertigem Ablehnen aufsetzen und den Widerruf ermöglichen.
- Technisch notwendige Cookies transparent in der Datenschutzerklärung aufführen, auch ohne Dialog.
- Die Einschätzung schriftlich festhalten und nach jeder größeren Änderung an der Seite erneut prüfen.