Ein Cookie-Banner ist kein Datenschutzkonzept

Ein Cookie-Banner steht am Ende einer langen Reihe technischer Entscheidungen. Trotzdem wird er bei vielen Webseiten behandelt, als beginne Datenschutz genau an dieser Stelle: Die Seite ist bereits gebaut, Schriften werden von externen Servern geladen, Videos sind direkt eingebettet, Analyseprogramme zeichnen Besuche auf und mehrere Plugins kommunizieren mit ihren jeweiligen Anbietern. Erst danach soll ein Banner die entstandenen Datenflüsse rechtlich und gestalterisch auffangen.

Diese Reihenfolge ist bequem, aber fachlich schwach. Ein Einwilligungsfenster verhindert keine unnötige Datenübertragung. Es macht aus einer überladenen technischen Konstruktion auch keine datensparsame Webseite. Im besten Fall steuert es zuverlässig, welche einwilligungspflichtigen Dienste nach einer bewussten Entscheidung geladen werden. Im schlechteren Fall verdeckt es lediglich, dass zuvor kaum jemand gefragt hat, welche Technik für die Aufgabe der Webseite tatsächlich gebraucht wird.

Datenschutz im Webdesign beginnt deshalb früher: bei der Auswahl von Funktionen, Erweiterungen, Schriften, Medien, Messverfahren und externen Diensten. Die entscheidende Frage lautet nicht: Welches Cookie-Banner installieren wir? Sie lautet: Welche Datenverarbeitung lässt sich vermeiden, ohne die Qualität der Webseite einzuschränken?

Das ist kein Plädoyer gegen Cookies oder externe Dienste. Beide können fachlich begründet und für bestimmte Funktionen unverzichtbar sein. Qualität zeigt sich in der bewussten Entscheidung. Eine Technik erhält ihren Platz nicht, weil sie verfügbar, bequem oder in einem Seitensystem voreingestellt ist, sondern weil ihr Nutzen die damit verbundenen Abhängigkeiten rechtfertigt. Dieser Gedanke gehört für mich ebenso zum strategischen Webdesign wie Gestaltung, Content, Nutzerführung und Suchmaschinenoptimierung.

Die technische Architektur entscheidet über den Cookie-Banner

Der Begriff „Cookie-Banner“ ist im Alltag zu einer Sammelbezeichnung geworden. Rechtlich und technisch werden dabei jedoch verschiedene Vorgänge vermischt. Ein Cookie ist zunächst eine Möglichkeit, Informationen im Browser zu speichern und bei späteren Aufrufen wieder bereitzustellen. Die Information kann eine Spracheinstellung, der Inhalt eines Warenkorbs, eine Anmeldung, eine anonyme Präferenz oder eine Kennung für die Wiedererkennung eines Nutzers sein. Nicht der technische Speichermechanismus allein entscheidet über die Einwilligung, sondern sein konkreter Zweck, sein Inhalt, der Zeitpunkt seiner Speicherung, seine Laufzeit und die Stellen, die darauf zugreifen können.

Daneben existieren Datenübertragungen, für die überhaupt kein Cookie benötigt wird. Bindet eine Webseite eine Schrift, eine Karte, ein Video, ein Analyse-Skript oder eine Programmbibliothek von einem fremden Server ein, stellt der Browser eine Verbindung zu diesem Server her. Dabei fallen technisch mindestens Verbindungsdaten an. Eine Webseite kann daher vollständig ohne Cookies auskommen und trotzdem personenbezogene Daten an Dritte übertragen. Umgekehrt kann sie ein notwendiges First-Party-Cookie verwenden, ohne Besucher zu analysieren oder über verschiedene Angebote hinweg zu verfolgen.

Wer nur in einer Cookie-Liste nach dem Wort „Marketing“ sucht, betrachtet deshalb lediglich einen Ausschnitt. Eine belastbare Prüfung folgt dem tatsächlichen Datenfluss: Welche Anfrage verlässt die eigene Domain? Welche Information wird im Endgerät gespeichert? Zu welchem Zeitpunkt passiert das? Welcher Anbieter erhält Zugriff? Wie lange bleibt eine Information bestehen? Und könnte dieselbe Funktion mit weniger Daten, lokal oder erst nach einer Nutzerhandlung umgesetzt werden?

Nicht jedes Cookie verlangt eine Einwilligung

Nach § 25 TDDDG ist das Speichern und Auslesen von Informationen auf einem Endgerät grundsätzlich einwilligungsbedürftig. Das Gesetz kennt allerdings Ausnahmen. Keine Einwilligung ist unter anderem erforderlich, wenn der Vorgang unbedingt notwendig ist, um einen von der betreffenden Person ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Diese Ausnahme ist eng zu verstehen. „Technisch notwendig“ bedeutet nicht, dass ein Dienst für das Marketing, die interne Auswertung oder das Geschäftsmodell angenehm wäre. Die konkrete Funktion könnte ohne den Speicher- oder Auslesevorgang nicht in der vorgesehenen Form erbracht werden. Typische Beispiele können eine Warenkorbfunktion, eine vom Nutzer gewählte Spracheinstellung, eine Anmeldung oder bestimmte Sicherheitsfunktionen sein. Entscheidend bleibt immer die tatsächliche Ausgestaltung.

Die Orientierungshilfe der Datenschutzkonferenz für digitale Dienste geht genau auf diese Prüfung ein. Sie stellt außerdem klar, dass Einwilligungsbanner nur eingesetzt werden sollten, wenn tatsächlich eine Einwilligung notwendig ist. Andernfalls entsteht der missverständliche Eindruck einer Wahlmöglichkeit, obwohl die betreffende Technik unabhängig von der Entscheidung erforderlich ist.

Ein Cookie-Banner ist demnach keine vorsorgliche Pflichtausstattung für jede Unternehmenswebseite. Er ist ein Werkzeug für den Fall, dass eine wirksame Einwilligung eingeholt und technisch umgesetzt werden muss. Gibt es ausschließlich unbedingt erforderliche Speicherungen und keine weiteren einwilligungspflichtigen Prozesse, kann ein Banner nicht nur überflüssig sein. Er kann die tatsächliche Situation unnötig verkomplizieren.

Cookie-frei bedeutet nicht automatisch datenschutzfreundlich

Der umgekehrte Fehlschluss ist ebenso problematisch. „Unsere Webseite verwendet keine Cookies“ sagt noch nichts darüber aus, ob externe Anbieter eingebunden sind, Serverprotokolle ausgewertet werden, Geräteinformationen übertragen werden oder ein Fingerprinting stattfindet. Das TDDDG schützt die Integrität des Endgeräts; die Datenschutz-Grundverordnung regelt die anschließende Verarbeitung personenbezogener Daten. Je nach Technik können beide Regelungsbereiche berührt sein – oder nur einer davon.

Diese Unterscheidung besitzt unmittelbare praktische Bedeutung. Eine extern geladene Schrift benötigt möglicherweise keinen Cookie, löst aber dennoch eine Verbindung zum Server des Anbieters aus. Ein eingebettetes Video kann bereits beim Laden des Vorschaubildes oder Players Daten übertragen. Ein Analyseverfahren kann auf Cookies verzichten und Besucher dennoch anhand anderer Merkmale unterscheiden. Deshalb ist „cookieless“ keine automatische Freigabe und „setzt ein Cookie“ kein automatischer Beweis für Tracking.

Der fachlich richtige Ansatz ist Datenminimierung. Die Privacy Principles des World Wide Web Consortium behandeln sie als grundlegendes Prinzip für den Schutz von Nutzern. Für die Entwicklung einer Webseite bedeutet das: Eine nicht erhobene Information muss nicht abgesichert, erklärt, übertragen, gelöscht oder über ein Einwilligungsfenster verwaltet werden.

Welche technischen Entscheidungen den Datenschutz prägen

Datensparsame Webseiten entstehen nicht durch einen einzelnen Schalter. Viele kleine Entscheidungen greifen ineinander. Einige betreffen sichtbare Funktionen, andere liegen tief in Themes, Erweiterungen oder eingebundenen Bibliotheken. Die folgende Übersicht zeigt typische Stellen, an denen sich bereits während der Planung entscheidet, ob später Einwilligungen, Sperrmechanismen oder zusätzliche Datenschutzhinweise erforderlich werden können.

Keine dieser Alternativen ist in jeder Situation automatisch die richtige. Ein interaktiver Kartendienst kann für einen Filialfinder unverzichtbar sein. Ein Video kann den Kern einer Leistung erklären. Aussagekräftige Analysedaten können für einen großen Onlineshop wirtschaftlich relevant sein. Professionelle Planung bedeutet nicht, Funktionen pauschal zu verbieten. Sie verlangt eine nachvollziehbare Abwägung zwischen Nutzen, Datenschutz, Bedienbarkeit, Performance, Wartbarkeit und rechtlicher Einordnung.

Externe Dienste betreffen mehr als den Datenschutz

Jeder externe Dienst erweitert die technische Lieferkette. Seine Dateien werden von einer Infrastruktur geladen, die außerhalb der eigenen Kontrolle liegt. Ändert der Anbieter sein Skript, seine Schnittstelle, seine Preise oder seine Datenschutzbedingungen, kann dies die eigene Webseite unmittelbar betreffen. Fällt der Dienst aus oder antwortet langsam, kann eine Funktion verzögert werden oder vollständig ausfallen.

Auch die Ladezeit spielt eine Rolle. Der Fachbeitrag von web.dev über Drittanbieter-JavaScript beschreibt Auswirkungen auf Darstellung, Reaktionsfähigkeit und Kontrolle über das Seitenverhalten. Ein externes Skript ist damit nie nur eine Datenschutzentscheidung. Es beeinflusst zugleich Performance, Sicherheit, Stabilität und Wartungsaufwand.

Lokales Hosting löst nicht jedes Problem, bietet aber an vielen Stellen eine robustere Grundlage. Schriften, Icons, kleine Bibliotheken oder eigene Vorschaubilder lassen sich oft auf der eigenen Domain bereitstellen. Dadurch entfallen unnötige Verbindungen, Versionen bleiben kontrollierbar und die Webseite ist weniger abhängig von der Verfügbarkeit fremder Systeme. Bei jeder lokalen Einbindung sind selbstverständlich Lizenzen, Aktualisierungen und Sicherheitsanforderungen zu beachten.

Messung braucht eine konkrete Frage

Besucheranalyse wird häufig eingebaut, bevor geklärt ist, welche Entscheidung damit getroffen werden soll. Es entstehen Diagramme zu Sitzungsdauer, Geräten, Einstiegsseiten und Klickpfaden, die im Alltag niemand auswertet. Für diese ungenutzte Datensammlung erhalten Besucher ein Banner, die Webseite zusätzliche Skripte und der Betreiber eine weitere technische sowie rechtliche Aufgabe.

Für viele Unternehmenswebseiten sind andere Informationen zunächst wichtiger: Über welche Suchbegriffe wird eine Seite eingeblendet? Welche Inhalte werden von Google indexiert? Welche Anfragen entstehen tatsächlich? Wo brechen reale Interessenten im Kontaktprozess ab? Daten aus der Google Search Console, sorgfältig ausgewertete Suchergebnisse, aggregierte Serverinformationen und die Qualität eingehender Anfragen können bereits eine belastbare Grundlage liefern. Wer SEO verstehen möchte, benötigt nicht automatisch ein möglichst detailliertes Profil jedes einzelnen Besuchers.

Erst wenn eine konkrete Fragestellung weitergehende Messungen rechtfertigt, wird das passende Verfahren ausgewählt. Dann gehören die technische Sperrung vor der Einwilligung, eine verständliche Zweckbeschreibung, eine echte Ablehnmöglichkeit und die fortlaufende Kontrolle zur Umsetzung. Ein Analysewerkzeug aus Gewohnheit einzubauen und seine Existenz anschließend mit einem Cookie-Banner zu legitimieren, kehrt den Planungsprozess um.

Ein Praxisfall: das Barrierefreiheits-Cookie von 4Bullmann

Beim Relaunch meiner eigenen Agenturseite stellte sich genau die Frage, die viele Webseitenbetreiber beschäftigt: Benötigt die Seite einen Cookie-Banner, weil das ergänzende Barrierefreiheitstool eine Einstellung im Browser speichert? Eine pauschale Antwort nach dem Muster „Cookie vorhanden, also Banner erforderlich“ wäre schnell gewesen. Sie hätte die konkrete Funktion jedoch nicht beurteilt.

Deshalb wurde die veröffentlichte Webseite technisch geprüft. Beim ersten Aufruf setzte sie kein Cookie. Auch im Local Storage und Session Storage lagen keine Einträge. Das bloße Öffnen der Barrierefreiheits-Sidebar löste ebenfalls keine Speicherung aus. Erst wenn ein Besucher selbst eine Darstellungs- oder Bedienungsoption auswählt, ist das First-Party-Cookie dvmd_accessibility_sidebar_settings dafür vorgesehen, diese Präferenz für weitere Seitenaufrufe zu erhalten.

Gespeichert werden die gewählten Einstellungen des Werkzeugs, beispielsweise eine veränderte Textgröße, Kontraste oder Lesehilfen. Das Cookie enthält keine eindeutige Nutzerkennung, dient weder Werbung noch Reichweitenmessung und wird nicht für eine seitenübergreifende Verfolgung verwendet. Seine Laufzeit beträgt 30 Tage. Damit unterscheidet es sich grundlegend von einem Cookie, das einen Besucher identifizieren, sein Verhalten analysieren oder Werbeprofile anreichern soll.

Die technische Prüfung und die rechtliche Einordnung führten zu einem klaren Ergebnis: Für diese konkrete Speicherung ist kein Einwilligungsbanner erforderlich. Die Auswahl der Funktion geht vom Nutzer aus; das Cookie erhält genau diese gewählte Einstellung. Dokumentiert wird es trotzdem transparent in der Datenschutzerklärung – mit Name, Zweck, Inhalt, Laufzeit und Rechtsgrundlage.

Genau an diesem kleinen Detail wird der Unterschied zwischen einem installierten Werkzeug und einer fachlich geprüften Lösung sichtbar. Datenschutz entsteht nicht dadurch, dass eine Erweiterung als „notwendig“ markiert wird. Entscheidend ist, was sie tatsächlich tut. Dazu gehören eine Prüfung im Browser, die Kontrolle eingebundener Skripte, die Auswertung des Speichers und ein Blick in die Konfiguration beziehungsweise den Quellcode.

Ein Zusatzwerkzeug ersetzt keine barrierefreie Entwicklung

Das Beispiel darf nicht missverstanden werden. Eine Sidebar mit veränderbarer Schriftgröße oder Kontrastmodi macht eine fehlerhaft entwickelte Webseite nicht barrierefrei. Die eigentliche Grundlage entsteht durch semantisch sinnvolles HTML, verständliche Strukturen, Tastaturbedienbarkeit, sichtbare Fokuszustände, ausreichende Kontraste, passende Alternativtexte und korrekt beschriftete Formulare. Der Beitrag über Barrierefreiheit auf Webseiten betrachtet diese Zusammenhänge ausführlicher.

Ein ergänzendes Werkzeug kann individuelle Präferenzen unterstützen. Es sollte jedoch nicht als Ersatz für die Qualität des Quellcodes verkauft werden. Auch hier gilt derselbe Grundsatz: Erst wird die eigentliche Aufgabe sauber gelöst. Danach wird entschieden, ob eine zusätzliche Funktion einen echten Nutzen bietet und welche technischen Folgen sie mit sich bringt.

Webdesigner-Qualität zeigt sich in den weggelassenen Abhängigkeiten

Webseiten werden häufig über die sichtbare Oberfläche bewertet. Farben, Typografie, Animationen und Bildsprache lassen sich unmittelbar wahrnehmen. Die Qualität der technischen Entscheidungen bleibt dagegen meist unsichtbar. Besucher sehen nicht, ob eine Schrift lokal bereitgestellt wird, ein Formular ohne externes Captcha geschützt ist, ein Video erst nach Aktivierung lädt oder ein Plugin fünf weitere Dienste nachzieht.

Gerade deshalb gehört dieser Bereich zur Verantwortung eines professionellen Webdesigners. Wer eine Webseite entwickelt, entscheidet nicht nur über Formen und Abstände. Er legt fest, welche Software ausgeführt wird, welche Anbieter beteiligt sind, welche Informationen das Endgerät verlassen und welche Abhängigkeiten über Jahre gepflegt werden müssen. Das ist ein Teil der Webdesign-Expertise, der sich nicht mit einem Vorschaubild oder einem gelungenen Hero-Bereich belegen lässt.

Weniger Technik ist dabei nicht automatisch bessere Technik. Eine individuell programmierte Lösung kann unsicherer sein als eine gut gepflegte Erweiterung. Ein lokales Skript bleibt riskant, wenn niemand Sicherheitsupdates kontrolliert. Ein externer Dienst kann fachlich sinnvoller sein als eine schwache Eigenentwicklung. Entscheidend sind Kenntnis, Prüfung und Verantwortung – nicht die bloße Zahl der Plugins oder Serveranfragen.

Jede Erweiterung braucht eine Begründung

Vor der Integration einer Funktion sollten mindestens fünf Fragen beantwortet sein:

1. Welches konkrete Problem löst die Technik? Eine allgemeine Hoffnung auf „mehr Marketing“ oder „bessere Nutzererfahrung“ reicht nicht aus.
2. Welche Informationen speichert oder überträgt sie? Dazu zählen Cookies ebenso wie Local Storage, Geräteinformationen, IP-Adressen, Formulardaten und externe Netzwerkverbindungen.
3. Wann wird sie aktiv? Beim ersten Seitenaufruf, erst auf einer bestimmten Unterseite oder ausschließlich nach einer bewussten Handlung?
4. Gibt es eine einfachere Umsetzung? Ein normaler Link, ein lokales Vorschaubild oder eine kleine eigene Programmierung kann einen umfangreichen Drittanbieter ersetzen.
5. Wer übernimmt die dauerhafte Kontrolle? Datenschutztexte, Funktionsprüfung, Updates und geänderte Anbieterbedingungen enden nicht mit dem Launch.

Diese Fragen sparen nicht nur Einwilligungen. Sie reduzieren häufig Ladevolumen, Fehlerquellen und Wartungsaufwand. Bei den Kosten einer neuen Webseite wird dieser Teil der Arbeit leicht unterschätzt, weil er nicht als sichtbares Element auf einer Seite erscheint. Tatsächlich entscheidet er wesentlich darüber, wie belastbar die Webseite später betrieben werden kann.

Wann eine Webseite einen Cookie-Banner benötigt

Ein guter Fachbeitrag zu diesem Thema darf nicht bei der reizvollen Aussage stehen bleiben, der beste Cookie-Banner sei gar keiner. Sobald einwilligungspflichtige Speicherungen, Auslesevorgänge oder darauf aufbauende Datenverarbeitungen stattfinden, ist eine saubere Einwilligungslösung erforderlich. Dies kann insbesondere bei Marketing- und Retargeting-Technologien, profilbildender Analyse, Heatmaps, A/B-Tests, externen Medien oder vergleichbaren Diensten der Fall sein.

Ob eine Einwilligung notwendig ist, entscheidet sich nicht am Namen eines Werkzeugs. Auch verschiedene Konfigurationen desselben Dienstes können zu unterschiedlichen Ergebnissen führen. Maßgeblich sind die realen Zwecke und Datenflüsse. Ein angeblich anonymes Analyseverfahren ist nicht allein deshalb einwilligungsfrei, weil der Anbieter diesen Begriff verwendet. Ebenso wird ein Marketing-Cookie nicht technisch erforderlich, nur weil es im Backend in die Kategorie „notwendig“ verschoben wurde.

Wenn eine Einwilligung benötigt wird, muss der Banner mehr leisten als gut auszusehen. Nicht erforderliche Dienste bleiben bis zur Entscheidung blockiert. Zwecke und beteiligte Anbieter werden verständlich benannt. Zustimmung und Ablehnung sind tatsächlich möglich, eine bereits getroffene Wahl lässt sich widerrufen und die mobile Darstellung versperrt keine rechtlichen Informationen. Das ist eine eigene technische Aufgabe – nicht nur ein Textfenster über der Startseite.

Für einzelne externe Inhalte kann je nach Umsetzung auch eine vorgeschaltete Aktivierung direkt am Inhalt sinnvoll sein. Ein Video zeigt zunächst ein lokal gespeichertes Vorschaubild; erst der Klick lädt den Player des Drittanbieters. Eine Karte wird durch Anschrift und Anfahrtslink ersetzt oder gezielt freigeschaltet. Solche Lösungen verbinden Datenschutz mit einer verständlichen Nutzerhandlung und vermeiden, dass Besucher beim ersten Aufruf pauschal über Funktionen entscheiden sollen, die sie möglicherweise nie verwenden.

Eine datensparsame Webseite bleibt eine laufende Aufgabe

Der Zustand einer Webseite verändert sich. Ein neues Kontaktformular, ein eingebettetes Buchungssystem, ein Plugin-Update oder eine zusätzliche Schrift kann neue Verbindungen und Speicherungen erzeugen. Auch eine heute datensparsame Seite bleibt deshalb nur dann belastbar, wenn Änderungen technisch geprüft werden.

Zur Kontrolle gehören regelmäßige Tests in einem frischen Browserprofil, ein Blick auf Cookies und Webspeicher, die Prüfung externer Netzwerkanfragen sowie ein Abgleich mit der Datenschutzerklärung. Nach größeren Updates ist diese Kontrolle ebenso sinnvoll wie vor der Veröffentlichung einer neuen Funktion. Datenschutztexte sollten den tatsächlichen Zustand beschreiben – keine Werkzeuge, die längst entfernt wurden, und keine pauschalen Formulierungen für Prozesse, die nie stattfinden.

Diese Pflege ist Teil einer professionell weiterentwickelten Webseite. Technische Qualität ist kein Zertifikat, das beim Launch dauerhaft vergeben wird. Sie zeigt sich darin, dass Entscheidungen nachvollziehbar bleiben und neue Anforderungen nicht unkontrolliert auf eine bestehende Struktur gesetzt werden.

Datenschutz beginnt mit einer besseren Frage

Die Frage „Brauchen wir einen Cookie-Banner?“ kommt oft zu spät. Zu diesem Zeitpunkt sind die meisten technischen Entscheidungen bereits getroffen. Zielführender ist die Frage, welche Funktionen eine Webseite für ihren tatsächlichen Zweck benötigt und welche Datenverarbeitung sich daraus wirklich ergibt.

Aus dieser Perspektive ist ein fehlender Cookie-Banner kein dekoratives Qualitätsversprechen. Er kann das Ergebnis einer konsequenten Architektur sein: lokale Ressourcen, bewusst ausgewählte Erweiterungen, keine unnötige Besucherverfolgung, externe Inhalte erst bei Bedarf und funktionale Speicherungen nur dort, wo sie eine vom Nutzer gewählte Einstellung erhalten. Wo Einwilligungen notwendig bleiben, werden sie sauber umgesetzt. Wo sie nicht notwendig sind, wird auch keine künstliche Entscheidung verlangt.

Datenschutz beginnt nicht beim Cookie-Banner, sondern bei der Entscheidung, welche Technik eine Webseite überhaupt benötigt. Genau darin liegt ein oft unsichtbarer Unterschied zwischen einer lediglich gestalteten und einer fachlich entwickelten Webseite.

Hinweis: Dieser Beitrag beschreibt technische und konzeptionelle Zusammenhänge aus der Webdesign-Praxis und ersetzt keine Rechtsberatung. Die rechtliche Bewertung hängt von der konkreten Umsetzung einer Webseite und den tatsächlich eingesetzten Diensten ab.