Braucht meine Website ein Cookie-Banner? (§ 25 TDDDG)
Ein Banner brauchst du, sobald dein Shop etwas auf dem Endgeraet speichert oder ausliest, das nicht unbedingt erforderlich ist. Das ergibt sich aus § 25 Abs. 1 TDDDG. Entscheidend ist nicht das Wort „Cookie“: Local Storage, Session Storage und vergleichbare Techniken fallen genauso darunter. Wer ausschliesslich technisch notwendige Speicherung einsetzt, braucht kein Einwilligungsbanner — aber weiterhin eine Datenschutzerklaerung.
Zuletzt geprüft:
Was ist aus dem TTDSG geworden?
Es wurde am 14. Mai 2024 in TDDDG umbenannt — Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Anlass war das Digitale-Dienste-Gesetz, das den EU Digital Services Act umsetzt und das alte Telemediengesetz abgeloest hat.
Inhaltlich hat sich an der Cookie-Regel praktisch nichts geaendert; § 25 ist dieselbe Norm geblieben. Wenn in deiner Datenschutzerklaerung noch „TTDSG“ steht, solltest du das trotzdem aktualisieren — veraltete Rechtstexte sind ein unnoetiger Angriffspunkt.
Welche Cookies sind einwilligungsfrei?
Technisch unbedingt erforderliche Cookies sind nach § 25 Abs. 2 TDDDG einwilligungsfrei — etwa der Warenkorb, die Session oder die Speicherung der Consent-Entscheidung selbst. Alles andere braucht eine Einwilligung, bevor es laedt.
Nicht einwilligungsfrei sind dagegen: Reichweitenmessung und Analyse (auch anonymisiert), Marketing- und Remarketing-Pixel, A/B-Testing, Session-Recording und Heatmaps sowie eingebettete Inhalte von Drittanbietern, die beim Laden Daten uebertragen.
Wie haengen § 25 TDDDG und die DSGVO zusammen?
Sie greifen nacheinander. § 25 TDDDG regelt den Zugriff auf das Endgeraet — also das Setzen und Auslesen selbst. Werden dabei personenbezogene Daten verarbeitet, kommt zusaetzlich die DSGVO ins Spiel, mit eigener Rechtsgrundlage, Informationspflichten und Betroffenenrechten.
Ein Vorgang kann also beide Fragen gleichzeitig ausloesen. Deshalb hilft es wenig, nur eine der beiden zu beantworten.
Was droht bei einem Verstoss?
Nach § 28 TDDDG sind Bussgelder bis 300.000 Euro moeglich, durchgesetzt von den Landesdatenschutzbehoerden.
Fuer kleinere Shops ist das aber selten das realistische Szenario. Haeufiger sind Abmahnungen von Wettbewerbern oder Verbraucherschutzverbaenden — guenstiger, schneller, und deshalb verbreiteter. Mehrere Landesdatenschutzbehoerden pruefen zudem anlasslos, also auch ohne Beschwerde.
Aendert der Digital Omnibus der EU daran gerade etwas?
Noch nicht. Der datenschutzrechtliche Teil des Digital Omnibus war im August 2026 nicht verabschiedet; er steckt in den Verhandlungen zwischen Rat und Parlament, eine Einigung wird fruehestens gegen Ende 2026 erwartet, und der finale Text kann vom Vorschlag abweichen.
Wer heute ein Consent-Setup baut, plant deshalb nach § 25 TDDDG in der geltenden Fassung. Alles andere ist Entwurf.
Bin ich verantwortlich, wenn eine App ungefragt ein Skript mitbringt?
Ja. Verantwortlich im Sinne der DSGVO ist, wer den Shop betreibt — nicht Google, nicht deine Agentur, nicht der App-Anbieter. Das ist unbequem, aber es ist der Kern der Rollenverteilung.
Praktisch heisst das: Du musst wissen, was dein Shop laedt. Und das weisst du nur, wenn du es misst — nicht, wenn du es im Admin nachliest.
Diese Seite erklärt, was technisch passiert. Sie ist keine Rechtsberatung — die rechtliche Bewertung gehört zu deinem Anwalt oder Datenschutzbeauftragten.
Wir sind keine Anwaelte und dieser Text ist keine Rechtsberatung. Er zeigt dir, was technisch passiert; die rechtliche Bewertung gehoert zu deinem Anwalt oder Datenschutzbeauftragten. Den technischen Teil kannst du kostenlos pruefen.