Cookie Banner Pflicht: Braucht meine Firmenwebsite einen Banner?

Eine Cookie Banner Pflicht besteht nicht pauschal für jede Firmenwebsite. Entscheidend ist, ob deine Website einwilligungsbedürftige Funktionen verwendet. Die Cookie-FAQ des Hessischen Datenschutzbeauftragten unterscheidet dafür zwischen erforderlichen und einwilligungsbedürftigen Cookies.

Kurz gesagt: Wähle zuerst die Dienste aus, die deine Website wirklich braucht. Kläre dann, welche davon eine Einwilligung erfordern. Falls du einen Banner brauchst, muss er diese Dienste tatsächlich steuern können.

Stand: November 2026. Dieser Ratgeber erklärt die technischen Zusammenhänge und ersetzt keine Rechtsberatung. Wende dich für die rechtliche Bewertung deiner Website an eine spezialisierte Anwaltskanzlei oder die zuständige Datenschutzaufsicht.

Wann besteht eine Cookie Banner Pflicht?

Ob deine Firmenwebsite eine Einwilligungsabfrage braucht, hängt von den eingesetzten Funktionen und deren Zweck ab. Die Behörden-FAQ aus Hessen macht dafür die Unterscheidung zwischen erforderlichen und einwilligungsbedürftigen Cookies deutlich.

Ein Cookie ist eine kleine Information, die eine Website im Browser speichern und später wieder auslesen kann. Damit lässt sich etwa ein Warenkorb einem Besuch zuordnen. Cookies können aber auch helfen, Besucher für Werbeauswertungen wiederzuerkennen.

Deshalb lässt sich die Frage nicht mit „Wir verwenden Cookies“ beantworten. Du brauchst die nächste Information: Wofür werden sie verwendet? Auch der Name eines Website-Baukastens oder einer Erweiterung beantwortet diese Frage nicht.

Die Anzahl deiner Unterseiten ist dafür ebenfalls kein brauchbarer Maßstab. Schon eine einzelne Kontaktseite kann einen Kartendienst und ein Buchungswerkzeug laden. Eine umfangreichere Website kann dagegen auf solche Einbindungen verzichten.

Beginne mit einer Diensteliste, nicht mit der Auswahl eines Banners. Darin sollte deine Agentur festhalten, was auf deiner Website eingebaut wird und welchen Zweck es erfüllt.

Welche Funktionen solltest du vor der Beauftragung prüfen?

Erfasse alle Funktionen, die Informationen im Browser speichern oder externe Anbieter aufrufen. Dazu gehören auch Dienste, die Besucher nicht als eigenes Element erkennen.

Gehe gedanklich einen Besuch durch: Jemand öffnet deine Startseite, liest dein Angebot und möchte einen Termin buchen. Was lädt bereits beim Öffnen der Seite? Was startet erst nach einem Klick?

Diese Funktionen gehören auf die Diensteliste:

• Besucherstatistik und Werbemessung: Was wird erfasst, und welche Entscheidung willst du damit treffen?
• Karten und Videos: Werden Inhalte eines anderen Anbieters direkt in deiner Website angezeigt?
• Terminbuchung: Öffnet ein Link eine andere Seite, oder steckt das Buchungswerkzeug in deiner Website?
• Kontaktformulare: Welche Dienste laufen im Hintergrund, etwa zur Abwehr unerwünschter Nachrichten?
• Shop und Kundenbereich: Welche gespeicherten Informationen braucht die angeforderte Funktion?

Die Liste ist keine rechtliche Einstufung. Eine eingebettete Karte und ein Warenkorb erfüllen unterschiedliche Zwecke. Entsprechend muss jede Funktion anhand ihrer tatsächlichen Umsetzung beurteilt werden.

Bitte deine Agentur, neben dem Zweck auch den Ladezeitpunkt und die beteiligten Anbieter zu dokumentieren. „Das gehört zu unserem Website-Paket“ ist keine ausreichende Erklärung. Du solltest wissen, welche Dienste du mit deiner Website in Betrieb nimmst.

Diese Entscheidung gehört zur Planung einer Website und ihrer Anbindungen. Wer erst kurz vor dem Start nach dem Banner fragt, muss möglicherweise bereits eingebaute Funktionen wieder ändern.

Kannst du eine Firmenwebsite ohne Cookie-Banner planen?

Du kannst eine Website mit möglichst wenigen externen Einbindungen planen. Ob sie ohne Einwilligungsabfrage auskommt, ergibt sich jedoch erst aus der Prüfung der konkreten Umsetzung.

Wir empfehlen, jeden zusätzlichen Dienst mit einer einfachen Frage zu beginnen: Wofür brauchst du ihn im Betrieb? Wenn niemand die Besucherstatistik auswertet, gibt es wenig Grund, sie vorsorglich einzubauen. Jede weitere Einbindung muss eingerichtet und bei Änderungen mitgetestet werden.

Bei einer Praxiswebsite sollen Besucher beispielsweise die Adresse finden und einen Termin vereinbaren. Dafür stehen unterschiedliche technische Wege offen:

Ein gewöhnlicher Link lädt die Zielseite normalerweise erst beim Anklicken. Eine Einbettung kann dagegen bereits beim Öffnen deiner Seite eine Verbindung zum Anbieter herstellen. Dieser Unterschied ist technisch relevant, aber keine pauschale Datenschutzfreigabe.

Auch ein externer Buchungsdienst bleibt Teil deiner betrieblichen Datenverarbeitung, wenn du darüber Termine organisierst. Ein Link allein klärt deshalb nicht alle Datenschutzfragen. Er verändert zunächst, wie der Dienst in deine Website eingebunden ist.

Für die Anfahrt kann eine ausgeschriebene Adresse mit Kartenlink völlig ausreichen. Ein Buchungswerkzeug direkt auf der Seite kann dagegen einen echten Nutzen haben. Entscheide nach dem Ablauf deiner Besucher, statt jede verfügbare Erweiterung einzubauen.

Was muss ein Cookie-Banner technisch leisten?

Ein Cookie-Banner muss die betroffenen Dienste steuern. Ein Hinweisfenster allein verhindert weder Verbindungen zu externen Anbietern noch das Speichern von Informationen.

Ein Consent-Management-System ist eine Software, die Einwilligungsentscheidungen erfasst und angeschlossene Dienste entsprechend steuert. Damit das funktioniert, müssen die Dienste korrekt angebunden sein. Die bloße Installation einer Erweiterung erledigt das nicht automatisch.

Für Funktionen, die eine vorherige Einwilligung benötigen, muss auch die technische Reihenfolge stimmen. Grundlage für diese Einordnung ist die Unterscheidung in der Cookie-FAQ des Hessischen Datenschutzbeauftragten. Welche Funktionen deiner Website darunterfallen, muss konkret geklärt werden.

Ein möglicher Fehler: Der Banner wartet auf eine Antwort, während der Videoplayer im Hintergrund bereits seinen Anbieter kontaktiert. Dann passen die Auswahl auf dem Bildschirm und das tatsächliche Verhalten nicht zusammen.

Lass dir deshalb zeigen, welche Dienste ohne Auswahl starten. Danach sollte die Agentur vorführen, was Zustimmung und Ablehnung verändern. Auch eine spätere Änderung der Entscheidung gehört in diesen Test.

Wie kannst du den Cookie-Banner ohne IT-Kenntnisse testen?

Du kannst die sichtbaren Abläufe selbst testen und dir die technischen Ergebnisse erklären lassen. Eine rechtliche Bewertung ersetzt dieser Funktionstest nicht.

Beginne mit einem frischen Browserprofil, in dem noch keine Entscheidung für deine Website gespeichert ist. Sonst siehst du möglicherweise das Ergebnis einer früheren Zustimmung. Bitte deine Agentur anschließend um diese Vorführung:

1. Website öffnen, ohne eine Auswahl zu treffen: Welche externen Verbindungen entstehen bereits?
2. Optionale Dienste ablehnen: Funktionieren Kontaktformular und andere vereinbarte Grundfunktionen weiterhin?
3. Einer angebotenen Kategorie zustimmen: Welche zugeordneten Dienste starten jetzt?
4. Auswahl ändern und die Seite erneut öffnen: Berücksichtigt die Website die neue Entscheidung?

Browser haben Entwicklerwerkzeuge, die Netzwerkverbindungen und gespeicherte Informationen anzeigen. Du musst sie nicht selbst bedienen. Deine Agentur sollte dir aber zeigen können, welcher Anbieter angesprochen wird und wodurch das ausgelöst wurde.

Frage konkret: „Warum wird der Videodienst schon geladen, obwohl das Video noch nicht läuft?“ Oder: „Warum kann ich nach der Ablehnung keine Anfrage senden?“ Solche Fragen bringen mehr als die reine Kontrolle, ob ein Banner sichtbar ist.

Halte die erwarteten Abläufe vor der Entwicklung schriftlich fest. Die Checkliste zur Software-Abnahme zeigt, wie daraus prüfbare Anforderungen werden.

Was gehört dazu in den Website-Auftrag?

Der Auftrag sollte die verwendeten Dienste, deren Steuerung und die vorgesehenen Tests beschreiben. Außerdem muss klar sein, wer rechtliche Vorgaben liefert und wer sie technisch umsetzt.

„Cookie-Banner inklusive“ lässt zu viel offen. Ein einzelner eingebetteter Dienst braucht andere Arbeit als mehrere Werkzeuge mit unterschiedlichen Startbedingungen. Der Aufwand hängt unter anderem davon ab, ob diese Werkzeuge eine passende Anbindung an die Einwilligungssteuerung ermöglichen.

Vereinbare deshalb eine dokumentierte Diensteliste und die Tests für die vorgesehenen Auswahlmöglichkeiten. Benenne auch, wer die Texte bereitstellt und Änderungen freigibt. So vermeidest du, dass Agentur und Rechtsberatung jeweils von ungeklärten Annahmen ausgehen.

Bei mawu halten wir Anforderungen und technische Umsetzung vor der Entwicklung gemeinsam im Anforderungsdokument fest. Wie dieses Dokument in Entwicklung und Abnahme einfließt, beschreibt unser Vorgehen.

Nach dem Start braucht das Thema einen Verantwortlichen. Wird später ein Werbewerkzeug ergänzt, muss dessen Einbindung erneut geprüft werden. Dasselbe gilt, wenn eine Erweiterung plötzlich zusätzliche externe Dienste lädt.

Notiere vor dem nächsten Agenturgespräch, welche Funktionen deine Besucher brauchen und welche Auswertungen du tatsächlich nutzt. Lass daraus eine Diensteliste erstellen, bevor du die Gestaltung eines Cookie-Banners beauftragst.