Darf ein Cookie vor der Einwilligung gesetzt werden?
Nur wenn sie unbedingt erforderlich sind: für einen Warenkorb, eine Anmeldung oder die Entscheidung des Besuchers selbst. Alles andere, etwa Hotjar, das Meta-Pixel oder TikTok, erst nachdem Ihr Besucher ‚Ja‘ gesagt hat. Ein Cookie-Banner allein genügt also nicht: Die Tracker müssen auch warten, bis gewählt wurde.
- Meta-Pixel lädt vor der Einwilligung§ 25 TDDDG
§ 25 TDDDG
An der Quelle geprüft am 27. September 2026.
Für wen
Jeder mit einer Website, ohne Untergrenze: auch ein Einzelunternehmen und auch eine Website ohne Shop. Es geht nicht nur um Cookies, sondern um alles, was Informationen auf dem Gerät des Besuchers speichert oder ausliest, also auch Local Storage und Tracking-Pixel.
- Nur ich
- Gilt für SieAuch wenn Sie allein arbeiten: Die Regel kennt keine Untergrenze.
- 2 bis 9
- Gilt für SieJa. Die Regel kennt keine Untergrenze.
- 10 oder mehr
- Gilt für SieJa. Die Regel kennt keine Untergrenze.
Was das Gesetz verlangt
§ 25 Abs. 1 TDDDG
Informationen auf dem Gerät eines Besuchers zu speichern oder dort auszulesen, ist nur zulässig, wenn er auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Information und Einwilligung richten sich nach der DSGVO.
§ 25 Abs. 2 TDDDG
Ohne Einwilligung geht nur, was unbedingt erforderlich ist, damit Sie einen Dienst bereitstellen können, den der Besucher ausdrücklich wünscht. Eine eigene Ausnahme für Reichweitenmessung kennt das deutsche Recht nicht, anders als etwa das niederländische und das französische.
Art. 4 Nr. 11 DSGVO
Die Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen. Ein vorangekreuztes Kästchen oder Weiterscrollen ist keine Einwilligung.
Art. 7 Abs. 3 DSGVO
Der Widerruf der Einwilligung muss so einfach sein wie ihre Erteilung. Ein Banner nur mit ‚Akzeptieren‘ oder ein Ablehnen-Knopf drei Klicks tief trägt dem keine Rechnung.
Art. 5 Abs. 3 Richtlinie 2002/58/EG
§ 25 TDDDG setzt die europäische ePrivacy-Richtlinie um. In jedem EU-Land gilt deshalb im Kern dasselbe.
Selbst prüfen, in fünf Minuten
- Öffnen Sie Ihre Website in einem privaten Fenster, damit Ihre eigene frühere Entscheidung nicht zählt.
- Klicken Sie noch nichts an. Öffnen Sie die Entwicklertools Ihres Browsers (F12), den Tab ‚Anwendung‘ oder ‚Web-Speicher‘, und sehen Sie nach, welche Cookies schon da sind.
- Suchen Sie nach Namen, die Sie selbst nicht brauchen: _ga und _gid (Google Analytics), _fbp (Meta), _hjSession (Hotjar), _ttp (TikTok). Sind sie vor Ihrer Entscheidung da, ist das der Befund.
- Prüfen Sie, ob das Banner einen Knopf zum Ablehnen hat, genauso deutlich wie der zum Akzeptieren.
- Klicken Sie auf Ablehnen, laden Sie die Seite neu und sehen Sie erneut nach: Die Tracking-Cookies müssen dann weiterhin fehlen.
Was unsere Prüfung sieht
- Welche Cookies gesetzt waren, bevor Ihr Besucher etwas gewählt hat, und von welchem Dienst sie stammen.
- Welche Tracker schon vor dieser Entscheidung Anfragen senden, auch wenn sie nichts speichern.
- Was im Local Storage und im Session Storage steht.
- Ob es ein Einwilligungsbanner gibt, und ob es einen Knopf zum Ablehnen hat.
Was unsere Prüfung nicht sieht
- Ob ein Cookie wirklich unbedingt erforderlich ist: Das hängt davon ab, wozu er dient.
- Welche Rechtsgrundlage Sie für die weitere Verarbeitung der Daten haben.
- Was passiert, nachdem ein Besucher auf Akzeptieren klickt: Wir klicken nichts an.
- Ob Ihre Cookie-Hinweise vollständig und richtig sind.
Wer das durchsetzt
Für die Websites von Unternehmen die Datenschutzaufsichtsbehörde Ihres Bundeslandes; nur bei Telekommunikationsanbietern die oder der Bundesbeauftragte für den Datenschutz (§ 29 TDDDG). Der Europäische Datenschutzbeauftragte veröffentlicht sogar ein eigenes Werkzeug, mit dem sich Websites so prüfen lassen.
Fragen
Genügt ein Cookie-Banner?
Nein. Das Banner fragt nach der Einwilligung; die Tracker müssen sie auch abwarten. Lädt Hotjar schon, während das Banner noch offen ist, hilft das Banner nicht.
Darf Google Analytics ohne Einwilligung laufen?
In aller Regel nicht. § 25 TDDDG kennt keine eigene Ausnahme für Reichweitenmessung; ohne Einwilligung darf nur laufen, was für den gewünschten Dienst unbedingt erforderlich ist. Wir melden es, wenn es vor der Einwilligung lädt.
Gilt das auch ohne Onlineshop?
Ja. Die Regel betrifft jede Website, die etwas auf dem Gerät eines Besuchers speichert oder ausliest, auch eine Unternehmensseite ohne Shop oder einen Blog.
Selbst nachlesen
- § 25 TDDDG (öffnet in einem neuen Tab)
Die Cookie-Vorschrift selbst, auf gesetze-im-internet.de.
- Verordnung (EU) 2016/679, die DSGVO (öffnet in einem neuen Tab)
Was eine Einwilligung ist (Art. 4 Nr. 11) und wie sie widerrufen wird (Art. 7).
- Richtlinie 2002/58/EG, Art. 5 Abs. 3 (öffnet in einem neuen Tab)
Die europäische ePrivacy-Richtlinie, auf der § 25 TDDDG beruht.
Sehen Sie, wo Ihre Website steht
Die kostenlose Prüfung misst das und die vier anderen Regeln in einem Durchgang, von einer europäischen Adresse aus, ohne etwas anzuklicken.