Kurz und einfach erklärt
Es geht um die Frage, ob Ihre Website ein Cookie-Banner braucht. Das ist der Hinweis, der Besucher um Zustimmung bittet.
Nicht das Cookie ist entscheidend. Es zählt, ob die Seite auf das Gerät des Besuchers zugreift. Ist das nicht wirklich nötig, braucht es eine Zustimmung.
Oft sind fremde Inhalte der Grund. Schriften, Karten und Videos von fremden Rechnern geben beim Laden Daten weiter.
Ein Banner mit nur einem Knopf reicht in der Regel nicht. Ablehnen muss so leicht sein wie Zustimmen.
Oft geht es auch ohne Banner. Dann lädt die Seite nur eigene Dateien. Die Erklärung zum Datenschutz brauchen Sie trotzdem. Wir sehen nach, was Ihre Seite lädt.
Auf vielen Handwerker-Websites liegt ein Cookie-Banner, das dort nichts verloren hat, und auf anderen fehlt eines, das hingehört. Beides hat dieselbe Ursache: Die Frage, ob ein Betrieb überhaupt eine Einwilligung braucht, wird selten gestellt. Sie wird beantwortet, bevor jemand nachgesehen hat, was die Seite tut. Das Gesetz knüpft nämlich gar nicht an das Wort Cookie an, sondern an einen technischen Vorgang. Dieser Beitrag führt durch die drei Fragen, die darüber entscheiden, und zeigt den zweiten Weg, den die meisten Betriebe übersehen: die Seite so bauen, dass die Frage sich erledigt.
Das Wichtigste in Kürze
- Nicht das Cookie löst die Pflicht aus, sondern der Zugriff auf das Gerät des Besuchers. Paragraf 25 Absatz 1 TDDDG verlangt eine Einwilligung für jedes Speichern und jedes Auslesen, das nicht unbedingt erforderlich ist.
- Unbedingt erforderlich ist eng gemeint: Der Zugriff muss für den Dienst nötig sein, den der Besucher ausdrücklich gewünscht hat. Der Nutzen für den Betrieb zählt an dieser Stelle nicht.
- Eingebundene Inhalte von fremden Servern sind ein häufiger Auslöser. Schriften, Karten, Videos und Bewertungsbänder geben beim Laden Daten an den fremden Server weiter, meist ohne dass es jemand bemerkt.
- Ein Banner mit nur einer Schaltfläche trägt in der Regel nicht. Ablehnen muss auf derselben Ebene und mit demselben Gewicht möglich sein wie Zustimmen, und der Widerruf muss so einfach sein wie die Erteilung.
- Oft ist der sparsame Weg zugleich der günstigere: eigene Schriften ausliefern, die Karte als Bild mit Link zeigen, Videos erst nach einem Klick laden. Dann bleibt die Datenschutzerklärung Pflicht, das Banner nicht.
Was das Gesetz tatsächlich verlangt
Der maßgebliche Satz steht in Paragraf 25 Absatz 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Er nennt weder Cookies noch Banner. Er nennt zwei Vorgänge: das Speichern von Informationen in der Endeinrichtung des Endnutzers und den Zugriff auf Informationen, die dort bereits gespeichert sind. Endeinrichtung ist das Gerät des Besuchers, also sein Telefon, sein Tablet, sein Rechner. Beides ist nach dem Wortlaut nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat (TDDDG). Wer das gelesen hat, versteht, warum die Diskussion über einzelne Cookie-Namen an der Sache vorbeigeht: Ein Zugriff bleibt ein Zugriff, gleich wie die Technik dahinter heißt.
Die Einwilligung selbst richtet sich nach der Datenschutz-Grundverordnung. Deren Artikel 4 Nummer 11 verlangt eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung (DSGVO). Vier Eigenschaften, die jede für sich ein Banner scheitern lassen können: Wer nicht ablehnen kann, hat nicht freiwillig entschieden. Wer nicht weiß, wofür, hat nicht für den bestimmten Fall entschieden. Wer nicht informiert wurde, hat nicht in informierter Weise entschieden. Und wer nur ein Fenster geschlossen hat, hat sich nicht unmissverständlich geäußert.
Der Satz, um den es geht
Was ein Verstoß kostet, steht in Paragraf 28. Wer entgegen Paragraf 25 Absatz 1 Satz 1 eine Information speichert oder auf eine Information zugreift, handelt ordnungswidrig; der Rahmen liegt bei einer Geldbuße bis zu 300.000 Euro (TDDDG). Der Rahmen ist der theoretische Höchstwert und nicht das, was ein Handwerksbetrieb zu erwarten hätte. Praktisch häufiger sind Beschwerden bei der Aufsichtsbehörde und Schreiben von Mitbewerbern oder Verbänden, die auf Unterlassung gerichtet sind. Beides kostet Zeit und Nerven, bevor es Geld kostet.
Betroffen sind fast alle: 94 Prozent (Bitkom) der Handwerksbetriebe nutzen eine eigene Website, und bei 1.038.126 (ZDH) eingetragenen Betrieben in Deutschland ist das eine sehr große Zahl von Seiten, die diese Frage jede für sich beantworten müssen. Die gute Nachricht ist, dass die Antwort bei einer schlanken Handwerker-Website oft „kein Banner“ lautet.
Erste Frage: greift die Seite auf das Endgerät zu
Ein Zugriff im Sinne des Gesetzes ist mehr als ein Cookie. Gemeint ist jedes Schreiben in den Speicher des Browsers und jedes Lesen daraus. Cookies sind dabei nur eine von mehreren Bauformen. Daneben stehen der lokale Speicher und der Sitzungsspeicher des Browsers, in denen moderne Skripte ihre Daten ablegen, sowie Verfahren, die Eigenschaften des Geräts auslesen, um daraus einen Wiedererkennungswert zu bilden. Für die Rechtsfolge macht das keinen Unterschied.
- Ein Cookie wird gesetzt, gleich ob es eine Stunde oder ein Jahr hält.
- Ein Wert wird im lokalen Speicher oder im Sitzungsspeicher des Browsers abgelegt oder von dort gelesen.
- Ein Skript liest Bildschirmauflösung, Schriftenliste, Zeitzone oder Grafikmerkmale aus, um das Gerät wiederzuerkennen.
- Eine eingebundene Datei von einem fremden Server setzt beim Laden ihrerseits einen Merker im Browser.
- Ein Zählpixel wird geladen, das eine Kennung im Browser hinterlegt oder eine vorhandene ausliest.
Nicht darunter fällt, was ausschließlich auf dem Server passiert. Ein Webserver schreibt in der Regel eine Protokollzeile mit Zeitpunkt, aufgerufener Adresse und IP-Adresse. Das ist kein Zugriff auf die Endeinrichtung und damit keine Frage des Paragrafen 25, sondern eine Frage der DSGVO: Es braucht eine Rechtsgrundlage, eine Löschfrist und einen Absatz in der Datenschutzerklärung. Wie dieser Absatz und das Impressum zusammengehören, steht im Beitrag zu Impressum und Datenschutzerklärung auf der Handwerker-Website.
Zweite Frage: ist der Zugriff unbedingt erforderlich
Paragraf 25 Absatz 2 Nummer 2 TDDDG nimmt Zugriffe aus, die unbedingt erforderlich sind, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann (TDDDG). Zwei Wörter tragen den Satz. „Unbedingt“ heißt: ohne den Zugriff läuft der Dienst nicht, nicht bloß schlechter. „Ausdrücklich gewünscht“ heißt: der Besucher hat ihn verlangt, nicht der Betrieb. Was dem Betrieb nützt, ist damit noch lange nicht erforderlich.
Die Aufsichtsbehörden haben das in ihrer Orientierungshilfe für Anbieter digitaler Dienste durchdekliniert. Ein Zusatzdienst wie ein Kartenausschnitt, ein Chatfenster oder ein Formular gilt danach nicht schon deshalb als gewünscht, weil jemand die Seite aufgerufen hat (Datenschutzkonferenz). Der Wunsch muss sich in einer weiteren Handlung zeigen, etwa in einem Klick auf die Vorschau. Die folgende Übersicht ordnet die Fälle, die auf Handwerker-Seiten häufig vorkommen.
| Was auf der Seite geschieht | Einwilligung nötig? | Warum |
|---|---|---|
| Sitzungsmerker, der ein abgeschicktes Kontaktformular gegen doppelten Versand sichert | in der Regel nein | Der Besucher hat das Formular ausdrücklich benutzt; ohne den Merker läuft genau dieser Dienst nicht. |
| Merker für Sprache oder Dunkelmodus, gesetzt nach dem Klick des Besuchers | in der Regel nein | Der Zugriff dient allein der Funktion, die der Besucher selbst ausgelöst hat. |
| Warenkorb oder Anmeldung in einem geschützten Bereich | in der Regel nein | Ohne die Zuordnung zur Sitzung gibt es den gewünschten Dienst nicht. |
| Schriftart, die beim Aufruf von einem fremden Server nachgeladen wird | enthalten | Die Seite kann die Schrift selbst ausliefern; der fremde Abruf ist für den Dienst nicht unbedingt erforderlich. |
| Kartenausschnitt, der sich beim Aufruf der Seite von selbst lädt | enthalten | Die Karte ist ein Zusatzdienst, den der Besucher erst durch eine eigene Handlung wünscht. |
| Besuchermessung, auch in gekürzter oder anonymisierter Form | enthalten | Die Messung dient der Auswertung durch den Betrieb, nicht der vom Besucher verlangten Leistung. |
| Video, das erst nach einem Klick auf das Vorschaubild geladen wird | ja, aber erst an dieser Stelle | Der Klick ist die Handlung, an die sich die Einwilligung sauber knüpfen lässt. |
Reichweitenmessung ist kein Sonderfall
Dritte Frage: lädt die Seite Inhalte von fremden Servern
Ein häufiger Auslöser auf Handwerker-Seiten ist keine Absicht, sondern ein Nebeneffekt. Eine eingebundene Datei, die von einer fremden Adresse geladen wird, verrät dem fremden Server beim Laden die IP-Adresse des Besuchers, die aufgerufene Seite und Angaben über den Browser. Das geschieht, bevor irgendjemand etwas angeklickt hat, und es geschieht auch dann, wenn das eingebettete Element gar nicht angezeigt wird.
Zu beachten ist, dass mit der Einbindung von Drittinhalten auf Webseiten regelmäßig eine Offenlegung personenbezogener Daten an Betreiber:innen des jeweiligen Drittservers verbunden ist.
Die Orientierungshilfe nennt als typische Drittinhalte unter anderem Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos und Fotos (Datenschutzkonferenz). Auf einer Handwerker-Website sind das meist dieselben fünf Verdächtigen. Sie stehen selten im Auftrag, sie kommen mit einer Vorlage oder mit einem Erweiterungsmodul ins Haus.
- Schriften, die nicht auf dem eigenen Server liegen, sondern beim Aufruf von einer fremden Adresse geholt werden.
- Ein Kartenausschnitt mit dem Firmensitz, der sich beim Laden der Kontaktseite von selbst aufbaut.
- Ein eingebettetes Video mit einer Referenz oder einer Werkstattführung, das den fremden Server schon beim Seitenaufbau kontaktiert.
- Ein Band mit Bewertungen, das die Sterne live von einem fremden Server nachlädt.
- Ein Chatfenster oder ein Rückrufbaustein, der sich unten rechts einblendet und dabei eine Kennung setzt.
Für jeden dieser Fälle gibt es zwei Wege. Der eine ist die Einwilligung: Der Inhalt lädt erst, wenn der Besucher zugestimmt hat. Der andere ist der Umbau: Der Inhalt kommt vom eigenen Server oder wird durch etwas ersetzt, das dieselbe Aufgabe erfüllt. Für das Einzugsgebiet reicht oft eine gezeichnete Karte mit den Orten als Text, wie im Beitrag über die Darstellung des Einzugsgebiets beschrieben. Der Umbau hat einen Nebengewinn, der auf dem Telefon deutlich spürbar ist: Jede entfernte fremde Verbindung spart eine Namensauflösung, einen Verbindungsaufbau und eine Übertragung, was der Ladezeit auf dem Handy unmittelbar zugutekommt.
Wenn ein Banner nötig ist: was es können muss
Bleibt nach den drei Fragen etwas übrig, das eine Einwilligung braucht, dann muss das Banner die Anforderungen der DSGVO erfüllen. Ein Banner, das nur so aussieht, ist schlechter als keines: Es erweckt den Anschein einer Einwilligung, die nicht wirksam ist, und dokumentiert den Verstoß gleich mit.
Gleichwertige Wahl
Ablehnen muss auf derselben Ebene stehen wie Zustimmen, mit vergleichbarer Beschriftung und vergleichbarem Gewicht. Werden keine gleichwertigen Handlungsmöglichkeiten angeboten, liegen die Anforderungen an eine wirksame Einwilligung nach Auffassung der Aufsichtsbehörden regelmäßig nicht vor (Datenschutzkonferenz).
Vor dem ersten Zugriff
Nichts, was der Einwilligung bedarf, darf vorher laden. Ein Banner, das erscheint, während im Hintergrund schon Schriften und Karten geholt werden, kommt zu spät. Die Prüfung dafür ist einfach: Netzwerkverkehr im Browser mitschneiden, bevor irgendetwas angeklickt wurde.
Getrennt nach Zwecken
Für den bestimmten Fall heißt: je Zweck eine eigene Entscheidung. Messung, Karte und Video sind drei Zwecke, nicht einer. Eine Sammelzustimmung für alles zugleich hält der Anforderung an die Bestimmtheit in der Regel nicht stand.
Widerruf auf demselben Weg
Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein (DSGVO). Wird die Einwilligung unmittelbar bei der Nutzung einer Webseite erteilt, muss auch deren Widerruf auf diesem Weg möglich sein (Datenschutzkonferenz). Praktisch heißt das: ein dauerhaft erreichbarer Punkt, der die Auswahl wieder öffnet.
Das Kreuz oben rechts ist keine Zustimmung
Die Linie ist älter als das deutsche Urteil. Der Gerichtshof der Europäischen Union hat bereits 2019 entschieden, dass keine wirksame Einwilligung vorliegt, wenn der Zugriff mittels eines voreingestellten Ankreuzkästchens erlaubt wird, das der Nutzer zur Verweigerung abwählen muss (EuGH). Dieselbe Entscheidung zählt Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff erhalten können, ausdrücklich zu den Informationen, die dem Nutzer zu geben sind (EuGH). Ein Banner, das nur „Wir verwenden Cookies“ sagt, erfüllt das nicht.
Der zweite Weg: die sparsame Seite
Für einen Handwerksbetrieb ist der Umbau meist günstiger als das Banner. Eine Handwerker-Website hat selten Funktionen, die einen Zugriff auf das Endgerät zwingend brauchen. Sie zeigt Leistungen, Bilder, Kontaktwege und ein Formular. Wenn alles davon vom eigenen Server kommt, verschwindet die Einwilligungsfrage, und mit ihr verschwinden das Banner, seine Pflege und die Fehlerquellen, die daran hängen.
- Schriften selbst ausliefern statt sie beim Aufruf von einer fremden Adresse zu holen. Der Unterschied ist eine Datei im eigenen Verzeichnis und eine Zeile im Stylesheet.
- Karte als Bild mit Beschriftung zeigen und darunter einen gewöhnlichen Link setzen, der den Kartendienst im neuen Tab öffnet. Der Besucher entscheidet dann selbst.
- Videos mit einem eigenen Vorschaubild versehen und erst nach dem Klick laden, mit einem kurzen Hinweis darauf, was beim Klick geschieht.
- Bewertungen als Text mit Datum und Quellenangabe übernehmen statt ein Band einzubinden, das die Sterne live nachlädt.
- Das Anfrageformular auf der eigenen Seite betreiben statt einen fremden Formularbaustein einzubetten; welche Felder sinnvoll sind, zeigt der Beitrag zu den Feldern im Anfrageformular.
- Auf die Besuchermessung im Browser verzichten und stattdessen die Serverprotokolle auswerten, die ohnehin anfallen.
Was der Verzicht wirklich kostet
Der Umbau ist kein Verzicht auf Wirkung. Eine Seite ohne fremde Verbindungen lädt schneller, fällt seltener aus, weil sie von keinem fremden Dienst abhängt, und verliert nichts an Inhalt. Umgekehrt ist ein Banner, das jeder Besucher zuerst wegklicken muss, eine Hürde vor der eigentlichen Botschaft. Diese Hürde steht auf den Seiten, die sie am wenigsten vertragen: bei Notdiensten und dringenden Anliegen, wo jeder zusätzliche Klick Anfragen kostet. Weitere Stolperstellen dieser Art sammelt der Beitrag über die häufigsten Fehler auf Handwerker-Websites.
Widerruf, Nachweis und die Datenschutzerklärung
Wer eine Einwilligung einholt, übernimmt drei Folgepflichten. Die erste ist der Widerruf: Er muss so einfach sein wie die Erteilung (DSGVO), also über einen dauerhaft sichtbaren Punkt erreichbar bleiben, nicht über eine Mail an den Betrieb. Die zweite ist der Nachweis: Der Betrieb muss belegen können, dass die Einwilligung erteilt wurde und in welchem Umfang. Die dritte ist die Beschreibung: Die Datenschutzerklärung muss die eingebundenen Dienste einzeln benennen, samt Zweck und Empfänger.
- Zeitpunkt der Einwilligung, auf die Minute genau.
- Welche Zwecke zugestimmt wurde und welche abgelehnt.
- Welche Fassung des Einwilligungstextes zu diesem Zeitpunkt angezeigt wurde.
- Auf welchem Weg der Widerruf möglich ist und wann er erfolgt ist.
- Wie lange die Nachweise selbst aufbewahrt und wann sie gelöscht werden.
Seit 2025 gibt es dafür einen weiteren rechtlichen Rahmen. Paragraf 26 TDDDG sieht anerkannte Dienste zur Einwilligungsverwaltung vor, und die Einwilligungsverwaltungsverordnung vom 6. Februar 2025 füllt ihn aus; sie ist am 1. April 2025 in Kraft getreten (EinwV). Für den einzelnen Handwerksbetrieb ändert das zunächst wenig: Die Anerkennung ist ein Verfahren für Anbieter solcher Dienste, nicht eine Pflicht für Websitebetreiber. Die eigene Prüfung, welche Zugriffe überhaupt stattfinden, nimmt sie niemandem ab.
Was ein Betrieb selbst prüfen kann
Die Bestandsaufnahme braucht kein gekauftes Werkzeug, nur den Browser und eine halbe Stunde. Jeder gängige Browser bringt Entwicklerwerkzeuge mit, die zeigen, welche Adressen eine Seite kontaktiert und was im Speicher liegt. Wichtig ist, dass die Prüfung in einem frischen privaten Fenster stattfindet, damit keine alten Merker das Ergebnis verfälschen, und dass vor dem ersten Klick geschaut wird.
- Privates Fenster öffnen und die Entwicklerwerkzeuge starten, bevor die Seite geladen wird.
- Im Netzwerk-Reiter nach Adressen suchen, die nicht die eigene Domain sind. Jede fremde Adresse notieren, mit der Seite, auf der sie auftaucht.
- Im Speicher-Reiter nachsehen, welche Cookies und welche Einträge im lokalen Speicher nach dem reinen Aufruf vorhanden sind, ohne dass etwas angeklickt wurde.
- Den Vorgang für jede Seitenart wiederholen: Startseite, eine Leistungsseite, die Kontaktseite, die Referenzen. Die Kontaktseite ist erfahrungsgemäß die auffälligste.
- Je Fund entscheiden: selbst ausliefern, erst nach Klick laden oder Einwilligung einholen.
{
"seite": "/leistungen/heizung/",
"fremde_server": [
"Schriftart wird beim Aufruf nachgeladen",
"Kartenausschnitt baut sich von selbst auf"
],
"browser_speicher": [
"Sitzungsmerker des Anfrageformulars",
"Kennung der Besuchermessung"
],
"einwilligung_noetig": true,
"entscheidung": "Schrift selbst ausliefern, Karte als Bild mit Link, Messung entfernen",
"danach_erneut_pruefen": "2026-10-01"
}Am Ende steht eine Liste je Seitenart. Sie ist die Grundlage für das Gespräch mit der Agentur und zugleich der Nachweis, dass geprüft wurde. Wer sie führt, merkt beim nächsten Umbau sofort, wenn eine neue Einbindung hinzugekommen ist.
Was das für den Betrieb praktisch heißt
Die Reihenfolge bleibt dieselbe: erst nachsehen, was die Seite tut, dann entscheiden, was davon bleiben soll, und erst zuletzt über ein Banner reden. Wer umgekehrt anfängt, kauft eine Einwilligungsschicht für Zugriffe, die er gar nicht braucht, und bezahlt sie zweimal, einmal beim Einbau und einmal bei jeder Änderung. Wie wir Seiten aufsetzen, die diese Frage von vornherein klein halten, steht auf der Seite zur Website für Handwerker.
Die Pflicht endet nicht mit der Freischaltung. Jede neue Erweiterung, jedes eingebettete Element und jede Vorlagenaktualisierung kann eine fremde Verbindung mitbringen, die vorher nicht da war. Deshalb gehört die Prüfung in denselben Turnus wie Aktualisierungen und Sicherungen, wie im Beitrag zur Pflege nach der Übergabe beschrieben. Wer die Prüfung fest vergibt, findet sie in unserer Wartung und Pflege wieder.
Zwei Voraussetzungen erleichtern die Sache erheblich. Die erste: Der Betrieb hat Zugriff auf seine eigene Seite, auf die Domain und auf den Speicherplatz, sonst kann er Fundstellen nicht abstellen; dazu gehört der Beitrag über Domain, Hosting und Zugänge. Die zweite: Die Firmendaten stehen überall gleich, damit die Datenschutzerklärung und das Impressum denselben Verantwortlichen nennen wie die Einträge in Verzeichnissen; wie man das ordnet, zeigt der Beitrag über einheitliche Firmendaten in Verzeichnissen.
Und noch ein Punkt, der oft im selben Termin auftaucht: Ein Banner, das die halbe Seite verdeckt und sich mit der Tastatur nicht schließen lässt, ist zugleich ein Problem der Bedienbarkeit. Was daran hängt, steht im Beitrag über das Barrierefreiheitsstärkungsgesetz und Handwerksbetriebe. Wer beide Themen zusammen angeht, spart einen Durchgang. Für eine Einschätzung zur eigenen Seite genügt eine kurze Nachricht über das Kontaktformular.
Quellen und Fundstellen
Verwandte Artikel
Eine Website für mehrere Gewerke: Aufbau und Impressum
Elektro, Sanitär und Maler auf einer Website: Seite je Gewerk, Anfragen an den richtigen Betrieb, Impressum nach § 5 DDG und Datenschutzrollen je Betrieb.
Referenzen zeigen, ohne Kundennamen zu nennen
Die besten Arbeiten liegen in Privathäusern. Wie ein Handwerksbetrieb Projekte anonymisiert zeigt, was ohne schriftliche Freigabe möglich bleibt und was nicht.
Impressum und Datenschutz auf der Handwerker-Website
Pflichtangaben nach Paragraf 5 DDG, Kammer und Berufsbezeichnung, Datenschutzerklärung, Auftragsverarbeitung und Löschfristen für Handwerksbetriebe.