Cookie-Banner: Ablehnen und Akzeptieren richtig gestalten

Ein Banner ist keine Einwilligung

Nach DSGVO und TDDDG kommt es auf eine freiwillige, informierte und eindeutige Entscheidung an. Ein bloßer Hinweis oder ein Banner, das nicht notwendige Dienste schon vorher lädt, löst das Problem nicht.

Praktisch heißt das: Besucher sollten verstehen, welche Zwecke zur Auswahl stehen, und eine echte Möglichkeit haben, nicht notwendige Dienste abzulehnen, ohne unnötig durch Menüs geführt zu werden.

Gestaltung ohne unnötigen Druck

• Ablehnen sichtbar machen: Wenn Akzeptieren prominent im ersten Layer steht, sollte Ablehnen ebenfalls gut erreichbar sein.
• Keine vorausgewählten Extras: Nicht notwendige Kategorien sollten nicht heimlich vorausgewählt sein.
• Klare Begriffe: Nutze verständliche Kategorien wie Notwendig, Statistik und Marketing statt wolkiger Sammelbegriffe.
• Gleiche Ernsthaftigkeit: Farbe, Größe und Position sollten die Zustimmung nicht künstlich attraktiver machen als die Ablehnung.

Die technische Wirkung prüfen

Ein optisch guter Banner kann technisch wirkungslos sein. Öffne deine Website in einem privaten Fenster, lade sie ohne Klick und notiere alle Cookies und externen Requests. Danach klickst du Ablehnen und wiederholst den Test.

Wenn nach Ablehnen weiterhin Analytics-, Pixel-, Retargeting- oder Session-Recording-Dienste laden, solltest du Consent-Manager, Tag Manager und hardcodierte Skripte gemeinsam prüfen.

Akzeptieren ist ebenfalls ein Testfall

Nach Akzeptieren sollten nur die Dienste starten, denen zugestimmt wurde. Ein Alles-oder-nichts-Modell kann für kleine Websites ausreichend erscheinen, ist bei mehreren Zwecken aber oft zu grob.

Besonders bei Shops und Kampagnenseiten lohnt sich eine Matrix: Welche Hosts laden ohne Auswahl, nach Ablehnen, nach Statistik und nach Marketing? So wird sichtbar, ob Kategorien technisch getrennt sind.

Die ehrlichste Lösung: weniger einwilligungspflichtige Dienste

Die eleganteste Banner-Optimierung ist oft, das Banner überflüssig zu machen. Eine Website, die keine einwilligungspflichtigen Dienste lädt — keine Marketing-Pixel, keine externen Analyse-Cookies, keine direkt eingebundenen Drittanbieter-Embeds — braucht unter Umständen gar keine Einwilligungsabfrage. Viele kleine Websites nutzen Analytics aus Gewohnheit, nicht aus Bedarf.

Frag deshalb vor der Banner-Feinarbeit einmal grundsätzlich: Welche der einwilligungspflichtigen Dienste bringen nachweisbaren Nutzen? Was sich ersatzlos streichen oder durch eine datensparsame Alternative ersetzen lässt — etwa cookielose Statistik oder lokal eingebundene Schriften — verschwindet komplett aus dem Banner. Das Ergebnis: weniger Kategorien, weniger Erklärtext, weniger Fehlerquellen und ein Banner, das Besucher tatsächlich verstehen.

Widerruf: so einfach wie die Einwilligung

Die DSGVO verlangt, dass der Widerruf einer Einwilligung so einfach möglich ist wie ihre Erteilung (Art. 7 Abs. 3 DSGVO). Für Cookie-Banner heißt das praktisch: Besucher, die einmal zugestimmt haben, sollten ihre Entscheidung später ohne Suchaktion ändern können — etwa über einen dauerhaft erreichbaren Link wie „Cookie-Einstellungen" im Footer oder ein wieder aufrufbares Banner-Icon.

Teste auch diesen Weg technisch: Wenn du im nachträglich geöffneten Banner von Akzeptieren auf Ablehnen wechselst, sollten Analyse- und Marketingdienste danach tatsächlich aufhören zu laden. Ein Widerruf, der nur die Anzeige im Banner ändert, aber technisch nichts bewirkt, ist ein klassischer versteckter Fehler.

Orientierung: was Aufsichtsbehörden veröffentlichen

Du musst die Bewertung von Banner-Gestaltung nicht aus dem Bauchgefühl treffen. Die deutschen Aufsichtsbehörden haben über die Datenschutzkonferenz (DSK) eine Orientierungshilfe für Anbieter von Telemedien veröffentlicht, die sich ausführlich mit Einwilligungen, Bannern und typischen Gestaltungsfragen beschäftigt. Auch einzelne Landesbehörden veröffentlichen regelmäßig Hinweise und Prüfschwerpunkte zu Cookie-Bannern.

Solche Dokumente sind keine Gesetze, geben aber wieder, worauf Behörden in der Praxis achten — und sind damit eine deutlich bessere Grundlage als die Default-Einstellungen eines Consent-Tools. Bei strittigen Detailfragen, etwa zur konkreten Button-Gestaltung im ersten Layer, bleibt fachkundiger Rat der sichere Weg.

Einwilligungen nachweisen können

Wer sich auf eine Einwilligung stützt, muss sie nachweisen können (Art. 7 Abs. 1 DSGVO). Gängige Consent-Tools protokollieren dafür, wann welche Entscheidung mit welchem Stand der Kategorien getroffen wurde. Prüfe, ob dein Tool das tut, wo diese Protokolle liegen und wie lange sie aufbewahrt werden.

Dazu gehört auch ein Prozess für Änderungen: Wenn du neue Dienste ergänzt oder Zwecke änderst, reicht die alte Einwilligung in der Regel nicht weiter — das Banner sollte die Auswahl dann erneut anbieten. Dokumentiere solche Änderungen mit Datum, damit später nachvollziehbar ist, welche Version des Banners welche Entscheidung eingeholt hat.

Mobil und barrierefrei: das Banner auf allen Geräten

Banner werden meist am Desktop gebaut und abgenommen — genutzt wird die Website aber überwiegend mobil. Prüfe deshalb gezielt am Smartphone: Ist Ablehnen dort genauso erreichbar wie Akzeptieren, oder rutscht es unter den sichtbaren Bereich? Verdeckt das Banner Inhalte so, dass Besucher reflexhaft auf den größten Button tippen? Was am Desktop fair wirkt, kann mobil einseitig werden.

Auch Bedienbarkeit gehört dazu: Ein Banner sollte per Tastatur erreichbar sein und mit Screenreadern funktionieren — sonst können manche Besucher gar keine informierte Wahl treffen. Spätestens seit Barrierefreiheit mit dem Barrierefreiheitsstärkungsgesetz für viele Anbieter zur Pflicht wird, lohnt es sich, Consent-UI und Barrierefreiheit zusammen zu denken.

Teste deshalb mindestens einmal beide Welten: die Drei-Zustände- Prüfung am Desktop und derselbe Durchlauf am Smartphone. Die Unterschiede sind regelmäßig größer als erwartet.

Häufige Fehler

• Banner nachträglich eingebaut: Der Consent-Manager ist sichtbar, aber alte Skripte im Template feuern weiterhin.
• Tag Manager nicht restriktiv: Der Container lädt und startet Tags, bevor Consent-Signale gesetzt sind.
• Ablehnen ohne Wirkung: Die UI speichert zwar eine Ablehnung, blockiert aber keine Dienste.
• Unterseiten vergessen: Startseite funktioniert, aber Blog, Shop oder Landingpages enthalten eigene Embeds.

Häufige Fragen

Muss Ablehnen im ersten Layer stehen?

Die konkrete Bewertung hängt vom Einzelfall ab. Viele Aufsichtsbehörden sehen versteckte oder deutlich erschwerte Ablehnen-Wege kritisch, weil Einwilligung freiwillig sein soll.

Sind unterschiedliche Button-Farben problematisch?

Sie können problematisch sein, wenn sie die Zustimmung deutlich in den Vordergrund schieben. Entscheidend ist die Gesamtsituation aus Text, Position, Farbe und Aufwand.

Warum reicht ein Scan vor Einwilligung?

Er zeigt den wichtigsten Basiszustand: Was lädt, obwohl Besucher noch keine Auswahl getroffen haben. Für eine vollständige Prüfung solltest du zusätzlich Ablehnen und Akzeptieren manuell testen.

Kann ich ganz ohne Cookie-Banner arbeiten?

Wenn deine Website keine einwilligungspflichtigen Dienste lädt, kann ein Banner entbehrlich sein. Das setzt voraus, dass du den Zustand technisch geprüft hast — und ihn hältst: Ein einziges nachträglich eingebautes Marketing-Tag ändert die Lage wieder.

Wie lange bleibt eine Banner-Entscheidung gespeichert?

Eine starre gesetzliche Frist gibt es dafür nicht; gängige Consent-Tools bieten einstellbare Speicherdauern. Orientiere dich an den Hinweisen der Aufsichtsbehörden und frage die Auswahl bei wesentlichen Änderungen deiner Dienste erneut ab.

Muss das Banner auf jeder Unterseite erscheinen?

Die Entscheidung sollte website-weit gelten und gespeichert werden — Besucher müssen nicht auf jeder Seite neu wählen. Wichtig ist eher der Einstieg über Unterseiten: Wer über eine Landingpage oder einen Blog-Artikel einsteigt, muss dieselbe Wahl bekommen wie auf der Startseite, bevor dort nicht notwendige Dienste laden.