Website ohne Cookie-Banner: welche Einbettung ihn erzwingt
Das Cookie-Banner ist die Rechnung für eingebaute Fremdteile. Welche Einbettung es auslöst, was der cookiefreie Ersatz kann und wo er an Grenzen stößt.
Eine Website ohne Cookie-Banner ist kein Trick und keine Grauzone. Sie ist die Folge einer Bauentscheidung: Wenn nichts auf der Seite auf das Gerät deiner Besucher zugreift, gibt es nichts, wofür du fragen müsstest.
Die Liste ist kurz und in fast jedem Betrieb dieselbe: eingebettete YouTube-Videos, die Google-Karte, Schriften von fremden Servern, reCAPTCHA im Formular, Social-Feeds, Chat-Fenster, Bewertungs-Widgets, Buchungstools. Wie du Besucher ohne Cookies zählst, steht in einem eigenen Artikel.
Das Banner hängt am Gerät, nicht am Wort „Cookie“
Die Regel steht in § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG). Absatz 1: Wer Informationen auf dem Endgerät eines Nutzers speichert oder auf dort gespeicherte Informationen zugreift, braucht eine Einwilligung, und zwar eine auf Grundlage klarer und umfassender Informationen. Gemeint ist jeder Zugriff, auch Local Storage und das Auslesen von Geräte-Merkmalen.
Absatz 2 Nummer 2 nennt die Ausnahme: keine Einwilligung nötig, wenn Speicherung oder Zugriff unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Zwei Formulierungen tragen die ganze Last: „ausdrücklich gewünscht“ und „unbedingt erforderlich“.
Bei der Datenverarbeitung nach Artikel 6 DSGVO kannst du Interessen abwägen. Beim Zugriff aufs Endgerät nicht: § 25 kennt nur zwei Wege, Einwilligung oder Ausnahme.
Der Test, den die Aufsichtsbehörden anlegen
Wie das geprüft wird, steht in der Orientierungshilfe der Datenschutzkonferenz für Anbieter digitaler Dienste (Version 1.2, Stand November 2024); die Zweiteilung von eben ist dort Randnummer 68. Sie zerlegt jede Website in einen Basisdienst, in die darin integrierten Zusatzfunktionen und in Zusatzdienste, die davon unabhängig sind.
Der Basisdienst ist das, was du bewusst aufrufst, bei einem Shop also der Verkauf; die Warenkorbfunktion gehört als Zusatzfunktion dazu. Unabhängige Zusatzdienste sind nach Randnummer 74 unter anderem Spracheinstellungen, Chatboxen, Kontaktformulare, Push-Nachrichten, Kartendienste, Wetterdienste, Videos und Audios, Login-Bereiche, Werbung, Merklisten und, mit einiger Ironie, Consent-Management-Tools.
Randnummer 76 sagt dann, wann so ein Zusatzdienst gewünscht ist: Nutzer wünschen ihn erst, „wenn sie diese explizit in Anspruch nehmen“. Wer eine Bäckerei-Website öffnet, hat damit nicht die eingebettete Google-Karte angefordert.
Das ist die rechtliche Begründung für ein Bauprinzip: erst klicken, dann laden. Zwei Bedingungen hängen daran. Randnummer 76 verlangt, dass Nutzer vorher wissen können, was der Klick auslöst, und für die Übermittlung an den Dritten braucht es weiter eine Rechtsgrundlage. Auf dem Vorschaubild muss also stehen, wohin die Daten gehen, sonst ist der Klick nur ein Klick.
Die Auslöser, einzeln durchgegangen
Ich habe am 10. September 2026 gemessen, was die üblichen Einbettungen schon beim reinen Laden mitschicken, gezählt als Set-Cookie-Header. Das ist die untere Grenze; was JavaScript danach ablegt, steht da nicht drin.
Videos von YouTube
Das normale Einbetten über youtube.com/embed schickt beim bloßen Laden sechs Set-Cookie-Header zurück, darunter VISITOR_INFO1_LIVE mit Laufzeit bis März 2027. Niemand hat auf Play gedrückt.
Die Variante youtube-nocookie.com/embed schickte in derselben Messung keinen. Das ist der ganze Unterschied, und er ist kleiner, als der Name verspricht: Das Iframe lädt trotzdem beim Seitenaufruf, die IP-Adresse geht trotzdem an Google, es gilt dasselbe wie gleich bei der Karte. Mit dem Klick auf Play kommen Cookies dazu.
Ersatz: Vorschaubild selbst hosten, der Klick lädt das Video nach. Was du aufgibst: Autoplay.
Karten
Die eingebettete Google-Karte schickte in meiner Messung keinen Set-Cookie-Header. Auslöser ist sie trotzdem: Ein Kartendienst ist nach Randnummer 76 ein Zusatzdienst, den beim Seitenaufruf niemand angefordert hat, und die IP-Adresse geht zu Google, sobald die Kacheln laden. Diese Offenlegung braucht nach Randnummer 101 eine Rechtsgrundlage nach Artikel 6 DSGVO.
Ersatz: ein statisches Bild der Umgebung plus ein Textlink „In Google Maps öffnen“. Was du aufgibst: Zoomen direkt auf deiner Seite.
Schriften von fremden Servern
Google Fonts setzt keine Cookies, aber beim Laden der Schrift geht die IP-Adresse an Google. Randnummer 101 nennt Schriftarten ausdrücklich als Drittinhalt, für den es eine Rechtsgrundlage nach Artikel 6 DSGVO braucht. Das Landgericht München I sprach am 20. Januar 2022 (Az. 3 O 17493/20) einem Besucher 100 Euro Schadensersatz zu, weil sich dieselben Schriften ebenso gut lokal einbinden lassen.
Ersatz: Schriftdateien herunterladen und vom eigenen Server ausliefern. Das ist die einzige Position auf der Liste, bei der du nichts aufgibst. Wie das geht, steht im Artikel über Google Fonts.
Captcha im Formular
Googles reCAPTCHA wertet Verhalten und Geräte-Merkmale aus. Das Auslesen von Geräte-Merkmalen fällt unter § 25, die Frage ist also nur, ob die Ausnahme greift. Randnummer 83 nimmt von den erlaubten Sicherheits-Cookies ausdrücklich jene aus, die der Sicherheit von Diensten Dritter dienen, die der Nutzer nicht angefordert hat.
Ersatz: ein Honeypot-Feld, für Menschen unsichtbar, dazu Zeitmessung und serverseitige Prüfung. Das fängt Bots, die Formulare stumpf ausfüllen. Gegen gezielten Spam hilft es nicht.
Social-Feeds, Chat-Fenster, Bewertungs-Widgets
Fremde Skripte, die beim Seitenaufruf mitlaufen. Das Chat-Fenster steht als Chatbox in der Zusatzdienst-Liste aus Randnummer 74; Social-Feeds und Bewertungs-Widgets nennt Randnummer 101 als Drittinhalte, für die es eine Rechtsgrundlage nach Artikel 6 DSGVO braucht. Ersatz: Bilder selbst hochladen und aufs Profil verlinken, Telefonnummer statt Chat-Fenster, drei zitierte Bewertungen mit Link zum Original. Was du aufgibst: Aktualität ohne Handarbeit.
Buchungs- und Formular-Dienste
Der unangenehmste Posten, weil er echte Arbeit abnimmt: Solche Dienste laden als Iframe mit, setzen eigene Cookies und übertragen Formularinhalte an einen Dritten. Ersatz ist ein eigenes Formular, das dir die Anfrage per E-Mail schickt. Wer buchbare Termine zeigen will, lädt das Tool nach einem Klick nach oder holt die Einwilligung ein.
Was ohne Banner erlaubt bleibt
Bannerfrei heißt nicht funktionsfrei. Die Orientierungshilfe nennt drei Fälle recht klar:
Warenkorb und Zahlung
(Rn. 80): erforderlich, sobald ein Artikel im Korb liegt oder der Zahlvorgang startet. Beim Stöbern noch nicht.
Einstellungen ohne Kennung
(Rn. 81): Sprache oder Hintergrundfarbe darf die Seite speichern, solange sie keine eindeutige User-ID vergibt. Gespeichert wird language: de, nicht eine Nummer, an der man dich wiedererkennt.
Sicherheit des eigenen Logins
(Rn. 83): Cookies gegen wiederholte Fehlanmeldungen sind zulässig.
Eine Firmen-Website mit Kontaktformular, Referenzen und Preisen kommt damit praktisch immer ohne Banner aus. Der Bedarf entsteht erst mit dem, was man sich dazuholt.
Wie ich es halte
Ein Beispiel zum Nachprüfen, es ist eine Seite von mir: heindorf-catering.de lud am 10. September 2026 nichts von fremden Servern, kein Skript, kein Iframe, keine externe Schrift, und schickte keinen Set-Cookie-Header. Netzwerk-Reiter öffnen, neu laden, selbst zählen.
Gestritten wird trotzdem, und fast immer über dieselben zwei Dinge: den Instagram-Feed und das Buchungstool. Meine Gegenfrage ist beide Male dieselbe, nämlich wann das zuletzt jemand benutzt hat. Beim Feed lautet die Antwort selten „oft“. Beim Buchungstool manchmal doch, und dann ist das Banner die richtige Entscheidung. Wenn ich eine Website baue, ist das Weglassen die billigere Vorgabe, nicht die tugendhafte. Wann sich ein Banner umgekehrt rechnet, etwa bei Ads oder einem Shop, steht im Statistik-Artikel.
Was trotzdem in die Datenschutzerklärung gehört
Kein Banner heißt nicht keine Information. Server-Logs und Kontaktformular verarbeiten Daten, Artikel 13 DSGVO gilt trotzdem. Was hineingehört, steht in der Checkliste für Impressum und Datenschutz.
Was sich gerade am Gesetz ändert
Seit dem 1. April 2025 gibt es die Einwilligungsverwaltungsverordnung auf Grundlage von § 26 TDDDG. Den ersten anerkannten Dienst hat der Bundesbeauftragte für den Datenschutz am 17. Oktober 2025 ins Register nach § 13 EinwV eingetragen.
Auf EU-Ebene liegt der Digital Omnibus, der Vorschlag der Kommission von November 2025. Er würde die Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO holen: Artikel 88a soll bestimmte Zugriffe ohne Einwilligung zulassen, unter anderem für die Messung der eigenen Reichweite und für die Sicherheit von Dienst und Endgerät. Artikel 88b sollte Entscheidungen einmal per Browser-Signal übertragen. Den hat der Rat im Juni 2026 aus seiner Position gestrichen; ein Bündnis um noyb, EDRi und BEUC hat am 10. September 2026 an Parlament und Kommission appelliert, ihn zurückzuholen.
Beschlossen ist nichts. Sollte 88a kommen, verschiebt sich die Rechtslage, gerade bei der Reichweitenmessung. Die Bauentscheidung bleibt dieselbe: Was nicht geladen wird, muss auch nicht abgewogen werden.
Häufige Fragen
Ist eine Website ohne Cookie-Banner erlaubt?
Ja. Das Banner ist keine Pflicht, sondern die Folge von Zugriffen auf das Endgerät. Greift nichts auf das Gerät zu und lädt die Seite nichts von fremden Servern, gibt es keine Einwilligung einzuholen. Die Datenschutzerklärung brauchst du trotzdem.
Brauche ich ein Cookie-Banner, wenn ich nur ein Kontaktformular habe?
Nein, solange das Formular auf deinem eigenen Server läuft und keine Kennung auf dem Gerät ablegt. Ein Kontaktformular ist zwar nach Randnummer 74 der behördlichen Orientierungshilfe ein Zusatzdienst, aber ohne Zugriff aufs Endgerät greift § 25 TDDDG gar nicht. In die Datenschutzerklärung gehört es trotzdem.
Reicht youtube-nocookie, um das Banner zu sparen?
Nur zum Teil. In einer Messung am 10.09.2026 schickte youtube-nocookie.com beim reinen Laden keinen Set-Cookie-Header zurück, youtube.com dagegen sechs. Die IP-Adresse geht in beiden Fällen schon beim Laden an Google, und mit dem Klick auf Play kommen Cookies dazu. Ganz ohne Einwilligung kommt nur aus, wer den Player erst nach einem Klick nachlädt.
Darf meine Seite ohne Banner speichern, welche Sprache jemand gewählt hat?
Nach der Orientierungshilfe der Datenschutzkonferenz (Rn. 81) ja, solange dafür kein eindeutiges Identifizierungsmerkmal vergeben wird. Gespeichert werden soll die Angabe selbst, etwa „language: de“, nicht eine Nummer, an der sich der Besucher wiedererkennen lässt.
Banner brauchst du auch?
Selbst bauen oder bauen lassen
Für den Standardfall gibt es hier ein kostenloses Tool: Texte und Bild rein, fertigen HTML5-Banner raus — mit ad.size und clickTag, in allen gängigen Formaten. Soll es nach deiner Marke aussehen statt nach Vorlage, gestalte ich dir die Banner von Hand.