Cookie-Consent nach TTDSG: Rechtssichere Banner für Ihren Shop 2026

1. Was ist die Cookie-Consent-Pflicht nach TTDSG?

Das TTDSG, ausgeschrieben Telekommunikation-Telemedien-Datenschutz-Gesetz, ist seit dem 1. Dezember 2021 in Kraft. Sein § 25 regelt, wann Informationen auf dem Endgerät einer Nutzerin oder eines Nutzers gespeichert oder bereits gespeicherte Informationen ausgelesen werden dürfen. Damit sind nicht nur klassische Cookies gemeint, sondern auch verwandte Techniken wie lokaler Speicher im Browser, Tracking-Pixel oder sogenanntes Fingerprinting, bei dem ein Gerät anhand technischer Merkmale wiedererkannt wird. Mit dieser Regelung setzt Deutschland eine Vorgabe aus der europäischen ePrivacy-Richtlinie um, konkret Artikel 5 Absatz 3.

Wichtig zu verstehen ist, dass das TTDSG neben der Datenschutz-Grundverordnung, kurz DSGVO, gilt und diese nicht ersetzt. Das TTDSG regelt den rein technischen Vorgang: Darf überhaupt etwas auf dem Gerät gespeichert oder ausgelesen werden. Die DSGVO regelt dagegen, was anschließend mit den dabei gewonnenen personenbezogenen Daten geschehen darf, etwa wenn ein Analyse-Tool daraus Nutzerprofile bildet. Beide Gesetze greifen also ineinander, und ein rechtssicherer Cookie-Banner muss beiden gerecht werden.

Die Kernregel ist einfach zusammengefasst: Für das Speichern oder Auslesen nicht unbedingt erforderlicher Informationen auf dem Endgerät brauchen Sie vorher eine freiwillige, konkret auf den jeweiligen Zweck bezogene, informierte und eindeutige Einwilligung, also eine aktive Zustimmung nach dem Maßstab von Artikel 4 Nummer 11 und Artikel 7 der DSGVO. Eine Ausnahme von dieser Einwilligungspflicht gilt für "technisch notwendige" Cookies, etwa Session-Cookies für den Warenkorb, den Login-Status oder Sicherheitsfunktionen Ihres Shops. Diese Ausnahme wird aber eng ausgelegt und umfasst ausdrücklich keine Analyse-, Marketing-, Retargeting- oder Social-Media-Einbindungs-Cookies, selbst wenn Sie diese als hilfreich für Ihr Geschäft empfinden.

2. Seit wann gilt sie, warum wird sie 2026 neu relevant?

Die zugrunde liegende Pflicht aus § 25 TTDSG ist also keineswegs neu, sie gilt bereits seit Dezember 2021. Wer sich bislang nicht darum gekümmert hat, hat also keine "neue" Regel verpasst, sondern eine seit Jahren bestehende Pflicht bisher möglicherweise nicht vollständig umgesetzt. Neu relevant wird das Thema 2026 vor allem durch die Praxis der Aufsicht: Die Landesdatenschutzbehörden und Gerichte prüfen die konkrete Gestaltung von Cookie-Bannern inzwischen deutlich genauer als noch vor einigen Jahren.

Im Fokus stehen dabei vor allem drei Punkte, die in Entscheidungen und Hinweisen der letzten Zeit immer wieder auftauchen. Erstens muss ein "Alle ablehnen"-Button auf der ersten Ebene des Banners genauso gut sichtbar und genauso leicht anklickbar sein wie ein "Alle akzeptieren"-Button, nicht versteckt hinter einem zusätzlichen Klick oder einem separaten Einstellungs-Bildschirm. Zweitens dürfen Nutzerinnen und Nutzer nicht durch sogenannte Consent-Walls gezwungen werden, also durch Banner, die den Zugriff auf die Seite vollständig blockieren, bis eine Einwilligung erteilt wurde, obwohl der Inhalt der Seite dafür keinen zwingenden Grund liefert. Drittens werden irreführende oder unklare Kategorie-Bezeichnungen im Banner zunehmend kritisch bewertet, etwa wenn Marketing-Cookies beschönigend als "Komfort-Funktionen" bezeichnet werden.

Hinzu kommt, dass sich auch die technische Seite weiterentwickelt. Auf europäischer Ebene wird seit Längerem über eine künftige ePrivacy-Verordnung diskutiert, die die bisherige Richtlinie irgendwann ablösen soll, sowie über standardisierte Einwilligungssignale und sogenannte Systeme zur Verwaltung persönlicher Informationen, teilweise im Zusammenhang mit einer möglichen künftigen Verordnung nach § 26 TTDSG. Diese Entwicklungen sind aus heutiger Sicht als in Diskussion befindlich und geplant einzuordnen, nicht als bereits geltendes Recht. Für Sie als Shop-Betreiber bedeutet das vor allem eines: Ein Cookie-Banner ist keine einmalige Aufgabe, die man abhakt und vergisst, sondern etwas, das regelmäßig überprüft werden sollte, ähnlich wie ein Impressum oder eine Widerrufsbelehrung.

3. Wer ist betroffen, gilt das auch für kleine Shops?

Ja, ausdrücklich auch für kleine und nebenberuflich geführte Shops. Die Pflicht zur Einwilligung unterscheidet nicht nach Unternehmensgröße oder Umsatz. Betroffen ist jede Website und jeder Onlineshop, der nicht technisch notwendige Cookies oder ähnliche Techniken einsetzt, etwa Google Analytics oder ein vergleichbares Statistik-Tool, den Facebook-Pixel oder andere Werbe-Tracker, eingebettete YouTube-Videos, gängige Marketing-Plugins oder die in vielen Shopsystemen standardmäßig mitgelieferten Tracking-Funktionen.

Viele Shop-Betreiber sind überrascht, wie viele Skripte im eigenen Shop tatsächlich Cookies setzen oder Daten an Dritte senden, oft ohne dass ihnen das bewusst war. Manche dieser Skripte stammen aus Themes, Erweiterungen oder Marketing-Tools, die vor längerer Zeit installiert wurden und seither einfach mitlaufen. Es gibt keine Ausnahme für Kleinunternehmer oder Shops mit geringem Umsatz. Entscheidend ist ausschließlich, welche Techniken auf der Website tatsächlich zum Einsatz kommen, nicht die Größe des Unternehmens dahinter.

4. Was Sie konkret tun müssen

Der erste und wichtigste Schritt ist eine ehrliche Bestandsaufnahme: Welche Cookies und Skripte setzt Ihr Shop tatsächlich, bevor überhaupt eine Einwilligung erteilt wurde? Diese Prüfung fördert erfahrungsgemäß einiges zutage, das Shop-Betreiber selbst nicht erwartet hätten, etwa Tracking-Codes von Plugins, die eigentlich nur eine andere Funktion erfüllen sollten.

Auf dieser Grundlage sollte ein bloßer "OK"-Hinweis durch ein echtes Consent-Management-Setup ersetzt werden, bei dem Zustimmen und Ablehnen tatsächlich gleichwertig angeboten werden. Entscheidend dabei ist nicht nur die optische Gestaltung, sondern vor allem die technische Umsetzung: Nicht notwendige Skripte dürfen nicht bloß versteckt werden, sie müssen technisch tatsächlich blockiert sein, bis eine Einwilligung vorliegt. Ein Banner, das gut aussieht, aber im Hintergrund trotzdem schon Marketing-Cookies lädt, erfüllt die gesetzlichen Anforderungen nicht.

Darüber hinaus sollten erteilte Einwilligungen nachvollziehbar dokumentiert werden, damit Sie im Zweifel belegen können, wer wann welcher Kategorie zugestimmt hat. Aus diesem Grund setzen die meisten Shops auf ein spezialisiertes Consent-Management-Tool statt auf eine selbst gebaute Lösung. Ebenso wichtig ist ein jederzeit erreichbarer Weg, mit dem Besucherinnen und Besucher ihre Cookie-Einstellungen später wieder ändern können, üblicherweise über einen dauerhaft sichtbaren Link im Footer der Seite. Und schließlich sollte das gesamte Setup regelmäßig überprüft werden, denn neue Plugins, neue Marketing-Tools oder ein Wechsel des Shopsystems können unbemerkt neue Cookies mitbringen.

6. Bußgelder und Risiken bei Nichteinhaltung

Weil eine fehlerhafte Einwilligung nicht nur das TTDSG, sondern in der Folge auch die DSGVO betrifft, kommt bei Verstößen grundsätzlich der Bußgeldrahmen der DSGVO zum Tragen. Dieser kann sich am weltweiten Jahresumsatz eines Unternehmens orientieren und dadurch empfindlich ausfallen. Eine konkrete Zahl lässt sich seriös nicht pauschal nennen, da die Höhe im Einzelfall von der Aufsichtsbehörde unter Berücksichtigung vieler Umstände festgelegt wird. Entscheidend für Sie als kleineren Shop-Betreiber ist vor allem, dass ein solches Verfahren überhaupt vermeidbar ist, wenn der Banner von Anfang an sauber aufgesetzt wird.

Praktisch mindestens genauso relevant ist ein anderes Risiko, das viele Shop-Betreiber unterschätzen: die Abmahnung durch Mitbewerber. Ein fehlerhafter Cookie-Banner, etwa mit einem versteckten Ablehnen-Button oder vorab angekreuzten Kästchen, ist im deutschen Wettbewerbsrecht ein klassisches Ziel für Abmahnungen. Solche Abmahnungen entstehen unabhängig davon, ob überhaupt eine Datenschutzbehörde eingeschaltet wird, und bringen bereits für sich genommen echte Kosten und erheblichen Aufwand mit sich, etwa für rechtliche Prüfung und die Abgabe einer Unterlassungserklärung. Gerade für kleine Shops ist dieses Abmahnrisiko oft der unmittelbarere und schneller spürbare Ärger als ein behördliches Verfahren.

7. Häufige Irrtümer und Missverständnisse

Ein weit verbreiteter Irrtum lautet: "Ein einfacher Cookie-Hinweis mit einem OK-Button reicht doch aus." Genau dieses Muster gilt heute als veraltet und nicht rechtskonform, weil es keine echte, gleichwertige Ablehnungsmöglichkeit bietet und häufig ohnehin schon Cookies lädt, bevor überhaupt geklickt wurde. Ein zweiter Irrtum betrifft Google Analytics: Viele Shop-Betreiber gehen davon aus, dass ihre Analytics-Daten ohnehin anonym seien und deshalb keine Einwilligung nötig sei. In der Praxis sind Standard-Konfigurationen gängiger Analyse-Tools jedoch nicht so anonym, dass sie von der Einwilligungspflicht ausgenommen wären.

Ein dritter Irrtum ist die Annahme, eine einmal erteilte Einwilligung gelte für alle Zeit. Ändern sich die Zwecke oder die eingebundenen Dienstleister, etwa weil ein neues Marketing-Tool hinzukommt, sollte die Einwilligung erneuert werden. Zudem muss ein Widerruf jederzeit genauso einfach möglich sein wie die ursprüngliche Zustimmung. Ein vierter Irrtum ist die Vorstellung, es gehe bei dieser Pflicht ausschließlich um klassische Cookies im engeren Sinne. Tatsächlich erfasst die Regelung auch ähnliche Speichertechniken wie lokalen Speicher im Browser oder Fingerprinting-Verfahren, mit denen ein Gerät auch ohne klassisches Cookie wiedererkannt werden kann.

8. Was Mironsoft für Sie übernehmen kann

Wir wissen, dass sich viele Shop-Betreiber bei diesem Thema unsicher fühlen, weil technische Details, Datenschutzrecht und Wettbewerbsrecht ineinandergreifen. Mironsoft übernimmt für Sie die praktische und technische Seite: Wir prüfen, welche Cookies und Skripte in Ihrem Shop tatsächlich gesetzt werden, oft ein überraschender erster Schritt, und richten einen Cookie-Banner ein oder korrigieren einen bestehenden, sodass Zustimmen und Ablehnen wirklich gleichwertig angeboten werden und nicht notwendige Skripte technisch sauber blockiert bleiben, bis eine Einwilligung vorliegt.

Wir sorgen außerdem dafür, dass Einwilligungen nachvollziehbar dokumentiert werden und dass ein dauerhaft erreichbarer Weg zur Änderung der Cookie-Einstellungen vorhanden ist. Weil sich Tracking-Tools und Anforderungen mit der Zeit ändern, behalten wir Ihr Setup regelmäßig im Blick, statt es einmalig einzurichten und dann sich selbst zu überlassen.

Bei konkreten rechtlichen Fragen zum Einzelfall arbeiten wir eng mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten zusammen beziehungsweise vermitteln bei Bedarf einen passenden Kontakt. So müssen Sie sich nicht allein durch technische Details und rechtliche Feinheiten kämpfen, sondern haben eine Stelle, die den Überblick behält und sich darum kümmert, dass aus einem unscheinbaren Banner kein echtes Problem wird.

9. Zusammenfassung

Die Cookie-Consent-Pflicht nach § 25 TTDSG ist keine neue Erfindung des Jahres 2026, sie gilt bereits seit Dezember 2021. Neu relevant wird sie vor allem, weil Landesdatenschutzbehörden und Gerichte die konkrete Gestaltung von Bannern inzwischen genauer prüfen, insbesondere ob "Ablehnen" wirklich genauso einfach ist wie "Akzeptieren". Betroffen ist jeder Shop, der nicht technisch notwendige Cookies oder ähnliche Techniken einsetzt, unabhängig von Größe oder Umsatz.

Die beiden größten praktischen Risiken sind Bußgelder nach dem Rahmen der DSGVO sowie wettbewerbsrechtliche Abmahnungen durch Mitbewerber, die bei einem fehlerhaften Banner besonders naheliegend sind. Wer den Banner technisch und optisch sauber aufsetzt, Einwilligungen dokumentiert und das Setup regelmäßig überprüft, reduziert beide Risiken erheblich. Dieser Artikel bietet eine allgemeine Einordnung und ersetzt keine individuelle Rechtsberatung für Ihren konkreten Fall.

10. FAQ: Cookie-Consent nach TTDSG

Dieser Artikel bietet eine allgemeine Einordnung zur Cookie-Consent-Pflicht nach TTDSG und ersetzt keine individuelle Rechtsberatung für Ihren konkreten Fall.