Cookie-Consent und Tracking nach TDDDG: So setzt eine Agentur es korrekt um

Von Edip Kilinc, Gründer von Webwavers. Veröffentlicht am 31.10.2026. Zuletzt aktualisiert am 31.10.2026. Lesezeit: ca. 16 Minuten. Dieser Text ist keine Rechtsberatung.

Kurzantwort: Eine Agentur setzt die Cookie-Einwilligung nach TDDDG korrekt um, wenn einwilligungspflichtige Dienste technisch erst nach der Entscheidung des Besuchers laden, Ablehnen so einfach ist wie Annehmen, der Widerruf jederzeit möglich ist und jede Entscheidung nachweisbar protokolliert wird. Der Maßstab ist § 25 TDDDG, ergänzt durch die DSGVO. Ob eine Seite das wirklich erfüllt, siehst du nicht am Banner, sondern im Netzwerk-Tab des Browsers vor und nach dem Klick.

Das Wichtigste in Kürze

• Das Banner ist nur die Oberfläche. Entscheidend ist, was im Hintergrund geladen wird, bevor jemand klickt.
• Einwilligungspflichtige Skripte müssen blockiert sein, nicht versteckt. Das gilt für Tag Manager, Pixel, Karten, Videos und Chat-Widgets gleichermaßen.
• Nachweis und Widerruf sind kein Beiwerk. Beides steht in Art. 7 DSGVO und gehört in die technische Planung.
• Die sauberste Lösung ist oft weniger Tracking. Jeder Dienst, den du streichst, ist ein Dienst, den du nicht absichern musst.
• Lass dir von jeder Agentur ein Prüfprotokoll zeigen. "DSGVO-konform" ist eine Behauptung, kein Nachweis.

Wichtiger Hinweis: Dieser Ratgeber erklärt die technische Umsetzung und nennt die jeweilige Rechtsquelle. Er ersetzt keine Rechtsberatung. Für deinen konkreten Einzelfall, etwa bei Drittlandübermittlungen, besonderen Branchen oder Streitfällen, frag eine Fachanwältin, einen Fachanwalt oder deine Datenschutzbeauftragte.

Inhaltsverzeichnis

• Was rechtlich gilt, in drei Absätzen
• Warum ein Banner allein nichts beweist
• Die Architektur einer sauberen Einwilligung
• Welche Dienste einwilligungspflichtig sind
• Consent-Lösungen im Vergleich
• Tag Manager, Consent Mode und Embeds
• Tracking ohne Endgerätezugriff
• Drittland, Verträge und Information
• Nachweis, Widerruf und neue Einwilligung
• Das Prüfprotokoll: So testest du es selbst
• Mehrsprachige Seiten und Consent
• Branchen: Stadtwerke und Kanzleien
• Fragen an eine Agentur
• Wann du keine Agentur brauchst
• Wie wir das umsetzen
• FAQ

Was rechtlich gilt, in drei Absätzen

Die Grundlagen haben wir bereits im Beitrag Cookie-Banner richtig einsetzen und im Überblick zu Tools und DSGVO beschrieben. Hier nur die Kurzfassung, damit der Rest dieses Ratgebers verständlich bleibt. Dort findest du auch die Erklärung, warum weniger Dienste oft besser sind als ein besseres Banner. Diese Seite geht den anderen Weg: Wie baut man die Technik, sodass sie hält, was das Banner verspricht?

Erstens: § 25 TDDDG. Absatz 1 verlangt, dass Informationen im Endgerät nur gespeichert und bereits dort vorhandene Informationen nur ausgelesen werden dürfen, wenn der Endnutzer vorher auf Grundlage klarer und umfassender Informationen eingewilligt hat. Für Information und Einwilligung verweist das Gesetz auf die DSGVO. Absatz 2 nennt zwei Ausnahmen: wenn der einzige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, und wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit ein Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann (§ 25 TDDDG). Wichtig: Die Vorschrift knüpft an Speichern und Auslesen auf dem Endgerät an, nicht an personenbezogene Daten.

Zweitens: die DSGVO. Sie legt fest, wie eine wirksame Einwilligung aussieht. Der Verantwortliche muss die Einwilligung belegen können (Art. 7 Abs. 1), und der Widerruf muss so einfach möglich sein wie die Erteilung (Art. 7 Abs. 3) (Art. 7 DSGVO). Erwägungsgrund 32 verlangt eine eindeutige bestätigende Handlung. Stillschweigen und vorangekreuzte Kästchen gelten nicht als Einwilligung (DSGVO, Erwägungsgründe).

Drittens: die Rechtsprechung und die Aufsichtsbehörden. Der EuGH hat im Verfahren C-673/17 (Planet49) am 1. Oktober 2019 entschieden, dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung für Cookies ist (EuGH, Urteil C-673/17, EUR-Lex). Der BGH hat dies mit Urteil vom 28. Mai 2020 (I ZR 7/16, "Cookie-Einwilligung II") für das deutsche Recht bestätigt (BGH, Pressemitteilung 067/2020). Die Datenschutzkonferenz (DSK) hat ihre Sicht in einer Orientierungshilfe für Telemedien-Anbieter zusammengefasst, die sie im November 2024 als "Orientierungshilfe für Anbieter von digitalen Diensten" neu gefasst hat (DSK, Pressemitteilung vom 15.11.2024). Die Orientierungshilfe ist keine Rechtsnorm, zeigt aber, wie die Aufsichtsbehörden prüfen.

Warum ein Banner allein nichts beweist

Ein typischer Fehler sieht so aus: Die Seite zeigt ein ordentliches Banner mit gleichwertigen Buttons. Im Hintergrund läuft aber schon beim ersten Seitenaufruf das Analytics-Skript, weil es im Header hart eingebaut ist. Der Besucher klickt auf Ablehnen, und trotzdem fließen Daten. Optisch ist alles in Ordnung, technisch nicht.

Die DSK-Orientierungshilfe benennt das Problem klar: Einwilligungsbedürftige Cookies dürfen nicht schon beim erstmaligen Aufruf gesetzt und erst danach abgefragt werden. Die Einwilligung muss vor dem Zugriff vorliegen (Abschnitt III.2.b der Orientierungshilfe Telemedien 2021). Das heißt für die Umsetzung: Das Banner ist nur dann etwas wert, wenn es eine technische Schranke steuert.

Ein zweiter häufiger Fehler betrifft die Gestaltung. Wenn auf der ersten Ebene nur "Alles akzeptieren" steht und das Ablehnen hinter "Einstellungen" versteckt ist, sieht die DSK darin ein Ungleichgewicht, das die Wirksamkeit der Einwilligung gefährdet. Sie fordert, die zur Auswahl gestellten Optionen gleichwertig zu gestalten (Abschnitt III.2.d bis III.2.f derselben Orientierungshilfe). Ein Opt-out-Verfahren ist danach nie geeignet, eine wirksame Einwilligung zu begründen.

Beides lässt sich nicht im Design lösen, sondern nur in der Architektur. Darum geht es im nächsten Abschnitt.

Die Architektur einer sauberen Einwilligung

Stell dir die Einwilligung als Schleuse vor. Alles, was nicht unbedingt erforderlich ist, wartet vor der Schleuse. Erst nach der Entscheidung wird es freigegeben, und zwar nur die Kategorie, der zugestimmt wurde. Eine saubere Umsetzung besteht aus fünf Bausteinen.

1. Bestandsaufnahme. Bevor irgendetwas gebaut wird, steht eine Liste aller externen Verbindungen und aller Cookies oder Speichereinträge. Du bekommst sie mit den Entwicklerwerkzeugen des Browsers (Netzwerk und Anwendung), idealerweise ergänzt durch den Blick in den Quelltext und in den Tag Manager. Pro Eintrag brauchst du: Anbieter, Zweck, Speicherdauer, Standort des Anbieters, Kategorie.

2. Kategorisierung. Jeder Eintrag wird einer Kategorie zugeordnet: unbedingt erforderlich, Statistik, Marketing, Komfortfunktionen/Drittinhalte. Die Einstufung "unbedingt erforderlich" ist eng. Nach der DSK-Orientierungshilfe zählen Geschäftsmodell-Interessen nicht, und Zugriff und Speicherung sind auf das Minimum zu begrenzen (Abschnitt III.3.b.bb). Cookies mit eindeutiger Kennung sind selten wirklich erforderlich. Für die Speicherung der Einwilligungsentscheidung selbst genügt meist ein Wert ohne persönliche Kennung.

3. Blockade vor Entscheidung. Skripte, die nicht erforderlich sind, werden nicht geladen. Je nach System gibt es dafür drei gängige Wege: das Skript wird mit einem Platzhalter-Typ ausgeliefert und erst nach Freigabe aktiviert, es wird per Tag Manager nur bei passendem Einwilligungsstatus ausgelöst, oder es wird gar nicht in die Seite eingebaut, solange keine Einwilligung vorliegt. Welche Variante passt, hängt davon ab, was du einsetzt.

4. Freigabe nach Entscheidung. Nach dem Klick wird genau das freigegeben, was ausgewählt wurde. Bei einer späteren Änderung der Auswahl muss sich der Zustand sofort anpassen, ohne dass der Besucher neu laden muss, sofern das technisch möglich ist. Ein Widerruf muss laufende Dienste stoppen und Folgeaufrufe verhindern.

5. Protokoll. Jede Entscheidung wird mit Zeitpunkt, Version des Banner-Textes, gewählten Zwecken und einer Entscheidungs-ID abgelegt. Warum das nötig ist, siehst du im Abschnitt zum Nachweis weiter unten.

Welche Dienste einwilligungspflichtig sind

Die folgende Tabelle ist eine Arbeitshilfe für die Bestandsaufnahme. Sie ersetzt keine Einzelfallprüfung. Die Spalte "Typische Einstufung" beschreibt, wie die Dienste in der Praxis meist behandelt werden. Verbindlich ist das nicht, denn es kommt auf die konkrete Konfiguration an.

Dienst oder Funktion	Typische Einstufung	Worauf du technisch achtest
Speicherung der Einwilligungsentscheidung	Meist unbedingt erforderlich	Wert ohne persönliche Kennung, kurze, begründete Dauer
Sprachwahl, Sitzungs-Cookie für Login	Meist unbedingt erforderlich, wenn vom Nutzer gewünscht	Nur setzen, wenn die Funktion genutzt wird
Warenkorb, Zahlung	Erst erforderlich, wenn die Funktion genutzt wird	Nicht schon beim ersten Seitenaufruf setzen
Webanalyse mit Drittanbieter-Skript	Meist einwilligungspflichtig	Erst nach Einwilligung laden
Werbe- und Conversion-Pixel	Einwilligungspflichtig	Über Tag Manager an Status koppeln
Eingebettete Videos	Meist einwilligungspflichtig	Vorschaubild statt Iframe, Laden erst nach Klick
Kartendienste	Meist einwilligungspflichtig	Statisches Bild mit Klick zum Aktivieren
Externe Schriften	Hängt von der Einbindung ab	Lokal einbinden, dann entfällt die Verbindung zum Fremdserver
Chat-Widgets	Meist einwilligungspflichtig	Erst nach Klick auf einen eigenen Button laden
Social-Media-Einbettungen	Meist einwilligungspflichtig	Link statt Einbettung, oder Zwei-Klick-Lösung

Beachte: Auch Reichweitenmessung ist nicht automatisch Teil des Basisdienstes. Die DSK schreibt, dass selbst die einfache Messung von Besucherzahlen nicht per se als Bestandteil des Basisdienstes einzustufen ist, und lässt die Frage, wann Messung ohne Einwilligung zulässig sein kann, bewusst offen (Abschnitt III.3.c). Wer hier sichergehen will, holt eine rechtliche Einschätzung für die konkrete Lösung ein.

Consent-Lösungen im Vergleich

Für die Einwilligung gibt es im Wesentlichen vier Ansätze. Keiner ist per se richtig. Entscheidend ist, dass er zu deinem System, deinem Tracking-Umfang und deinen internen Kapazitäten passt.

Ansatz	Stärken	Schwächen	Passt zu
Consent-Management-Plattform (SaaS)	Fertige Banner, Protokollierung, Updates, oft Scanner für Cookies	Laufende Kosten, zusätzlicher Drittanbieter, Skript muss selbst sauber laden	Seiten mit vielen Diensten und wechselnden Marketing-Tools
CMS-Plugin	Schnell installiert, oft günstig	Abhängig von Plugin-Pflege, Blockade nicht immer lückenlos	Kleinere WordPress-Seiten mit überschaubarem Tracking
Eigenbau mit eigenem Skript	Volle Kontrolle, schlank, kein Fremdanbieter	Rechtliche Pflege und Dokumentation liegen komplett bei dir	Seiten mit wenigen Diensten und technischem Team
Gar kein einwilligungspflichtiger Dienst	Kein Banner nötig, wenn nichts Einwilligungspflichtiges läuft	Verzicht auf Messung und Drittinhalte	Seiten, die konsequent entschlackt wurden

Die letzte Zeile wird oft übersehen. Wenn auf einer Unternehmensseite wirklich nur technisch Notwendiges läuft, ist kein Einwilligungsbanner nötig. Dann entfallen auch die Ladezeit-Kosten und der Abbruch durch das Banner. Ob das für dich realistisch ist, hängt davon ab, wie du Anfragen misst und Kampagnen steuerst.

Was bei jeder Lösung gleich bleibt, ist die Checkliste für die Auswahl:

• Blockiert die Lösung Skripte wirklich vor der Entscheidung, oder blendet sie nur Inhalte aus?
• Sind Annehmen und Ablehnen auf der ersten Ebene gleichwertig gestaltet?
• Lässt sich der Widerruf jederzeit über einen dauerhaft sichtbaren Link auslösen?
• Werden Entscheidungen mit Version, Zeitpunkt und Zweck protokolliert und lassen sich Nachweise exportieren?
• Gibt es Texte in allen Sprachen deiner Seite?
• Welche Daten verarbeitet der Anbieter selbst, wo, und gibt es einen Auftragsverarbeitungsvertrag?

Der letzte Punkt ist kein Detail. Setzt du einen externen Dienst ein, der in deinem Auftrag Daten verarbeitet, verlangt Art. 28 DSGVO einen Vertrag, der unter anderem festlegt, dass der Dienstleister nur auf dokumentierte Weisung arbeitet, Sicherheitsmaßnahmen nach Art. 32 trifft und dich bei Betroffenenrechten unterstützt (Art. 28 DSGVO).

Tag Manager, Consent Mode und Embeds

Viele Seiten laden ihr gesamtes Tracking über einen Tag Manager. Das ist praktisch, weil du an einer Stelle steuern kannst. Es ist aber auch der häufigste Ort für Fehler, weil ein einzelner falsch konfigurierter Auslöser alles aushebeln kann.

Grundregel für den Tag Manager: Der Tag Manager selbst darf je nach Konfiguration früh laden, die darin enthaltenen Tags dürfen aber erst feuern, wenn der Einwilligungsstatus es erlaubt. Jeder Tag bekommt eine Bedingung, die an den Status der passenden Kategorie gekoppelt ist. Tags ohne Bedingung sind der Klassiker unter den Fehlern.

Consent Mode: Google bietet mit dem Consent Mode einen Weg, den Einwilligungsstatus an Google-Tags zu übergeben (Google, Consent-Mode-Dokumentation). Technisch ist das sinnvoll, weil die Tags ihr Verhalten am Status ausrichten: Üblich ist, vor dem Laden der Tags einen Standardwert (zum Beispiel "denied") zu setzen und ihn nach der Entscheidung im Banner zu aktualisieren. Die Auswahl selbst speichert der Consent Mode nicht, das muss deine Consent-Lösung übernehmen. Ob und welche Signale ohne Einwilligung gesendet werden dürfen, ist eine rechtliche Frage, die du nicht allein der Voreinstellung überlassen solltest. Lass die gewählte Konfiguration von deiner Datenschutzbeauftragten oder einem Anwalt bewerten, bevor du live gehst.

Embeds nach Klick laden: Bei Videos, Karten und Social-Widgets ist die Zwei-Klick-Lösung robust: Die Seite zeigt zuerst ein eigenes Vorschaubild und einen kurzen Hinweistext. Erst wenn der Besucher klickt, wird der Iframe geladen. Das ist unabhängig vom Banner sauber, weil vor dem Klick keine Verbindung zum Fremdserver besteht. Die Einwilligung kann dann am Embed selbst eingeholt werden, solange der Hinweis klar und umfassend ist.

Schriften und Skripte lokal hosten: Was du selbst ausliefert, verursacht keine Verbindung zu einem Drittserver. Das gilt für Schriften, Icon-Bibliotheken und viele Hilfsskripte.

Tracking im Formular: Prüfe, ob ein Absenden Daten an Drittanbieter schickt, bevor eine Einwilligung vorliegt. Wie du Formulare sauber an ein CRM anbindest, steht im Ratgeber zur Website-CRM-Anbindung.

Tracking ohne Endgerätezugriff

Weil § 25 TDDDG an das Speichern und Auslesen auf dem Endgerät anknüpft, stellt sich eine naheliegende Frage: Was ist, wenn gar nichts auf dem Gerät gespeichert oder ausgelesen wird? Wenn eine Lösung ausschließlich serverseitig arbeitet, ohne Cookies, ohne Local Storage und ohne Auslesen von Gerätemerkmalen, löst § 25 TDDDG nach seinem Wortlaut keine Einwilligungspflicht aus. Die DSGVO gilt trotzdem, sobald personenbezogene Daten verarbeitet werden.

Das bedeutet in der Praxis zweierlei. Erstens brauchst du für diesen Fall eine Rechtsgrundlage nach Art. 6 DSGVO. Als mögliche Grundlagen nennt die Verordnung unter anderem die Einwilligung (lit. a), die Vertragserfüllung bzw. vorvertragliche Schritte (lit. b) und berechtigte Interessen (lit. f) (Art. 6 DSGVO). Welche trägt, hängt vom Zweck ab. Zweitens musst du transparent informieren. Art. 13 DSGVO verlangt unter anderem Angaben zu Zweck, Rechtsgrundlage, Empfängern und gegebenenfalls zur Übermittlung in Drittländer, und zwar zum Zeitpunkt der Datenerhebung (Art. 13 DSGVO).

Ob datensparsame Statistiklösungen, serverseitiges Tagging oder aggregierte Auswertungen für dein Projekt rechtlich tragen, ist eine Einzelfallfrage. Was technisch geht, kann dir eine Agentur oder dein Entwicklerteam sagen. Die Entscheidung über die Rechtsgrundlage triffst du mit deiner Datenschutzbeauftragten oder einem Anwalt.

Drittland, Verträge und Information

Setzt du Dienste von Anbietern in den USA ein, kommt die Frage der Drittlandübermittlung hinzu. Die Europäische Kommission hat 2023 einen Angemessenheitsbeschluss zum EU-US Data Privacy Framework erlassen. Das Gericht der Europäischen Union hat am 3. September 2025 die Klage eines französischen Abgeordneten auf Nichtigerklärung abgewiesen und den Beschluss auf Grundlage der damaligen Sach- und Rechtslage bestätigt (IAPP, Bericht zum Urteil). Das Urteil ist anfechtbar, und weitere Verfahren sind möglich. Prüf deshalb vor dem Einsatz eines US-Dienstes, ob der Anbieter unter dem Framework zertifiziert ist, und halte fest, auf welcher Grundlage du übermittelst.

Für deine Seite heißt das praktisch:

• Liste für jeden Dienst den Anbieter, den Sitz und die Übermittlungsgrundlage auf.
• Schließe, wo der Dienst in deinem Auftrag Daten verarbeitet, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab.
• Nenne in der Datenschutzerklärung und im Banner die Empfänger und gegebenenfalls das Drittland (Art. 13 DSGVO).
• Prüfe die Liste bei jeder Änderung der Seite neu.

Für die Bewertung einzelner Anbieter und für Streitfälle gilt wieder: Die rechtliche Bewertung im Einzelfall übernimmt deine Rechtsberatung oder Kammer.

Nachweis, Widerruf und neue Einwilligung

Nachweis. Art. 7 Abs. 1 DSGVO verlangt, dass du belegen kannst, dass eine Person eingewilligt hat. Technisch heißt das: Du speicherst pro Entscheidung mindestens den Zeitpunkt, die Version des Banner-Textes, die gewählten Zwecke und die Entscheidung selbst. Aus Datenschutzsicht gilt dabei wieder Datenminimierung. Erfasse nur, was du für den Nachweis brauchst. Eine Consent-Plattform nimmt dir diese Protokollierung oft ab. Beim Eigenbau musst du sie selbst bauen und aufbewahren.

Widerruf. Die DSK schreibt: Wurde die Einwilligung über ein Banner auf der Website erteilt, muss auch der Widerruf auf diesem Weg möglich sein. Ein Verweis auf E-Mail, Fax, Post oder ein Kontaktformular genügt nicht, und die Suche in der Datenschutzerklärung nach einer Opt-out-Möglichkeit auch nicht (Abschnitt III.2.g). Üblich ist ein dauerhaft sichtbarer Link im Footer, der das Banner oder ein Einstellungsfenster wieder öffnet. Nach dem Widerruf müssen die betroffenen Dienste sofort aufhören, Daten zu erheben.

Neue Einwilligung. Ändert sich etwas Wesentliches, etwa ein neuer Dienst, ein neuer Zweck oder ein anderer Anbieter, passt die alte Einwilligung nicht mehr. Plane eine Versionsnummer für den Banner-Text ein und löse bei relevanten Änderungen eine neue Abfrage aus. Wie lange eine Einwilligung gelten soll, ist keine Gesetzesvorgabe, sondern eine Abwägung. Die gängige Praxis findest du im Beitrag zum Cookie-Banner.

Das Prüfprotokoll: So testest du es selbst

Diesen Test kann jeder in wenigen Minuten machen, auch ohne Entwicklerhintergrund. Du brauchst ein frisches Browserfenster ohne gespeicherte Cookies (am einfachsten ein privates Fenster) und die Entwicklerwerkzeuge deines Browsers.

1. Öffne die Entwicklerwerkzeuge und wechsle in den Reiter Netzwerk. Aktiviere "Protokoll beibehalten".
2. Rufe die Startseite auf, ohne etwas im Banner anzuklicken.
3. Sieh dir alle Anfragen an externe Domains an. Das sind alle Domains, die nicht deine eigene sind.
4. Wechsle in den Reiter Anwendung (oder Speicher) und prüfe Cookies, Local Storage und Session Storage.
5. Klicke auf Ablehnen und wiederhole die Prüfung. Lade danach eine zweite Seite.
6. Öffne die Einstellungen wieder über den Footer-Link, erteile die Einwilligung für eine Kategorie und prüfe, dass nur diese Kategorie geladen wird.
7. Widerrufe die Einwilligung und prüfe, dass neue Anfragen ausbleiben.

Prüfpunkt	Erwartung	Typischer Fehler
Erster Aufruf, vor dem Klick	Keine Anfragen an Tracking- oder Werbedomains, keine Tracking-Cookies	Skript im Header lädt sofort
Nach "Ablehnen"	Weiterhin keine Anfragen an diese Domains	Banner ausgeblendet, Skripte laufen weiter
Erste Ebene des Banners	Annehmen und Ablehnen gleichwertig	Ablehnen nur unter "Einstellungen"
Einbettungen (Video, Karte)	Kein Verbindungsaufbau vor dem Klick	Iframe lädt beim Seitenaufruf
Nach teilweiser Auswahl	Nur gewählte Kategorie aktiv	Alles oder nichts
Nach Widerruf	Keine neuen Anfragen	Weiterer Datenabfluss
Zweite Unterseite	Gleiches Verhalten	Nur die Startseite sauber
Formular absenden	Keine zusätzlichen Fremdanfragen ohne Einwilligung	Tracking-Pixel feuert beim Absenden

Eine Agentur, die ihre Arbeit ernst nimmt, liefert dir genau dieses Protokoll mit, bevor die Seite live geht, am besten mit Screenshots vom Netzwerk-Tab. Wiederhole den Test bei jedem größeren Update und mindestens einmal pro Quartal, denn neue Skripte schleichen sich leicht ein, etwa über ein Marketing-Plugin oder einen neuen Embed.

Mehrsprachige Seiten und Consent

Auf mehrsprachigen Seiten kommen drei Punkte dazu. Das Banner und die Datenschutzinformationen müssen in jeder Sprache vorliegen, in der die Seite angeboten wird, denn die Information muss klar und umfassend sein. Ein Wechsel der Sprache sollte außerdem nicht zu einer widersprüchlichen Abfrage führen: Plane, dass die getroffene Entscheidung beim Sprachwechsel erhalten bleibt, und kläre mit deiner Datenschutzbeauftragten, wie du das dokumentierst. Und die Dienste können sich je Sprachversion unterscheiden, etwa wenn die englische Seite einen Chat einbindet. Wie du eine mehrsprachige Seite technisch aufsetzt, steht im Ratgeber zur mehrsprachigen Unternehmenswebsite.

Branchen: Stadtwerke und Kanzleien

Energie und Stadtwerke. Auf Versorgerseiten treffen Informationsseite, Rechner, Kundenportal und Kampagnenseiten aufeinander. Trenne die Bereiche: Rechner und Formulare brauchen oft keine Drittanbieter-Skripte, Kampagnenseiten schon. Mehr dazu auf der Seite Webdesign für Energie.

Beratung und Kanzleien. Anfragen sind oft sensibel. Ein Mandantenformular sollte keine Drittanbieter-Pixel auslösen, und die Datenschutzinformation am Formular sollte klar sagen, wohin die Daten gehen. Ob zusätzliche berufsrechtliche Anforderungen gelten, klärst du mit einer fachkundigen Person. Hintergründe: Beratung und Agenturen.

Fragen an eine Agentur

Wenn du eine Agentur für Relaunch oder Neubau auswählst, helfen dir diese Fragen, die Qualität der Consent-Umsetzung zu prüfen:

• Zeigt ihr mir ein Prüfprotokoll aus einem früheren Projekt, mit Netzwerk-Tab vor und nach der Entscheidung?
• Wie stellt ihr sicher, dass Tags im Tag Manager nur nach Einwilligung feuern?
• Wie handhabt ihr Einbettungen wie Videos und Karten?
• Welche Consent-Lösung empfehlt ihr und warum? Was passiert, wenn der Anbieter wegfällt?
• Wie wird der Nachweis gespeichert, und wer hat Zugriff?
• Wer prüft nach dem Launch bei neuen Plugins oder Skripten erneut?
• Wo endet eure Zuständigkeit, und wo beginnt die rechtliche Prüfung durch meine Datenschutzbeauftragte?

Die letzte Frage ist die wichtigste. Eine seriöse Agentur sagt dir offen, dass sie die Technik umsetzt, aber keine Rechtsberatung gibt. Wer dir "100 Prozent rechtssicher" verspricht, verspricht etwas, das keine Webagentur garantieren kann.

Wann du keine Agentur brauchst

Wenn deine Seite klein ist und nur technisch Notwendiges nutzt, brauchst du keine Agentur für Consent. Dann reichen eine saubere Bestandsaufnahme, lokal eingebundene Schriften und ein Hinweis in der Datenschutzerklärung. Auch bei einer WordPress-Seite mit überschaubarem Tracking kann ein gepflegtes Plugin genügen, wenn du es regelmäßig prüfst. Eine Agentur lohnt sich vor allem, wenn viele Dienste im Spiel sind, wenn Tag Manager und Kampagnen laufen, wenn die Seite mehrsprachig ist oder wenn ein Relaunch ansteht, bei dem du die Architektur sowieso neu aufsetzt.

Wie wir das umsetzen

Bei Webwavers läuft ein Projekt in den Schritten, die auf unserer Prozessseite stehen: Erstgespräch, Onboarding mit Briefing, Strategiegespräch, Design in Figma, Entwicklung und Launch mit Einschulung, mit einem festen Projektleiter und einer Feedbackrunde nach jedem Meilenstein. Die Entwicklung erfolgt je nach Projekt in Webflow, Framer oder WordPress.

Die Cookie-Einwilligung ist kein eigener Schritt auf dieser Prozessseite. Bring das Thema deshalb gezielt ins Erstgespräch mit: welche Dienste du einsetzt, welche Tools dein Marketing braucht und wer bei dir für Datenschutz zuständig ist. Lass dir Umfang und Prüftiefe schriftlich nennen, bevor du beauftragst. Webflow ist unser Schwerpunkt, wir setzen aber auch WordPress, TYPO3 und Headless-Systeme um und beraten neutral, welches System zu deinem Tracking-Umfang passt. Mehr dazu auf der Seite Webentwicklung. Die rechtliche Bewertung bleibt bei deiner Datenschutzbeauftragten oder deinem Anwalt.

Bereit für ein Gespräch? Dann schreib uns über die Kontaktseite.

FAQ

Welche Webentwicklungsagenturen setzen die Cookie-Einwilligung nach TDDDG technisch korrekt um?

Das erkennst du nicht am Namen, sondern am Nachweis. Eine Agentur, die es korrekt macht, zeigt dir ein Prüfprotokoll mit Netzwerk-Tab vor und nach der Entscheidung, erklärt, wie Skripte blockiert werden, und sagt klar, dass die rechtliche Bewertung bei dir und deiner Datenschutzbeauftragten liegt. Die Fragen im Abschnitt "Fragen an eine Agentur" helfen dir bei der Auswahl.

Reicht ein Cookie-Banner, damit meine Seite nach TDDDG in Ordnung ist?

Nein. Nach § 25 Abs. 1 TDDDG muss die Einwilligung vorliegen, bevor Informationen im Endgerät gespeichert oder ausgelesen werden. Ein Banner, das nur die Oberfläche bildet, während Skripte bereits laden, erfüllt das nicht. Entscheidend ist, dass einwilligungspflichtige Dienste technisch blockiert sind, bis die Entscheidung vorliegt.

Muss Ablehnen im Banner genauso einfach sein wie Annehmen?

Die DSK-Orientierungshilfe fordert gleichwertige Optionen und sieht es kritisch, wenn auf der ersten Ebene nur "Alles akzeptieren" steht und das Ablehnen hinter einem Einstellungsmenü liegt. Die Orientierungshilfe ist keine Rechtsnorm, zeigt aber den Prüfmaßstab der Aufsichtsbehörden. Bei Zweifeln im Einzelfall frag eine Fachperson.

Brauche ich für Webanalyse immer eine Einwilligung?

Nicht automatisch, aber oft. Die DSK stuft selbst die einfache Messung von Besucherzahlen nicht pauschal als Teil des Basisdienstes ein. Entscheidend sind Zweck und technische Umsetzung. Greift die Lösung nicht auf das Endgerät zu, löst § 25 TDDDG keine Einwilligungspflicht aus, die DSGVO gilt aber weiter und braucht eine Rechtsgrundlage. Lass das für deine Lösung rechtlich prüfen.

Wie lange muss ich Einwilligungen speichern und was muss im Protokoll stehen?

Das Gesetz nennt keine feste Frist. Art. 7 Abs. 1 DSGVO verlangt, dass du die Einwilligung belegen kannst. Praktisch gehören Zeitpunkt, Version des Banner-Textes, gewählte Zwecke und die Entscheidung ins Protokoll. Lege die Aufbewahrungsdauer mit deiner Datenschutzbeauftragten fest und halte dich an Datenminimierung.

Wie kann ich selbst prüfen, ob meine Seite vor der Einwilligung trackt?

Öffne ein privates Browserfenster, die Entwicklerwerkzeuge und den Netzwerk-Tab, lade die Seite, ohne zu klicken, und sieh dir die Anfragen an externe Domains an. Prüfe danach Cookies und Speicher. Wiederhole den Test nach Ablehnen, nach Teil-Einwilligung und nach Widerruf. Die Tabelle im Abschnitt "Das Prüfprotokoll" listet alle Punkte.

Was gilt, wenn ich Dienste von US-Anbietern nutze?

Dann kommt die Drittlandübermittlung hinzu. Das Gericht der EU hat am 3. September 2025 eine Klage gegen den Angemessenheitsbeschluss zum Data Privacy Framework abgewiesen. Prüfe, ob dein Anbieter zertifiziert ist, schließe bei Auftragsverarbeitung einen Vertrag nach Art. 28 DSGVO ab und informiere nach Art. 13 DSGVO. Die rechtliche Bewertung im Einzelfall übernimmt deine Rechtsberatung oder Kammer.

Quellen

• § 25 TDDDG, Gesetze im Internet
• Art. 5 DSGVO
• Art. 6 DSGVO
• Art. 7 DSGVO
• Art. 13 DSGVO
• Art. 28 DSGVO
• DSGVO mit Erwägungsgründen, EUR-Lex
• DSK, Orientierungshilfe für Anbieter von Telemedien (OH Telemedien 2021)
• DSK, Pressemitteilung zur Neufassung vom 15.11.2024
• EuGH, Urteil C-673/17 (Planet49), 01.10.2019, EUR-Lex
• BGH, Pressemitteilung 067/2020 zu I ZR 7/16
• IAPP, Gericht der EU weist Klage gegen das Data Privacy Framework ab
• Google, Consent Mode