Cookie-Banner 2026: Warum "Alle ablehnen" auf der ersten Ebene Pflicht ist (TDDDG)

Seit Jahren weiß die Branche, dass ein Cookie-Banner mit aktivem Consent-Flow Pflicht ist. Was viele Webseitenbetreiber immer noch falsch machen: Sie verstecken den Ablehnen-Button hinter einem zweiten Klick - unter "Einstellungen" oder "Mehr erfahren". Das ist nicht nur ärgerlich für Besucher, sondern seit dem Urteil des Verwaltungsgerichts Hannover vom März 2025 auch eindeutig rechtswidrig.

In diesem Artikel erkläre ich als WordPress- und WooCommerce-Entwickler mit 13 Jahren Praxis, was § 25 TDDDG konkret fordert, welche Ausnahmen wirklich gelten und wie ein konformer Banner 2026 aussieht. Ich bin kein Anwalt und kein Steuerberater - bei rechtlichen Einzelfragen wenden Sie sich bitte an einen spezialisierten Datenschutzjuristen.

Was § 25 TDDDG eigentlich verlangt

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) - früher TTDSG, umbenannt im Mai 2024 - regelt in § 25 die Einwilligung für Cookies und vergleichbare Techniken. Der Grundsatz ist einfach: Wer Informationen auf dem Endgerät eines Nutzers speichert oder ausliest, braucht vorher eine aktive, informierte und freiwillige Einwilligung.

Das gilt für klassische HTTP-Cookies genauso wie für Local Storage, Session Storage, IndexedDB und Browser-Fingerprinting. Kein "Weiter surfen gilt als Zustimmung", kein vorangehakter Opt-out, kein "Sie haben unseren früheren Besuch als Einwilligung gewertet". Die Einwilligung muss eine aktive Handlung sein - ein Klick auf einen klar bezeichneten Zustimmungsbutton.

Das VG-Hannover-Urteil: Der Wendepunkt für Banner-Designs

Das Verwaltungsgericht Hannover hat am 19. März 2025 (Az. 10 A 5385/22) klargestellt: Wenn ein Banner einen "Alle akzeptieren"-Button zeigt, muss gleichwertig daneben ein "Alle ablehnen"-Button stehen - und zwar auf der ersten Ebene des Banners. Nicht im zweiten Dialog, nicht unter einem Zahnrad-Symbol, nicht als kleiner Textlink ganz unten.

Auslöser war ein niedersächsisches Medienunternehmen, dessen Banner nur "Alle akzeptieren", "Akzeptieren & schließen" und "Einstellungen" anzeigte. Die direkte Ablehnmöglichkeit fehlte auf der ersten Ebene vollständig. Das Gericht stufte das als datenschutzrechtswidrig ein. Der Landesbeauftragte für Datenschutz Niedersachsen hat das Urteil ausdrücklich begrüßt.

Bereits vorher hatte das OLG Köln entschieden, dass das Fehlen einer klaren Ablehnoption nicht nur datenschutzrechtlich, sondern auch wettbewerbsrechtlich über § 3a UWG angreifbar ist. Das bedeutet: Abmahnungen können von Mitbewerbern kommen, nicht nur von Datenschutzbehörden.

Vorher-Nachher: Wie ein konformer Banner aussieht

Um das abstrakt zu konkretisieren: Ich zeige zwei Bannervarianten, die ich bei Kundenprojekten immer wieder antreffe.

Ein nicht konformer Banner ist in der Praxis oft kein böser Wille - es ist eine veraltete Konfiguration im Consent Management Tool oder ein Theme-Bundled-Banner, der nie aktualisiert wurde. Ich sehe das besonders häufig bei Sites, die vor 2022 aufgebaut wurden und seitdem keine Revision hatten. Wer den Aufwand einer Website-Überarbeitung scheut, trägt das rechtliche Risiko selbst.

Was technisch notwendige Cookies ausnimmt

§ 25 Abs. 2 TDDDG enthält eine Ausnahme: Cookies, die technisch zwingend erforderlich sind, damit ein ausdrücklich vom Nutzer gewünschter Dienst funktioniert, brauchen keine Einwilligung. Die Liste der wirklich notwendigen Cookies ist kürzer, als viele Betreiber glauben.

Alles andere fällt unter die Einwilligungspflicht: Google Analytics, Meta Pixel, Google Ads Conversion-Tracking, Hotjar, TikTok Pixel, LinkedIn Insight Tag, Affiliate-Tracking-Pixel, A/B-Testing-Tools wie Optimizely, Chatbots wie Intercom. Auch Funktions-Cookies für Social-Media-Buttons oder eingebettete Videos (YouTube, Vimeo) brauchen eine Einwilligung, weil sie Daten an Dritte übertragen.

Ein häufiger Irrtum: Google Fonts, wenn selbst gehostet, ist einwilligungsfrei. Wenn sie von Google-Servern geladen werden, fließen IP-Adressen an Google - das ist keine technische Notwendigkeit, sondern eine Convenience-Entscheidung des Entwicklers. Mein Standard: Google Fonts lokal einbinden, Problem gelöst.

Tracking vor dem Consent: Wie man prüft, was wirklich lädt

Der häufigste Verstoß, den ich bei Audits neuer Kundenseiten sehe, ist nicht ein fehlender Ablehnen-Button - es ist Tracking, das vor dem ersten Klick auf den Banner lädt. Das ist ein eigenständiger § 25 TDDDG-Verstoß.

Die Prüfung dauert zwei Minuten: Browser öffnen, Inkognito-Modus, DevTools aufrufen (F12), Netzwerk-Tab aktivieren und dann die fragliche Domain laden. Der Banner erscheint - jetzt schauen Sie in die Netzwerkanfragen, bevor Sie irgendetwas klicken. Taucht google-analytics.com, connect.facebook.net, googletagmanager.com oder ähnliches auf, lädt Tracking ohne Einwilligung.

Wichtig: Google Tag Manager allein ist nicht automatisch ein Verstoß, wenn der Container nur nach Consent-Signal feuert. Ein falsch konfigurierter GTM-Container, der alle Tags bedingungslos lädt, ist hingegen problematisch. Wie man das technisch sauber prüft, beschreibe ich im Artikel zum Thema Tracking vor Consent erkennen.

Welche Consent Management Plattformen 2026 empfehlenswert sind

Für die meisten kleinen und mittleren Websites in Deutschland empfehle ich drei CMP-Lösungen, die ich selbst einsetze:

Der Punkt "Consent Mode v2" ist für alle, die Google Ads oder Google Analytics nutzen, nicht optional: Seit März 2024 verlangt Google für EU-Traffic eine korrekte Consent-Mode-v2-Implementierung, sonst werden Conversion-Daten nicht korrekt modelliert. Das ist kein Datenschutzproblem, sondern ein Performance-Marketing-Problem.

Was eine Abmahnung kostet - und wer abmahnen kann

Die Frage, die mir Kunden am häufigsten stellen: "Wer mahnt mich denn ab? Ich bin doch nur ein kleiner Shop." Die Antwort ist unbequem: Mitbewerber, Verbraucherschutzverbände und im Extremfall Datenschutzbehörden.

Seit dem EuGH-Urteil in der Sache "Meta Platforms" (2023) ist klar, dass Datenschutzverstöße auch über das Wettbewerbsrecht verfolgbar sind. § 3a UWG macht Verstöße gegen Marktverhaltensregeln zum Unterlassungsanspruch - und der TDDDG ist eine solche Regel. Das OLG Köln hat das explizit auf Cookie-Banner angewendet.

Die Kosten einer Abmahnung variieren stark. In der Praxis liegen sie zwischen 500 und 3.000 Euro allein für die Anwaltskosten des Abmahnenden, hinzu kommen die eigenen Anwaltskosten und gegebenenfalls eine strafbewehrte Unterlassungserklärung. Wer eine Abmahnung erhält und wissen möchte, wie er richtig reagiert, sollte umgehend einen Anwalt einschalten - und den Banner sofort korrigieren.

Dazu kommt das behördliche Bußgeld nach § 28 TDDDG von bis zu 300.000 Euro. In der Praxis werden solche Summen eher bei größeren Verstößen verhängt, aber selbst kleinere Bußgelder im fünfstelligen Bereich sind dokumentiert.

Checkliste: Konformer Cookie-Banner in 2026

Mein Fazit als Entwickler

Ein konformer Cookie-Banner ist 2026 keine optionale Compliance-Maßnahme mehr - er ist Standard-Bestandteil jedes professionellen Website-Launches. Die Umsetzung ist technisch nicht komplex: Eine saubere CMP-Konfiguration, ein gleichwertiger Ablehnen-Button auf der ersten Ebene und ein sauberer Consent-Mode-v2-Setup kosten in der Implementierung zwei bis vier Stunden - je nach bestehendem Setup.

Was ich in der Praxis immer wieder sehe: Kunden, die vor drei Jahren eine Website haben aufbauen lassen, bei der der Entwickler einfach ein kostenloses Plugin installiert und nie wieder angefasst hat. Der Banner sieht aus wie 2019, das Ablehnen kostet drei Klicks, Google Analytics lädt im Hintergrund. Das ist kein hypothetisches Risiko mehr - es ist ein aktives.

Wenn Sie nicht sicher sind, ob Ihr Banner den aktuellen Anforderungen entspricht, schauen Sie sich die Webseiten-Betreuung an, die ich für KMU in Deutschland anbiete. Ein sauberer Banner-Audit ist Teil jedes Wartungspakets.