Fast jede Praxis-Website zeigt heute einen Cookie-Banner – und erstaunlich viele davon sind falsch gebaut. Das ist kein Randthema: Ein fehlerhafter Banner ist einer der sichtbarsten und am leichtesten überprüfbaren Datenschutzmängel überhaupt, und genau deshalb ein beliebtes Ziel für Abmahnungen. Dieser Beitrag erklärt, wann Sie einen Banner brauchen, was ihn rechtlich tragfähig macht und welche Fehler sich mit wenig Aufwand vermeiden lassen.
Braucht meine Praxis-Website überhaupt einen Cookie-Banner?
Einen Einwilligungs-Banner brauchen Sie immer dann, wenn Ihre Website Cookies oder Dienste einsetzt, die nicht technisch notwendig sind – etwa Statistik, Karten, Schriftarten von Fremdservern oder eingebettete Videos. Für rein notwendige Funktionen ist keine Einwilligung erforderlich. Rechtlich stützt sich das auf zwei Ebenen: Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG) verlangt in § 25 eine Einwilligung, bevor Informationen auf dem Gerät des Besuchers gespeichert oder ausgelesen werden – und die DSGVO regelt, wie die dabei anfallenden personenbezogenen Daten verarbeitet werden dürfen.
Der entscheidende Punkt ist die Unterscheidung zwischen „notwendig“ und „nicht notwendig“. Ein Cookie, das den Warenkorb oder die Sitzung sichert, ist notwendig und einwilligungsfrei. Ein Statistik- oder Marketing-Dienst ist es nicht. Wer nichts Nicht-Notwendiges einsetzt, braucht streng genommen gar keinen Consent-Banner – wohl aber weiterhin eine Datenschutzerklärung.
Was einen korrekten Banner ausmacht
Eine wirksame Einwilligung ist freiwillig, informiert und aktiv erteilt. Der Besucher muss ebenso einfach ablehnen wie zustimmen können, nichts darf vorangekreuzt sein, und vor der Zustimmung darf kein zustimmungspflichtiger Dienst laden. Das klingt selbstverständlich, wird aber in der Praxis ständig verletzt. Ein gültiger Banner erfüllt im Kern vier Bedingungen: eine echte Wahl (Zustimmen und Ablehnen gleichwertig), keine Vorauswahl, klare Information darüber, was eingesetzt wird, und die jederzeitige Widerrufbarkeit.
Besonders wichtig ist die Gleichwertigkeit der Buttons. Ein Banner, bei dem „Akzeptieren“ groß und bunt ist, „Ablehnen“ aber nur als kleiner grauer Link versteckt oder erst über mehrere Klicks erreichbar ist, gilt als unzulässige Beeinflussung. Ablehnen muss auf derselben Ebene und mit gleichem Aufwand möglich sein wie Zustimmen.
Die häufigsten Fehler
Die verbreitetsten Mängel sind reine Hinweis-Banner ohne Ablehn-Option, vorangekreuzte Kästchen, ein verstecktes „Ablehnen“ und – am häufigsten – Dienste, die schon vor der Einwilligung geladen werden. Der Klassiker: Google Analytics, ein eingebettetes YouTube-Video oder eine Google-Map starten bereits beim Seitenaufruf, während der Banner noch fragt. Damit ist die Einwilligung wertlos, weil die Datenverarbeitung längst begonnen hat.
Ein zweiter Dauerbrenner betrifft Schriftarten. Werden Google Fonts direkt von Googles Servern geladen, wird bei jedem Seitenaufruf die IP-Adresse des Besuchers an Google übertragen – ohne Einwilligung ein Datenschutzverstoß, der in der Vergangenheit eine ganze Abmahnwelle ausgelöst hat. Die einfache Lösung: Schriften lokal einbinden, dann findet keine Übertragung statt.
Das richtige Werkzeug: ein Consent-Management-Tool
Ein sauberer Banner lässt sich kaum von Hand bauen; verlässlich wird er erst mit einem Consent-Management-Tool, das Dienste blockiert, bis eine Einwilligung vorliegt, und die Zustimmung dokumentiert. Der eingebaute Hinweis mancher Theme- oder Baukasten-Systeme reicht dafür oft nicht, weil er zwar anzeigt, aber nicht wirklich blockiert. Etablierte Lösungen laden zustimmungspflichtige Dienste erst nach der Einwilligung nach und protokollieren, wer wann was erlaubt hat – die Nachweisbarkeit, die die DSGVO verlangt.
Für die eigene Glaubwürdigkeit ist das doppelt wichtig: Wer Praxen bei Datenschutz und Außendarstellung begleitet, sollte auf der eigenen Seite keinen fehlerhaften Banner zeigen. Die eigene Website ist die erste Arbeitsprobe.
Was Praxen konkret tun können
Sinnvoll ist, einmal zu erfassen, welche Dienste die eigene Website tatsächlich lädt, alles Nicht-Notwendige hinter eine echte Einwilligung zu legen und den Banner mit einem geeigneten Tool sauber aufzusetzen. Ein Selbstcheck in fünf Schritten:
- Dienste auflisten. Welche externen Dienste laufen auf der Seite – Statistik, Karten, Fonts, Videos, Chat, Buchungstool?
- Notwendig oder nicht? Trennen, was technisch erforderlich ist, von dem, was Einwilligung braucht.
- Vorher-Laden prüfen. Im Browser testen, ob Dienste schon vor der Zustimmung starten – das ist der häufigste Fehler.
- Buttons gleichwertig machen. „Ablehnen“ muss so leicht sein wie „Akzeptieren“, nichts vorangekreuzt.
- Fonts lokal einbinden. Google Fonts vom eigenen Server ausliefern, nicht von Google.
Wie Sie mit Kontaktformularen, E-Mail und Dienstleistern insgesamt umgehen, behandeln wir im Beitrag zu Patientendaten und Schweigepflicht.
Quellen und weiterführende Hinweise
- Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, vormals TTDSG), insbesondere § 25 (Einwilligung für das Speichern und Auslesen von Informationen auf Endgeräten)
- Datenschutz-Grundverordnung, insbesondere die Vorschriften zur Einwilligung (freiwillig, informiert, aktiv) und zur Nachweisbarkeit
- Orientierungshilfen der Datenschutzaufsichtsbehörden zu Einwilligungen auf Websites (Consent) und zu Telemedien
Braucht jede Praxis-Website einen Cookie-Banner?
Nur, wenn nicht notwendige Cookies oder Dienste eingesetzt werden – etwa Statistik, Karten, externe Schriften oder Videos. Wer ausschließlich technisch notwendige Funktionen nutzt, braucht keinen Einwilligungs-Banner, aber weiterhin eine Datenschutzerklärung.
Reicht ein Banner, der nur über Cookies informiert?
Nein. Ein reiner Hinweis ohne echte Ablehn-Möglichkeit genügt für zustimmungspflichtige Dienste nicht. Es braucht eine aktive, freiwillige Einwilligung.
Muss „Ablehnen“ genauso einfach sein wie „Akzeptieren“?
Ja. Beide Optionen müssen gleichwertig und mit gleichem Aufwand erreichbar sein. Ein verstecktes oder mehrstufiges „Ablehnen“ gilt als unzulässige Beeinflussung.
Sind Google Fonts erlaubt?
Ja, aber sie sollten lokal eingebunden werden. Werden sie direkt von Googles Servern geladen, wird ohne Einwilligung die IP-Adresse übertragen – ein häufig abgemahnter Fehler.
Was droht bei einem fehlerhaften Banner?
Neben möglichen Maßnahmen der Aufsichtsbehörde vor allem Abmahnungen. Der Banner ist von außen leicht überprüfbar, was ihn zu einem beliebten Ziel macht.
Bin ich verantwortlich, wenn eine Agentur meine Website gebaut hat?
Ja. Die Umsetzung können Sie an eine Agentur geben, die Verantwortung für die Website bleibt bei Ihnen. Ein fehlerhafter Cookie-Banner fällt auf die Praxis zurück, nicht auf die Agentur. Es lohnt sich daher, das Ergebnis prüfen zu lassen und klare Absprachen mit der Agentur zu treffen.