Woher die Cookie-Banner kommen

Cookie-Banner entstanden, weil Websites Tracking-Tools wie Google Analytics, Facebook Pixel oder Marketing-Cookies einsetzen. Diese Tools speichern Informationen auf dem Gerät des Besuchers, und dafür braucht man laut DSGVO und ePrivacy-Richtlinie eine Einwilligung.

Die meisten KMU-Websites brauchen diese Tracking-Tools aber gar nicht. Ein Hofladen muss nicht wissen, welche Facebook-Anzeige ein Besucher geklickt hat. Eine Fahrschule muss keine Retargeting-Kampagnen fahren. Trotzdem binden viele Website-Baukästen solche Tools standardmäßig ein, und damit wird ein Cookie-Banner nötig.

Wann brauchen Sie keinen Cookie-Banner?

Grundsätzlich gilt: Wenn Ihre Website keine Cookies setzt, die über das technisch Notwendige hinausgehen, brauchen Sie keinen Cookie-Banner. Das bedeutet konkret:

Kein Google Analytics. Das ist der häufigste Grund für Cookie-Banner. Google Analytics setzt Tracking-Cookies und überträgt Daten an Google-Server in den USA.
Auch beim Facebook Pixel fließen Daten in die USA, in diesem Fall an Meta.
Keine Google Fonts von Google-Servern. Jeder Aufruf einer Google-Font-Datei überträgt die IP-Adresse des Besuchers an Google. Besser ist es, die Fonts lokal einzubinden (Self-Hosting).
Eingebettete YouTube-Videos nur im No-Cookie-Modus, denn YouTube setzt standardmäßig Cookies. Alternativ nutzen Sie youtube-nocookie.com oder zeigen einen Screenshot mit Link.
Verzichten Sie auf Social-Media-Widgets. Die Like-Buttons und Share-Widgets von Facebook, Instagram und Co. laden externe Skripte und setzen Cookies.

Wenn keiner dieser Punkte auf Ihre Website zutrifft, brauchen Sie keinen Cookie-Banner. Ihr Kontaktformular, Ihre Bildergalerie und Ihr CMS setzen in der Regel nur technisch notwendige Cookies. Diese sind erlaubt und brauchen keine Einwilligung.

Cookieless Analytics: Website-Statistiken ohne Cookies

Wenn Sie trotzdem wissen möchten, wie viele Besucher Ihre Website hat, geht das auch ohne Cookies und ohne Google.

Cookieless-Analytics-Tools messen Seitenaufrufe, ohne einzelne Besucher zu verfolgen. Sie setzen keine Cookies und speichern keine IP-Adressen. Die Daten bleiben auf dem eigenen Server und gehen nicht an Drittanbieter.

Bekannte Alternativen zu Google Analytics sind Plausible, Umami und Fathom. Diese Tools sind datenschutzkonform und schlank, liefern aber die wichtigsten Kennzahlen: Seitenaufrufe, Verweildauer, Herkunft der Besucher und meistbesuchte Seiten.

So sehen Sie, wie Ihre Website genutzt wird, ohne Ihre Besucher mit einem Cookie-Banner zu stören. Um Einwilligungsmanagement, Cookie-Kategorien und Opt-out-Mechanismen müssen Sie sich dann nicht kümmern.

EU-Hosting: warum der Serverstandort wichtig ist

Die DSGVO reguliert, wo personenbezogene Daten verarbeitet werden. Wenn Ihre Website auf einem Server in den USA gehostet wird, fließen bei jedem Seitenaufruf Daten (mindestens die IP-Adresse) in ein Drittland. Das ist datenschutzrechtlich problematisch.

Einfacher ist Hosting in der EU. Bei Anbietern wie Hetzner (Deutschland/Finnland) verlassen die Daten Ihrer Besucher den EU-Raum nicht. Das vereinfacht Ihre Datenschutzerklärung erheblich und reduziert das Abmahnrisiko.

Viele Baukasten-Anbieter wie Wix hosten standardmäßig in den USA. Selbst wenn sie eine EU-Option anbieten, laufen oft CDN-Requests über US-Server. Bei einem EU-Hoster wissen Sie genau, wo Ihre Daten liegen.

Google Fonts als unterschätztes Abmahnrisiko

Laut einem Urteil des Landgerichts München (2022) verstößt das Einbinden von Google Fonts über Google-Server gegen die DSGVO. Bei jedem Seitenaufruf wird die IP-Adresse des Besuchers an Google übertragen, ohne Einwilligung und ohne Rechtsgrundlage.

Danach folgte eine Welle von Abmahnungen, bei denen Websitebetreiber 100–170€ pro Verstoß zahlen mussten. Abhilfe schafft es, die Fonts lokal einzubinden. Die Font-Dateien liegen dann auf dem eigenen Server, und es gibt keinen externen Aufruf. Technisch ist das einfach und sollte Standard sein.

Falls Sie unsicher sind, ob Ihre Website Google Fonts extern lädt: Öffnen Sie Ihre Website im Browser, drücken Sie F12 (Entwicklertools) und suchen Sie im Tab „Netzwerk“ nach Aufrufen an fonts.googleapis.com oder fonts.gstatic.com. Wenn Sie dort Einträge finden, werden Fonts extern geladen.

Was auf jeder Website vorhanden sein muss

Auch ohne Cookie-Banner gibt es Pflichtangaben, die auf jeder gewerblichen Website in Österreich und Deutschland vorhanden sein müssen:

Impressum

Pflicht für jede gewerbliche Website. Ins Impressum gehören Name und Anschrift des Unternehmens, Kontaktdaten (E-Mail, Telefon), Firmenbuchnummer (falls vorhanden), UID-Nummer, zuständige Aufsichtsbehörde (falls relevant). In Österreich geregelt durch das ECG (E-Commerce-Gesetz), in Deutschland durch das Digitale-Dienste-Gesetz (DDG).

Datenschutzerklärung

Pflicht nach DSGVO Art. 13/14. Sie muss erklären, welche Daten erhoben werden (z.B. IP-Adresse bei Seitenaufruf, Formulardaten), warum sie erhoben werden (Rechtsgrundlage), wie lange sie gespeichert werden, wer Zugriff hat und welche Rechte der Besucher hat (Auskunft, Löschung, Widerspruch).

Für die meisten KMU empfiehlt sich die Erstellung durch eine spezialisierte Kanzlei wie die IT-Recht Kanzlei. Die Kosten liegen bei ca. 10€/Monat, dafür werden die Texte laufend aktualisiert und sind abmahnsicher. Alternativ gibt es kostenlose Datenschutz-Generatoren, die für einfache Websites ausreichen können, aber keine Haftung übernehmen.

SSL-Verschlüsselung (HTTPS)

HTTPS ist Pflicht, sobald personenbezogene Daten verarbeitet werden, also bei jedem Kontaktformular. Let's Encrypt bietet kostenlose SSL-Zertifikate, daher gibt es keinen Grund mehr, eine Website ohne HTTPS zu betreiben.

Checkliste: DSGVO-konforme Website ohne Cookie-Banner

Hosting in der EU (z.B. Hetzner)
Keine externen Google Fonts, Fonts lokal eingebunden
Statt Google Analytics Cookieless Analytics oder gar kein Tracking
Kein Facebook Pixel oder andere Werbe-Tracker
Keine Social-Media-Widgets, die Cookies setzen
YouTube-Videos nur im No-Cookie-Modus einbetten
SSL-Verschlüsselung (HTTPS) aktiv
Impressum vorhanden und vollständig
Datenschutzerklärung vorhanden und aktuell
Kontaktformular nur mit notwendigen Feldern

Was das in der Praxis bedeutet

Wenn Sie diese Punkte einhalten und nichts Zustimmungspflichtiges einbinden, brauchen Sie in der Regel keinen Cookie-Banner. Ihre Besucher werden nicht mit Popups belästigt, Ihre Website lädt schneller (keine Cookie-Consent-Skripte) und Sie sparen sich die laufenden Kosten für Cookie-Consent-Tools wie Cookiebot oder CookieYes (oft 10–50€/Monat).

Außerdem bieten Sie deutlich weniger Angriffsfläche für Abmahnungen. Für viele KMU ist das wichtiger als Tracking-Daten, die ohnehin meist niemand auswertet.

Disclaimer

Dieser Artikel ist keine Rechtsberatung. Er gibt einen Überblick über die gängige Praxis und die häufigsten Stolperfallen. Für verbindliche Auskünfte wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt oder an die IT-Recht Kanzlei.

DSGVO-konforme Website für KMU ohne Cookie-Banner