Cookies vor der Einwilligung: was § 25 TDDDG wirklich verlangt

Das Wichtigste in Kürze

• Die Norm spricht nicht von Cookies. § 25 Absatz 1 TDDDG regelt „die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind". Das erfasst Cookies, aber auch localStorage, sessionStorage und jedes Auslesen von Geräteeigenschaften.
• Es gibt genau zwei Ausnahmen (Absatz 2): die reine Übertragung einer Nachricht – und was „unbedingt erforderlich" ist, damit ein ausdrücklich gewünschter Dienst überhaupt zur Verfügung gestellt werden kann. Mehr nicht.
• Ein „berechtigtes Interesse" ist keine davon. Die Wörter „berechtigt", „Interesse" und „Abwägung" kommen im ganzen § 25 nicht vor – nachgezählt am Normtext.
• Das Laden von einem fremden Server ist eine zweite, eigene Frage. Wer eine Schrift, eine Karte oder ein Video von einem fremden Server einbindet, übermittelt die IP-Adresse des Besuchers dorthin – auch dann, wenn dabei gar nichts auf dem Gerät gespeichert wird. Dafür braucht es eine Rechtsgrundlage nach der DSGVO.
• Gemessen an 84 mittelständischen Websites: Bei 76 (90 %) gingen Anfragen an fremde Server, bevor irgendetwas angeklickt war; bei 67 (80 %) wurden dabei Cookies gesetzt. Die Cookies und Server des Einwilligungs-Werkzeugs selbst sind ausgenommen – es muss vorher laden, es holt die Zustimmung ja ein.

Der Wortlaut, ungekürzt

Der Text ist kurz genug, um ihn ganz zu lesen – und das lohnt sich, weil fast jede Verkürzung, die man in Ratgebern liest, an einer bestimmten Stelle ungenau wird.

§ 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen

(1) Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 zu erfolgen.

(2) Die Einwilligung nach Absatz 1 ist nicht erforderlich,

1. wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder

2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

Vier Beobachtungen, die für die Praxis zählen:

• „Cookie" steht nirgends. Die Norm ist technikneutral formuliert. Wer seine Zählung auf document.cookie beschränkt, misst einen Teil.
• „Unbedingt erforderlich", nicht „erforderlich". Das Wort „unbedingt" steht im Gesetz und ist kein Füllwort.
• Erforderlich wofür? Damit der Anbieter „einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann" – nicht: damit das Unternehmen wirtschaftlich arbeiten kann, und nicht: damit die Reichweite gemessen werden kann.
• Nummer 1 verlangt den alleinigen Zweck. Kommt ein zweiter Zweck hinzu, trägt diese Ausnahme nicht mehr.

Und Absatz 1 Satz 2 ist der Satz, den man leicht überliest: Er verweist für Information und Einwilligung auf die DSGVO. Damit gilt der dortige Maßstab – Artikel 4 Nummer 11 DSGVO verlangt eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung", Artikel 7 Absatz 3 Satz 4 verlangt, dass der Widerruf „so einfach wie die Erteilung" sein muss.

Warum „berechtigtes Interesse" hier nicht hilft

Aus der DSGVO kennen viele Artikel 6 Absatz 1 Buchstabe f: die Verarbeitung ist zulässig, wenn sie zur Wahrung berechtigter Interessen erforderlich ist und die Interessen der betroffenen Person nicht überwiegen. Eine Abwägung also.

§ 25 TDDDG kennt diese Abwägung nicht. Er hat zwei Absätze, und Absatz 2 hat zwei Nummern – beide oben vollständig zitiert. Die Wörter „berechtigt", „Interesse" und „Abwägung" kommen im Normtext nicht vor; nachgezählt am vollständigen Text der Vorschrift. Für den Zugriff auf das Endgerät gibt es deshalb nur zwei Wege: die Einwilligung oder eine der beiden Ausnahmen.

Das ist keine Spitzfindigkeit, sondern die häufigste Verwechslung in diesem Thema. Sie entsteht, weil zwei Prüfungen hintereinanderliegen und leicht zu einer verschmelzen:

1. Erste Frage – Zugriff auf das Gerät: Darf überhaupt etwas gespeichert oder ausgelesen werden? Maßstab ist § 25 TDDDG.
2. Zweite Frage – Verarbeitung der Daten: Auf welcher Rechtsgrundlage werden die so erlangten Daten anschließend verarbeitet? Maßstab ist die DSGVO, und dort gibt es die Abwägung.

Wie eine dieser beiden Fragen im Einzelfall ausgeht, ist eine Rechtsfrage. Wir messen die Tatsachen, auf die sie sich stützt.

Was in der Sekunde vor dem Klick geschieht

Öffnen Sie eine typische Shop-Startseite, ohne irgendetwas anzuklicken. Innerhalb weniger hundert Millisekunden passiert – je nach Website – dies:

• Der Browser fordert Schriften von einem fremden Server an. Dabei übermittelt er die IP-Adresse des Besuchers, den angeforderten Pfad und in der Regel den Referer, also die Adresse der Seite, auf der er gerade ist.
• Ein Tag-Manager lädt und startet weitere Skripte, die ihrerseits Server anfragen können. Was dabei geladen wird, steht nicht im Quelltext der Seite, sondern in der Konfiguration des Tag-Managers.
• Ein Kartendienst oder ein Videoplayer im Seiten-Rahmen baut seine Verbindung auf, obwohl die Karte weit unten steht und niemand sie angesehen hat.
• Cookies werden gesetzt – manche vom eigenen Server, manche vom fremden. Zusätzlich schreiben Skripte in localStorage, was in keinem Cookie-Banner auftaucht und in vielen Werkzeugen auch in keiner Liste.

Der entscheidende Punkt: Nichts davon verlangt eine Handlung des Besuchers. Die Seite tut es beim Aufruf. Genau deshalb lässt es sich zuverlässig messen – man muss die Seite nur einmal laden und mitschreiben, was hinausgeht.

Und ebenso wichtig: Ein Banner allein ändert daran nichts. Ein Banner ist Gestaltung. Ob die Skripte dahinter tatsächlich erst nach der Zustimmung starten, hängt davon ab, wie sie eingebunden sind – nicht davon, dass ein Fenster erscheint.

Was wir gemessen haben

Wir haben 84 mittelständische Websites aus vier Regionen mit derselben Prüfengine geladen, die auch einen bezahlten Website-Check fährt: bis zu zwölf Seiten je Website, 888 Seiten insgesamt, jede mit einem Mitschnitt des Netzverkehrs. Es wurde nichts angeklickt – kein „Zustimmen", kein „Ablehnen", keine Einstellung.

Was wir dabei ausdrücklich nicht mitzählen: die Cookies und Server des Einwilligungs-Werkzeugs selbst. Ein Banner muss laden, bevor jemand zustimmt – es holt die Zustimmung ja ein –, und sein eigenes Cookie merkt sich die Entscheidung. Wer diese mitzählte, würde einem Betrieb vorwerfen, dass sein Banner funktioniert.

Und was wir nicht entscheiden: welche der gefundenen Cookies unter Absatz 2 Nummer 2 fallen. Ein Warenkorb-Cookie ist ein anderer Fall als ein Wiedererkennungs-Cookie eines Werbenetzwerks, und die Grenze dazwischen ist eine Rechtsfrage. Wir liefern die Liste mit Namen, Laufzeit und Empfänger; die Bewertung gehört zu Ihrer Rechtsberatung.

Grenzen der Zahl: Es ist keine Zufallsstichprobe, sondern eine Auswahl recherchierter Betriebe mit Kauf- oder Buchungsstrecke. Gezählt wird je Website, nicht je Fundstelle. Websites, die keine Seite ausgeliefert haben, sind nicht enthalten – „nicht geprüft" ist nicht dasselbe wie „nichts gefunden".

Der häufigste Einzelfall: Schriften von einem fremden Server

Eine Schrift, die von einem fremden Server geladen wird, ist der Fall, der uns am häufigsten begegnet – und zugleich der, der sich am einfachsten beheben lässt. Technisch passiert Folgendes: Der Browser des Besuchers fordert die Schriftdatei bei einem fremden Anbieter an. Damit erfährt dieser Anbieter die IP-Adresse des Besuchers, und zwar bevor auf der Seite irgendetwas angeklickt wurde.

Ob das im Einzelfall zulässig ist, ist eine Rechtsfrage. Die technische Seite ist dagegen eindeutig, und sie ist der Grund, warum dieser Fall in der Praxis so oft auffällt: Es geht auch ohne. Schriften lassen sich mit wenigen Handgriffen vom eigenen Server ausliefern:

1. Schriftdateien herunterladen und in das eigene Projekt legen (Format woff2 genügt für jeden aktuellen Browser).
2. Die @font-face-Regeln selbst schreiben und auf die lokalen Dateien zeigen lassen.
3. Den <link> auf den fremden Server entfernen – auch den preconnect, der oft eine Zeile darüber steht und ebenfalls eine Verbindung aufbaut.
4. font-display: swap setzen, damit der Text sofort sichtbar ist. Das ist nebenbei ein Gewinn für die Barrierefreiheit: Ein unsichtbarer Text ist für niemanden lesbar.

Der Schritt kostet meist eine halbe Stunde, macht die Seite schneller und entfernt einen ganzen Empfänger aus der Liste. Prüfen Sie danach nach: Der Name des fremden Servers darf im Netzverkehr nicht mehr auftauchen – auch nicht in einem nachgeladenen Stylesheet.

Was Sie technisch tun können

Die folgenden vier Schritte sind technische Maßnahmen, keine rechtliche Bewertung. Sie ändern das, was die Seite tut – und damit die Tatsachen, auf die sich jede rechtliche Bewertung stützt.

1. Alles, was nicht laufen muss, erst nach der Zustimmung starten. In den meisten Einwilligungs-Werkzeugen heißt das: Skripte nicht als <script src> einbinden, sondern über den Mechanismus des Werkzeugs, der sie erst nach der Entscheidung nachlädt. Prüfen Sie das nach – die Einstellung heißt oft „blockieren", tut aber nichts, wenn das Skript fest im Template steht.
2. Fremde Einbettungen erst auf Klick laden. Karte, Video und Bewertungs-Widget bekommen eine Vorschau mit einem Knopf „Inhalt laden". Das ist gleichzeitig gut für die Ladezeit.
3. Schriften selbst ausliefern – siehe oben.
4. Den Tag-Manager aufräumen. Was dort einmal eingerichtet wurde, läuft weiter, auch wenn die Kampagne seit zwei Jahren vorbei ist. Jeder Eintrag, der nicht mehr gebraucht wird, ist ein Empfänger weniger.

Danach messen Sie erneut. Das ist der Teil, den man nicht überspringen kann: Ob eine Einstellung gewirkt hat, sieht man nicht an der Einstellung, sondern am Netzverkehr.

Der Selbsttest in fünf Minuten

Sie brauchen dafür nichts als Ihren Browser.

1. Ein frisches Fenster. Öffnen Sie ein privates Fenster – sonst sind Cookies von früheren Besuchen schon da und verfälschen das Bild.
2. Entwicklerwerkzeuge öffnen (F12), Reiter Netzwerk, und erst dann Ihre Seite aufrufen. Klicken Sie im Banner nichts an.
3. Nach Domain sortieren. Jede Zeile, die nicht Ihre eigene Adresse zeigt, ist ein fremder Empfänger. Schreiben Sie die Namen auf.
4. Reiter Anwendung (in manchen Browsern Speicher) → Cookies. Was steht dort, bevor Sie zugestimmt haben? Sehen Sie auch unter Local Storage nach – dort steht oft mehr als in den Cookies.
5. Vergleichen Sie die Liste mit Ihrer Datenschutzerklärung. Jeder Empfänger, den Sie eben gesehen haben, sollte dort auftauchen. Das ist eine eigene Vorgabe: Artikel 13 Absatz 1 Buchstabe e DSGVO verlangt die Angabe der „Empfänger oder Kategorien von Empfängern der personenbezogenen Daten".

Was Sie so finden, ist derselbe Befund, den auch wir messen – nur für eine Seite statt für zwölf, und ohne Protokoll. Für den ganzen Auftritt, wiederholt und mit Bericht, gibt es den Website-Check.

Häufige Fragen

Dieser Artikel ist eine technische Einordnung und keine Rechtsberatung. Quellen: Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), § 25 Absätze 1 und 2, § 26 Absatz 1 sowie § 28 Absatz 1 Nummer 13 und Absatz 2, Wortlaut abgerufen bei gesetze-im-internet.de am 06.09.2026 (der Pfad dort lautet weiterhin /ttdsg/); Umbenennung des TTDSG in TDDDG durch Artikel 8 Nummer 1 Buchstaben a bis c des Gesetzes vom 6. Mai 2024 (BGBl. 2024 I Nr. 149), in Kraft seit dem 14.05.2024; Einwilligungsverwaltungsverordnung (EinwV) vom 6. Februar 2025 (BGBl. 2025 I Nr. 32), in Kraft seit dem 01.04.2025, § 8; Verordnung (EU) 2016/679 (DSGVO), Artikel 4 Nummer 11, Artikel 7 Absätze 1 und 3, abgerufen bei eur-lex.europa.eu am 06.09.2026; Richtlinie 2002/58/EG in der Fassung der Richtlinie 2009/136/EG, Artikel 5 Absatz 3, ebenda. Eigene Messung: siehe Abschnitt „Was wir gemessen haben".