Website ohne Cookie-Banner: Prüflogik für KMU

Eine Website ohne Cookie-Banner ist möglich, wenn beim ersten Aufruf keine einwilligungspflichtigen Speicherzugriffe, Tracker oder unkontrollierten Drittanbieter-Dienste aktiv werden. Entscheidend ist nicht, ob technisch notwendige Cookies vorkommen. Entscheidend sind Zweck, technische Erforderlichkeit, verarbeitete Daten, Empfänger und Speicherzugriffe auf dem Endgerät.

In über 20 Jahren Webentwicklung habe ich bei KMU häufig dieselbe Ursache gefunden: Nicht das Banner ist das eigentliche Problem, sondern eine unübersichtliche technische Basis. Dazu gehören alte Analyse-Skripte, automatisch geladene Karten, Social-Media-Feeds oder extern abgerufene Schriftarten. Ein Consent-Banner kann diese Datenflüsse steuern, beseitigt unnötige Integrationen aber nicht.

Ein fehlendes Cookie-Banner ist kein Nachweis für Datenschutz. Eine datensparsam geplante Website kann jedoch ohne einwilligungspflichtige Zugriffe auskommen und deshalb kein Consent-Banner benötigen.

Wann ist eine Website ohne Cookie-Banner möglich?

Eine Website ohne Cookie-Banner ist grundsätzlich möglich, wenn beim ersten Aufruf ausschließlich technisch erforderliche Funktionen aktiv sind und keine einwilligungspflichtigen Tracker oder vergleichbaren Technologien eingesetzt werden. Dafür müssen alle Speicherzugriffe, externen Ressourcen und Datenflüsse geprüft werden.

Die europäische Grundlage bildet Art. 5 Abs. 3 der ePrivacy-Richtlinie. Die Richtlinie verlangt grundsätzlich eine vorherige, informierte Einwilligung, wenn Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden. Ausnahmen bestehen insbesondere für technisch notwendige Vorgänge. Die Regel betrifft deshalb nicht nur klassische Browser-Cookies, sondern auch vergleichbare Technologien.

In Deutschland wurde das frühere TTDSG 2024 in TDDDG umbenannt. § 25 TDDDG verlangt grundsätzlich eine Einwilligung für das Speichern von Informationen in Endeinrichtungen und für den Zugriff auf bereits gespeicherte Informationen. Ausnahmen gelten für die Nachrichtenübertragung und für Zugriffe, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Für italienische und Südtiroler Betriebe sind außerdem die nationalen Vorgaben und die Auslegung des Garante per la protezione dei dati personali relevant. Die italienische Datenschutzaufsicht konkretisiert in ihren Leitlinien unter anderem die Anforderungen an Profiling-Tracker, datenschutzfreundliche Voreinstellungen und die Gestaltung von Einwilligungsbannern.

Für eine deutsch-italienische Website reicht deshalb keine allgemeine DSGVO-Checkliste. Prüfe die konkrete technische Umsetzung und die nationalen Vorgaben für den jeweiligen Markt. Die folgende Prüflogik dient als praktische Orientierung, ersetzt aber keine Rechtsberatung im Einzelfall.

Cookie-Banner, Consent-Banner und Datenschutzerklärung unterscheiden

Für die Bewertung einer Website ohne Consent-Banner musst Du drei Ebenen trennen:

• Cookie-Banner: Der Begriff bezeichnet meist den sichtbaren Hinweis oder die Auswahlmaske für Cookies. Rechtlich relevant können auch andere Zugriffe auf das Endgerät sein.
• Consent-Banner: Ein Consent-Banner verwaltet Einwilligungen für bestimmte Verarbeitungen und Dienste. Einwilligungspflichtige Funktionen müssen bis zur wirksamen Zustimmung blockiert bleiben.
• Datenschutzerklärung: Die Datenschutzerklärung informiert über Datenarten, Zwecke, Empfänger, Rechtsgrundlagen, Speicherdauer und Rechte. Diese Informationspflicht entfällt nicht, wenn kein Banner erforderlich ist.

Eine Website ohne Consent-Banner braucht daher weiterhin eine Datenschutzerklärung, die zur tatsächlichen Technik passt. Kontaktformulare, Server-Protokolle, Hosting, E-Mail-Versand oder Bewerbungen können personenbezogene Daten verarbeiten, ohne dass dafür automatisch ein Cookie-Banner notwendig ist.

Cookie-Banner vermeiden: die Prüfreihenfolge für KMU

Ein Cookie-Banner lässt sich nicht seriös vermeiden, indem Du lediglich ein Plugin entfernst. Zuerst musst Du feststellen, was die Website technisch ausführt. Dafür empfehle ich folgende Reihenfolge:

• 1. Dienste inventarisieren: Erfasse Hosting, Formulare, Analyse, Videos, Karten, Schriftarten, Chats, Newsletter, Zahlungsdienste, Terminbuchung, Social-Media-Inhalte und Marketing-Skripte.
• 2. Zwecke festhalten: Dokumentiere für jeden Dienst, welche konkrete Aufgabe er erfüllt.
• 3. Speicherzugriffe testen: Prüfe, welche Cookies, lokalen Speicherobjekte, Pixel, Skripte oder vergleichbaren Kennungen vor einer Einwilligung aktiv werden.
• 4. Datenflüsse dokumentieren: Halte fest, welche Daten an welche Empfänger übertragen werden, wo die Verarbeitung stattfindet und welche Unterauftragnehmer beteiligt sind.
• 5. Erforderlichkeit bewerten: Trenne technisch notwendige Cookies und Funktionen von Komfort-, Analyse- und Marketingdiensten.
• 6. Einbettungen kontrollieren: Externe Videos, Karten und Beiträge dürfen vor einer erforderlichen Einwilligung keine Daten unkontrolliert übertragen.
• 7. Dokumentation abgleichen: Datenschutzerklärung, Auftragsverarbeitungsverträge und die interne Diensteliste müssen der tatsächlichen Konfiguration entsprechen.
• 8. Änderungen nachprüfen: Wiederhole die technische Kontrolle nach jeder neuen Integration.

Eine vertiefende Grundlage für diese Vorgehensweise findest Du in meinem Beitrag über Privacy by Design für KMU. Datenschutz wird vor der Tool-Auswahl und der technischen Umsetzung geplant, nicht erst kurz vor der Veröffentlichung.

Datenschutz by Design mit btlabs Core

Bei btlabs Core setzen wir auf Datenschutz by Design. Das Grundsystem wird nicht zuerst mit Werbe- und Trackingdiensten erweitert, um anschließend eine komplexe Einwilligungsmechanik darüberzulegen. Die datensparsame Basiskonfiguration reduziert vermeidbare Datenflüsse von Anfang an.

Zur vorgesehenen Basis gehören:

• keine US-Werbetracker im Grundsystem,
• datensparsame Statistik statt detaillierter Nutzerprofile,
• kontrollierte Einbettungen für externe Medien,
• EU-Hosting als Teil der Infrastrukturplanung,
• lokale Schriftarten statt automatischer Abrufe von externen Font-Servern,
• eine schlanke Architektur mit weniger technischen Abhängigkeiten,
• Datenhoheit und nachvollziehbare Datenflüsse.

Diese Architektur schafft eine geeignete Grundlage für eine Website ohne Cookie-Banner, ist aber keine pauschale DSGVO-Garantie. Sobald Du später einen Marketing-Pixel, einen externen Chat oder eine andere Erweiterung integrierst, muss die Bewertung aktualisiert werden. Wie das System als digitales Fundament aufgebaut ist, erläutere ich im Beitrag über btlabs Core für KMU.

Warum EU-Hosting allein nicht genügt

EU-Hosting ist ein sinnvoller Teil der Infrastruktur, beantwortet aber nicht jede Datenschutzfrage. Auch bei einem Serverstandort in der EU kann eine Drittlandübermittlung vorliegen, wenn personenbezogene Daten einem rechtlich eigenständigen Unternehmen in einem Drittland offengelegt oder von dort aus zugänglich gemacht werden.

Die Guidelines 05/2021 des Europäischen Datenschutzausschusses stellen bei internationalen Übermittlungen auf die beteiligten Akteure, die Offenlegung der Daten und den Sitz des Empfängers ab. Neben dem Serverstandort müssen deshalb Anbieter, Unterauftragnehmer, Supportzugriffe und technische Empfänger geprüft werden.

EU-Hosting ist ein Baustein, kein DSGVO-Zertifikat. Zur vollständigen Bewertung gehören außerdem Datenminimierung, Sicherheit, Rechtsgrundlagen, Informationspflichten, Verträge, Löschfristen und Betroffenenrechte.

Praxisbeispiel: Website eines Südtiroler KMU

Ein familiengeführter Handwerksbetrieb aus dem Eisacktal betreibt eine Website, die über mehrere Jahre erweitert wurde. Beim ersten Aufruf startet ein Analysewerkzeug. Gleichzeitig werden ein YouTube-Video, Google Maps, ein Social-Media-Feed, ein Marketing-Pixel und Schriftarten von externen Servern geladen.

Vorher: viele Dienste, unklare Datenflüsse

• Analyse-Skripte starten vor der Auswahl im Banner.
• Video, Karte und Social-Media-Feed übertragen Daten an mehrere Drittanbieter.
• Der Betrieb kann die Empfänger nicht vollständig benennen.
• Das Banner nennt Kategorien, blockiert aber nicht jede externe Verbindung.
• Die Datenschutzerklärung entspricht nicht vollständig der eingesetzten Technik.

Ein solches Setup ist schwerer zu dokumentieren und zu warten. Zusätzliche Skripte können außerdem Ladezeit, Abhängigkeiten und Fehleranfälligkeit erhöhen. Gleichzeitig sammelt der Betrieb Daten, die er für seine Entscheidungen möglicherweise nicht benötigt.

Nachher: begrenzte und dokumentierte Verarbeitung

• Die Webstatistik erfasst nur die benötigten Kennzahlen.
• Schriftarten und zentrale Gestaltungselemente werden lokal ausgeliefert.
• Das Video erscheint zunächst als Vorschaubild und lädt den externen Dienst erst nach einer erforderlichen Freigabe.
• Eine textliche Anfahrtsbeschreibung ersetzt die automatisch geladene Karte; eine externe Karte bleibt optional.
• Social-Media-Beiträge werden nicht automatisch von der Plattform nachgeladen.
• Empfänger und Datenflüsse sind dokumentiert.
• Die Datenschutzerklärung bildet das tatsächliche System ab.

Der Betrieb behält Leistungen, Kontaktmöglichkeiten, Referenzen und Standortinformationen. Die Website ohne Cookie-Banner überträgt beim ersten Aufruf jedoch weniger Daten an externe Plattformen.

Welche Erweiterungen erneut geprüft werden müssen

Eine einzelne neue Integration kann die Bewertung einer Website ohne Consent-Banner verändern. Das betrifft besonders externe Medien und Kommunikationsdienste:

• YouTube oder Vimeo: Direkt eingebettete Videos können beim Laden Verbindungen zum Anbieter aufbauen. Ein Vorschaubild mit Freigabe oder eine lokal bereitgestellte Alternative verhindert den sofortigen Abruf.
• Google Maps: Eine direkt eingebettete Karte bindet einen externen Anbieter ein. Eine textliche Anfahrtsbeschreibung oder kontrollierte Einbettung reduziert automatische Datenflüsse.
• Social-Media-Feeds: Live-Feeds und Plattform-Plugins sind technisch anders zu bewerten als ein normaler Link zum Profil.
• Chat-Werkzeuge: Chat-Funktionen können Identifikatoren, Gesprächsinhalte und technische Metadaten an externe Anbieter senden.
• Externe Formulare: Eingebettete Formulare können bereits beim Laden Daten übertragen, nicht erst beim Absenden.

Auch transaktionsbezogene und werbliche Dienste benötigen eine eigene Prüfung:

• Newsletter: Formulare, Versanddienste, Bestätigungsprozesse und Erfolgsmessung müssen getrennt bewertet werden.
• Terminbuchung: Externe Buchungssysteme verarbeiten häufig Kontakt- und Termindaten und können zusätzliche Ressourcen laden.
• Zahlungsdienste: Ein Shop verarbeitet andere Daten als eine reine Informationswebsite und benötigt eine angepasste Dokumentation.
• Marketing-Pixel: Werbe-, Retargeting- und Profiling-Technologien sind typische einwilligungspflichtige Tracker.
• Schriftarten: Extern geladene Fonts erzeugen Verbindungen zu fremden Servern. Lokale Schriftarten vermeiden diesen Abruf.

Wenn Dein Geschäftsmodell eine detaillierte Kampagnenmessung benötigt, ist ein korrekt konfigurierter Einwilligungsprozess sinnvoller als der pauschale Verzicht auf ein Banner. Die Unterschiede zwischen Matomo, GA4 und Consent erläutere ich ausführlicher im Beitrag über DSGVO-Tracking für KMU.

Datensparsame Statistik für eine Website ohne Cookie-Banner

Viele kleinere Betriebe benötigen keine personenbezogenen Nutzerprofile. Häufig reichen Seitenaufrufe, beliebte Inhalte, grobe Zugriffsquellen und einfache Zielhandlungen, um eine Website weiterzuentwickeln.

Eine datensparsame Statistik verfolgt einen begrenzten Zweck, reduziert Identifikatoren und verzichtet auf unnötige Verknüpfungen. „Cookiefrei“ bedeutet jedoch nicht „pflichtenfrei“. Auch ohne Cookies können IP-Adressen, Geräteinformationen, URLs oder andere technische Daten verarbeitet werden.

Bei Matomo hängt die datenschutzrechtliche Bewertung von der Konfiguration ab. Der Konfigurationsleitfaden der französischen CNIL nennt unter anderem das Hosting-Modell, die IP-Anonymisierung, den Verzicht auf Drittanbieter-Cookies und Cross-Domain-Tracking sowie die Deaktivierung zusätzlicher personenbezogener Funktionen.

Matomo ist deshalb weder pauschal einwilligungsfrei noch automatisch problematisch. Prüfe, welche Funktionen aktiv sind, ob Cookies verwendet werden, welche Daten gespeichert werden und wer darauf zugreifen kann. Weitere Möglichkeiten erläutere ich in meiner Anleitung zur cookiefreien Statistik für KMU.

So bleibt die Website ohne Cookie-Banner datensparsam

Eine Website ohne Cookie-Banner ist kein dauerhaft garantierter Zustand. Neue Funktionen können Speicherzugriffe, Empfänger und Rechtsgrundlagen verändern. Deshalb muss die Verantwortung für technische Änderungen klar geregelt sein.

• Vor der Veröffentlichung: Führe eine technische Bestandsaufnahme, einen Test der Speicherzugriffe und die Abnahme aller Drittanbieter durch.
• Bei jeder Erweiterung: Prüfe Zweck, Anbieter, Datenarten, Speicherzugriffe, Empfänger und Hosting.
• Vor der Aktivierung: Entscheide, ob eine Einwilligung erforderlich ist und wie der Dienst bis dahin blockiert wird.
• Nach der Integration: Teste die Website mit einem frischen Browserprofil erneut.
• Dokumentation aktualisieren: Passe Datenschutzerklärung, Diensteliste und relevante Verträge an.
• Regelmäßig kontrollieren: Plane einen Datenschutz- und Technik-Audit als festen Wartungsschritt ein.
• Verantwortung benennen: Lege fest, wer neue Dienste freigibt und die technische Prüfung dokumentiert.

Bei unserer Website-Strategie und technischen Umsetzung behandeln wir Datenschutz nicht als nachträgliche Formalität. Die Auswahl eines Dienstes beeinflusst Datenschutz, Ladezeit, Abhängigkeiten, Wartungsaufwand und Datenhoheit gleichzeitig.

Fragen und Antworten

Ist Matomo ohne Cookie-Banner möglich?

Matomo kann in einer eingeschränkten und datensparsamen Konfiguration ohne vorherige Einwilligung in Betracht kommen. Entscheidend sind Cookies, IP-Verarbeitung, Hosting, aktivierte Funktionen, Datenverknüpfungen und Empfänger. Der Produktname allein beantwortet die Frage nicht.

Braucht Google Analytics eine Einwilligung?

Bei typischen Google-Analytics-Konfigurationen solltest Du von einer vorherigen Einwilligung ausgehen, insbesondere wenn Identifikatoren, geräteübergreifende Auswertungen oder Verknüpfungen mit Werbediensten eingesetzt werden. Maßgeblich sind das vollständige Setup und die geltenden nationalen Vorgaben.

Sind YouTube und Google Maps ohne Banner zulässig?

Ein normaler Link zu YouTube oder Google Maps ist technisch anders zu bewerten als eine direkt geladene Einbettung. Überträgt die Einbettung bereits beim Seitenaufruf Daten oder löst sie einwilligungspflichtige Speicherzugriffe aus, muss sie bis zur Freigabe blockiert oder durch eine lokale Alternative ersetzt werden.

Reichen lokale Schriftarten und EU-Hosting aus?

Nein. Lokale Schriftarten und EU-Hosting reduzieren bestimmte externe Datenflüsse, ersetzen aber nicht die Prüfung von Analyse, Formularen, Empfängern, Supportzugriffen und Drittanbietern. Der Serverstandort ist nur ein Teil der DSGVO-Bewertung.

Brauche ich ohne Cookie-Banner eine Datenschutzerklärung?

Ja. Auch eine datensparsame Website verarbeitet regelmäßig technische Daten über Hosting, Server-Protokolle, Sicherheitsmaßnahmen oder Kontaktformulare. Die Datenschutzerklärung muss diese Verarbeitungen verständlich und korrekt beschreiben.

Was passiert bei einem später eingebauten Marketingdienst?

Jede neue Integration kann die bisherige Bewertung verändern. Vor der Aktivierung musst Du Speicherzugriffe, Datenflüsse, Empfänger und Zweck prüfen und bei Bedarf einen wirksamen Einwilligungsprozess ergänzen.

Kann ein professionell gestaltetes Banner technisch fehlerhaft sein?

Ja. Ein Banner erfüllt seinen Zweck nicht, wenn einwilligungspflichtige Dienste bereits vorher laden, die Ablehnung unnötig erschwert wird oder die Auswahl technisch ohne Wirkung bleibt. Maßgeblich ist das Verhalten der Website.

Wer trägt die Verantwortung für die Website?

Die datenschutzrechtliche Verantwortung liegt grundsätzlich beim Verantwortlichen für die Verarbeitung, meist beim betreibenden Unternehmen. Entwickler, Hosting-Anbieter und weitere Dienstleister müssen ihre vertraglichen und technischen Pflichten erfüllen, übernehmen aber nicht automatisch die Gesamtverantwortung.

Ist eine Website ohne Cookie-Banner automatisch DSGVO-konform?

Nein. Ein fehlendes Banner sagt nichts über Informationspflichten, Formulare, Datensicherheit, Verträge, Löschfristen oder Betroffenenrechte aus. Die DSGVO-Konformität erfordert eine vollständige Bewertung aller Verarbeitungen.

Fazit: Website ohne Cookie-Banner planbar umsetzen

Wenn Du ein Cookie-Banner vermeiden möchtest, beginne bei den Diensten, Zwecken und Datenflüssen. Entferne unnötige Tracker, ersetze unkontrollierte Drittanbieter, nutze lokale Ressourcen und lade externe Inhalte nur kontrolliert.

btlabs Core schafft dafür eine datensparsame technische Grundlage. Ob eine Website ohne Cookie-Banner dauerhaft möglich bleibt, hängt von der konkreten Konfiguration und jeder späteren Erweiterung ab. Verarbeite deshalb nur Daten, die für einen nachvollziehbaren Zweck erforderlich sind und dem Betrieb sowie seinen Besuchern einen konkreten Nutzen bringen.

Quellen

1. Richtlinie 2002/58/EG, Art. 5 Abs. 3 — EUR-Lex (2002, geändert 2009)
2. § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz — Gesetze im Internet (aktuelle Fassung)
3. Garante per la protezione dei dati personali: Leitlinien zu Cookies und anderen Tracking-Instrumenten (2021)
4. European Data Protection Board: Guidelines 05/2021, Version 2.0 (2023)
5. CNIL: Matomo Analytics – Exemption, Guide de configuration (2023)