Messen ohne Cookie-Frust: Wie Unternehmen ihre Website auswerten, ohne Besucher zu vergraulen oder Bußgelder zu riskieren

Seit dem 1. Dezember 2021 regelt in Deutschland ein eigenes Gesetz, wann Websites Informationen auf den Geräten ihrer Besucher speichern oder dort auslesen dürfen. Seit dem 14. Mai 2024 heißt es Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG); inhaltlich blieb die zentrale Vorschrift gleich. [1] Nach § 25 TDDDG ist dafür grundsätzlich eine Einwilligung nötig – es sei denn, der Zugriff ist unbedingt erforderlich, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. [2] Das betrifft nicht nur Cookies, sondern jede Form des Speicherns auf dem Endgerät und des Zugriffs darauf.

Die Rechtsprechung hat den Rahmen geschärft. Der Europäische Gerichtshof entschied am 1. Oktober 2019, dass ein bereits angekreuztes Kästchen keine wirksame Einwilligung ist, [3] der Bundesgerichtshof folgte dem im Mai 2020. [4] Die Datenschutzaufsichtsbehörden von Bund und Ländern haben ihre Erwartungen in einer Orientierungshilfe für Anbieter digitaler Dienste zusammengefasst. Danach ist eine Einwilligung regelmäßig nicht freiwillig, wenn das Ablehnen mehr Aufwand macht als das Zustimmen, etwa weil es erst auf einer zweiten Ebene des Banners möglich ist. [5] Für alles, was mit den erhobenen personenbezogenen Daten anschließend geschieht, gilt die Datenschutz-Grundverordnung.

Neu ist seit dem 1. April 2025 die Einwilligungsverwaltungsverordnung. Sie regelt anerkannte Dienste, bei denen Nutzer ihre Entscheidungen zentral hinterlegen können. Websitebetreiber dürfen solche Dienste freiwillig einbinden, bleiben für eine wirksame Einwilligung aber selbst verantwortlich. [6]

Für Unternehmen hat das Einwilligungsbanner eine unangenehme Nebenwirkung: Wer ablehnt, taucht in den Auswertungen nicht auf. Wie groß dieser Effekt sein kann, zeigte schon 2019 eine Feldstudie der Ruhr-Universität Bochum mit mehr als 80.000 Besuchern einer deutschen Website. Je mehr echte Wahlmöglichkeiten ein Banner bot, desto häufiger lehnten Besucher ab; ohne vorausgewählte Zustimmung erlaubten weniger als 0,1 Prozent Cookies für alle Zwecke. [7] Die Zahlen werden also lückenhaft, und zwar nicht zufällig – wer bewusst ablehnt, verhält sich womöglich anders als jemand, der alles akzeptiert.

Dazu kommt der Eindruck beim Besucher. Ein Banner, das beim ersten Besuch die halbe Seite verdeckt, ist kein guter Start für eine Geschäftsbeziehung. Die Frage lautet deshalb nicht nur „Wie bekomme ich die Einwilligung?“, sondern auch „Welche Daten brauche ich wirklich?“. Für viele mittelständische Websites genügen wenige Kennzahlen: Wie viele Besucher kommen, über welche Wege, welche Seiten lesen sie, und wie viele davon fragen an?

Wie viel Messung nötig ist, entscheidet sich für Christos Papadopoulos am Zweck und nicht an den Möglichkeiten der Werkzeuge.

In der Agenturpraxis hat sich ein zweistufiges Vorgehen bewährt. Die Grundmessung wird so datensparsam wie möglich aufgesetzt: Analyse-Software auf eigenen Servern oder bei einem Anbieter mit Serverstandort in der EU, gekürzte IP-Adressen, kurze Speicherfristen, keine Weitergabe an Dritte. Ob eine solche Messung ohne Einwilligung auskommt, hängt von der konkreten Technik ab, vor allem davon, ob dabei Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Das sollte jedes Unternehmen mit seinem Datenschutzbeauftragten klären, statt sich auf Werbeversprechen von Software-Anbietern zu verlassen.

Alles, was darüber hinausgeht – Werbe-Tracking, Remarketing, eingebettete Videos und Karten von Drittanbietern –, läuft nur mit Einwilligung, und Ablehnen muss so einfach sein wie Zustimmen. Wichtig ist die Dokumentation: Welche Dienste laufen, zu welchem Zweck, mit welchem Vertrag zur Auftragsverarbeitung, und wo steht das in der Datenschutzerklärung? Art. 28 DSGVO verlangt, dass ein solcher Vertrag unter anderem Gegenstand, Dauer, Zweck und Art der Daten festlegt und dass der Dienstleister nur auf dokumentierte Weisung arbeitet. [8] Ändert sich etwas an der Website, wird die Liste mitgepflegt.

„Die meisten Unternehmen messen zu viel und schauen zu wenig hin. Lieber wenige Zahlen sauber und datenschutzfreundlich erheben und jeden Monat ernsthaft auswerten, als zwanzig Werkzeuge einzubauen, deren Daten niemand nutzt.“
— Christos Papadopoulos, Geschäftsführer AWEOS GmbH

Sebastian Meiners nutzt Webanalyse, um Inhalte und Werbung seines Unternehmens zu bewerten, und hat in seinem Betrieb eine KI-Assistentin eingeführt.

Für Sebastian Meiners gehört der Datenschutz vom ersten Tag an zu jedem Digitalprojekt – bei der Website genauso wie bei der Einführung von KI im eigenen Betrieb. Sein Grundsatz aus der Arbeit mit seiner digitalen Assistentin gilt auch hier: Systeme bekommen nur die Daten, die sie für ihre Aufgabe brauchen, und Entscheidungen trifft ein Mensch auf Grundlage von Zahlen, die er versteht.

Dabei warnt er davor, einzelnen Kennzahlen blind zu vertrauen. Besucherzahlen aus der Webanalyse, Vorgänge im CRM und Rückmeldungen aus dem Vertrieb erzählen jeweils nur einen Teil der Geschichte. Erst nebeneinandergelegt zeigen sie, ob eine neue Fachseite oder eine Kampagne tatsächlich wirkt oder ob sich nur die Zählweise geändert hat. Wer etwa Anfragen konsequenter erfasst als früher, sieht automatisch mehr davon, ohne dass die Website besser geworden sein muss.

„Ich will nicht wissen, was jeder einzelne Besucher macht. Ich will wissen, welche Inhalte zu Anfragen führen. Dafür brauche ich keine Totalüberwachung, sondern ehrliche Zahlen und jemanden, der sie mit mir einordnet.“
— Sebastian Meiners, Geschäftsführer m.i.b GmbH

Die Datenschutzerklärung ist kein Pflichttext, den man einmal abschreibt. Sie muss beschreiben, welche Daten zu welchen Zwecken auf welcher Rechtsgrundlage verarbeitet werden, wer sie erhält, wie lange sie gespeichert werden und welche Rechte Besucher haben. Wird ein neues Werkzeug eingebaut, gehört die Datenschutzerklärung zum selben Arbeitsauftrag. Ein Abgleich einmal im Jahr – Welche Dienste laufen tatsächlich? Stimmt die Erklärung noch? – verhindert, dass sich über die Jahre Altlasten ansammeln.

Praxis-Kasten: Fünf Fragen an Ihre Webanalyse

1. Welche fünf Kennzahlen brauchen Sie wirklich, um Inhalte und Werbung zu bewerten – und wer schaut sie sich monatlich an?
2. Welche Dienste speichern oder lesen Informationen auf den Geräten Ihrer Besucher, und für welche holen Sie eine Einwilligung ein?
3. Ist Ablehnen in Ihrem Banner so einfach wie Zustimmen?
4. Gibt es für jeden externen Dienst einen Vertrag zur Auftragsverarbeitung und einen passenden Abschnitt in der Datenschutzerklärung?
5. Haben Sie die Lösung mit Ihrem Datenschutzbeauftragten abgestimmt und das Ergebnis dokumentiert?

Christos Papadopoulos ist Gründer und Geschäftsführer der AWEOS GmbH in Solingen. Er baut seit seinem 18. Lebensjahr Websites und gründete die Agentur 2014 während seines dualen Studiums im Marketing Management an der IUBH in Düsseldorf (heute IU Internationale Hochschule), das er mit dem Bachelor of Arts abschloss; seit 2017 ist sie eine GmbH. Heute entwickelt AWEOS für mittelständische Unternehmen, Praxen und Kanzleien Websites, Online-Shops und Webanwendungen, betreut Suchmaschinenoptimierung und Suchmaschinenwerbung und setzt Automatisierungen um. Papadopoulos bildet den Nachwuchs selbst aus; das Ausbildungskonzept der Agentur wurde 2022 mit dem IHK-Bildungspreis ausgezeichnet, 2025 zählten Capital und Statista AWEOS zu den innovativsten Unternehmen Deutschlands. Seine Schwerpunkte sind Websites als Vertriebskanal, Suchmaschinenwerbung und Automatisierung mit KI.

Sebastian Meiners ist Geschäftsführer der m.i.b GmbH in Solingen. Das Unternehmen plant, liefert und installiert seit mehr als 20 Jahren Digital-Signage-Lösungen wie LED-Wände, Großmonitore, Stelen und Terminals und entwickelt inzwischen auch Software- und KI-Lösungen. Der studierte Wirtschaftsinformatiker verantwortet Vertrieb und Entwicklung und begleitet als Auftraggeber die Website-, Shop- und Marketingprojekte seines Unternehmens. Seit September 2026 arbeitet er im Tagesgeschäft mit einer KI-Assistentin, die E-Mails vorsortiert, Entwürfe vorbereitet und Daten in CRM und Warenwirtschaft pflegt – nach dem Grundsatz: Die KI bereitet vor, der Mensch entscheidet.

1. Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), Gesamtausgabe mit Fußnoten (Inkrafttreten 01.12.2021; Bezeichnung seit 14.05.2024 durch Art. 8 G v. 06.05.2024, BGBl. 2024 I Nr. 149); ergänzend DSK, OH Digitale Dienste, Rn. 4–6. https://www.gesetze-im-internet.de/ttdsg/BJNR198210021.html (abgerufen am 16.10.2026)
2. § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen, Gesetzestext, Stand: zuletzt geändert durch Art. 3 G v. 10.03.2026. https://www.gesetze-im-internet.de/ttdsg/__25.html (abgerufen am 16.10.2026)
3. Gerichtshof der Europäischen Union: Pressemitteilung Nr. 125/19 vom 01.10.2019 zum Urteil C-673/17 (Planet49). https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125de.pdf (abgerufen am 16.10.2026)
4. Bundesgerichtshof: Pressemitteilung Nr. 067/2020 vom 28.05.2020 zum Urteil I ZR 7/16 (Cookie-Einwilligung II). https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2020/2020067.html (abgerufen am 16.10.2026)
5. Datenschutzkonferenz (DSK): Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2, Stand November 2024, Rn. 58–60 und 124–125. https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf (abgerufen am 16.10.2026)
6. Einwilligungsverwaltungsverordnung (EinwV) vom 06.02.2025 (BGBl. 2025 I Nr. 32), in Kraft seit 01.04.2025, §§ 1, 8, 18. https://www.gesetze-im-internet.de/einwv/BJNR0200B0025.html (abgerufen am 16.10.2026)
7. Christine Utz, Martin Degeling, Sascha Fahl, Florian Schaub, Thorsten Holz (Ruhr-Universität Bochum u. a.): (Un)informed Consent: Studying GDPR Consent Notices in the Field, ACM CCS 2019, DOI 10.1145/3319535.3354212. https://arxiv.org/abs/1909.02638 (abgerufen am 16.10.2026)
8. Verordnung (EU) 2016/679 (DSGVO), Art. 28 Auftragsverarbeiter (Textausgabe; amtlich ABl. L 119 vom 04.05.2016). https://dsgvo-gesetz.de/art-28-dsgvo/ (abgerufen am 16.10.2026)

Hinweis: Dieser Beitrag dient der allgemeinen Information. Er ersetzt keine Rechts- oder Datenschutzberatung im Einzelfall; genannte Rechtsstände mit Stand-Datum.