Technisch notwendige Cookies: Was zählt wirklich dazu?
Grundlagen
Kurz gesagt
Welche Cookies ohne Einwilligung gesetzt werden dürfen – und welche nicht.
Nach jedem Relaunch, nach Änderungen am Tag Manager, nach neuen Einbettungen und nach Plugin-Updates – bei aktiv gepflegten Seiten also eher monatlich als jährlich. Weil sich diese Anlässe schlecht planen lassen, ist eine automatische Wiederholungsprüfung mit Benachrichtigung in der Praxis verlässlicher als ein Termin im Kalender.
Der rechtliche Maßstab in einem Satz
§ 25 TDDDG (seit Mai 2024 der Nachfolger des TTDSG) verlangt für das Speichern von Informationen auf einem Endgerät grundsätzlich eine Einwilligung. Ausgenommen sind zwei Fälle: die reine Übertragung einer Nachricht über ein Telekommunikationsnetz und Cookies, die für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind. „Unbedingt erforderlich" wird dabei eng ausgelegt – Zweckmäßigkeit oder wirtschaftliches Interesse genügen nicht.
Wichtig: Die Regel gilt unabhängig davon, ob personenbezogene Daten verarbeitet werden und ob das Cookie von der eigenen oder einer fremden Domain kommt. Auch ein Erstanbieter-Analytics-Cookie ist einwilligungspflichtig.
Positivliste: in der Regel ohne Einwilligung zulässig
| Cookie-Typ | Beispiel | Warum notwendig |
|---|---|---|
| Session-Kennung | PHPSESSID, JSESSIONID | Ohne sie geht der Sitzungszustand verloren |
| Warenkorb | Shop-Session | Der gewünschte Dienst „Einkauf" bricht sonst ab |
| Login / Authentifizierung | Auth-Token | Der geschützte Bereich wäre nicht nutzbar |
| Sicherheit | CSRF-Token, Anmeldeversuchs-Zähler | Schutz der Funktion selbst |
| Lastverteilung | Load-Balancer-Cookie | Technischer Betrieb |
| Consent-Speicherung | Cookie des Banners | Ohne sie müsste bei jedem Aufruf neu gefragt werden |
| Nutzereinstellung | Sprache, Währung, Barrierefreiheitsmodus | Vom Nutzer selbst ausgelöst |
| Formularzustand | Mehrstufige Formulare, Buchungsstrecken | Der Vorgang wäre sonst nicht abschließbar |
Auch bei diesen Cookies gilt: Die Laufzeit sollte zum Zweck passen. Ein Consent-Cookie mit sechs oder zwölf Monaten ist üblich, ein „notwendiges" Cookie mit zwei Jahren Laufzeit ist ein Anlass zum Nachfragen.
Negativliste: einwilligungspflichtig
- Webanalyse – Google Analytics, aber ebenso selbst gehostete Lösungen, sofern sie wiedererkennende Kennungen speichern
- Marketing und Retargeting – Meta-Pixel, Google Ads, TikTok, LinkedIn, Microsoft Ads
- A/B-Tests und Personalisierung – Optimierung nützt dem Betreiber, nicht dem Besuch
- Conversion-Tracking jeder Art, auch serverseitig umgesetzt
- Affiliate-Tracking
- Heatmaps und Session Recording – hier kommt regelmäßig noch die Frage der Datenschutz-Folgenabschätzung hinzu
- Eingebettete Videos und Karten, solange sie ohne Zutun laden
Die Grenzfälle, über die am häufigsten gestritten wird
Reichweitenmessung. Anonyme, rein statistische Messung ohne geräteübergreifende Wiedererkennung wird von einzelnen Aufsichtsbehörden milder beurteilt als klassisches Analytics. Wer sich darauf stützt, muss die Konfiguration allerdings sehr genau dokumentieren – und Standardinstallationen erfüllen die Voraussetzungen selten.
reCAPTCHA und Bot-Schutz. Spam-Schutz an einem Kontaktformular lässt sich als Bestandteil der gewünschten Funktion argumentieren. Der Dienst überträgt dabei aber Daten an einen Drittanbieter, was zusätzlich zu bewerten ist. Alternativen wie Honeypot-Felder umgehen die Frage vollständig.
Schriften und Bibliotheken vom CDN. Werden Google Fonts oder jQuery von einem externen Server geladen, ist das kein Cookie-, aber ein Datenübermittlungsproblem. Lokale Einbindung löst es sauber – und ist obendrein schneller.
Zahlungs- und Betrugsprävention. Im Checkout regelmäßig als erforderlich einzustufen, auf der Startseite dagegen nicht. Der Kontext entscheidet.
Bewertungssiegel und Chat-Widgets. Werden gern als „Service" eingeordnet, laden aber Drittanbieter-Code beim Seitenaufruf. Sinnvoller Umgang: erst nach Einwilligung oder per Klick-Platzhalter.
Der häufigste Fehler in der Praxis
Nicht die falsche Rechtsauffassung, sondern die ungeprüft übernommene Voreinstellung: Viele Consent-Management-Plattformen kategorisieren gefundene Cookies automatisch vor. Landet dabei ein Marketing-Cookie in der Kategorie „Notwendig", wird es folgerichtig nie blockiert – auch dann nicht, wenn der Besucher ablehnt. Von außen sieht das aus wie ein Blocking-Fehler, in Wahrheit ist es eine Konfigurationsfrage.
Deshalb lohnt sich beides: die Kategorienliste im eigenen Tool einmal durchgehen und unabhängig messen, was im Browser tatsächlich passiert. Nur die Messung von außen zeigt auch die Cookies, die das Consent-Tool gar nicht kennt.
Prüfen statt schätzen
Cookienator lädt jede Seite in einem echten Headless-Chrome und erfasst alle gesetzten Cookies mit Herkunft, Kategorie und Laufzeit – in drei Phasen: vor der Einwilligung, nach „Ablehnen" und nach „Akzeptieren". Damit siehst du auf einen Blick, welche Cookies deine Seite ohne jede Einwilligung setzt und ob deren Zweck die Ausnahme in § 25 TDDDG überhaupt trägt. Der Free-Tarif prüft die Startseite kostenlos; die bezahlten Tarife wiederholen die Prüfung automatisch und melden sich, wenn sich etwas ändert – etwa weil ein neues Tool eingebunden wurde, dessen Cookies noch niemand kategorisiert hat.
FAQ
Häufige Fragen
Solche, die für den vom Besucher ausdrücklich gewünschten Dienst unbedingt erforderlich sind – typischerweise Session-, Warenkorb-, Login-, Sicherheits- und Lastverteilungs-Cookies sowie das Cookie, in dem die Consent-Entscheidung gespeichert wird.
Nein. Ob ein Cookie einwilligungspflichtig ist, hängt vom Zweck ab, nicht davon, wer es setzt. Auch ein Analyse-Cookie der eigenen Domain braucht eine Einwilligung.
n der Standardkonfiguration nicht. Google Analytics setzt wiedererkennende Cookies zu Analysezwecken und fällt damit nicht unter die Ausnahme für unbedingt erforderliche Cookies.
Vergleiche die Kategorienliste im Tool mit dem, was im Browser tatsächlich vor der Einwilligung gesetzt wird. Taucht dort ein Cookie auf, das du nicht als notwendig erklären könntest, stimmt die Kategorisierung nicht.
Nachgekaut