Ein Kunde ruft an, weil er in einem Newsletter gelesen hat, dass die Cookie-Banner „jetzt endlich abgeschafft" seien. Ob ihr das lästige Pop-up auf seiner Website nicht einfach entfernen könnt? Du weißt, dass die Sache komplizierter ist – aber wie erklärst du in zwei Minuten, warum der Banner bleibt, obwohl seit April 2025 eine Verordnung existiert, die genau das ändern sollte?
Genau diese Situation häuft sich 2026. Die Schlagzeile „Ende der Cookie-Banner" geistert seit Monaten durch die Fachpresse, und Kunden erwarten von dir eine klare Antwort. Für kleine Agenturen, die dutzende Kundenseiten betreuen, ist das keine akademische Frage: An jedem Banner hängt eine Einwilligung, ein Consent-Tool und ein Stück Haftungsrisiko. Dieser Beitrag ordnet ein, was die neue Einwilligungsverwaltung wirklich verändert hat, warum die Banner trotzdem bleiben – und wie du deinen Kunden eine belastbare Antwort gibst.
Was § 25 TDDDG für Cookie-Banner vorschreibt
Der Ausgangspunkt hat sich nicht geändert. Die rechtliche Grundlage für den Banner ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das im Mai 2024 aus dem früheren TTDSG hervorging – der Inhalt der Vorschrift blieb dabei gleich, wie e-recht24 zusammenfasst. Nach § 25 Abs. 1 TDDDG darf eine Website Informationen auf dem Gerät eines Nutzers speichern oder auslesen – also etwa Cookies setzen – nur mit dessen informierter Einwilligung.
Die einzige Ausnahme regelt § 25 Abs. 2: Ist der Zugriff „unbedingt erforderlich", um einen ausdrücklich gewünschten Dienst bereitzustellen, braucht es keine Einwilligung. Darunter fällt der Warenkorb im Shop oder ein Session-Cookie fürs Login – nicht aber Analyse-, Marketing- oder Tracking-Cookies. Und genau deshalb steht auf fast jeder Kundenseite ein Banner: Sobald Google Analytics, ein Meta-Pixel oder ein eingebettetes YouTube-Video im Spiel ist, verlangt das Gesetz eine aktive Zustimmung, bevor die Technik lädt.
An dieser Pflicht hat sich 2026 nichts geändert. Wer einem Kunden erzählt, der Banner sei jetzt optional, liegt falsch – die Einwilligung bleibt zwingend, nur die Art, wie sie eingeholt werden kann, hat eine neue Option bekommen.
Die Einwilligungsverwaltung: was die EinwV wirklich bringt
Diese neue Option heißt Einwilligungsverwaltung, im Fachjargon PIMS (Personal Information Management Services). Die Idee dahinter ist bestechend einfach: Statt auf jeder einzelnen Website erneut über Cookies zu entscheiden, hinterlegt der Nutzer seine Datenschutzpräferenzen zentral an einer Stelle – etwa im Browser oder über einen anerkannten Dienst. Ruft er dann eine Website auf, liest diese die gespeicherte Entscheidung aus, und der Banner entfällt.
Der Gesetzgeber hat dafür am 1. April 2025 die Einwilligungsverwaltungsverordnung (EinwV) in Kraft gesetzt. Sie legt fest, welche technischen und organisatorischen Anforderungen ein solcher Dienst erfüllen muss und wie er offiziell anerkannt wird. Der Kern: Ein Dienst zur Einwilligungsverwaltung muss nutzerfreundlich, wettbewerbsneutral und wirtschaftlich unabhängig von denjenigen sein, deren Cookies er verwaltet – er darf also kein verkapptes Werbenetzwerk sein. Die Prüfung übernehmen die Bundesnetzagentur und die Datenschutzaufsicht, wie der Händlerbund darlegt.
Entscheidend für die Praxis ist ein Wort: freiwillig. Die Teilnahme ist für beide Seiten optional. Kein Nutzer muss einen solchen Dienst verwenden, und keine Website muss ihn akzeptieren. Die EinwV schafft also keine neue Pflicht, sondern ein zusätzliches Angebot neben dem klassischen Banner.
Warum die Banner trotzdem bleiben
Genau hier zerbricht die Schlagzeile vom „Ende der Cookie-Banner" an der Realität. Damit die Vision funktioniert, müssten drei Dinge zusammenkommen: anerkannte Dienste, die es tatsächlich gibt; Nutzer, die sie flächendeckend einsetzen; und Website-Betreiber, die sie einbinden. Zwei Jahre nach dem Startschuss steht es an allen drei Fronten mau.
Der erste anerkannte Dienst überhaupt – das PIMS „Consenter" der Law & Innovation Technology GmbH – wurde erst am 17. Oktober 2025 von der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) offiziell anerkannt, das zugehörige Browser-Plugin startete Ende November 2025. Ein einziger Dienst, gerade erst live: Von einem funktionierenden Ökosystem ist das weit entfernt.
Noch grundlegender ist das Anreizproblem auf Betreiberseite. Solange die meisten Nutzer Cookie-Abfragen aus Bequemlichkeit ohnehin zustimmen, hat ein Website-Betreiber wenig Grund zu wechseln. Bindet er eine zentrale Einwilligungsverwaltung ein, in der der Nutzer Tracking generell abgelehnt hat, erhält er höchstwahrscheinlich deutlich weniger Einwilligungen als über einen klassischen Banner mit prominentem „Alle akzeptieren"-Button. Wer von Reichweiten-Daten und Werbe-Tracking lebt, wird diesen Tausch kaum freiwillig eingehen – ein Interessenkonflikt, den auch Juristinnen und Juristen als zentrale Schwäche des Modells benennen.
Für dich als Agentur heißt das nüchtern: Die Cookie-Banner-Pflicht bleibt 2026 der Normalfall, und die Einwilligungsverwaltung ist bis auf Weiteres ein spannendes Nischenthema, kein Ersatz. Wer heute Kundenseiten baut, plant den Banner ein – nicht dessen Abschaffung.
Was du deinen Kunden jetzt konkret rätst
Aus der Lage ergeben sich drei Botschaften, mit denen du im Kundengespräch souverän wirkst, statt der Newsletter-Schlagzeile hinterherzurennen.
Der Banner bleibt – aber er muss sauber sein
Die wichtigste Nachricht ist zugleich die unbequemste: Der Banner geht nicht weg, also muss er rechtssicher funktionieren. Das bedeutet vor allem, dass Ablehnen genauso einfach sein muss wie Zustimmen, dass keine Cookies vor der Einwilligung laden und dass die Einwilligung dokumentiert wird. Genau an diesen Punkten haken die meisten Beanstandungen der Aufsichtsbehörden – nicht am Banner an sich, sondern an manipulativen Gestaltungen, die die Ablehnung erschweren. Ein technisch sauberes Consent-Tool ist damit kein Nice-to-have, sondern die eigentliche Pflichtaufgabe.
Weniger ist oft mehr
Der beste Weg zu weniger Banner-Stress ist, weniger einwilligungspflichtige Technik einzusetzen. Jedes Third-Party-Skript, jeder externe Font, jedes eingebettete Video zieht eine Einwilligungspflicht nach sich. Wer stattdessen datensparsame Alternativen wählt – lokal gehostete Schriften, ein cookiefreies oder aggregiert messendes Analyse-Tool, selbst gehostete Einbettungen – reduziert die Zahl der Cookies und damit die Angriffsfläche für Beanstandungen. Das ist auch der Punkt, an dem sich der Kreis zum größeren Thema Datensouveränität schließt: Wo die Daten verarbeitet werden, entscheidet mit über das rechtliche Risiko, wie wir im Beitrag zu US-Cloud und DSGVO ausführlich beschrieben haben.
Die Einwilligungsverwaltung im Blick behalten – nicht überstürzt umsetzen
Die EinwV ist der Anfang einer Entwicklung, nicht ihr Ende. Es lohnt sich, das Thema zu kennen und Kunden zu erklären, dass zentrale Einwilligungsverwaltung kommen könnte – aber es lohnt sich nicht, jetzt Kundenseiten dafür umzubauen, solange es einen einzigen anerkannten Dienst und kaum Nutzer gibt. Die seriöse Beratung heißt hier: beobachten, einordnen, abwarten. Wer als Erster einen Kunden auf ein System umstellt, das kaum jemand nutzt, riskiert einbrechende Einwilligungsraten ohne erkennbaren Gegenwert.
Warum das ein Beratungsargument ist
Das Cookie-Recht wirkt wie lästige Pflichtarbeit – und genau darin liegt eine Chance für dich. Kunden sind verunsichert, lesen widersprüchliche Schlagzeilen und wünschen sich jemanden, der die Lage einordnet. Wenn du erklären kannst, warum der Banner bleibt, was die Einwilligungsverwaltung wirklich ist und welche datensparsamen Alternativen den Aufwand senken, bist du nicht der Dienstleister, der ein nerviges Pop-up einbaut, sondern der Berater, der Rechtssicherheit schafft.
Dieselbe Grundhaltung – nichts behaupten, was sich nicht belegen lässt – prägt auch verlässliche KI-Systeme: Ein guter Kunden-Chatbot antwortet nur, was er in den Inhalten des Kunden nachweisen kann, statt zu raten. Ob im Datenschutz oder in der KI, das Prinzip ist dasselbe: Vertrauen entsteht durch Nachprüfbarkeit.
Ein sauber umgesetztes Consent-Management, gepaart mit dem Blick auf datensparsame Technik, ist damit ein wiederkehrender Beratungsanlass – bei jedem Relaunch, bei jedem neuen Tracking-Wunsch, bei jeder Gesetzesänderung. Genau solche Themen tragen die Kundenbeziehung über Jahre.
Dieser Beitrag ordnet die Rechtslage journalistisch ein und ist keine Rechtsberatung. Ob und wie § 25 TDDDG oder die EinwV im Einzelfall greifen, klärst du am besten mit einer auf IT-Recht spezialisierten Kanzlei oder der zuständigen Datenschutzaufsicht.
- Die Cookie-Banner-Pflicht aus § 25 TDDDG gilt 2026 unverändert: Für Analyse-, Marketing- und Tracking-Cookies bleibt die aktive Einwilligung zwingend.
- Die Einwilligungsverwaltungsverordnung (EinwV) ist seit 1. April 2025 in Kraft, schafft aber nur ein freiwilliges Zusatzangebot – keine Ablösung des Banners.
- Erst am 17. Oktober 2025 wurde mit dem PIMS „Consenter“ der erste Dienst von der BfDI anerkannt; ein flächendeckendes Ökosystem fehlt bislang.
- Für Agenturen bleibt der rechtssichere Banner Pflichtaufgabe: Ablehnen so einfach wie Zustimmen, keine Cookies vor der Einwilligung, alles dokumentiert.
- Der wirksamste Hebel gegen Banner-Stress ist datensparsame Technik – weniger Third-Party-Skripte bedeuten weniger einwilligungspflichtige Cookies.