# DSGVO ohne Cookie-Banner Viele Websites brauchen keinen Cookie-Banner. Wie Sie mit der richtigen Technik DSGVO-konform bleiben — ohne nervige Consent-Dialoge. **Quelle:** https://blitzsicht.com/blog/dsgvo-ohne-cookie-banner/ **Autor:** Johannes Gottl · Blitzsicht, Regensburg **Veröffentlicht:** 2026-05-27 **Lesezeit:** 10 Minuten --- ## Kurz gesagt Ein Cookie-Banner ist keine DSGVO-Pflicht. Er wird nötig, weil auf der Website Tools laufen, die ohne Einwilligung nicht laufen dürfen. Wer cookielos misst (etwa mit Plausible), Schriften selbst hostet und Formulare über den eigenen Server schickt, braucht keinen Banner. Die häufigsten Auslöser sind Google Analytics, eingebettete Karten und Videos sowie Google Fonts vom fremden Server. Ein Cookie-Banner ist kein Qualitätsmerkmal. Es ist ein Symptom. Wenn Ihre Website einen dieser aufdringlichen Consent-Dialoge zeigt, heißt das nicht, dass Sie DSGVO-konform sind — es heißt, dass Sie Tools eingebaut haben, die ohne Einwilligung nicht laufen dürfen. Das Banner ist der Notausgang. Wer von Anfang an die richtigen Entscheidungen trifft, braucht diesen Notausgang nicht. Dieser Artikel erklärt, warum eine Website rechtlich **kein** Cookie-Banner braucht, welche Tracking-Technologien das ermöglichen, und was die häufigsten Fehler sind, die Handwerker- und KMU-Websites in die Mahn-Falle treiben. --- ## Warum der Cookie-Banner überhaupt existiert Die meisten Menschen denken, der Cookie-Banner sei eine DSGVO-Pflicht. Das ist falsch. ![Smartphone mit einer Website, die von einem großen Einwilligungsdialog verdeckt wird](/images/blog/dsgvo-ohne-cookie-banner/handy-einwilligungsdialog.webp "Symbolbild, KI-generiert") Die DSGVO verlangt eine **Einwilligung für die Verarbeitung personenbezogener Daten**, wenn es dafür keine andere Rechtsgrundlage gibt. Ein Cookie-Banner ist eine Möglichkeit, diese Einwilligung einzuholen. Er ist aber nur dann nötig, wenn Sie Daten verarbeiten, die a) personenbezogen sind und b) keine andere Rechtsgrundlage haben. Konkret: Wenn Sie Google Analytics auf Ihrer Website einbinden, speichert Google eine eindeutige User-ID im Browser (Cookie), überträgt Ihre IP-Adresse und Ihr Verhalten an Google-Server in den USA, und baut ein Profil auf. Das ist Verarbeitung personenbezogener Daten ohne berechtigtes Interesse — also brauchen Sie eine Einwilligung. Also brauchen Sie einen Banner. Wenn Sie Google Analytics **nicht** einbinden, entfällt das Problem an der Wurzel. Das klingt trivial. Es ist es auch — und trotzdem bauen 80 % der kleinen Unternehmenswebsites in Deutschland reflexartig Google Analytics ein, weil "das halt alle machen". --- ## Was ein Cookie-Banner wirklich kostet Bevor wir zu den Alternativen kommen, lohnt sich ein kurzer Blick auf die tatsächlichen Kosten eines falsch konfigurierten Banners: ![Person auf dem Sofa tippt am Handy ungeduldig einen Dialog weg](/images/blog/dsgvo-ohne-cookie-banner/dialog-wegtippen.webp "Symbolbild, KI-generiert") **Konversions-Verlust:** Studien zeigen, dass 30–50 % der Besucher Cookie-Banner ablehnen oder ignorieren. Das bedeutet: Wenn Sie Analytics-Einwilligung brauchen, messen Sie nur noch die Hälfte Ihrer Besucher. Ihre Daten sind strukturell verzerrt — und Sie wissen nicht, ob eine Kampagne gut läuft oder ob die Opt-in-Rate gesunken ist. **Rechtliches Risiko durch falsche Konfiguration:** Ein Cookie-Banner, der opt-out statt opt-in fordert (also Checkboxen vorausgefüllt hat), oder der Tracking startet bevor der Nutzer zugestimmt hat, ist **illegaler als gar kein Banner**. Wir sehen in unseren [Website-Audits](/website-audit/) regelmäßig Websites, die glauben, mit einem Banner abgesichert zu sein — in Wirklichkeit haben sie ein rechtlich angreifbares Setup. **Performance:** Cookie-Banner laden JavaScript, verursachen Layout-Shifts, und erhöhen die Zeit bis zum ersten nutzbaren Inhalt. Das schadet dem [Lighthouse-Score](/so-funktionierts/) und damit dem Google-Ranking. Ein Banner, der nicht nötig ist, ist also nicht nur unnötig — er schadet aktiv. --- ## Die DSGVO-Wahrheit über Cookies Nicht alle Cookies brauchen Einwilligung. Die Kategorisierung ist wichtig: ### Technisch notwendige Cookies — keine Einwilligung nötig Diese Cookies dürfen gesetzt werden, ohne dass der Nutzer zustimmt: - **Session-Cookies** für eingeloggte Bereiche (falls Sie einen Login haben) - **Warenkorb-Cookies** bei Shops - **Load-Balancer-Cookies** (technische Infrastruktur) - **CSRF-Schutz-Cookies** (Sicherheit vor Cross-Site-Request-Forgery) Begründung: Sie sind für die Funktion der Website zwingend notwendig. Rechtsgrundlage ist das **berechtigte Interesse** nach Art. 6 Abs. 1 lit. f DSGVO. ### Cookies für Analytics, Tracking, Werbung — Einwilligung zwingend - Google Analytics / GA4 - Facebook Pixel - Google Ads Conversion-Tracking - Hotjar - Microsoft Clarity - Affiliate-Tracking Alle Tools, die User-Verhalten aufzeichnen, Geräte wiedererkennen oder Daten mit Drittparteien teilen, brauchen **aktive, informierte Einwilligung vor dem Setzen des Cookies**. ### First-Party-Analytics ohne Einwilligung — der goldene Mittelweg Es gibt Analytics-Tools, die **ohne Einwilligung** und **ohne Cookie-Banner** betrieben werden können, weil sie keine personenbezogenen Daten verarbeiten. Dazu kommen wir im nächsten Abschnitt. --- ## Plausible Analytics: Wie wir messen, ohne zu verfolgen Alle Blitzsicht-Kundensites laufen mit [Plausible Analytics](https://plausible.io) — einem Open-Source-Analytics-Tool, das von einem kleinen europäischen Team entwickelt wird und explizit als "cookie-free, GDPR-compliant" gebaut wurde. ![Tablet mit einem schlichten Balkendiagramm als Bild für eine Besucherstatistik ohne Cookies](/images/blog/dsgvo-ohne-cookie-banner/tablet-balkendiagramm.webp "Symbolbild, KI-generiert") Was Plausible anders macht: **Kein Cookie.** Plausible setzt keinen Browser-Cookie und kein Local Storage. Stattdessen wird eine anonyme Aggregation über eine Kombination aus IP-Hash, User-Agent und Datum erstellt — kein individueller Fingerprint, keine User-ID. Die Hash-Methode ist so gestaltet, dass dieselbe Person am nächsten Tag als neuer Besucher zählt. **Keine IP-Speicherung.** IPs werden gehasht und sofort verworfen — sie landen nicht in einer Datenbank. Damit gibt es keine Möglichkeit, rückwirkend einzelne Besucher zu identifizieren. **EU-Server.** Plausible-Daten liegen auf Servern in der EU (aktuell Deutschland/Österreich). Kein Transfer in die USA, kein Schrems-II-Problem. **Ergebnis:** Keine Einwilligung nötig, kein Cookie-Banner nötig. Die Datenschutzbehörden Bayern (BayLfD) und mehrere andere Landesbehörden haben ähnliche First-Party-Ansätze explizit als einwilligungsfrei eingestuft. Was Sie stattdessen in Plausible sehen: Seitenaufrufe, Unique-Besucher, Herkunftsländer, Gerätetypen, Referrer-Quellen, Top-Seiten, Absprungraten — alles ohne Namen, ohne IPs, ohne Tracking-Profile. Für die meisten KMU-Betreiber sind das die einzigen Zahlen, die wirklich entscheidungsrelevant sind. --- ## Google Fonts: Das unterschätzte DSGVO-Risiko Neben Analytics ist Google Fonts der zweithäufigste DSGVO-Stolperstein auf kleinen Unternehmenswebsites — und einer der am wenigsten bekannten. ![Alter Setzkasten aus Holz als Bild für die Schriften, die eine Website nachlädt](/images/blog/dsgvo-ohne-cookie-banner/setzkasten.webp "Symbolbild, KI-generiert") Wenn Ihre Website Fonts direkt von `fonts.googleapis.com` lädt, sendet der Browser Ihrer Besucher die **IP-Adresse** an Google-Server — ohne deren Wissen und ohne Einwilligung. Im Januar 2022 hat das Landgericht München eine Website-Betreiberin zu 100 € Schadensersatz + Unterlassung verurteilt, weil sie Google Fonts nicht-DSGVO-konform eingebunden hatte. Der Richter stellte klar: Die IP-Adresse ist ein personenbezogenes Datum. Die Übertragung an Google ohne Rechtsgrundlage ist eine DSGVO-Verletzung. Betroffene können Schadensersatz geltend machen. Die Lösung ist einfach — aber sie erfordert, dass man es bewusst tut: 1. **Self-Hosting:** Fonts als Dateien direkt ins eigene Hosting laden. Google-Call entfällt vollständig. 2. **System-Fonts:** Statt externen Fonts auf systemnahe Schriften setzen (z.B. -apple-system, Segoe UI, Roboto — je nach Betriebssystem). Kein externer Request, kein Datenschutz-Problem, messbar schnellere Ladezeiten. Alle [Blitzsicht-Pakete](/pakete/) verwenden System-Font-Stacks. Google Fonts werden nie von externen CDNs geladen. Das ist Pflicht, nicht Option. --- ## Das vollständige "Banner-freie" Tech-Stack Hier ist das genaue Setup, mit dem eine KMU-Website ohne Cookie-Banner auskommt und trotzdem alle relevanten Daten hat: ![Startseite von blitzsicht.com auf dem Handy, beim ersten Aufruf ohne Cookie-Banner](/images/blog/dsgvo-ohne-cookie-banner/screenshot-startseite-ohne-banner.webp "Screenshot: blitzsicht.com, September 2026") ### Analytics - **Plausible Analytics** (statt Google Analytics) - Aggregiert, kein Cookie, EU-Hosting - Rechtsbasis: keine Einwilligung nötig ### Fonts - **System-Font-Stack** oder selbst gehostete Schriften - Kein externer Request, kein IP-Transfer - Bonus: Seiten laden 50–200 ms schneller (keine Font-Blocking-Anfrage) ### Formulare - **Serverseitiges Formular** mit SMTP (kein Formular-SaaS) - Alternativ: Resend, Postmark — EU-konformes Transactional-Email - Kein Facebook-Pixel im Submit-Handler, kein Google-Tag-Manager-Event ### Karten - **Kein eingebettetes Google Maps iFrame** in der Standardansicht - Stattdessen: statisches Kartenbild + klickbarer Link zu Google Maps - Das iFrame überträgt IPs an Google beim Laden der Seite — kein Einwilligungs-Problem mehr, wenn die Karte erst nach Klick geladen wird (Two-Click-Lösung) ### Videos - **Kein YouTube-Autoplay-iFrame** - Stattdessen: Vorschaubild + klickbarer Play-Button (Thumbnail lokal gehostet) - YouTube setzt beim Laden des iFrame sofort Tracking-Cookies — Two-Click-Lösung löst das ### Keine Third-Party-Scripts - Kein Google Tag Manager - Kein Facebook Pixel - Kein Intercom/HubSpot-Chat-Widget (ohne Einwilligung) - Kein Affiliate-Tracking-Code Mit diesem Stack: **kein Banner nötig**. Alle genutzten Technologien verarbeiten entweder keine personenbezogenen Daten oder haben eine eindeutige berechtigte Rechtsgrundlage. --- ## Was ist mit Kontaktformularen? Kontaktformulare sind ein Sonderfall — sie verarbeiten eindeutig personenbezogene Daten (Name, E-Mail, Inhalt der Anfrage). Aber hier greift eine andere Rechtsgrundlage: **Vertragsanbahnung** (Art. 6 Abs. 1 lit. b DSGVO). Wenn jemand ein Kontaktformular ausfüllt, initiiert er selbst eine Kontaktaufnahme mit dem Ziel, eine geschäftliche Beziehung anzubahnen. Die Verarbeitung der eingegebenen Daten ist für den Zweck notwendig und damit ohne separate Einwilligung erlaubt. Was trotzdem in der Datenschutzerklärung stehen muss: - Welche Daten verarbeitet werden (Name, E-Mail, Nachricht) - Zu welchem Zweck (Beantwortung der Anfrage) - Wie lange sie gespeichert werden (Empfehlung: nach Abschluss des Anliegens, max. 3 Jahre) - Wer die Daten verarbeitet (Sie als Betreiber, ggf. E-Mail-Hosting-Provider) Das ist Datenschutzerklärung-Arbeit — kein Cookie-Banner-Problem. --- ## Die häufigsten Fehler, die den Banner erzwingen In unseren [Website-Audits](/website-audit/) sehen wir diese Muster regelmäßig: ![Ein Briefumschlag auf dem Schreibtisch einer Werkstatt als Bild für eine Abmahnung](/images/blog/dsgvo-ohne-cookie-banner/briefumschlag-werkstatt.webp "Symbolbild, KI-generiert") **Fehler 1: Google Analytics "weil alle es nutzen"** GA4 ist das meistgenutzte Analytics-Tool weltweit. Es ist auch eines der DSGVO-riskantesten, weil Google die Daten für eigene Zwecke nutzen kann und eine US-Übertragung stattfindet. Österreichische und französische Datenschutzbehörden haben GA4 als DSGVO-widrig eingestuft, wenn kein US-Transfer-Vertrag vorhanden ist. Die meisten KMU-Betreiber wissen davon nichts — und ihr Webdesigner hat GA4 ohne Erklärung eingebaut, weil es "Standard" ist. **Fehler 2: Eingebettete Google Maps ohne Two-Click** Ein eingebettetes Google Maps iFrame auf der Kontaktseite lädt beim Seitenaufruf sofort — und überträgt sofort die IP an Google. Viele Datenschutzerklärungen erwähnen Google Maps, aber das reicht nicht als Einwilligung. Lösung: Statisches Kartenbild (Screenshot), das nach Klick die echte Maps-Seite öffnet. Oder: Two-Click-Embed (Overlay mit "Karte laden"-Button). **Fehler 3: YouTube-Videos im Autoplay-Modus** YouTube-iFrames setzen sofort Cookies — auch ohne dass der Nutzer Play drückt. Die erweiterte Datenschutz-URL (`youtube-nocookie.com`) reduziert das, löst es aber nicht vollständig. **Fehler 4: Falsche Cookie-Banner-Konfiguration als Scheinlösung** Manche Betreiber installieren ein Cookie-Banner, konfigurieren es aber so, dass Google Analytics schon beim Laden startet — bevor der Nutzer geklickt hat. Das ist schlechter als kein Banner: Es dokumentiert eine Einwilligungspflicht und verletzt sie gleichzeitig. **Fehler 5: Google Fonts direkt von CDN** Wie oben beschrieben: LG München 2022. Die Lösung ist self-hosting — nicht ein Banner. --- ## Was rechtssichere DSGVO-Konformität in der Praxis bedeutet Ein rechtssicheres Setup ist keine Checkliste, die man einmalig abarbeitet und vergisst. Es ist ein laufender Zustand, den man pflegt. Was das für KMU-Websites konkret bedeutet: **Technischer Zustand:** - Monatlicher Compliance-Scan mit automatisierten Tools (wir setzen ein eigenes System mit 82+ Prüfpunkten ein) - Prüfung nach jedem größeren Update, ob neue Third-Party-Scripts eingebaut wurden - SSL-Zertifikat läuft nie ab (bei Vercel-Hosting: automatisch) **Rechtlicher Zustand:** - Datenschutzerklärung aktuell zu den eingesetzten Tools - Impressum vollständig nach §5 DDG (Pflichtangaben: Name + Adresse + E-Mail) - Datenschutzerklärung nach jeder Tool-Änderung aktualisieren **Organisatorischer Zustand:** - Wenn Sie einen Wartungs-Retainer haben: fragen Sie explizit, ob DSGVO-Compliance im Scope ist - Wenn Sie Ihre Site selbst pflegen: stellen Sie sicher, dass keine neuen Tools ohne DSGVO-Prüfung eingebaut werden (z.B. kein Facebook-Pixel auf Empfehlung einer Marketing-Agentur, ohne Datenschutzanpassung) --- ## Ein Satz zur Abmahngefahr Ja, DSGVO-Abmahnungen existieren. Die Rechtslage ist komplex: Abmahnungen durch Mitbewerber wegen DSGVO sind seit der UWG-Reform 2021 eingeschränkt, aber nicht ausgeschlossen. Abmahnungen durch betroffene Nutzer (Schadensersatzklagen) sind rechtlich möglich und nehmen zu — insbesondere bei Google-Fonts-Fällen. Das größte Risiko liegt nicht in der Abmahnung selbst, sondern im Zeitaufwand und den Anwaltskosten, die entstehen, wenn man auf eine Abmahnung reagieren muss — auch wenn man Recht hat. Prävention ist billiger als Reaktion. Eine rechtssicher aufgebaute Website, die von Anfang an ohne problematische Third-Party-Tools gebaut wird, hat dieses Risiko nicht. --- ## Was das für Ihren Betrieb bedeutet Wenn Ihre Website gerade einen Cookie-Banner zeigt, ist das kein Weltuntergang — aber es ist ein Hinweis, dass das technische Setup verbesserungswürdig ist. Drei Optionen: **Option 1: Status quo + Banner korrekt konfigurieren** Wenn Sie Google Analytics, Facebook Pixel oder andere Consent-pflichtige Tools wirklich brauchen (z.B. weil Sie aktiv Performance-Marketing machen), dann konfigurieren Sie den Banner korrekt: Opt-in statt Opt-out, kein Pre-Tick, kein Tracking vor Zustimmung. Tools wie Cookiebot oder Consentmanager machen das — wenn sie korrekt eingerichtet sind. **Option 2: Tool-Austausch** Ersetzen Sie Google Analytics durch Plausible. Entfernen Sie Google Fonts und nutzen Sie self-hosted oder System-Fonts. Bauen Sie Google Maps als Two-Click-Lösung ein. Ergebnis: Banner überflüssig, DSGVO-Konformität nachweisbar besser. **Option 3: Kompletter Neuaufbau mit Privacy-First-Stack** Wenn die aktuelle Website ohnehin veraltet ist — veraltetes WordPress, schlechter Lighthouse-Score, kein Schema-Markup — ist ein Neubau die sauberste Lösung. Bei [Blitzsicht](/pakete/) ist der Privacy-First-Stack Standard, nicht Aufpreis: Plausible statt GA4, System-Fonts statt Google CDN, kein Banner aus Prinzip. --- ## Fazit: Der Banner ist das Symptom, nicht die Ursache Wenn Sie das nächste Mal eine Website mit Cookie-Banner aufrufen, fragen Sie sich: Warum ist der da? Was haben die eingebaut, das ohne mein OK nicht laufen darf? Und fragen Sie sich beim nächsten Mal, wenn Ihre eigene Website reviewed wird: Haben wir den Banner, weil wir die richtigen Tools gewählt haben — oder haben wir die falschen Tools gewählt und versuchen, das mit einem Banner zu pflastern? Eine Website ohne Cookie-Banner ist kein Trick. Es ist das Ergebnis von Technology-Choices, die von Anfang an Privacy-First waren. Wenn Sie wissen wollen, wo Ihre aktuelle Website in dieser Hinsicht steht — wir bieten einen [kostenlosen Website-Audit](/website-audit/) an. Keine Verkaufstaktik, konkrete Einschätzung, 30 Minuten. Oder schreiben Sie direkt: [servus@blitzsicht.com](mailto:servus@blitzsicht.com). Weitere Leseanregungen: Wie unser [7-Tage-Prozess](/blog/website-in-7-werktagen/) abläuft, und was eine Website für Handwerker im Vergleich aller Tiers tatsächlich kostet ([Kosten-Übersicht](/blog/website-kosten-handwerker/)). --- **Quellen und Recherche-Grundlage:** - DSGVO Art. 6 Abs. 1 — Rechtmäßigkeit der Verarbeitung: [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) - LG München I, Urteil v. 20.01.2022, Az. 3 O 17493/20 (Google Fonts DSGVO-Verstoß): Dokumentiert u.a. bei iRights.info - Österreichische Datenschutzbehörde DSB, Entscheidung zu Google Analytics (01.2022): [dsb.gv.at](https://www.dsb.gv.at) - CNIL (Frankreich) zu Google Analytics (02.2022): [cnil.fr](https://www.cnil.fr) - Plausible Analytics GDPR-Dokumentation: [plausible.io/data-policy](https://plausible.io/data-policy) - BayLfD (Bayerischer Landesbeauftragter für Datenschutz) — Orientierungshilfe Cookies (2021): [datenschutz.bayern.de](https://www.datenschutz.bayern.de) - UWG-Reform 2021 (Gesetz zur Stärkung des fairen Wettbewerbs) — Einschränkung wettbewerbsrechtlicher Abmahnungen: BGBl. 2020 I S. 2568