Cookie-Einwilligung (§ 25 TDDDG)
Recht & Pflicht
Seit 1. Dezember 2021 gilt die Cookie-Einwilligungspflicht
Nicht technisch notwendige Cookies brauchen eine aktive, vorherige Einwilligung. Der Prüfmaßstab: gleichwertige Buttons, kein Laden vor dem Klick, ein funktionierender Widerruf.
- Seit 1.12.2021 in Kraft, seit 14.5.2024 als §25 TDDDG (vormals TTDSG)
- Verlangt aktive, vorherige Einwilligung vor dem Setzen nicht technisch notwendiger Cookies
- Ausnahme: rein technisch notwendige Cookies, etwa Login oder Warenkorb
- Seit 1.4.2025 ergänzt durch die Einwilligungsverwaltungsverordnung (EinwV, PIMS-Dienste)
Wer auf einer Praxis-Website Analyse-, Marketing- oder Kartendienste einbindet, etwa Google Analytics, Meta-Pixel oder Google Maps, braucht dafür eine aktive, vorherige Einwilligung. Für Heilberufe kommt ein zweites Risiko hinzu: Tracking auf einer Fachpraxis-Website kann Rückschlüsse auf den Gesundheitszustand zulassen und damit besonders geschützte Daten nach Art. 9 DSGVO betreffen.
Was die Cookie-Einwilligungspflicht für Praxis-Websites bedeutet
§ 25 TDDDG (bis 14.05.2024: § 25 TTDSG) verlangt eine vorherige, aktive Einwilligung, bevor auf dem Endgerät einer Besucherin oder eines Besuchers Informationen gespeichert oder ausgelesen werden, unabhängig davon, ob diese Informationen personenbezogen sind. Betroffen sind damit alle Cookies und vergleichbaren Technologien, die nicht zwingend für die vom Nutzer gewünschte Funktion erforderlich sind, etwa Analyse-Tools, Werbe-Pixel oder eingebettete Karten- und Videodienste.
Die Pflicht gilt unabhängig von der Fachrichtung für jede Praxis-Website mit Google Analytics, Social-Media-Pixeln, Google Maps oder eingebetteten YouTube-Videos. Eine rein informative Website ganz ohne solche Einbindungen benötigt dagegen kein Einwilligungsbanner, technisch notwendige Cookies wie Session- oder Login-Cookies sind nach § 25 Abs. 2 TDDDG ausdrücklich ausgenommen.
Warum das bei medizinischen Websites doppelt zählt
Bei den meisten Websites entscheidet ein fehlerhaftes Cookie-Banner nur über einen Wettbewerbsverstoß. Bei einer Praxis-Website kommt eine zweite Ebene hinzu: Der Europäische Gerichtshof hat im Lindenapotheke-Urteil (04.10.2024, C-21/23) den Begriff der Gesundheitsdaten nach Art. 9 DSGVO sehr weit gefasst, und im Meta-Platforms-Urteil (04.07.2023, C-252/21) reicht schon der Aufruf bestimmter Websites für einen Rückschluss auf besonders geschützte Daten. Wird Tracking mit dem Besuch einer Fachpraxis-Website, einer bestimmten Leistungsseite oder einem Kontaktformular verknüpft, kann daraus ein besonders geschütztes Datum nach Art. 9 DSGVO werden, mit höherem Bußgeldrahmen und zusätzlich der ärztlichen Schweigepflicht nach § 203 StGB im Hintergrund.
Was konkret geprüft wird
Im Kern geht es um vier Fragen: Sind alle nicht notwendigen Tools standardmäßig deaktiviert? Stehen Annehmen und Ablehnen auf der ersten Bannerebene gleichwertig nebeneinander? Werden Analyse- und Marketing-Tools technisch erst nach der Einwilligung geladen, nicht schon vorher? Und gibt es einen dauerhaften, ebenso einfachen Weg, die Einwilligung wieder zu widerrufen?
Anders als bei einer reinen Textpflicht wie dem Impressum reicht es hier nicht, eine Formulierung zu ergänzen: Die Website muss technisch so aufgebaut sein, dass Cookies tatsächlich erst nach der Einwilligung gesetzt werden.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Nicht jedes Detail wiegt in der Praxis gleich schwer. Diese vier Punkte tauchen bei Cookie-Bannern am häufigsten als Befund auf, branchenübergreifend belegt unter anderem durch die Bußgelder der französischen Datenschutzbehörde CNIL gegen SHEIN und Google vom 01.09.2025.
Vier Bausteine, zum Durchklicken
Annehmen und Ablehnen müssen auf der ersten Ebene gleich leicht zu finden sein.
Hilft „Alle akzeptieren“, „Alle ablehnen“ und „Einstellungen“ stehen gleich groß und gleich gut erreichbar nebeneinander.
Stolperfalle Großer grüner Akzeptieren-Button, Ablehnen nur klein oder erst nach einem weiteren Klick erreichbar.
Voreinstellungen dürfen nicht bereits einer Einwilligung entsprechen.
Hilft Alle nicht notwendigen Kategorien sind beim Öffnen des Banners deaktiviert, die Nutzerin aktiviert sie selbst.
Stolperfalle Statistik- oder Marketing-Kästchen sind schon vorangekreuzt, wenn der Banner erscheint.
Ein Banner allein genügt nicht, wenn Tools im Hintergrund trotzdem schon laufen.
Hilft Analyse- und Marketing-Skripte bleiben blockiert und laden nachweislich erst nach dem Klick auf „Akzeptieren“.
Stolperfalle Google Analytics oder ein Werbe-Pixel feuern bereits beim Seitenaufruf, während der Banner noch offen ist.
Der Widerruf muss so einfach sein wie die ursprüngliche Einwilligung.
Hilft Ein dauerhafter Link, etwa im Footer, öffnet die Cookie-Einstellungen erneut und erlaubt einen ebenso einfachen Widerruf.
Stolperfalle Der Banner erscheint nur beim ersten Besuch, ein späterer Widerruf ist nirgends mehr möglich.
Wie ist Ihr Stand einzuordnen?
Der Zustand eines Cookie-Banners liegt selten bei null oder hundert. Die vier typischen Lagen unterscheiden sich vor allem im technischen Detail.
Wählen Sie die Lage, die auf Sie zutrifft
Zeitleiste
Vom EU-Recht zum deutschen Gesetz
Wie die Cookie-Einwilligungspflicht entstanden ist und wie sie sich weiterentwickelt.
- 2002 / 2009
ePrivacy-Richtlinie
Art. 5 Abs. 3 der Richtlinie 2002/58/EG, verschärft durch die Cookie-Richtlinie 2009/136/EG, verankert das Einwilligungsprinzip EU-weit.
- 1. Dezember 2021
TTDSG tritt in Kraft
§ 25 TTDSG schreibt die Cookie-Einwilligung erstmals ausdrücklich ins deutsche Recht.
- 14. Mai 2024
Umbenennung zu TDDDG
Mit dem Digitale-Dienste-Gesetz wird aus dem TTDSG das TDDDG, § 25 bleibt inhaltlich unverändert.
- seit 1. April 2025
Einwilligungsverwaltungsverordnung (EinwV)
Schafft die Grundlage für anerkannte PIMS-Dienste zur zentralen Verwaltung von Cookie-Einwilligungen, erster anerkannter Dienst seit 17.10.2025. Cookie-Banner bleiben bis auf Weiteres Pflicht.
Was jetzt zu tun ist
Sinnvoll ist ein einfacher Cookie-Scan: Welche Tools setzt die Website tatsächlich, und sind sie technisch notwendig oder nicht? Danach lässt sich prüfen, ob das vorhandene Banner Annehmen und Ablehnen gleichwertig anbietet, ob Tools wirklich erst nach der Einwilligung laden, und ob ein dauerhafter Widerruf möglich ist.
Wo eine Praxis-Website ohnehin neu aufgebaut wird, lässt sich eine geprüfte Einwilligungslösung von Anfang an mitdenken. Wo eine bestehende Website weiterläuft, hilft eine gezielte technische Prüfung, um die dringendste Lücke, meist das vorzeitige Laden von Tools, zuerst zu schließen.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft Ihre Website auch auf ein korrekt konfiguriertes Cookie-Banner, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.