Bei der Cookie-Einwilligung zählt, was lädt — nicht, was im Banner steht. Behalte im Blick, was vor der Wahl feuert.
In der EU und im Vereinigten Königreich muss eine Website fragen, bevor sie auf dem Gerät eines Besuchers etwas speichert oder ausliest, das sie nicht unbedingt braucht — Werbe-Cookies, Analyse von Drittanbietern, Tracking-Pixel. Hier steht, was das Recht zur Cookie-Einwilligung von einer Website verlangt, was als wirksame Einwilligung gilt, wie es durchgesetzt wird — und wo Monitoring hilft. Ein Banner kann richtig aussehen und trotzdem einen Tracker durchlassen; entscheidend ist, was vor einer Wahl und nach einem „Ablehnen“ tatsächlich lädt.
Die Einwilligungsregeln in sechs Punkten
Zusammengefasst aus der ePrivacy-Richtlinie, der DSGVO, der EU-Rechtsprechung und den Leitlinien der Aufsichtsbehörden. Jedes Land setzt sie in eigenes Recht um, Details unterscheiden sich daher — dies ist keine Rechtsberatung.
Erst fragen, dann speichern oder auslesen
Artikel 5 Abs. 3 der ePrivacy-Richtlinie (2002/58/EG, geändert 2009) erlaubt das Speichern von Informationen auf dem Gerät eines Besuchers oder den Zugriff darauf nur mit Einwilligung, nach klaren und umfassenden Informationen. Ausgenommen ist, was unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen — einen Warenkorb, einen Login, das Speichern der Consent-Wahl selbst.
Nicht nur Cookies
Die Regel gilt für jede Information auf dem Gerät, egal mit welcher Technik. Schon die Erwägungsgründe der Richtlinie nennen Web-Bugs und versteckte Kennungen, und die Leitlinien 2/2023 des EDSA, endgültig angenommen am 7. Oktober 2024, bestätigen, dass sie auch Tracking-Pixel, Tracking-Links und ähnliche Techniken erfassen kann — ein Werbe-Pixel, das vor der Einwilligung lädt, fällt also ebenfalls darunter.
Einwilligung im Sinne der DSGVO
Einwilligung hat die Bedeutung aus der DSGVO (Artikel 4 Nr. 11 und Artikel 7): freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich, durch eine aktive Handlung. Der Widerruf muss so einfach sein wie die Erteilung, und die Website muss nachweisen können, dass eingewilligt wurde.
Vorausgefüllte Häkchen sind keine Einwilligung
Im Urteil Planet49 (C-673/17, 1. Oktober 2019) entschied der Europäische Gerichtshof, dass ein voreingestelltes Ankreuzkästchen, das der Nutzer abwählen muss, keine wirksame Einwilligung in Cookies ist — unabhängig davon, ob es um personenbezogene Daten geht. Besucher müssen außerdem erfahren, wie lange die Cookies aktiv sind und ob Dritte darauf zugreifen können.
Ablehnen so einfach wie Akzeptieren
Die Cookie-Banner-Taskforce des EDSA (Bericht angenommen am 17. Januar 2023) stellte fest, dass die meisten EU-Aufsichtsbehörden ein Banner mit „Akzeptieren“, aber ohne Ablehnen-Option auf derselben Ebene als Verstoß werten. Die französische CNIL verlangt einen Button „Alle ablehnen“ auf derselben Ebene und in derselben Form wie „Alle akzeptieren“ — oder einen anderen, ebenso einfachen Weg zur Ablehnung.
Deutschland, Frankreich und das Vereinigte Königreich
Deutschland regelt das in § 25 TDDDG (bis 14. Mai 2024 TTDSG); Frankreich über Artikel 82 seines Datenschutzgesetzes und die Leitlinien der CNIL von 2020. Im Vereinigten Königreich gilt Regulation 6 der PECR; seit dem 5. Februar 2026 erlaubt der Data (Use and Access) Act einige risikoarme Zwecke ohne Einwilligung — Sicherheit und Betrugsabwehr sowie Statistik und Darstellungsvorlieben, über die Besucher informiert werden und denen sie widersprechen können. Werbe-Cookies brauchen weiterhin eine Einwilligung.
Teste jetzt dein Cookie-Banner — kostenlos
Gib eine Seite ein: Relvato besucht sie aus Europa und zeigt, was vor einer Wahl und nach „Ablehnen“ lädt. Relvato Cookie-Consent-Checker →
Wie es durchgesetzt wird
Die Cookie-Regeln setzen nationale Behörden durch — in Frankreich die CNIL, in Deutschland die Datenschutzaufsichtsbehörden der Länder, im Vereinigten Königreich das ICO — und die Bußgelder sind gestiegen. Drei Beispiele:
Shein: 150 Mio. €
Am 1. September 2025 verhängte die CNIL 150 Mio. € gegen Infinite Styles Services, die irische Tochter von Shein. Werbe-Cookies wurden gesetzt, sobald Besucher auf shein.com ankamen, noch vor jeder Wahl — und nach einem Klick auf „Alle ablehnen“ oder einem Widerruf wurden weiterhin neue Cookies gesetzt.
Google: 325 Mio. €
Am selben Tag verhängte die CNIL insgesamt 325 Mio. € gegen Google LLC und Google Ireland — für Werbung zwischen E-Mails in Gmail ohne Einwilligung und für Werbe-Cookies bei der Erstellung eines Google-Kontos ohne wirksame Einwilligung, weil Nutzer nicht klar erfuhren, dass deren Annahme Bedingung für die Nutzung des Dienstes war.
Vereinigtes Königreich: bis 17,5 Mio. £ oder 4 %
Seit dem 5. Februar 2026 kann das ICO einen schweren PECR-Verstoß — Cookies eingeschlossen — mit bis zu 17,5 Mio. £ oder 4 % des weltweiten Jahresumsatzes ahnden statt mit höchstens 500.000 £. Der neue Höchstbetrag gilt für Verstöße ab diesem Datum.
Ein Banner richtest du einmal ein. Was dahinter lädt, ändert sich mit jedem Update.
Ein neues Marketing-Plugin, ein Theme-Wechsel oder ein Update des Consent-Tools kann einen Tracker vor das Banner setzen, ohne dass es jemand merkt. Relvatos Monitor „Cookie-Einwilligung“ achtet darauf:
Besuch als neuer EU-Besucher
Ein frischer Browser in Europa, keine Cookies, nichts angeklickt — auf deiner Startseite, bei Shops zusätzlich auf einer Produktseite. Er zeichnet jedes gesetzte Cookie und jede Anfrage an Werbe- und Analysedienste vor jeder Wahl auf.
Das Banner finden
Er erkennt verbreitete Consent-Tools — Cookiebot, OneTrust, Complianz, CookieYes, Borlabs, Usercentrics und weitere — und prüft, ob „Ablehnen“ oder „Nur notwendige“ auf der ersten Ebene steht.
Ablehnen klicken, erneut aufzeichnen
In einem zweiten frischen Browser klickt er auf „Ablehnen“ und zeichnet auf, was weiter lädt. Unbedingt erforderliche Cookies und deine eigene First-Party-Analyse werden nicht gemeldet.
Nach jedem Update neu getestet
Wöchentlich und nach WordPress-, Theme-, Plugin- und WooCommerce-Updates. Tracker vor der Wahl, ohne Banner oder nach dem Ablehnen werden als Probleme gemeldet und alarmieren dich; fehlt „Ablehnen“ auf der ersten Ebene, ist das eine Warnung.
Was ein Monitor nicht sagen kann
Kein Tool kann bescheinigen, dass deine Einwilligung wirksam ist. Relvato sieht, was im Browser vor einer Wahl und nach einem „Ablehnen“ lädt; es kann nicht beurteilen, ob dein Banner die Zwecke ausreichend erklärt, ob deine Cookie-Kategorien stimmen, welche Rechtsgrundlage greift oder was deine Dienstleister mit den Daten tun. Deine eigene First-Party-Analyse meldet es nicht, und es entscheidet nicht, ob sie dort, wo du tätig bist, eine Einwilligung braucht. Es besucht die Website aus Europa, sieht also die EU-Version eines standortabhängigen Banners, und es testet die Seiten, die es besucht, nicht jede Seite. Nutze es, damit ein Setup, das ein Mensch geprüft hat, nicht still kaputtgeht.
Fragen zur Cookie-Einwilligung
Brauche ich eine Einwilligung, wenn ich nur Analyse nutze?
In der EU bei Analyse von Drittanbietern wie Google Analytics in der Regel ja: Sie ist nicht unbedingt erforderlich und muss deshalb auf die Einwilligung warten. Manche Behörden nehmen eng konfigurierte Reichweitenmessung aus — die französische CNIL unter Bedingungen —, und im Vereinigten Königreich braucht Analyse, die nur Statistiken über die eigene Website erstellt, seit dem 5. Februar 2026 keine Einwilligung mehr, wenn Besucher informiert werden und widersprechen können. Maßgeblich sind die Regeln dort, wo deine Besucher sind.
Ist eine Cookie-Wall erlaubt?
Grundsätzlich nein. Laut den Einwilligungs-Leitlinien des EDSA darf der Zugang zu einer Website nicht davon abhängen, dass man Cookies akzeptiert; ein Banner, das den Inhalt bis zur Zustimmung sperrt, führt also nicht zu einer freiwilligen Einwilligung. Einige Behörden, darunter die CNIL, prüfen „Akzeptieren oder bezahlen“-Modelle im Einzelfall — dieser Bereich ist noch in Bewegung.
Gelten ähnliche Regeln auch außerhalb der EU und des Vereinigten Königreichs?
Ja, ähnliche Regeln gibt es auch anderswo. Brasiliens Datenschutzbehörde (ANPD) hat im Oktober 2022 Cookie-Leitlinien zum LGPD veröffentlicht; Quebecs Law 25 verlangt seit dem 22. September 2023, dass Funktionen, die eine Person identifizieren, orten oder profilieren können, standardmäßig aus sind; die Schweiz verlangt vor allem Information und eine Möglichkeit zur Ablehnung. Die USA gehen den umgekehrten Weg — Tracking ist erlaubt, bis der Besucher widerspricht —, darum geht es in einem eigenen Artikel.
Kann Relvato meine Website rechtskonform machen?
Das kann kein Tool, und wir behaupten es nicht. Eine wirksame Einwilligung hängt von der Formulierung deines Banners, deinen Dienstleistern, deiner Rechtsgrundlage und deiner Dokumentation ab — das muss ein Mensch prüfen. Relvato übernimmt einen engeren, dafür laufenden Teil: Nach Updates testet es, ob Tracker vor einer Wahl oder nach einem „Ablehnen“ laden, damit eine Regression nicht unbemerkt bleibt, bis ein Besucher oder eine Behörde sie findet.
Was kostet das?
Der Monitor „Cookie-Einwilligung“ ist in jedem Tarif enthalten, auch im Free-Tarif. Im Free-Tarif startest du die Läufe selbst oder lässt sie wöchentlich laufen; Pro führt sie zusätzlich nach Updates erneut aus.
Quellen
Diese Seite fasst das Recht für Website-Betreiber zusammen; sie ist keine Rechtsberatung. Nationale Gesetze und Leitlinien der Behörden unterscheiden sich im Detail — maßgeblich sind die Regeln dort, wo deine Besucher sind.
- Richtlinie 2002/58/EG — ePrivacy-Richtlinie, konsolidiert, Artikel 5 Abs. 3 (EUR-Lex, englisch)
- Verordnung (EU) 2016/679 — DSGVO, Artikel 4 Nr. 11 und Artikel 7 (EUR-Lex)
- Gerichtshof der EU — Planet49 (C-673/17), Pressemitteilung vom 1. Oktober 2019 (englisch)
- EDSA — Bericht der Cookie-Banner-Taskforce (2023, englisch)
- Deutschland — § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen (gesetze-im-internet.de)
- CNIL — Bußgelder gegen SHEIN und GOOGLE wegen Cookies (September 2025, englisch)
- ICO — Leitfaden zu Speicher- und Zugriffstechnologien: die Ausnahmen (englisch)
- ICO — Erklärung zum Inkrafttreten des Data (Use and Access) Act (englisch)
Sieh, was deine Website vor der Wahl lädt
Website hinzufügen und den Monitor „Cookie-Einwilligung“ starten. In jedem Tarif enthalten, auch im Free-Tarif.