DSGVO und Cookies: Was Ihre Website tun muss

Zwei Prüfungen: Endgerätezugriff und personenbezogene Daten

Prüfung 1: Speichern oder Auslesen von Informationen auf dem Endgerät. In der EU ergibt sich diese Regel aus Art. 5 Abs. 3 der ePrivacy-Richtlinie in ihrer Umsetzung im jeweiligen nationalen Recht, im Vereinigten Königreich aus Regulation 6 der PECR. Eine Einwilligung ist erforderlich, sofern keine Ausnahme greift, unabhängig davon, ob die Informationen personenbezogene Daten sind. Die Leitlinien 2/2023 des Europäischen Datenschutzausschusses (EDSA) zeigen, dass dies neben Cookies auch Tracking-Pixel, Tracking-Links und eindeutige Kennungen erfassen kann.

Prüfung 2: Verarbeitung personenbezogener Daten. Die DSGVO bzw. im Vereinigten Königreich die UK GDPR regelt, was Sie mit personenbezogenen Daten tun: Rechtsgrundlage, Transparenz, Speicherdauer, Weitergabe, Übermittlungen und die Rechte der betroffenen Personen. Cookie-IDs und IP-Adressen können personenbezogene Daten sein.

Beide Prüfungen betreffen oft dasselbe Tool. Ein Analyseskript, das ein Cookie setzt und Besuchsdaten an einen Anbieter sendet, muss die Regeln zum Endgerätezugriff erfüllen, in der Regel durch eine Einwilligung, und benötigt für die anschließende Verarbeitung eine Rechtsgrundlage nach der DSGVO. Berechtigte Interessen können eine Einwilligung, die die Regeln zum Endgerätezugriff verlangen, nicht ersetzen, und eine Cookie-Einwilligung klärt weder Speicherdauer noch Übermittlungen oder spätere Verwendungen.

Die EU-DSGVO gilt für Verarbeitungen im Rahmen der Tätigkeiten einer Niederlassung in der EU sowie für Organisationen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten. Dass eine Website in Europa lediglich aufgerufen werden kann, entscheidet die Frage nicht. Die UK GDPR folgt für das Vereinigte Königreich demselben Modell. Wenn Sie beide Märkte bedienen, prüfen Sie daher beide.

Die Unternehmensgröße ist keine Ausnahme: Auch ein kleines Unternehmen kann über Formulare, Konten, Analyse- und Werbetools personenbezogene Daten verarbeiten. Der Leitfaden des EDSA für kleine Unternehmen erläutert, dass für jeden Zweck eine Rechtsgrundlage erforderlich ist.

Wo sich die Regeln in EU und UK unterscheiden

Die Regeln zum Endgerätezugriff gehen auf dieselbe EU-Richtlinie zurück, doch das Vereinigte Königreich hat die PECR seitdem geändert. Prüfen Sie Besucher aus der EU und aus dem UK getrennt, bevor Sie sich auf eine Ausnahme stützen.

Regeln in EU und UK im Vergleich
Thema	Europäische Union	Vereinigtes Königreich
Rechtsquelle	Europäische UnionArt. 5 Abs. 3 der ePrivacy-Richtlinie in nationaler Umsetzung, dazu die DSGVO.	Vereinigtes KönigreichPECR Regulation 6 und Schedule A1, dazu die UK GDPR.
Kernausnahmen	Europäische UnionÜbertragung einer Nachricht sowie Speicherung oder Zugriff, die für einen vom Nutzer gewünschten Dienst unbedingt erforderlich sind.	Vereinigtes KönigreichDieselben beiden, mit Beispielen wie Sicherheit, Betrugsprävention und dem Merken getroffener Auswahlen.
Analyse und Präferenzen	Europäische UnionKeine eigene Ausnahme in der Richtlinie; die nationalen Ansätze unterscheiden sich.	Vereinigtes KönigreichBedingte Ausnahmen für Statistik sowie für Darstellung oder Funktionalität, in Kraft seit dem 5. Februar 2026.
Aufsichtsbehörde	Europäische UnionNationale Datenschutzbehörden für die DSGVO; für Cookie-Regeln kann eine andere nationale Behörde zuständig sein.	Vereinigtes KönigreichDas Information Commissioner’s Office (ICO) für beides.
Höchstbußgelder	Europäische UnionDSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Sanktionen bei Verstößen gegen Cookie-Regeln werden national festgelegt.	Vereinigtes KönigreichBis zu 17,5 Mio. £ oder 4 % des weltweiten Umsatzes, nach der UK GDPR und inzwischen auch nach den PECR.

In der EU überlässt der EDSA den Umfang der Ausnahmen dem nationalen Recht und den nationalen Behörden. Bei der Analyse zeigt sich der Unterschied: Die dänischen Behörden erklären, dass Website-Statistiken eine Einwilligung erfordern, während einige Aufsichtsbehörden, etwa die französische CNIL, eine enge Ausnahme für eine begrenzte Reichweitenmessung akzeptieren.

Im Vereinigten Königreich hat der Data (Use and Access) Act 2025 Ausnahmen für Statistik, für Darstellung oder Funktionalität und für die Ortung eines Geräts im Notfall eingeführt. Der Leitfaden des ICO legt die Grenzen fest: Der Zweck muss der einzige sein, Besucher benötigen klare Informationen und eine kostenlose, einfache Möglichkeit zum Widerspruch, und ein Widerspruch beendet die Speicherung bzw. den Zugriff. Profiling, Tracking über verschiedene Dienste hinweg und alles, was mit Online-Werbung zusammenhängt, erfordern weiterhin eine Einwilligung.

Oktober 2026: Der Digital-Omnibus-Vorschlag der Europäischen Kommission würde die Cookie-Regeln der EU ändern, auch die Ausnahmen von der Einwilligungspflicht. Er befindet sich noch im Gesetzgebungsverfahren, daher gelten die aktuellen nationalen Regeln.

Was Ihre Website tun muss

Zwecke erfassen, bevor Sie Banner-Kategorien wählen

Listen Sie jedes Tool auf und was es tatsächlich tut: Bereitstellung des angeforderten Dienstes, Statistik, Werbemessung oder Aufbau von Zielgruppen. Halten Sie für jeden Zweck Daten, Empfänger, Speicherdauer und Rechtsgrundlage fest. Entfernen Sie Tools ohne klaren Zweck.

Nutzen Sie Werbe- oder Messprodukte von Google bei Besuchern im EWR oder im Vereinigten Königreich? Googles eigene Richtlinie stellt zusätzliche Anforderungen an Einwilligung, Informationspflichten und Nachweise: Lesen Sie unseren Leitfaden zur EU User Consent Policy von Google.

Einwilligung zu einer echten Wahl machen

Wo eine Einwilligung erforderlich ist, fragen Sie, bevor die Aktivität beginnt, erläutern Sie jeden Zweck und lassen Sie optionale Einstellungen deaktiviert. Scrollen, Schweigen oder Weitersurfen ist keine Einwilligung, wie die Leitlinien des EDSA zur Einwilligung erklären. Bieten Sie eine Ablehnungsoption an, die so deutlich ist wie die Option zum Akzeptieren, sowie einen dauerhaft verfügbaren Link zu den Einstellungen: Die DSGVO verlangt, dass der Widerruf einer Einwilligung so einfach ist wie ihre Erteilung.

Die Wahl mit dem verknüpfen, was tatsächlich ausgeführt wird

Eine gespeicherte Präferenz hilft nur, wenn die Website sie befolgt. Prüfen Sie Tag-Manager-Skripte, Plugins, eingebettete Videos und andere Widgets, nicht nur, ob das Banner verschwindet. Wer die Erhebung auf einen Server verlagert, nimmt die Daten damit nicht aus dem Anwendungsbereich der DSGVO.

Den Weg der Daten erklären und Rechte erfüllen

Ihre Datenschutzinformationen sollten Folgendes abdecken: wer verantwortlich ist, Zwecke und Rechtsgrundlagen, Empfänger, Speicherdauer, Rechte und internationale Übermittlungen, mit denselben Namen und Zwecken wie im Banner und in der Cookie-Erklärung. Legen Sie einen Prozess für Anfragen zu Betroffenenrechten fest. Nicht alle Rechte gelten uneingeschränkt. Prüfen Sie daher jede Anfrage, statt eine automatische Löschung zu versprechen.

Was das für Ihr Reporting bedeutet

Wenn weniger Besucher optionale Analyse akzeptieren, kann der erfasste Traffic sinken, ohne dass die tatsächlichen Besuche zurückgehen. Vermerken Sie Änderungen bei der Einwilligung in Kampagnenberichten und vergleichen Sie die Ergebnisse mit Bestellungen und Anfragen. Halten Sie auch die Zwecke getrennt: Das Warenkorb-Cookie eines Onlineshops sollte nicht stillschweigend zu einer Marketing-Kennung werden, wenn ein Besucher Werbung ablehnt.

Website-Checkliste

Anwendungsbereich: Halten Sie fest, welche Regelwerke gelten: EU-DSGVO, UK GDPR und die Regeln zum Endgerätezugriff jedes Landes, auf das Sie abzielen.
Neuer Besuch: Vor jeder Auswahl erscheinen keine einwilligungsabhängigen Cookies, Speicherungen oder Anfragen.
Ablehnen: Auch nach dem Neuladen und Weitersurfen bleiben optionale Speicherungen und Anfragen deaktiviert, einschließlich serverseitiger Ziele.
Teilweise Auswahl: Wird ein Zweck akzeptiert, starten nur die dazugehörigen Tools.
Widerruf: Nachdem die Einstellungen erneut geöffnet und die Einwilligung widerrufen wurde, stoppen die betroffenen Tools.
Ausnahmen im Vereinigten Königreich: Wenn Sie sich auf eine stützen, sind die Informationen und die kostenlose Widerspruchsmöglichkeit sichtbar, und ein Widerspruch beendet die Speicherung bzw. den Zugriff.
Nach Änderungen: Wiederholen Sie die Prüfungen, wenn Sie ein Tool hinzufügen, einen Zweck ändern oder einen neuen Markt erschließen.

FAQ

Reicht eine Datenschutzerklärung aus?

Nein. Eine Datenschutzerklärung beschreibt die Verarbeitung. Sie holt keine Einwilligung ein, wo eine Einwilligung erforderlich ist, und steuert nicht, was Skripte tatsächlich tun.

Müssen Besucher Analysetools akzeptieren, um etwas kaufen zu können?

Machen Sie optionale Analyse nicht routinemäßig zur Bedingung für den Checkout. Beurteilen Sie die Erforderlichkeit anhand des Dienstes, den der Kunde anfordert, nicht anhand Ihrer Reporting-Wünsche.

Kann ein Banner EU und UK abdecken?

Ein System kann beides unterstützen, seine Einstellungen müssen aber zu jedem Regelwerk passen. Eine Konfiguration, die sich auf die britische Statistik-Ausnahme stützt, kann bei Besuchern aus EU-Ländern, in denen keine entsprechende Ausnahme gilt, dennoch eine Einwilligung erfordern.

Benötigen unbedingt erforderliche Cookies eine Einwilligung?

Nein, wenn die Speicherung oder der Zugriff für einen vom Besucher gewünschten Dienst unbedingt erforderlich ist. Es ist dennoch gute Praxis, sie in Ihren Cookie-Informationen aufzuführen, und die Transparenzpflichten der DSGVO gelten, soweit personenbezogene Daten betroffen sind.

Müssen wir Nachweise über Einwilligungen aufbewahren?

Wenn Sie sich nach der DSGVO auf eine Einwilligung stützen, müssen Sie diese gemäß Art. 7 Abs. 1 DSGVO nachweisen können. Bewahren Sie Nachweise über die angezeigten Informationen und die getroffene Wahl auf, ohne mehr personenbezogene Daten zu erheben, als dieser Zweck erfordert.