English
Deutsch
PolskiEuropäische Cookie-Regeln: ePrivacy-Richtlinie, die zurückgezogene ePrivacy-Verordnung und der Digital Omnibus
Inhalt
Drei Dinge sind dem europäischen Cookie-Recht in achtzehn Monaten zugestoßen. Eine seit 2017 vorbereitete Verordnung wurde zurückgezogen. Ein Paket tauchte auf, das die Einwilligungsregeln in die DSGVO holen würde. Und im Juni strich der Rat einen der beiden einschlägigen Artikel dieses Pakets aus seinem eigenen Kompromisstext.
An dem, was ein Auftritt zu tun hat, hat nichts davon etwas geändert. Die drei Stränge danach zu sortieren, ob sie überhaupt jemanden binden, kostet je eine Zeile – und die Sortierung lohnt sich, bevor die nächste Einwilligungsschicht umgebaut wird.
Was einen Auftritt heute bindet
| Strang | Rechtsakt | Stand | Bindend? |
|---|---|---|---|
| Gilt | Richtlinie 2002/58/EG, Artikel 5 Absatz 3, über die nationale Umsetzung | Seit 2002 in Kraft | Ja |
| Zurückgezogen | Vorschlag für eine ePrivacy-Verordnung | Zurückgezogen, Amtsblatt C/2025/5423 vom 6. Oktober 2025 | War es nie |
| Verhandelt | Digital Omnibus, DSGVO-Artikel 88a und 88b | Vorgeschlagen am 19. November 2025, im Trilog | Noch nicht |
Die Einwilligungspflicht steht im nationalen Recht, denn eine Richtlinie wird umgesetzt und nicht unmittelbar angewandt – in Deutschland in Paragraf 25 TDDDG, anderswo unter anderem Namen und mit wirklich abweichenden Einzelheiten. Deshalb ist auch der Vollzug seit jeher national, und deshalb können zwei Aufsichtsbehörden zu demselben Banner zu verschiedenen Ergebnissen kommen.
Was die Rücknahme tatsächlich zurücknahm
Der Vorschlag für eine ePrivacy-Verordnung erschien 2017, verbrachte acht Jahre ohne Einigung zwischen den Gesetzgebungsorganen und wurde fallen gelassen. Die Kommission kündigte die Absicht am 11. Februar 2025 an, beschloss sie am 16. Juli 2025 und veröffentlichte sie am 6. Oktober 2025 im Amtsblatt.
Beendet wurde der Ersatz, nicht die Regel. Die Verordnung hätte die Richtlinie von 2002 an dem Tag aufgehoben, an dem sie gegolten hätte; sie zurückzuziehen heißt, dass die Richtlinie unverändert und auf unbestimmte Zeit weitergilt. Die gelegentlich in Anbietermaterial auftauchende Lesart, ePrivacy sei aufgegeben worden, dreht das Geschehene um. Aufgegeben wurde die Reform. Das Recht, das sie reformieren sollte, ist der Grund, warum es Einwilligungsbanner immer noch gibt.
Was der Digital Omnibus ändern würde
Das am 19. November 2025 vorgeschlagene Paket geht einen anderen Weg: Statt die Richtlinie zu ersetzen, ändert es sie und schreibt die Einwilligungsregel als Artikel 88a in die DSGVO. Aufgehoben wird die Richtlinie nicht. Ihr Artikel 5 Absatz 3 würde weiterhin Speicherung und Zugriff regeln, bei denen keine personenbezogenen Daten im Spiel sind, während alles mit Personenbezug allein die DSGVO erledigt.
Inhaltlich geht es in Artikel 88a überwiegend um das Banner. Eine Ablehnung muss über eine Schaltfläche mit einem einzigen Klick oder gleichwertige Mittel möglich sein. Nach einer Ablehnung darf sechs Monate lang keine neue Anfrage zum selben Zweck gestellt werden. Nach einer Einwilligung darf zu diesem Zweck kein weiteres Banner erscheinen, solange sie gilt. Nichts davon schafft das Banner ab; es begrenzt, wie oft es wiederkommen darf.
Die Ausnahmen, und warum die meisten Analysewerkzeuge nicht hineinpassen
Artikel 88a Absatz 3 zählt auf, was ohne Einwilligung gespeichert oder gelesen werden darf: was zur Übermittlung einer Nachricht erforderlich ist, was zur Erbringung eines ausdrücklich gewünschten Dienstes erforderlich ist, die Reichweitenmessung sowie das Aufrechterhalten oder Wiederherstellen der Sicherheit eines Dienstes.
Die Ausnahme für die Reichweitenmessung ist die interessante, und sie ist eng geschrieben. Sie erfasst zusammengefasste Angaben über die Nutzung eines Onlinedienstes, erhoben vom Verantwortlichen dieses Dienstes, ausschließlich zu dessen eigener Verwendung. Ein Werkzeug, das über Dienste, Kunden oder Plattformen hinweg arbeitet, passt nicht auf diese Beschreibung, und keine Einstellung in einem solchen Werkzeug macht es passend.
Artikel 88a Absatz 3, auf einen gewöhnlichen Aufbau angewandt
Sitzungs-Cookie für den Warenkorb frei gewünschter Dienst
CSRF-Token frei Sicherheit
Spracheinstellung frei gewünschter Dienst
selbstgehostete Statistik,
nur eigene Seite, aggregiert frei? Reichweitenmessung
GA4 Einwilligung diensteübergreifend
Meta-Pixel Einwilligung diensteübergreifend
gehostetes A/B-Testwerkzeug Einwilligung kundenübergreifend
? = der Wortlaut sagt ausschließlich zu eigener Verwendung,
er ist ungetestet, und die Auslegung ist offenDiese Aufstellung lohnt sich für einen echten Auftritt unabhängig davon, wie der Trilog ausgeht, denn dieselbe Unterscheidung entscheidet die Frage schon unter der Richtlinie. Die Kategorien sind nicht neu; der Omnibus würde sie nur ausdrücklicher aufschreiben, als Artikel 5 Absatz 3 es je getan hat.
Was der Rat gestrichen hat
Artikel 88b war die bauliche Hälfte des Vorschlags. Er hätte ein maschinenlesbares Einwilligungssignal verlangt – eine einmal im Browser oder im Betriebssystem geäußerte Vorgabe, an die sich Auftritte halten -, und das ist der einzige Mechanismus auf dem Tisch, der Banner je Auftritt überflüssig gemacht hätte statt nur seltener.
Berichten zufolge streicht der Kompromisstext des Rates vom 18. Juni 2026 den Artikel 88b, nach einer Einflussnahme, bei der die Werbewirtschaft und Google hervortraten. Das Parlament hat seine Position nicht festgelegt, entschieden ist daran also nichts. Ebenso gehört zur Genauigkeit, was diese Papiere sind: Kompromisstexte sind Verhandlungsentwürfe, kein geltendes Recht, und die Berichte darüber, was in einer bestimmten Fassung steht, stimmen nicht immer überein. Die ehrliche Zusammenfassung lautet, dass 88b in Schwierigkeiten steckt und sein Ausgang offen ist.
Was daraus für heute folgt
Eine Einwilligungsschicht um Artikel 88a herum umzubauen hieße, auf einem Entwurf zu bauen – und ein Entwurf, der bereits einen Artikel verloren hat, kann einen zweiten verlieren. Auch das Anwendungsdatum drängt nicht: 88a soll sechs Monate nach Inkrafttreten des Pakets gelten, und in Kraft getreten ist es nicht.
Zwei Dinge lohnen sich dennoch, weil sie wenig kosten und sich unter jedem Ausgang auszahlen. Das erste ist die Aufstellung von oben: welcher Speichervorgang welchem Zweck dient und auf welche Ausnahme er sich stützen würde. Diese Frage hat schon heute unter der Richtlinie eine Antwort, und sie aufgeschrieben zu haben ist der Unterschied zwischen einer Auskunft an eine Aufsichtsbehörde binnen eines Nachmittags und einer binnen eines Monats.
Das zweite ist die Ablehnung mit einem Klick. Ob 88a übersteht oder nicht – ein Banner, das die Ablehnung so leicht macht wie die Zustimmung, ist nach geltendem Recht bereits die verfestigte Erwartung der meisten Aufsichtsbehörden, und mehrere haben das in Entscheidungen gesagt. Es jetzt zu bauen greift keinem Entwurf vor, es erfüllt die Bahn, die nie aufgehört hat. Was hier steht, ist eine Beschreibung des Standes der Texte und keine Rechtsberatung – aber die Beschreibung allein genügt, um zu zeigen, dass die anstehenden Änderungen kein Grund zum Abwarten sind.
Fragen und Antworten
Würde der Digital Omnibus die Einwilligung für Speichervorgänge ohne Personenbezug abschaffen?
Nein. Für Speicherung und Zugriff ohne personenbezogene Daten bliebe Artikel 5 Absatz 3 der Richtlinie zuständig, in Deutschland also weiterhin § 25 TDDDG. Es entstünden zwei Regelwerke nebeneinander, und vor jeder Bewertung stünde die Frage, ob bei einem Speichervorgang personenbezogene Daten im Spiel sind.
Kommt eine selbstgehostete Statistik schon heute ohne Einwilligung aus?
Das lässt sich nicht allgemein bejahen. Die Richtlinie kennt in Artikel 5 Absatz 3 nur zwei Ausnahmen: die Übermittlung einer Nachricht und das, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. § 25 TDDDG übernimmt genau diese beiden. Eine eigene Ausnahme für die Reichweitenmessung enthält erst der Entwurf von Artikel 88a, und der ist nicht in Kraft.
Ob eine Statistik als unbedingt erforderlich gilt, bewerten die Aufsichtsbehörden national. Die französische CNIL etwa nennt Bedingungen, unter denen eine eng eingestellte Reichweitenmessung ohne Einwilligung auskommt; eine einheitliche europäische Linie gibt es nicht. Selbst gehostet zu sein, genügt dafür allein nicht. Entscheidend sind Zweck und Umfang: zusammengefasste Zahlen über die eigene Seite, keine Verknüpfung mit anderen Diensten, keine Weitergabe.
Die Aufstellung der Speichervorgänge hilft auch hier. Wer für die Statistik festhält, was sie speichert, wozu und wer die Daten sieht, kann die Frage gegenüber der zuständigen Behörde beantworten und muss diese Beschreibung nach einem Inkrafttreten von Artikel 88a nur noch einmal mit dessen Wortlaut abgleichen.
Was verlangt die Sechsmonatsregel aus Artikel 88a technisch von einem Banner?
Ein Gedächtnis für die Ablehnung. Ein Banner, das eine Ablehnung nur für die laufende Sitzung behält, fragt beim nächsten Besuch erneut und wäre mit der Regel nicht vereinbar. Die Ablehnung muss also so gespeichert werden, dass sie sechs Monate lang wiedererkannt wird, und zwar je Zweck: Die Sperre gilt nach dem Wortlaut für neue Anfragen zum selben Zweck, nicht für jede Anfrage überhaupt.
Eine Grenze bleibt: Wechselt jemand den Browser oder wird die gespeicherte Entscheidung gelöscht, ist die Ablehnung für den Auftritt nicht mehr erkennbar. Da Artikel 88a ein Entwurf ist, gehört das in die Planung, noch nicht in den Umbau.
Würde sich mit dem Umzug in die DSGVO auch die Zuständigkeit der Aufsichtsbehörden ändern?
Voraussichtlich ja, und das ist eine der weniger beachteten Folgen. Heute wird die Einwilligungsregel über das nationale Umsetzungsgesetz durchgesetzt, und das Verfahren der federführenden Behörde aus der DSGVO, der sogenannte One-Stop-Shop, greift dafür nach Auffassung des Europäischen Datenschutzausschusses nicht. Ein Auftritt mit Besuchern in mehreren Ländern kann es deshalb mit mehreren Behörden zu tun bekommen, die nach unterschiedlich umgesetztem Recht entscheiden.
Stünde die Regel als Artikel 88a in der DSGVO, gälten für sie die Durchsetzungsregeln der DSGVO. Für Speichervorgänge ohne Personenbezug bliebe es dagegen beim nationalen Recht. Solange der Omnibus nicht in Kraft ist, ändert sich an der heutigen Lage nichts.
Passend dazu
