Die deutsche Einwilligungsverwaltungsverordnung: Was ein anerkannter Dienst leisten muss und was freiwillig bleibt

Die Einwilligungsverwaltungsverordnung (EinwV) gilt seit dem 1. April 2025. Zusammen mit § 26 TDDDG schafft die Verordnung einen Rahmen für anerkannte Dienste, die Entscheidungen über bestimmte Speicherungen und Zugriffe auf Endgeräte verwalten. Das Ziel ist weniger wiederholte Einwilligungsabfragen, keine pauschale Zustimmung für beliebige Websites und Zwecke.

Die Einbindung durch Websites bleibt nach § 18 Absatz 1 EinwV freiwillig. Nach einer Einbindung gelten jedoch Regeln für die Berücksichtigung der Einstellungen. Die Verantwortung für Information und wirksame Einwilligung verbleibt beim Anbieter des digitalen Dienstes. Diese Unterscheidung ist für eine Integration entscheidend.

Was anerkannt wird

Das am 24. Oktober 2026 abgerufene BfDI-Register nennt Consenter der Law & Innovation Technology GmbH mit Anerkennung vom 17. Oktober 2025. Die Anerkennung betrifft die gesetzlichen Anforderungen an den Dienst und das vorgelegte Sicherheitskonzept. Daraus folgt keine allgemeine Freigabe aller Websites, Einwilligungstexte oder späteren Datenverarbeitungen.

Ein anerkannter Dienst ist von einer gewöhnlichen Consent-Management-Plattform zu unterscheiden. Ein Bannerwerkzeug wird nicht durch die eigene Produktbezeichnung zu einem nach § 26 TDDDG anerkannten Dienst. Maßgeblich sind Anerkennung und Registereintrag.

Welche Anforderungen der Dienst erfüllen muss

• Unabhängigkeit und Zweckbindung: Kein wirtschaftliches Eigeninteresse an der Erteilung von Einwilligungen oder den verwalteten Daten; die Verarbeitung ist auf Einwilligungsverwaltung beschränkt.
• Informierte Entscheidung: Vorliegende Informationen müssen unter anderem beteiligte Anbieter, konkrete Speicherungen oder Zugriffe, Zwecke, Zeiträume und Widerruflichkeit abdecken. Eine allgemeine Kategorie wie „Marketing“ ersetzt diese Angaben nicht.
• Nachvollziehbare Oberfläche: Einstellungen sowie Datum, Uhrzeit und damalige Informationen müssen einsehbar sein. Änderungen und gegebenenfalls Widerruf müssen jederzeit möglich bleiben.
• Wechselmöglichkeit: Einstellungen sind in einem gängigen Format vorzuhalten, das Software automatisch lesen kann, und auf Wunsch kostenlos für die Übertragung zu einem anderen anerkannten Dienst bereitzustellen.
• Wettbewerb und Sicherheit: Gleiche Bedingungen für eingebundene Anbieter, interoperable Kommunikation und ein Sicherheitskonzept gehören zu den Anforderungen.

Die Jahresfrist in § 4 Absatz 2 betrifft die Aufforderung des anerkannten Dienstes zur Überprüfung gespeicherter Einstellungen, sofern keine andere Einstellung gewählt wurde. Daraus folgt weder eine pauschale einjährige Gültigkeit jeder Einwilligung noch ein allgemeines Verbot sämtlicher neuer Website-Anfragen.

Was nach freiwilliger Einbindung gilt

§ 18 beschreibt technische und organisatorische Maßnahmen für teilnehmende Anbieter: Nutzung des anerkannten Dienstes erkennen, vorhandene Einstellungen zu den angefragten Einwilligungen prüfen, Speicherung ermöglichen und die Einbindung sichtbar erläutern. Außerdem sollen die erforderlichen Informationen maschinenlesbar bereitgestellt werden. Die Vorschrift unterscheidet damit eine freiwillige Teilnahme von der Ausgestaltung dieser Teilnahme.

§ 19 Absatz 1 verlangt die Berücksichtigung verwalteter Einstellungen. Falls über den Dienst keine Einwilligung vorliegt und erneut um Einwilligung gebeten wird, ist zugleich auf die dortigen Einstellungen hinzuweisen. Ein vorhandenes Nein wird dadurch nicht zu einem Ja. § 20 enthält zusätzlich eine Neutralitätsregel für eingebundene Dienste.

Unabhängig von der Teilnahme bleibt eine nach § 25 TDDDG erforderliche Einwilligung Voraussetzung für den betreffenden Endgerätezugriff. Nur die gesetzlichen Ausnahmen erlauben den Zugriff ohne diese Einwilligung. Für eine anschließende Verarbeitung personenbezogener Daten sind zusätzlich die einschlägigen DSGVO-Anforderungen zu prüfen.

Ein Signal braucht einen passenden Geltungsbereich

Eine technische Zustimmung ist nur brauchbar, wenn die zugrunde liegenden Informationen und der konkrete Vorgang zusammenpassen. Ein Datensatz sollte die Entscheidung mit Anbieter beziehungsweise Empfänger, Zugriff oder Speicherung, Zweck, Zeitpunkt, Informationsstand und Herkunft verknüpfen. Diese Zuordnung ist mehr als ein einziges globales Feld „Statistik erlaubt“.

Für die technische Verarbeitung sind mindestens Zustimmung, Ablehnung und fehlende Entscheidung zu unterscheiden. Ein fehlendes, nicht zuordenbares oder nicht verifiziertes Signal darf keinen einwilligungspflichtigen Zugriff freigeben. Nach Widerruf müssen die betroffenen weiteren Zugriffe unterbleiben; eine neue Quelle der Entscheidung erfordert deshalb auch Tests, ob die Mess- und Werbeskripte tatsächlich passend zur Entscheidung starten oder gesperrt bleiben.

Eine gemeinsame Datensatzstruktur, die nicht von einem einzelnen Einwilligungsanbieter abhängt, erleichtert den Anschluss unterschiedlicher Quellen. Eine solche Struktur garantiert jedoch nicht, dass jedes externe Signal ohne Anpassung übernommen werden kann. Zweck-, Anbieter- und Versionszuordnung sowie Konflikte mit bereits gespeicherten Einstellungen benötigen eine ausdrückliche Integrationsregel.

Integration anhand konkreter Fälle bewerten

Die Zahl anerkannter Dienste belegt weder die Nutzungshäufigkeit auf einer bestimmten Website noch deren wirtschaftlichen Nutzen. Eine sinnvolle Bewertung misst unter anderem erkannte gültige Einstellungen, vermiedene Wiederholungsabfragen, Fehlzuordnungen und den Aufwand für Pflege und Widerruf.

1. Anerkennung, technische Schnittstelle und unterstützte Browser beziehungsweise Clients prüfen.
2. Informationen und Zwecke der Website mit dem Geltungsbereich der verwalteten Entscheidungen abgleichen.
3. Erstbesuch ohne Einstellung, Zustimmung, Ablehnung, Wiederbesuch, Änderung und Widerruf testen.
4. Unbekannte Anbieter, geänderte Zwecke, widersprüchliche Signale und Ausfall des Dienstes prüfen.
5. Im Netzwerkprotokoll kontrollieren, ob einwilligungspflichtige Tags bis zur gültigen Freigabe ausbleiben und nach Widerruf nicht erneut auslösen.

Solche Prüfungen ermöglichen eine Entscheidung anhand der konkreten Integration und ihrer messbaren Wirkung.

EU-Vorschläge getrennt einordnen

Der ursprüngliche Kommissionsvorschlag zum Digital Omnibus vom November 2025 behandelt in Artikel 88b auch maschinenlesbare Einwilligungssignale. Dieses Vorhaben ist vom geltenden deutschen Rahmen zu trennen. Das Parlamentsregister nennt am 24. Oktober 2026 weiterhin eine ausstehende Ausschussentscheidung. Ein Vorschlag schafft noch keine unmittelbar geltende allgemeine Pflicht für Websites.