Europäische Cookie-Regeln: ePrivacy-Richtlinie, die zurückgezogene ePrivacy-Verordnung und der Digital Omnibus

Die Rücknahme des Entwurfs einer ePrivacy-Verordnung hat die Einwilligungspflicht für Cookies nicht aufgehoben. Weiterhin gelten die ePrivacy-Richtlinie und die nationalen Umsetzungsgesetze. Der Digital Omnibus zu Daten und Cookies ist ein Gesetzgebungsvorhaben: Im Verfahrensregister des Europäischen Parlaments steht am 24. Oktober 2026 die Ausschussentscheidung weiterhin aus.

Der Artikel unterscheidet geltendes Recht, einen zurückgezogenen Vorschlag und einen noch beratenen Vorschlag. Die Trennung zwischen geltenden Pflichten und vorgeschlagenen Änderungen verhindert einen Umbau des Einwilligungsbanners auf Grundlage noch nicht beschlossener Regeln.

Was heute gilt

Artikel 5 Absatz 3 betrifft das Speichern von Informationen auf einem Endgerät und den Zugriff auf bereits gespeicherte Informationen. Der Schutz umfasst auch Informationen ohne Personenbezug. Die zwei Ausnahmen betreffen Speicherungen oder Zugriffe zum alleinigen Zweck der Nachrichtenübertragung über ein elektronisches Kommunikationsnetz sowie unbedingt erforderliche Vorgänge für einen ausdrücklich gewünschten Dienst der Informationsgesellschaft. In Deutschland setzt § 25 TDDDG diese Anforderungen um und nennt bei der Nachrichtenübertragung ausdrücklich ein öffentliches Telekommunikationsnetz.

Die anschließende Verarbeitung personenbezogener Daten muss zusätzlich die DSGVO erfüllen. Eine Ausnahme von der Einwilligung für den Endgerätezugriff befreit deshalb nicht allgemein vom Datenschutzrecht. Umgekehrt ersetzt eine Interessenabwägung nach DSGVO keine erforderliche Einwilligung in den Endgerätezugriff.

Was zurückgezogen wurde

Die Kommission beschloss die Rücknahme des Verordnungsentwurfs von 2017 am 16. Juli 2025; die Veröffentlichung folgte am 6. Oktober 2025 im Amtsblatt C/2025/5423. Das Europäische Parlament dokumentiert beide Daten. Das geplante Ersatzrecht entfiel, das bestehende Recht blieb anwendbar. Daraus folgt weder eine seit 2002 unveränderte Richtlinie noch ein Ausschluss künftiger Änderungen.

Was der ursprüngliche Digital Omnibus vorschlug

Der Kommissionsvorschlag vom 19. November 2025 würde Endgerätezugriffe mit Personenbezug im neuen DSGVO-Artikel 88a regeln. Informationen ohne Personenbezug blieben unter der Richtlinie. Vorgeschlagen sind unter anderem Ausnahmen für begrenzte Reichweitenmessung und Sicherheitszwecke. Das wären Änderungen des bestehenden Rahmens, keine bloße Wiederholung der bisherigen zwei Ausnahmen.

Der ursprüngliche Vorschlag sieht außerdem nach einer Ablehnung eine sechsmonatige Wartefrist bis zur erneuten Einwilligungsanfrage für denselben Zweck vor. Artikel 88b betrifft Einwilligungsentscheidungen in einer Form, die Software automatisch lesen und verarbeiten kann. Solche Mechanismen könnten wiederholte Abfragen reduzieren; eine Garantie für das Verschwinden sämtlicher Banner folgt daraus nicht. Diese Artikelnummern bezeichnen den Kommissionsvorschlag, keinen verabschiedeten Endtext.

Das laufende Verfahren zu Cookies und Daten ist außerdem vom gesonderten KI-Omnibus zu unterscheiden. Die Verabschiedung eines anderen Teils des Vereinfachungsprogramms setzt die vorgeschlagenen Cookie-Regeln nicht in Kraft. Ein künftiger Umsetzungsplan hängt vom beschlossenen Text und den veröffentlichten Anwendungsdaten ab.

Warum der Hostingort die Analysefrage nicht entscheidet

Selbst betriebene Statistik ist nicht automatisch einwilligungsfrei. Umgekehrt schließt ein externer Auftragsverarbeiter eine Ausnahme nicht automatisch aus. Entscheidend ist, welche Daten erhoben werden, wozu das geschieht, wer die Daten erhält und wofür die Daten anschließend noch genutzt werden.

Die französische CNIL erlaubt eng begrenzte Reichweitenmessung unter veröffentlichten Bedingungen. Ein Auftragsverarbeiter darf mehrere Herausgeber bedienen, sofern Daten und Tracker je Herausgeber unabhängig bleiben. Bei manchen Werkzeugen lässt sich die Eigennutzung durch den Anbieter abschalten. Diese französischen Kriterien sind weder eine pauschale Ausnahme nach deutschem Recht noch eine Zertifizierung beliebiger Analyseprodukte.

Ein Produktname wie GA4 oder Meta Pixel ersetzt keine Bestandsaufnahme der tatsächlichen Vorgänge. Eine brauchbare Dokumentation enthält je Cookie oder Speicherzugriff Zweck, Laufzeit, Empfänger, Konfiguration und rechtliche Begründung. Die pauschale Behauptung, sämtliche gehosteten Testwerkzeuge arbeiteten kundenübergreifend, reicht dafür nicht aus.

Was eine Einwilligungsoberfläche bereits heute braucht

Einwilligungspflichtige Speicherungen und Zugriffe müssen bis zur gültigen Einwilligung gesperrt bleiben. Zustimmung, Ablehnung und Widerruf müssen zum tatsächlichen Verhalten der Tags und Anfragen passen. Eine große Mehrheit der Behörden in der Cookie-Banner-Arbeitsgruppe des EDSA bewertete fehlende Ablehnungsoptionen neben der Zustimmung als unvereinbar mit gültiger Einwilligung. Die CNIL verlangt ausdrücklich eine ebenso einfache Ablehnung wie Zustimmung.

Eine praktische Prüfung umfasst Erstbesuch, Ablehnung, späteren Wiederbesuch, Zustimmung und Widerruf. Geprüft werden sowohl im Browser gespeicherte Informationen als auch Daten, die der Browser an Server sendet. Ein sichtbares Banner belegt noch keine wirksame Trackingsperre. Diese Prüfungen betreffen bereits geltende Anforderungen; das Warten auf den Omnibus behebt keinen bestehenden Einwilligungsfehler.