{"id":10529,"date":"2026-10-09T12:30:00","date_gmt":"2026-10-09T10:30:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=10529"},"modified":"2026-09-25T09:45:53","modified_gmt":"2026-09-25T07:45:53","slug":"europaische-cookie-regeln-eprivacy-richtlinie-die-zuruckgezogene-eprivacy","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/data-privacy-de\/europaische-cookie-regeln-eprivacy-richtlinie-die-zuruckgezogene-eprivacy\/","title":{"rendered":"Europ\u00e4ische Cookie-Regeln: ePrivacy-Richtlinie, die zur\u00fcckgezogene ePrivacy-Verordnung und der Digital Omnibus"},"content":{"rendered":"

Drei Dinge sind dem europ\u00e4ischen Cookie-Recht in achtzehn Monaten zugesto\u00dfen. Eine seit 2017 vorbereitete Verordnung wurde zur\u00fcckgezogen. Ein Paket tauchte auf, das die Einwilligungsregeln in die DSGVO holen w\u00fcrde. Und im Juni strich der Rat einen der beiden einschl\u00e4gigen Artikel dieses Pakets aus seinem eigenen Kompromisstext.<\/p>\n

An dem, was ein Auftritt zu tun hat, hat nichts davon etwas ge\u00e4ndert. Die drei Str\u00e4nge danach zu sortieren, ob sie \u00fcberhaupt jemanden binden, kostet je eine Zeile – und die Sortierung lohnt sich, bevor die n\u00e4chste Einwilligungsschicht umgebaut wird.<\/p>\n

\n\"Drei
Die obere Bahn hat im Bild weder Anfang noch Ende. Die beiden anderen sind ein Entwurf, der aufh\u00f6rte, und einer, der noch nicht angekommen ist.<\/figcaption><\/figure>\n

Was einen Auftritt heute bindet<\/h2>\n\n\n\n\n\n\n\n
Strang<\/th>\nRechtsakt<\/th>\nStand<\/th>\nBindend?<\/th>\n<\/tr>\n<\/thead>\n
Gilt<\/td>\nRichtlinie 2002\/58\/EG, Artikel 5 Absatz 3, \u00fcber die nationale Umsetzung<\/td>\nSeit 2002 in Kraft<\/td>\nJa<\/td>\n<\/tr>\n
Zur\u00fcckgezogen<\/td>\nVorschlag f\u00fcr eine ePrivacy-Verordnung<\/td>\nZur\u00fcckgezogen, Amtsblatt C\/2025\/5423 vom 6. Oktober 2025<\/td>\nWar es nie<\/td>\n<\/tr>\n
Verhandelt<\/td>\nDigital Omnibus, DSGVO-Artikel 88a und 88b<\/td>\nVorgeschlagen am 19. November 2025, im Trilog<\/td>\nNoch nicht<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Die Einwilligungspflicht steht im nationalen Recht, denn eine Richtlinie wird umgesetzt und nicht unmittelbar angewandt – in Deutschland in Paragraf 25 TDDDG, anderswo unter anderem Namen und mit wirklich abweichenden Einzelheiten. Deshalb ist auch der Vollzug seit jeher national, und deshalb k\u00f6nnen zwei Aufsichtsbeh\u00f6rden zu demselben Banner zu verschiedenen Ergebnissen kommen.<\/p>\n

Was die R\u00fccknahme tats\u00e4chlich zur\u00fccknahm<\/h2>\n

Der Vorschlag f\u00fcr eine ePrivacy-Verordnung erschien 2017, verbrachte acht Jahre ohne Einigung zwischen den Gesetzgebungsorganen und wurde fallen gelassen. Die Kommission k\u00fcndigte die Absicht am 11. Februar 2025 an, beschloss sie am 16. Juli 2025 und ver\u00f6ffentlichte sie am 6. Oktober 2025 im Amtsblatt.<\/p>\n

Beendet wurde der Ersatz, nicht die Regel. Die Verordnung h\u00e4tte die Richtlinie von 2002 an dem Tag aufgehoben, an dem sie gegolten h\u00e4tte; sie zur\u00fcckzuziehen hei\u00dft, dass die Richtlinie unver\u00e4ndert und auf unbestimmte Zeit weitergilt. Die gelegentlich in Anbietermaterial auftauchende Lesart, ePrivacy sei aufgegeben worden, dreht das Geschehene um. Aufgegeben wurde die Reform. Das Recht, das sie reformieren sollte, ist der Grund, warum es Einwilligungsbanner immer noch gibt.<\/p>\n

Was der Digital Omnibus \u00e4ndern w\u00fcrde<\/h2>\n

Das am 19. November 2025 vorgeschlagene Paket geht einen anderen Weg: Statt die Richtlinie zu ersetzen, \u00e4ndert es sie und schreibt die Einwilligungsregel als Artikel 88a in die DSGVO. Aufgehoben wird die Richtlinie nicht. Ihr Artikel 5 Absatz 3 w\u00fcrde weiterhin Speicherung und Zugriff regeln, bei denen keine personenbezogenen Daten im Spiel sind, w\u00e4hrend alles mit Personenbezug allein die DSGVO erledigt.<\/p>\n

Inhaltlich geht es in Artikel 88a \u00fcberwiegend um das Banner. Eine Ablehnung muss \u00fcber eine Schaltfl\u00e4che mit einem einzigen Klick oder gleichwertige Mittel m\u00f6glich sein. Nach einer Ablehnung darf sechs Monate lang keine neue Anfrage zum selben Zweck gestellt werden. Nach einer Einwilligung darf zu diesem Zweck kein weiteres Banner erscheinen, solange sie gilt. Nichts davon schafft das Banner ab; es begrenzt, wie oft es wiederkommen darf.<\/p>\n

Die Ausnahmen, und warum die meisten Analysewerkzeuge nicht hineinpassen<\/h2>\n

Artikel 88a Absatz 3 z\u00e4hlt auf, was ohne Einwilligung gespeichert oder gelesen werden darf: was zur \u00dcbermittlung einer Nachricht erforderlich ist, was zur Erbringung eines ausdr\u00fccklich gew\u00fcnschten Dienstes erforderlich ist, die Reichweitenmessung sowie das Aufrechterhalten oder Wiederherstellen der Sicherheit eines Dienstes.<\/p>\n

Die Ausnahme f\u00fcr die Reichweitenmessung ist die interessante, und sie ist eng geschrieben. Sie erfasst zusammengefasste Angaben \u00fcber die Nutzung eines Onlinedienstes, erhoben vom Verantwortlichen dieses Dienstes, ausschlie\u00dflich zu dessen eigener Verwendung. Ein Werkzeug, das \u00fcber Dienste, Kunden oder Plattformen hinweg arbeitet, passt nicht auf diese Beschreibung, und keine Einstellung in einem solchen Werkzeug macht es passend.<\/p>\n

Artikel 88a Absatz 3, auf einen gewöhnlichen Aufbau angewandt\n\n  Sitzungs-Cookie für den Warenkorb   frei         gewünschter Dienst\n  CSRF-Token                          frei         Sicherheit\n  Spracheinstellung                   frei         gewünschter Dienst\n  selbstgehostete Statistik,\n    nur eigene Seite, aggregiert      frei?        Reichweitenmessung\n  GA4                                 Einwilligung diensteübergreifend\n  Meta-Pixel                          Einwilligung diensteübergreifend\n  gehostetes A\/B-Testwerkzeug         Einwilligung kundenübergreifend\n\n  ? = der Wortlaut sagt ausschließlich zu eigener Verwendung,\n      er ist ungetestet, und die Auslegung ist offen<\/code><\/pre>\n
Diese Aufstellung lohnt sich f\u00fcr einen echten Auftritt unabh\u00e4ngig davon, wie der Trilog ausgeht, denn dieselbe Unterscheidung entscheidet die Frage schon unter der Richtlinie. Die Kategorien sind nicht neu; der Omnibus w\u00fcrde sie nur ausdr\u00fccklicher aufschreiben, als Artikel 5 Absatz 3 es je getan hat.<\/p>\n
Was der Rat gestrichen hat<\/h2>\n
Artikel 88b war die bauliche H\u00e4lfte des Vorschlags. Er h\u00e4tte ein maschinenlesbares Einwilligungssignal verlangt – eine einmal im Browser oder im Betriebssystem ge\u00e4u\u00dferte Vorgabe, an die sich Auftritte halten -, und das ist der einzige Mechanismus auf dem Tisch, der Banner je Auftritt \u00fcberfl\u00fcssig gemacht h\u00e4tte statt nur seltener.<\/p>\n
Berichten zufolge streicht der Kompromisstext des Rates vom 18. Juni 2026 den Artikel 88b, nach einer Einflussnahme, bei der die Werbewirtschaft und Google hervortraten. Das Parlament hat seine Position nicht festgelegt, entschieden ist daran also nichts. Ebenso geh\u00f6rt zur Genauigkeit, was diese Papiere sind: Kompromisstexte sind Verhandlungsentw\u00fcrfe, kein geltendes Recht, und die Berichte dar\u00fcber, was in einer bestimmten Fassung steht, stimmen nicht immer \u00fcberein. Die ehrliche Zusammenfassung lautet, dass 88b in Schwierigkeiten steckt und sein Ausgang offen ist.<\/p>\n
Was daraus f\u00fcr heute folgt<\/h2>\n
Eine Einwilligungsschicht um Artikel 88a herum umzubauen hie\u00dfe, auf einem Entwurf zu bauen – und ein Entwurf, der bereits einen Artikel verloren hat, kann einen zweiten verlieren. Auch das Anwendungsdatum dr\u00e4ngt nicht: 88a soll sechs Monate nach Inkrafttreten des Pakets gelten, und in Kraft getreten ist es nicht.<\/p>\n
Zwei Dinge lohnen sich dennoch, weil sie wenig kosten und sich unter jedem Ausgang auszahlen. Das erste ist die Aufstellung von oben: welcher Speichervorgang welchem Zweck dient und auf welche Ausnahme er sich st\u00fctzen w\u00fcrde. Diese Frage hat schon heute unter der Richtlinie eine Antwort, und sie aufgeschrieben zu haben ist der Unterschied zwischen einer Auskunft an eine Aufsichtsbeh\u00f6rde binnen eines Nachmittags und einer binnen eines Monats.<\/p>\n
Das zweite ist die Ablehnung mit einem Klick. Ob 88a \u00fcbersteht oder nicht – ein Banner, das die Ablehnung so leicht macht wie die Zustimmung, ist nach geltendem Recht bereits die verfestigte Erwartung der meisten Aufsichtsbeh\u00f6rden, und mehrere haben das in Entscheidungen gesagt. Es jetzt zu bauen greift keinem Entwurf vor, es erf\u00fcllt die Bahn, die nie aufgeh\u00f6rt hat. Was hier steht, ist eine Beschreibung des Standes der Texte und keine Rechtsberatung – aber die Beschreibung allein gen\u00fcgt, um zu zeigen, dass die anstehenden \u00c4nderungen kein Grund zum Abwarten sind.<\/p>\n
\n
Fragen und Antworten<\/h2>\n
W\u00fcrde der Digital Omnibus die Einwilligung f\u00fcr Speichervorg\u00e4nge ohne Personenbezug abschaffen?<\/h3>\n
Nein. F\u00fcr Speicherung und Zugriff ohne personenbezogene Daten bliebe Artikel 5 Absatz 3 der Richtlinie zust\u00e4ndig, in Deutschland also weiterhin \u00a7 25 TDDDG. Es entst\u00fcnden zwei Regelwerke nebeneinander, und vor jeder Bewertung st\u00fcnde die Frage, ob bei einem Speichervorgang personenbezogene Daten im Spiel sind.<\/p>\n
Kommt eine selbstgehostete Statistik schon heute ohne Einwilligung aus?<\/h3>\n
Das l\u00e4sst sich nicht allgemein bejahen. Die Richtlinie kennt in Artikel 5 Absatz 3 nur zwei Ausnahmen: die \u00dcbermittlung einer Nachricht und das, was f\u00fcr einen ausdr\u00fccklich gew\u00fcnschten Dienst unbedingt erforderlich ist. \u00a7 25 TDDDG \u00fcbernimmt genau diese beiden. Eine eigene Ausnahme f\u00fcr die Reichweitenmessung enth\u00e4lt erst der Entwurf von Artikel 88a, und der ist nicht in Kraft.<\/p>\n
Ob eine Statistik als unbedingt erforderlich gilt, bewerten die Aufsichtsbeh\u00f6rden national. Die franz\u00f6sische CNIL etwa nennt Bedingungen, unter denen eine eng eingestellte Reichweitenmessung ohne Einwilligung auskommt; eine einheitliche europ\u00e4ische Linie gibt es nicht. Selbst gehostet zu sein, gen\u00fcgt daf\u00fcr allein nicht. Entscheidend sind Zweck und Umfang: zusammengefasste Zahlen \u00fcber die eigene Seite, keine Verkn\u00fcpfung mit anderen Diensten, keine Weitergabe.<\/p>\n
Die Aufstellung der Speichervorg\u00e4nge hilft auch hier. Wer f\u00fcr die Statistik festh\u00e4lt, was sie speichert, wozu und wer die Daten sieht, kann die Frage gegen\u00fcber der zust\u00e4ndigen Beh\u00f6rde beantworten und muss diese Beschreibung nach einem Inkrafttreten von Artikel 88a nur noch einmal mit dessen Wortlaut abgleichen.<\/p>\n
Was verlangt die Sechsmonatsregel aus Artikel 88a technisch von einem Banner?<\/h3>\n
Ein Ged\u00e4chtnis f\u00fcr die Ablehnung. Ein Banner, das eine Ablehnung nur f\u00fcr die laufende Sitzung beh\u00e4lt, fragt beim n\u00e4chsten Besuch erneut und w\u00e4re mit der Regel nicht vereinbar. Die Ablehnung muss also so gespeichert werden, dass sie sechs Monate lang wiedererkannt wird, und zwar je Zweck: Die Sperre gilt nach dem Wortlaut f\u00fcr neue Anfragen zum selben Zweck, nicht f\u00fcr jede Anfrage \u00fcberhaupt.<\/p>\n
Eine Grenze bleibt: Wechselt jemand den Browser oder wird die gespeicherte Entscheidung gel\u00f6scht, ist die Ablehnung f\u00fcr den Auftritt nicht mehr erkennbar. Da Artikel 88a ein Entwurf ist, geh\u00f6rt das in die Planung, noch nicht in den Umbau.<\/p>\n
W\u00fcrde sich mit dem Umzug in die DSGVO auch die Zust\u00e4ndigkeit der Aufsichtsbeh\u00f6rden \u00e4ndern?<\/h3>\n
Voraussichtlich ja, und das ist eine der weniger beachteten Folgen. Heute wird die Einwilligungsregel \u00fcber das nationale Umsetzungsgesetz durchgesetzt, und das Verfahren der federf\u00fchrenden Beh\u00f6rde aus der DSGVO, der sogenannte One-Stop-Shop, greift daf\u00fcr nach Auffassung des Europ\u00e4ischen Datenschutzausschusses nicht. Ein Auftritt mit Besuchern in mehreren L\u00e4ndern kann es deshalb mit mehreren Beh\u00f6rden zu tun bekommen, die nach unterschiedlich umgesetztem Recht entscheiden.<\/p>\n
St\u00fcnde die Regel als Artikel 88a in der DSGVO, g\u00e4lten f\u00fcr sie die Durchsetzungsregeln der DSGVO. F\u00fcr Speichervorg\u00e4nge ohne Personenbezug bliebe es dagegen beim nationalen Recht. Solange der Omnibus nicht in Kraft ist, \u00e4ndert sich an der heutigen Lage nichts.<\/p>\n<\/div>\n
\n
Quellen<\/h2>\n