Zum Hauptinhalt springen

DSGVO und ePrivacy (EU, EWR und Vereinigtes Königreich)

Keine Rechtsberatung

Die Rechtslage, wie wir sie am 5. November 2026 verstehen. Was diese Seiten sind und was nicht, lesen Sie im Überblick.

Was das Gesetz verlangt​

Europäische Union und EWR​

Wer etwas auf dem Gerät eines Besuchers speichert oder von dort ausliest – Cookies, lokalen Speicher, Pixel, Tracking-Links –, braucht nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie zuerst eine Einwilligung, es sei denn, das ist für einen Dienst, den der Besucher angefordert hat, unbedingt erforderlich. Das gilt unabhängig davon, ob es sich bei den Informationen um personenbezogene Daten handelt. Was Sie anschließend mit den Daten tun, fällt unter die Datenschutz-Grundverordnung (DSGVO). Eine Ausnahme für Webanalyse kennt das EU-Recht derzeit nicht.

Wirksam ist eine Einwilligung nur, wenn sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige Handlung erteilt wird (Artikel 4 Nr. 11 und Artikel 7 DSGVO). Der Europäische Datenschutzausschuss (EDSA) und die nationalen Aufsichtsbehörden legen das so aus:

  • Keine vorausgewählten Kästchen; Scrollen oder Weitersurfen ist keine Einwilligung.
  • Keine Cookie-Wall: Der Zugang zur Website darf nicht davon abhängen, dass der Besucher zustimmt.
  • Ablehnen auf der ersten Ebene. Die meisten Behörden werten eine erste Ebene, die eine Schaltfläche zum Akzeptieren, aber keine Möglichkeit zum Ablehnen bietet, als Verstoß (Cookie-Banner-Taskforce des EDSA, Januar 2023). Ein im Text versteckter „Link“ zum Ablehnen zählt nicht.
  • Keine irreführende Gestaltung: Farben und Kontraste werden im Einzelfall beurteilt; ein offensichtlich irreführender Kontrast ist ein Verstoß.
  • Widerruf so einfach wie die Einwilligung, und zwar jederzeit – zum Beispiel über eine Schaltfläche, die auf jeder Seite bleibt.
  • Nachweis: Sie müssen belegen können, dass eine Einwilligung erteilt wurde (Artikel 7 Absatz 1).
  • „Unbedingt erforderlich“ muss begründet werden, und zwar für jedes Cookie, das Sie so einordnen; ein berechtigtes Interesse kann die Einwilligung für das Setzen des Cookies nicht ersetzen.

Eine feste Frist für erneutes Nachfragen gibt es nicht; der EDSA empfiehlt, die Einwilligung in angemessenen Abständen zu erneuern.

Die Behörden setzen das auch durch: Am 1. September 2025 verhängte die französische CNIL gegen Google ein Bußgeld von 325 Mio. € und gegen Shein eines von 150 Mio. €, weil Cookies ohne wirksame Einwilligung gesetzt worden waren.

Vereinigtes Königreich​

Auch die UK GDPR und die Privacy and Electronic Communications Regulations (PECR, Regulation 6) verlangen eine Einwilligung, allerdings mit Ausnahmen, die der Data (Use and Access) Act 2025 ab dem 5. Februar 2026 erweitert hat:

  • Unbedingt erforderlich, jetzt mit Beispielen: Sicherheit, Betrugsprävention, Authentifizierung, das Speichern der Auswahl, die der Besucher auf der Website getroffen hat.
  • Statistik: das Erheben von Statistiken darüber, wie Ihre Website genutzt wird, um sie zu verbessern – nur wenn das der einzige Zweck ist, der Besucher klar informiert wird und eine einfache, kostenlose Möglichkeit zum Widerspruch erhält und nicht widersprochen hat.
  • Darstellung und Funktionalität: die Anpassung der Website an die Präferenzen des Besuchers, unter denselben Bedingungen.
  • Hilfe in Notfällen.

Nach Aussage des Information Commissioner's Office (ICO), der britischen Datenschutzaufsicht, deckt keine dieser Ausnahmen Werbung ab, auch nicht Anzeigenmessung und Frequency Capping. Die Bußgelder nach PECR wurden auf 17,5 Mio. £ oder 4 % des weltweiten Umsatzes angehoben.

Was sich ändern kann​

Der Vorschlag der Europäischen Kommission für einen Digital-Omnibus (November 2025) würde einwilligungsfreie Zwecke wie die aggregierte Reichweitenmessung sowie eine Wartezeit vor erneutem Nachfragen nach einer Ablehnung einführen. Am 21. Oktober 2026 hat sich der Rat auf seinen Standpunkt geeinigt, das Europäische Parlament noch nicht. Am geltenden Recht hat sich bislang nichts geändert.

Wie ConnectWiz damit umgeht​

Die RegelIn ConnectWiz
Einwilligung vor allem, was nicht notwendig istJedes Signal ist abgelehnt, bevor der Besucher entscheidet, gesetzt in den ersten Zeilen der Seite. Die EU bzw. der EWR, das Vereinigte Königreich und die Schweiz lassen sich durch eine Regionsregel nicht öffnen.
Keine vorausgewählten Kästchen, keine Cookie-WallJedes Kästchen ist zunächst leer; das Banner verdeckt oder sperrt die Seite nie.
Ablehnen auf der ersten Ebene, gleichwertige GestaltungAlle akzeptieren, Alle ablehnen und Einstellungen sehen exakt gleich aus, unabhängig von der Design-Vorlage.
Widerruf so einfach wie die EinwilligungDie Cookie-Schaltfläche bleibt auf jeder Seite; ein Widerruf löscht die bekannten Cookies dieser Kategorie.
NachweisJede Entscheidung wird als Nachweis gespeichert und standardmäßig 13 Monate aufbewahrt (12–120).
Für den bestimmten Fall, informiertEine Zeile pro Kategorie mit ihrem Zweck, den Anbietern, den Ländern, in die Daten übermittelt werden können, und jedem einzelnen Cookie.
Erneut fragenNach einer Zustimmung nach 1–12 Monaten, nach Alle ablehnen nach 6–12 Monaten – nie früher, damit eine Ablehnung nicht durch wiederholtes Nachfragen ausgehebelt wird.
Eingebettete InhalteEinbettungen von YouTube, Maps und sozialen Netzwerken können hinter einem Platzhalter warten, bis ihre Kategorie erlaubt ist.

Die neuen britischen Ausnahmen für Statistik sowie für Darstellung und Funktionalität werden nicht genutzt: Statistik bleibt im Vereinigten Königreich aus, bis der Besucher zustimmt. Das ist strenger, als das Gesetz es inzwischen verlangt, und braucht nie einen eigenen Widerspruchsmechanismus.

Was Sie noch tun müssen​

  • Führen Sie jedes Cookie auf, das Ihre Website setzt, auch Ihre eigenen, und zwar in der Cookie-Liste des Banners – starten Sie einen Scan und ergänzen Sie, was er findet. Binden Sie die stets aktuelle Cookie-Erklärung in die Seite Ihrer Cookie-Richtlinie ein.
  • Verfassen Sie Ihre Datenschutzerklärung und Ihre Cookie-Richtlinie, und verlinken Sie die Richtlinie im Banner (Texte → Adresse der Cookie-Richtlinie).
  • Laden Sie Tags nur über die Einwilligung: Tags, die vor dem Einwilligungscode starten, ignorieren ihn – siehe Pixel, die vor der Einwilligung starten.
  • Nennen Sie ConnectWiz in Ihrer Datenschutzerklärung als Auftragsverarbeiter, und unterzeichnen Sie den Auftragsverarbeitungsvertrag.

Quellen​