Im September 2025 stellte die französische Datenschutzbehörde CNIL einen Tagesrekord auf: ein Bußgeld von 325 Millionen € gegen Google und 150 Millionen € gegen Shein — beide wegen Verstößen bei der Cookie-Einwilligung. Googles konkretes Vergehen? Das Ablehnen von Cookies schwerer zu machen als das Akzeptieren.

Diese Asymmetrie ist einer der häufigsten Fehler auf europäischen Websites. Und sie sitzt gerade jetzt auf Millionen von KMU-Seiten — unsichtbar für die Betreiber, bestens sichtbar für die Aufsichtsbehörden.

Cookie-Banner sind keine Checkbox-Übung. Sie sind ein rechtlicher Mechanismus zur Einholung gültiger Einwilligungen nach DSGVO und ePrivacy-Richtlinie — und die meisten, die wir prüfen, scheitern an mindestens zwei bis drei Anforderungen. Dieser Artikel geht die fünf häufigsten Verstöße durch, erklärt, was das Gesetz wirklich verlangt, und wie man jeden behebt.

Bevor wir zu den Fehlern kommen, hilft es zu verstehen, was eigentlich verlangt wird.

Die Cookie-Einwilligung in der EU wird von zwei zusammenwirkenden Rechtsakten geregelt:

Die ePrivacy-Richtlinie (2002/58/EG) — auch „Cookie-Gesetz“ genannt — verlangt, dass kein nicht notwendiges Cookie auf dem Gerät eines Nutzers gesetzt werden darf, bevor dieser vorher informiert eingewilligt hat.

Die DSGVO — legt fest, wie diese Einwilligung einzuholen ist: freiwillig, spezifisch, informiert und unmissverständlich (Artikel 4 Nr. 11). Schweigen, Untätigkeit oder vorangekreuzte Kästchen zählen nicht (Erwägungsgrund 32).

Der wegweisende Fall, der die praktische Bedeutung definierte, war Planet49 (Rechtssache C-673/17), ein EuGH-Urteil von 2019. Planet49, ein deutsches Gaming-Unternehmen, nutzte ein vorangekreuztes Kästchen bei einer Online-Lotterie-Anmeldung zur Cookie-Einwilligung. Der EuGH erklärte dies für ungültig — aktive, ausdrückliche Einwilligung ist erforderlich. Dieses Urteil wurde zum Referenzpunkt aller folgenden Durchsetzungsmaßnahmen.

Im Februar 2025 wurde der Entwurf der ePrivacy-Verordnung — die die Richtlinie ersetzt hätte — formell zurückgezogen. Das bedeutet: Richtlinie und DSGVO regeln Cookies weiterhin EU-weit, wobei jeder Mitgliedstaat sie etwas anders umsetzt. Eine Harmonisierung kommt nicht. Die Durchsetzung intensiviert sich jedoch.

Fehler 1: Ablehnen schwerer machen als Akzeptieren

Das ist der häufigste Verstoß, den wir sehen — und der, der Google 2025 das 325-Millionen-Euro-Bußgeld einbrachte.

Der Fehler: Der „Alle akzeptieren“-Button ist groß, prominent und farbig. Die „Ablehnen“-Option ist versteckt — in einem Einstellungsmenü, in kleinem grauem Text oder nur über mehrere Klicks erreichbar.

Warum das illegal ist: Artikel 7 DSGVO verlangt eine „freiwillige“ Einwilligung. Die Cookie-Banner-Taskforce des EDSA (2021 eingerichtet, Ergebnisse 2023 veröffentlicht) war eindeutig: Ein „Alle ablehnen“-Button muss so prominent sein und so wenige Klicks erfordern wie der „Alle akzeptieren“-Button. Ein asymmetrisches Design, bei dem Ablehnen schwerer ist als Akzeptieren, macht die Einwilligung per se unfrei.

So beheben Sie es: Ihr Banner auf erster Ebene — das, das sofort beim Besuch erscheint — muss eine klar sichtbare „Alle ablehnen“-Option mit demselben visuellen Gewicht wie „Alle akzeptieren“ haben. Nicht in kleinerer Schrift. Nicht grau, während Akzeptieren rot oder grün ist. Kein Klick auf „Einstellungen“, bevor man ablehnen kann.

Der Fehler: Ihre Website lädt Analyse-Skripte, Werbepixel oder Social-Media-Widgets, sobald die Seite lädt — bevor der Besucher überhaupt mit dem Banner interagiert hat.

Warum das illegal ist: Die ePrivacy-Richtlinie verlangt vorherige Einwilligung. „Vorher“ heißt: bevor das Cookie gesetzt wird. Wenn Google Analytics feuert, sobald jemand auf Ihrer Seite landet, haben Sie das Gesetz verletzt — egal was Ihr Banner sagt. Das ist ein technischer Implementierungsfehler und extrem verbreitet. Viele Website-Baukästen und WordPress-Themes haben dieses Problem standardmäßig.

So beheben Sie es: Ihre Consent-Management-Implementierung muss alle nicht notwendigen Skripte blockieren, bis der Nutzer eine aktive Wahl trifft. Das nennt sich „Prior Blocking“ oder einwilligungsabhängiges Laden. Die meisten Cookie-Management-Plattformen (CookieYes, Cookiebot, Osano usw.) setzen das bei korrekter Konfiguration um. Nur ein Banner-Plugin zu installieren reicht nicht — Sie müssen prüfen, dass Skripte wirklich blockiert werden.

Sie können das selbst mit den Entwicklertools Ihres Browsers testen. Öffnen Sie den Netzwerk-Tab, leeren Sie ihn und laden Sie Ihre Website. Suchen Sie — bevor Sie irgendetwas im Cookie-Banner anklicken — nach Aufrufen an google-analytics.com, facebook.com/tr oder ähnliche Domains. Wenn Sie welche sehen: Ihr Banner ist Dekoration, nicht Funktion.

Fehler 3: Vage oder fehlende Zweckbeschreibungen

Der Fehler: Das Banner sagt etwas wie „Wir verwenden Cookies, um Ihr Erlebnis zu verbessern“ oder „Wir verwenden Cookies für Analyse und Personalisierung“, ohne zu erklären, was das konkret bedeutet.

Warum das illegal ist: Artikel 4 Nr. 11 DSGVO verlangt eine spezifisch und informierteEinwilligung. Das Planet49-Urteil stellte zudem fest, dass Websites offenlegen müssen, wie lange jedes Cookie besteht und ob Dritte auf die erhobenen Daten zugreifen können. Vage Pauschalformulierungen sind keine informierte Einwilligung.

So beheben Sie es: Ihr Banner und Ihre verlinkte Cookie-Richtlinie müssen für jede Kategorie erklären:

Das muss auf dem Banner selbst nicht erschöpfend sein — aber es muss über einen Link klar zugänglich sein, und die Sprache muss so verständlich sein, dass eine nicht-technische Person eine echte informierte Wahl treffen kann.

Fehler 4: Keine granularen Kategorie-Kontrollen

Der Fehler: Das Banner bietet nur zwei Optionen — Alle akzeptieren oder Alle ablehnen — ohne die Möglichkeit, zwischen Kategorien zu wählen (notwendig, Analyse, Marketing, funktional).

Warum das ein Problem ist: Ein binäres Akzeptieren/Ablehnen erfüllt zwar technisch die Mindestanforderung, aber die EDSA-Leitlinien empfehlen granulare Kontrollen nachdrücklich, und mehrere nationale Behörden (Frankreichs CNIL, deutsche Aufsichtsbehörden) haben Leitlinien veröffentlicht, die das zur Best-Practice-Erwartung machen. Wichtiger noch: Es ist schlecht für Ihre Nutzer. Wer Analyse akzeptieren, aber Werbe-Cookies ablehnen würde, kann diese Präferenz nicht ausdrücken.

So beheben Sie es: Strukturieren Sie Ihre Cookie-Einwilligung in mindestens drei Kategorien:

Jede nicht notwendige Kategorie sollte einen unabhängigen Schalter haben, der standardmäßig auf AUS steht. Nutzer sollten manche Kategorien akzeptieren und andere ablehnen können.

Der Fehler: Sobald ein Nutzer Cookies akzeptiert, gibt es keinen offensichtlichen Weg, es sich anders zu überlegen oder die Einwilligung zu widerrufen. Das Banner verschwindet und die Einstellungen sind unerreichbar.

Warum das illegal ist: Artikel 7 Abs. 3 DSGVO bestimmt, dass die betroffene Person das Recht hat, ihre Einwilligung jederzeit zu widerrufen, und der Widerruf muss so einfach sein wie die Erteilung. Wenn das Akzeptieren ein Klick auf ein Banner war, muss der Widerruf mit ähnlichem Aufwand erreichbar sein.

So beheben Sie es: Sie brauchen einen dauerhaften, immer zugänglichen Weg für Nutzer, ihre Cookie-Einstellungen zu verwalten. Die häufigste Umsetzung ist ein kleines „Cookie-Einstellungen“- oder „🍪“-Symbol im Footer, das das Einwilligungs-Panel jederzeit wieder öffnet. Dieser Link muss auf jeder Seite sichtbar sein — nicht nur auf der Startseite und nicht nur versteckt in Ihrer Datenschutzerklärung.

Bonus: Der Irrglaube vom „Weitersurfen“

Viele ältere Websites haben noch Texte wie: „Durch die weitere Nutzung dieser Seite stimmen Sie der Verwendung von Cookies zu.“

Das ist definitiv ungültig. Das Planet49-Urteil hat genau das behandelt. Der EDSA hat es bestätigt. Schweigen, Weitersurfen und Scrollen sind keine Einwilligung.

Wenn diese Formulierung auf Ihrer Seite steht, entfernen Sie sie sofort und ersetzen Sie sie durch einen echten Einwilligungsmechanismus.

So prüfen Sie Ihr eigenes Banner in 5 Minuten

Hier ein schneller Selbsttest, den Sie jetzt sofort machen können:

  1. Öffnen Sie Ihre Website in einem privaten/Inkognito-Tab (löscht alle bestehenden Einwilligungsentscheidungen)
  2. Erscheint ein Cookie-Banner? Wenn nicht — haben Sie wahrscheinlich gar keins
  3. Ist eine Ablehnen-Option auf dem ersten Bildschirm sichtbar? Wenn erst ein Klick auf Einstellungen nötig ist — das ist Fehler 1
  4. Entwicklertools öffnen → Netzwerk-Tab → Seite laden, bevor Sie etwas anklicken. Erscheinen Analyse- oder Werbe-Skripte? — Das ist Fehler 2
  5. Lesen Sie den Banner-Text. Nennt er konkrete Tools (Google Analytics, Facebook Pixel)? Sagt er, wie lange Cookies bestehen? — Nein? Das ist Fehler 3
  6. Können Sie einzelne Kategorien auswählen? Nur binäres Akzeptieren/Ablehnen? — Das ist Fehler 4
  7. Finden Sie nach dem Akzeptieren einen Weg, Ihre Einstellungen zu ändern? Schauen Sie in den Footer. Wenn da nichts ist — das ist Fehler 5

Oder Sie nutzen unser kostenloses DSGVO-Audit-Tool und erhalten in unter 30 Sekunden eine Bewertung.

Was die Behebung tatsächlich kostet

Die gute Nachricht: Cookie-Compliance gehört zu den günstigeren und schnelleren DSGVO-Korrekturen. Die meisten Umsetzungen sind in einem halben Tag erledigt:

Die Kosten des Nicht-Behebens sind schwerer vorherzusagen — aber 325 Millionen € sind eine Zahl, die die Gedanken fokussiert.

Dieser Artikel dient der Information und stellt keine Rechtsberatung dar.

Lesen Sie auch:

⚠️ Dieser Artikel dient nur der Information und stellt keine Rechtsberatung dar. Bei komplexen Compliance-Situationen wenden Sie sich an eine qualifizierte Datenschutzfachkraft. DSGVO- und EU-AI-Act-Anforderungen unterliegen laufender behördlicher Auslegung — prüfen Sie aktuelle Pflichten mit Ihrer Rechtsberatung.