Ein Cookie-Banner auf der Website, ein Klick auf „Akzeptieren“ – und schon ist alles datenschutzkonform. So denken viele Betreiber. Doch die Realität sieht anders aus: Ein sichtbares Banner allein reicht längst nicht mehr.
Automatische Tracker-Blockierung, Einwilligungsprotokolle und regionale Rechtsvorgaben werden auf breiter Front missachtet. Wer glaubt, mit einem Standard-Plugin aus der Compliance-Falle zu sein, bewegt sich auf dünnem Eis.
Dieser Artikel zerlegt die häufigsten Lücken und zeigt, was strukturell hinter echter Rechtskonformität steckt.
Die Illusion der Konformität: Warum ein Banner allein nichts wert ist
Schauen wir auf die Zahlen – sie sind ein Weckruf. Eine Analyse von über 254.000 Websites aus den Top 10.000 der EU und UK, durchgeführt von der Aarhus University, brachte ans Licht: Nur 15% der Cookie-Banner erfüllen auch nur die Mindestanforderungen der DSGVO, berichtet Ignite Video in seiner Zusammenstellung von 26 Cookie-Studien.
Die Liste der Verstöße liest sich wie eine Betriebsanleitung für Rechtsrisiken:
- 49% der europäischen Websites verstoßen gegen DSGVO-Vorgaben bei Cookie-Bannern – das zeigt eine Analyse von über 35.000 Websites.
- Über 50% der Websites setzen Cookies, bevor der Nutzer überhaupt eine Entscheidung getroffen hat, basierend auf der Auswertung von 20 Millionen Interaktionen mit Consent-Management-Plattformen.
- Wenn ein gleichwertiger „Alle ablehnen“-Button direkt sichtbar ist, lehnen 50 bis über 60% der Nutzer Cookies ab – doch sobald die Ablehnung mehrere Klicks erfordert, akzeptieren bis zu 90%.
- 38% der formal DSGVO-konformen Banner setzen auf Aesthetic Manipulation: Der „Akzeptieren“-Button wird stärker hervorgehoben als die alternativen Optionen, wie eine Studie von 2.579 Websites belegt.
Ein Banner allein suggeriert Compliance – tatsächlich fehlen fast immer fundamentale technische und organisatorische Maßnahmen. Das ist der Unterschied zwischen Optik und Realität.
Die häufigsten Compliance-Lücken (und wie sie entstehen)
Vorzeitiges Setzen von Cookies: Tracking vor Einwilligung
43% der Websites setzen Tracking-Cookies, obwohl Nutzer abgelehnt oder noch gar keine Einwilligung erteilt haben. Google allein steht für 47,3% der Pixel-Tracking-Verstöße ohne gültige Einwilligung, ermittelt in einer Studie mit über einer Million Websites.
Besonders brisant: Der Google Tag Manager (GTM) gilt seit 2025 als einwilligungspflichtig. Wer den GTM vor der Einwilligung lädt, verstößt gegen § 25 TDDDG, erklärt fragHugo in seiner Analyse zur DSGVO-konformen Banner-Einrichtung.
Datenschutzanwalt Asmus Eggert bringt es auf den Punkt: Das Hauptproblem ist technische Non-Compliance – Cookies werden schon beim ersten Seitenaufruf gesetzt, bevor der Nutzer überhaupt reagieren kann.
Manipulative Banner-Architektur und fehlende Gleichwertigkeit
Ein grüner, fetter „Alles akzeptieren“-Button und ein winziger, grauer Link für die Einstellungen – das ist kein Einzelfall, sondern System. Und die Gerichte haben genug davon.
Das Verwaltungsgericht Hannover entschied am 19. März 2025 (Az. 10 A 5385/22): Auf erster Ebene muss ein gleichwertiger „Alles ablehnen“-Button angeboten werden, wenn eine „Alles akzeptieren“-Schaltfläche vorhanden ist.
Noch deutlicher wurde der österreichische Verwaltungsgerichtshof am 16. Januar 2025 (Ra 2024/04/0424-9): Die Ablehnung muss optisch gleichwertig zur Annahme sein – ein farblich hervorgehobener Zustimmen-Button neben einem unscheinbaren Link ist unzulässig.
Der Bundesbeauftragte für den Datenschutz (BfDI) fordert explizit eine gleichwertig einfache Ablehnungsmöglichkeit auf oberster Ebene. Die Botschaft ist klar: Wer die Ablehnung schwerer macht, manipuliert – und verstößt gegen Art. 7 DSGVO.
Fehlende Einwilligungsprotokolle und Nachweis
Nach Art. 7 Abs. 1 DSGVO muss der Betreiber die Einwilligung nachweisen können – und zwar lückenlos: Zeitstempel, Banner-Version, Umfang der Zustimmung, IP-Adresse. Ohne dieses Protokoll ist die Einwilligung im Zweifel wertlos.
Ein Cookie- und Einwilligungs-Präferenz-Register zu führen, ist keine Kür, sondern Pflicht. Dass viele Webseiten diesen Nachweis nicht erbringen können, öffnet Abmahnungen Tür und Tor.
Widerruf und Löschung: Tracking läuft weiter
Nutzer widerrufen ihre Einwilligung – und was passiert? Nichts. 57,5% der Websites löschen Cookies nach einem Widerruf nicht, wie Ignite Video in der erwähnten Studienzusammenstellung festhält.
Drei von vier Webseiten informieren mindestens einen Drittanbieter nicht korrekt, sodass das Tracking munter weiterläuft. Keine Einzelfälle, sondern ein strukturelles Versagen.
Was echte DSGVO-Konformität strukturell erfordert
Rechtssicherheit entsteht nicht durch ein hübsches Banner – sondern durch technische Architektur. Fünf Bausteine sind unverzichtbar:
- Vorherige Einwilligung und automatische Blockierung: Skripte und Tracker dürfen erst nach Opt-in geladen werden – rechtliche Grundlage sind § 25 TDDDG und Art. 7 DSGVO. Der Google Tag Manager ist explizit einwilligungspflichtig.
- Gleichwertige Bedienung: Eine visuell und funktional identische „Alles ablehnen“-Option muss auf der ersten Ebene stehen. Kein Versteckspiel.
- Protokollierungspflicht: Detaillierte Nachweise für jede Nutzerentscheidung – nur so lässt sich die Rechenschaftspflicht erfüllen.
- Regionale Besonderheiten: Im ePrivacy-Bereich gilt kein One-Stop-Shop. Jede nationale Behörde kann zuständig sein, sobald auf Endgeräte von Nutzern in ihrem Hoheitsgebiet zugegriffen wird – unabhängig vom Firmensitz.
- Bußgeldbewusstsein: Die Rahmen unterscheiden sich drastisch – Deutschland bis 300.000 Euro nach § 25 TDDDG, Frankreich bis 10 Millionen Euro oder 2% des Umsatzes, Italien sogar bis 20 Millionen Euro oder 4% des Jahresumsatzes, wie IT-Sicherheit in seinem Beitrag darlegt.
An dieser Stelle kommen Consent-Management-Plattformen ins Spiel. Richtig konfiguriert, unterstützen sie die Compliance erheblich durch zentrale Einwilligungsverwaltung, saubere Protokollierung und automatische Updates bei Rechtsänderungen. Verantwortlich bleibt jedoch immer der Betreiber – das Tool allein reicht nicht.
Ein Beispiel dafür ist iubenda. Laut Unternehmensangaben scannt die Cookie-Solution automatisch alle Tracker einer Website, blockiert sie vor der Einwilligung, protokolliert jede Nutzerentscheidung und passt sich gesetzlichen Änderungen an – inklusive Unterstützung für Google Consent Mode v2 und IAB TCF.
Risiken und Strafen: Was bei Verstößen droht
Seit den drei bahnbrechenden BGH-Urteilen vom 27. März 2025 (I ZR 186/17, I ZR 222/19, I ZR 223/19) haben Abmahnungen eine neue Qualität. Wettbewerber und Verbraucherschutzverbände können DSGVO-Verstöße jetzt nach dem UWG abmahnen – das öffnet eine neue Klagewelle.
Die Kosten sind real: Abmahnungen durch Verbraucherschutz kosten typischerweise 500 bis 5.000 Euro. DSGVO-Bußgelder für KMU liegen oft im fünfstelligen Bereich. Und der ganz große Hammer hängt über allen: Bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes sieht die DSGVO vor.
Die Dimension wird im Gesamtbild sichtbar: Bis März 2025 wurden europaweit rund 2.245 Verstöße mit insgesamt 5,88 Milliarden Euro sanktioniert. Prominente Einzelfälle: TikTok musste im Mai 2025 530 Millionen Euro zahlen, Vodafone im Juni 2025 mit 45 Millionen Euro die höchste jemals in Deutschland verhängte DSGVO-Strafe.
Ganzheitlich denken: Compliance als Teil der IT-Infrastruktur
Cookie-Compliance ist nur ein Puzzleteil. Wer DSGVO ernst nimmt, muss auch die genutzte Software auf Konformität prüfen. Moderne Business-Lösungen integrieren Datenschutz als festes Feature – kein nachträgliches Anhängsel, sondern Teil der Architektur.
Windows 10 Enterprise richtet sich gezielt an Unternehmen mit erhöhtem Sicherheitsbedarf und Fokus auf Datenschutz. Beide bilden ein solides Fundament für unternehmensweite Compliance-Strategien. Wer seine IT-Infrastruktur auf solche Lösungen ausrichtet, reduziert systemische Risiken spürbar.
Was man fairerweise sagen muss
Natürlich ist nicht jedes Cookie teuflisch.
Die Einwilligungsverwaltungsverordnung (EinwV) trat am 1. April 2025 in Kraft und ermöglicht den freiwilligen Einsatz von Personal Information Management Systems (PIMS), die Cookie-Präferenzen zentral speichern.
Seitenbetreiber müssen bestehende CMPs nicht ersetzen, aber es öffnet Perspektiven für eine weniger nervige Zukunft.
Ehrlicherweise trifft die Komplexität kleine Betreiber besonders hart. Die Kosten für vollumfängliche Compliance sind hoch, die Rechtslage im Fluss.
Trotzdem gilt: Wer heute die strukturellen Anforderungen ignoriert, geht ein echtes Risiko ein. Die Rechtslage ist klarer als je zuvor, die Klagemöglichkeiten sind gewachsen, und die Bußgelder haben eine Höhe erreicht, die kein Unternehmen mehr ignorieren kann.
Echte Konformität ist kein Banner – sie ist Prozess und Technik in einem.
