Welche Cookie-Regeln gelten heute in Österreich und Deutschland, und was ändert der Digital Omnibus?

Was der Europäische Gerichtshof 2019 zur Einwilligung gesagt hat

Am 1. Oktober 2019 hat der Europäische Gerichtshof im Fall Planet49 (C-673/17) entschieden, dass die Einwilligung in Cookies durch ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung abwählen muss, nicht wirksam erteilt wird. Es macht dabei keinen Unterschied, ob die gespeicherten Informationen personenbezogene Daten sind oder nicht; das Unionsrecht soll den Nutzer vor jedem Eingriff in seine Privatsphäre schützen. Der Gerichtshof hat außerdem festgehalten, dass die Einwilligung für den konkreten Fall erteilt werden muss und dass der Anbieter über die Funktionsdauer der Cookies und über die Zugriffsmöglichkeit Dritter informieren muss. Die Datenschutz-Grundverordnung definiert die Einwilligung in Art. 4 Nr. 11 als „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“, und Art. 7 Abs. 3 gibt der Person das Recht, sie jederzeit zu widerrufen: Der Widerruf muss so einfach sein wie die Erteilung. Auf diese Sätze stützen sich die Anforderungen an Banner, die Behörden und Gerichte seither aufgestellt haben.

Wie die Aufsichtsbehörden die Regel auf Banner anwenden

Die französische CNIL hat am 31. Dezember 2021 gegen zwei Google-Gesellschaften 90 und 60 Millionen Euro, zusammen 150 Millionen Euro, und gegen Facebook 60 Millionen Euro verhängt, jeweils mit einem Zwangsgeld von 100.000 Euro je Tag, falls die Banner nicht binnen drei Monaten umgebaut würden. Der Grund: Zustimmen brauchte einen Klick, Ablehnen bei Google mindestens fünf Aktionen und bei Facebook drei Schritte; ein solcher Aufbau, schreibt die Behörde, läuft darauf hinaus, die Nutzer vom Ablehnen abzuhalten. Bei Facebook kam ein Knopf mit der Aufschrift „Cookies akzeptieren“ dazu, über den in Wahrheit abgelehnt wurde; die Behörde hielt das für irreführend. Am 17. Januar 2023 hat die Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses, in der die Aufsichtsbehörden der EU-Länder zusammenarbeiten, ihren Bericht angenommen. Eine große Mehrheit der Behörden sieht ein Banner, das auf keiner Ebene mit Zustimmen-Knopf eine Ablehnung anbietet, als unvereinbar mit einer gültigen Einwilligung; vorangekreuzte Kästchen führen zu keiner Einwilligung; ein Ablehnen, das nur als Link in einem Textabsatz steht, ohne dass etwas den Blick darauf lenkt, genügt nicht; für Farben und Kontraste gibt es keinen allgemeinen Standard, geprüft wird im Einzelfall, ob die Gestaltung offensichtlich irreführt. Zum Widerruf hält der Bericht fest, dass er jederzeit möglich und so leicht wie die Erteilung sein muss, etwa über ein dauerhaft sichtbares Symbol oder einen Link an sichtbarer, gleichbleibender Stelle; eine bestimmte Lösung schreiben die Behörden nicht vor.

Laufzeiten und US-Anbieter

Für die Laufzeit einwilligungspflichtiger Cookies gibt es in beiden Gesetzen keine Zahl. Die CNIL nennt für die einwilligungsfreie Reichweitenmessung dreizehn Monate ohne Verlängerung bei neuen Besuchen; die Browser haben diese Größenordnung übernommen: Chrome kürzt seit Version 104 vom August 2022 jede Cookie-Laufzeit auf 400 Tage, nach eigener Begründung etwas mehr als 13 Monate, damit auch Websites, die jemand einmal im Jahr besucht, ihr Cookie behalten. Für Dienste mit Sitz in den USA kommt die Frage der Übermittlung hinzu. Die österreichische Datenschutzbehörde hat im Teilbescheid GZ D155.027 vom 22. Dezember 2021 zu Google Analytics festgestellt, dass die Standarddatenschutzklauseln zwischen einer österreichischen Website und Google LLC „kein angemessenes Schutzniveau gemäß Art. 44 DSGVO bieten“, weil Google der Überwachung durch US-Geheimdienste nach FISA 702 unterliegt. Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss der Kommission zum EU-US-Datenschutzrahmen; das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23, Latombe). Ob ein bestimmter Anbieter darunter zertifiziert ist, nennt er in seiner Datenschutzerklärung.

Was Sie heute einrichten, damit es morgen noch stimmt

Aus den geltenden Regeln und den diskutierten Änderungen folgt dieselbe Einrichtung. Vor dem Klick lädt nichts, was eine Einwilligung braucht. Die erste Ebene des Banners bietet Zustimmen und Ablehnen als gleich große Knöpfe. Kategorien sind nicht vorangekreuzt. Ein Link oder Symbol im Fußbereich öffnet die Auswahl jederzeit wieder. Die Cookie-Laufzeit im Analyse-Werkzeug steht, der Praxis der CNIL folgend, auf höchstens dreizehn Monaten. Die Datenschutzerklärung nennt jeden Dienst, der tatsächlich lädt, mit Zweck und bei US-Anbietern mit der Übermittlungsgrundlage. Eine so eingerichtete Website entspricht nach unserer Einschätzung dem, was die beiden Gesetze, die Linie der Taskforce und beide Fassungen des Digital Omnibus an ein Banner stellen. Fragen des Einzelfalls, etwa ob ein bestimmtes Cookie unbedingt erforderlich ist oder welche Rechtsgrundlage ein Dienst hat, klärt Ihr Rechtsbeistand; die technische Bestandsaufnahme dafür liefert der Prüfbereich Daten und Recht, der vor und nach einem echten Klick auf Ablehnen misst, was Ihre Website lädt.

Was der Digital Omnibus ändern will und wie weit er ist

Die Europäische Kommission hat im November 2025 das Digitalpaket mit dem Digital Omnibus vorgelegt. Für Cookies sieht ihr Vorschlag vor, dass Besucher alle Cookies mit einem Klick ablehnen können, dass Websites diese Wahl mindestens sechs Monate respektieren, dass Besucher ihre Einstellungen zentral etwa im Browser hinterlegen können und dass Cookies für Zwecke ohne Risiko, etwa das Zählen von Besuchen, kein Banner mehr auslösen; die Regeln sollen aus der ePrivacy-Richtlinie in die Datenschutz-Grundverordnung wandern, und Eingriffe in Nutzerrechte sollen mit bis zu 4 Prozent des weltweiten Umsatzes belegt werden können. Der Rat der EU hat am 21. Oktober 2026 seine Verhandlungsposition beschlossen, verteilt als Dokument 14756/26 vom 22. Oktober 2026, und den Vorschlag umgebaut: Die Cookie-Regel bleibt in Art. 5 Abs. 3 der ePrivacy-Richtlinie, ergänzt um sechs Zwecke ohne Einwilligung, nämlich die Übertragung einer Nachricht, die Bereitstellung eines ausdrücklich gewünschten Dienstes, anonyme zusammengefasste Reichweitenmessung für den Anbieter selbst, Reichweitenmessung nach dem Europäischen Medienfreiheitsgesetz, die technische Sicherheit von Dienst und Gerät sowie die Messung von Werbung, die allein auf dem gerade angezeigten Inhalt beruht, jeweils mit Bedingungen. Ablehnen muss mit einem Klick oder einem gleichwertigen Mittel möglich sein; nach einer Ablehnung darf der Anbieter für denselben Zweck mindestens vier Monate lang nicht erneut fragen. Die Mitgliedstaaten hätten nach dem Ratstext 24 Monate nach der Annahme Zeit für die Umsetzung. Das Europäische Parlament hatte Anfang November 2026 noch keine Position beschlossen; erst danach beginnen die Verhandlungen zwischen Rat und Parlament. Stand November 2026 ist nichts davon geltendes Recht. In beiden Fassungen bleibt: Tracking und Werbung brauchen die Einwilligung, und das Ablehnen darf nicht schwerer sein als das Zustimmen.

Tipps aus der Praxis

• Die Regel gilt für jede Ablage auf dem Gerät, auch für den lokalen Speicher des Browsers. Ein Werkzeug, das Cookies vermeidet und stattdessen den lokalen Speicher nutzt, braucht dieselbe Einwilligung.
• Ein Knopf, der „Cookies akzeptieren“ hieß und ablehnte, war für die CNIL im Fall Facebook ein eigener Beanstandungsgrund. Beschriftungen sagen, was der Knopf tut.
• Die Behörden schreiben kein schwebendes Symbol für den Widerruf vor. Ein Link „Cookie-Einstellungen“ im Fußbereich jeder Seite entspricht der Taskforce-Linie, wenn er die Auswahl wirklich wieder öffnet.