Aktualisierung: Im Februar 2025 hat die Europäische Kommission ihren Vorschlag für eine ePrivacy-Verordnung zurückgezogen. Der Rückzug steht in Anhang IV des Arbeitsprogramms der Kommission für 2025, mit der Begründung, dass keine Einigung absehbar sei. Für Cookies bedeutet das: Die ePrivacy-Richtlinie von 2002 und ihre nationalen Umsetzungen bleiben in Kraft, und die DSGVO regelt weiterhin die über Cookies erhobenen personenbezogenen Daten. Wir haben diesen Artikel als Aufzeichnung dessen behalten, was der Vorschlag geändert hätte, denn seine Kernideen (Einwilligung im Browser, eine Ausnahme für First-Party-Analytics, Regeln für Cookie-Walls) tauchen in Leitlinien der Aufsichtsbehörden und in Gerichtsentscheidungen immer wieder auf.

Die Geschichte: von der Richtlinie zur Verordnung, die nie kam

Die Geschichte der ePrivacy-Gesetzgebung in Europa beginnt lange vor der DSGVO. 2002 verabschiedete die Europäische Union die ePrivacy-Richtlinie (Richtlinie 2002/58/EG), auch bekannt als Datenschutzrichtlinie für elektronische Kommunikation. Sie legte Regeln für die Verarbeitung personenbezogener Daten in der elektronischen Kommunikation fest: Vertraulichkeit der Kommunikation, Verkehrs- und Standortdaten, Rufnummernanzeige und unerwünschte Werbung. Wir beschreiben sie ausführlich auf unserer Seite zur ePrivacy-Richtlinie.

2009 wurde die Richtlinie durch die sogenannte Cookie-Richtlinie (Richtlinie 2009/136/EG) geändert, die die Pflicht einführte, vor dem Speichern oder Auslesen von Informationen auf dem Gerät eines Nutzers eine informierte Einwilligung einzuholen: die rechtliche Grundlage der heutigen Cookie-Banner. Weil es eine Richtlinie und keine Verordnung war, setzte jeder Mitgliedstaat sie anders um. Manche führten strenge Opt-in-Regeln ein, andere ließen eine stillschweigende Einwilligung zu, und die Durchsetzung variierte stark.

Dieser Flickenteppich sorgte für Verwirrung bei grenzüberschreitend tätigen Unternehmen und für uneinheitlichen Verbraucherschutz. Im Januar 2017 schlug die Europäische Kommission vor, die Richtlinie durch eine Verordnung zu ersetzen, die unmittelbar in allen Mitgliedstaaten gilt. Ursprünglich sollte sie ab dem 25. Mai 2018 zusammen mit der DSGVO gelten.

Dazu kam es nicht. Der Vorschlag wurde zu einem der umstrittensten Dossiers in der Geschichte der EU, mit Lobbying der Werbeindustrie, der Telekommunikationsunternehmen und der Verlage auf der einen und Datenschutzorganisationen sowie Verbraucherverbänden auf der anderen Seite. Der Rat einigte sich im Februar 2021 auf ein Verhandlungsmandat, doch die anschließenden Trilogverhandlungen brachten keine Einigung. Im Februar 2025 zog die Kommission den Vorschlag in ihrem Arbeitsprogramm 2025 zurück, mit der Begründung, dass keine Einigung absehbar und der Vorschlag neben neuerer Gesetzgebung veraltet sei.

Richtlinie vs. Verordnung: Warum die Unterscheidung wichtig war

Der Unterschied zwischen einer EU-Richtlinie und einer EU-Verordnung ist nicht bloß bürokratisch:

  • Eine Richtlinie legt Ziele fest, die die Mitgliedstaaten erreichen müssen, überlässt es aber jedem Land, wie es sie in nationales Recht umsetzt. Das Ergebnis sind 27 nationale Umsetzungen mit eigenen Nuancen, Durchsetzungsmechanismen und Sanktionen.
  • Eine Verordnung gilt ab ihrem Inkrafttreten unmittelbar in allen Mitgliedstaaten. Es gibt keinen nationalen Umsetzungsschritt, und die Regeln sind überall dieselben.

Unter der ePrivacy-Richtlinie unterscheiden sich die Cookie-Regeln weiterhin von Land zu Land. In Frankreich hat die CNIL detaillierte Leitlinien veröffentlicht und setzt die Cookie-Einwilligung aktiv durch. In Deutschland ist die Durchsetzung wegen der föderalen Struktur der Datenschutzbehörden fragmentierter. In Tschechien verfolgt der ÚOOÚ einen etwas weniger strikten Ansatz. Die Verordnung hätte diese Unterschiede beseitigt. Mit dem Rückzug des Vorschlags bleiben sie bestehen, und die praktische Antwort für eine Website ist weiterhin das nationale Recht der Länder, die sie anspricht.

Wie sich ePrivacy von der DSGVO unterscheidet

DSGVO und ePrivacy sind einander ergänzende Instrumente, keine Alternativen. Sie decken unterschiedliche, aber sich überschneidende Bereiche ab:

  • Die DSGVO ist eine allgemeine Verordnung, die für jede Verarbeitung personenbezogener Daten gilt, unabhängig vom Medium. Die Grundlagen fasst unser DSGVO-Leitfaden zusammen.
  • ePrivacy ist sektorspezifisches Recht (lex specialis) für die elektronische Kommunikation. Es regelt die Vertraulichkeit von Kommunikation und Metadaten, die Nutzung von Cookies und ähnlichen Technologien, Direktmarketing per E-Mail und Messaging sowie die Verarbeitung von Verkehrs- und Standortdaten durch Telekommunikationsanbieter.

In der Hierarchie des EU-Rechts hat ePrivacy für die Fragen, die es speziell regelt, Vorrang vor der DSGVO. Das gilt heute für die Richtlinie und hätte für die Verordnung gegolten: Die Regeln dazu, wann für das Setzen von Cookies eine Einwilligung nötig ist, kommen aus ePrivacy, während die DSGVO regelt, was danach mit den personenbezogenen Daten geschieht. Der Gerichtshof hat diese Aufteilung in Planet49 (C-673/17) bestätigt.

Was die ePrivacy-Verordnung für Cookies geändert hätte

Der Kommissionsvorschlag und die zwischen 2017 und 2021 verabschiedeten Ratspositionen zeichnen ein klares Bild dessen, was zur Debatte stand:

1. Einwilligungseinstellungen im Browser

Einer der bedeutendsten Vorschläge war das Einwilligungsmanagement auf Browser-Ebene. Statt auf jeder Website ein Cookie-Banner zu sehen, hätten Nutzer ihre Cookie-Präferenzen einmal im Browser festgelegt, und Websites hätten sie ausgelesen und respektiert. Das Konzept, manchmal Do Not Track 2.0 oder Advanced Data Protection Control genannt, hätte die Banner-Müdigkeit verringert und den Nutzern dauerhafte Kontrolle gegeben.

Die Details wurden nie geklärt: welche Browser solche Einstellungen umsetzen würden, wie granular die Präferenzen wären (alles oder nichts oder zweckbezogen) und was mit Browsern geschehen würde, die die Funktion nicht anbieten. Manche Texte behandelten Browsereinstellungen als gültige Einwilligung, andere behielten Website-Banner als Rückfalllösung bei.

2. Cookie-Walls und Modelle vom Typ Bezahlen oder Einwilligen

Die Vorschläge befassten sich mit der umstrittenen Praxis der Cookie-Walls, bei der eine Website den Zugang zu Inhalten sperrt, solange der Nutzer nicht alle Cookies akzeptiert. Unter der DSGVO ist ihre Zulässigkeit umstritten; manche Aufsichtsbehörden sehen darin einen Verstoß gegen die Freiwilligkeit der Einwilligung. Die Verordnung hätte die Lage klären können, indem sie bedingten Zugang unter bestimmten Umständen erlaubt.

Das Modell Bezahlen oder Einwilligen, bei dem Nutzer zwischen Werbe-Cookies und einem Abonnement wählen, wurde von einigen Aufsichtsbehörden teilweise akzeptiert (die österreichische DSB und die französische CNIL haben Leitlinien veröffentlicht, wonach es unter bestimmten Bedingungen zulässig sein kann). Von der Verordnung wurden klarere Regeln erwartet, vermutlich mit der Anforderung, dass die Alternative zur Einwilligung angemessen, nicht übermäßig und klar kommuniziert ist. Ohne sie entscheiden Aufsichtsbehörden und Gerichte von Fall zu Fall.

3. Ausnahmen für First-Party-Analytics

Die für Website-Betreiber vielleicht willkommenste Änderung wäre eine Ausnahme von der Einwilligungspflicht für bestimmte Cookie-Kategorien gewesen. Nach den Vorschlägen hätten folgende Cookies keine Einwilligung erfordert:

  • Cookies, die für einen vom Nutzer angeforderten Dienst unbedingt erforderlich sind (nach der Richtlinie bereits der Fall)
  • First-Party-Analytics-Cookies, die ausschließlich zur Messung der Besucherzahlen einer Website dienen, sofern die Daten nicht an Dritte weitergegeben und nicht für Profiling genutzt werden
  • Cookies, die Nutzerpräferenzen (Sprache, Barrierefreiheit) für die Dauer einer Sitzung speichern
  • Cookies zur Erkennung und Verhinderung von Betrug oder Sicherheitsbedrohungen

Die Ausnahme für First-Party-Analytics wäre bedeutsam gewesen. Tools wie Matomo oder Plausible im First-Party-Modus hätten ohne Einwilligung laufen können; Google Analytics hätte sich wahrscheinlich nicht qualifiziert, weil es Daten mit Google teilt. Die Ausnahme kam nie, Analytics-Cookies brauchen also weiterhin eine Einwilligung. Die Alternativen vergleichen wir im Artikel Analytics ohne Cookies.

4. Regeln für Tracking-Technologien jenseits von Cookies

Die Verordnung hätte alle Formen von Tracking-Technologie ausdrücklich erfasst, darunter:

  • Browser-Fingerprinting
  • Tracking-Pixel und Web-Beacons
  • Lokaler Speicher (localStorage, sessionStorage, IndexedDB)
  • Geräte-Fingerprinting in mobilen Apps
  • Ultraschall-basiertes geräteübergreifendes Tracking

In der Praxis änderte das weniger, als es klingt. Artikel 5 Absatz 3 der geltenden Richtlinie spricht bereits vom Speichern von Informationen oder dem Zugriff auf Informationen im Endgerät des Nutzers, und die Aufsichtsbehörden wenden ihn heute auf lokalen Speicher, Pixel und Fingerprinting an.

5. Direkte Durchsetzung und Bußgelder

Wie die DSGVO hätte die Verordnung einen Mechanismus zur direkten Durchsetzung mit einer zweistufigen Bußgeldstruktur eingeführt:

  • Untere Stufe: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für weniger schwere Verstöße
  • Obere Stufe: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes für die schwersten Verstöße, einschließlich fehlender gültiger Einwilligung für Cookies und Tracking-Technologien

Heute variieren die Sanktionen für Cookie-Verstöße weiterhin zwischen den Mitgliedstaaten. Sind personenbezogene Daten betroffen, verhängen die Aufsichtsbehörden Bußgelder nach der DSGVO; andernfalls stützen sie sich auf die nationale Umsetzung der Richtlinie, deren Höchstbußgelder oft gering sind.

Was jetzt gilt

  • Die ePrivacy-Richtlinie 2002/58/EG, Artikel 5 Absatz 3, über nationales Recht: Das Speichern oder Auslesen von Informationen auf dem Gerät des Nutzers erfordert eine Einwilligung, außer wenn es für einen vom Nutzer gewünschten Dienst unbedingt erforderlich ist.
  • Die DSGVO für die über Cookies erhobenen personenbezogenen Daten. Die Einwilligung muss Artikel 4 Nr. 11 und Artikel 7 genügen, wie in den EDSA-Leitlinien 05/2020 ausgelegt.
  • Das Planet49-Urteil des EuGH (C-673/17): Ein vorangekreuztes Kästchen ist keine Einwilligung, unabhängig davon, ob personenbezogene Daten betroffen sind.
  • Der Digital Markets Act für Gatekeeper, an den Google seine Anforderung an Consent Mode v2 geknüpft hat.

Was das für Ihre Website bedeutet

  • Halten Sie die geltenden Regeln weiter ein. Nichts wurde gelockert: Einwilligung vor nicht notwendigen Cookies, Ablehnen so einfach wie Akzeptieren, eine Cookie-Richtlinie. Die Schritt-für-Schritt-Liste steht in unserer Cookie-Compliance-Checkliste.
  • Prüfen Sie alle Tracking-Technologien, einschließlich localStorage, Pixel und Fingerprinting-Skripte; die Richtlinie erfasst sie alle. Der automatische Cookie-Scanner übernimmt das für Sie.
  • Überprüfen Sie Ihr Direktmarketing. Die nationalen Regeln für E-Mail-Marketing bleiben bestehen; sorgen Sie für eine klare Einwilligung und eine funktionierende Abmeldung.
  • Erwägen Sie datenschutzfreundliche Analytics. Die First-Party-Ausnahme kam nie, aber cookielose Tools brauchen keine Einwilligung, solange sie nichts auf dem Gerät speichern.
  • Verfolgen Sie den EDSA und Ihre nationale Aufsichtsbehörde. Die Cookie-Regulierung bewegt sich jetzt über Leitlinien und Entscheidungen, nicht über ein neues Gesetz.

Consentio hält Ihr Banner an den Regeln ausgerichtet, die heute gelten: DSGVO, ePrivacy-Richtlinie und ihre nationalen Umsetzungen. Ändern sich die Regeln, übernehmen wir das für Sie im Banner.

Quellen