EU-Cookie-Reform: Rat will weniger Banner und mehr Ausnahmen
Weniger Cookie-Banner, mehr Ausnahmen von der Einwilligungspflicht: Der Rat der EU will die Cookie-Regeln vereinfachen und neue Vorgaben für Einwilligungsabfragen schaffen. Welche Erleichterungen könnten sich für Online-Händler ergeben?
Warum will die EU die Cookie-Regeln ändern?
Wer heute eine Internetseite besucht, muss häufig zunächst entscheiden, ob er der Verwendung von Cookies und anderen Tracking-Technologien zustimmt. Für Website-Betreiber ist damit ein erheblicher technischer und organisatorischer Aufwand verbunden.
Die Europäische Kommission will die Cookie-Regeln deshalb vereinfachen. Am 19.11.2025 legte sie im Rahmen des sogenannten Digital Omnibus einen Gesetzgebungsvorschlag vor.
Am 21.10.2026 verständigten sich die EU-Mitgliedstaaten auf eine gemeinsame Verhandlungsposition, die im Verhandlungsmandat des Rates festgehalten ist.
Dabei setzt der Rat teilweise andere Schwerpunkte als die Kommission: Eine verpflichtende Cookie-Steuerung über den Browser lehnt er ab. Stattdessen will er zusätzliche Ausnahmen von der Einwilligungspflicht schaffen und die Anforderungen an weiterhin erforderliche Einwilligungsabfragen ändern.
Wann ist eine Cookie-Einwilligung erforderlich?
In Deutschland regelt § 25 TDDDG, unter welchen Voraussetzungen Informationen auf Endgeräten gespeichert oder bereits gespeicherte Informationen ausgelesen werden dürfen.
Grundsätzlich ist hierfür eine vorherige Einwilligung erforderlich, unabhängig davon, ob personenbezogene Daten betroffen sind.
Das Gesetz sieht allerdings zwei Ausnahmen vor:
- Die Speicherung oder der Zugriff dient ausschließlich der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz.
- Die Speicherung oder der Zugriff ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Unter die zweite Ausnahme können beispielsweise technisch notwendige Warenkorb- oder Login-Funktionen fallen. Cookies für personalisierte Werbung oder websiteübergreifendes Tracking benötigen dagegen regelmäßig eine Einwilligung.
Die Einwilligungspflicht betrifft nicht nur Cookies, sondern auch andere Technologien, die Informationen auf Endgeräten speichern oder auslesen.
Werden dabei personenbezogene Daten verarbeitet, müssen zusätzlich die Anforderungen der Datenschutz-Grundverordnung (DSGVO) beachtet werden.
Sechs Ausnahmen von der Einwilligungspflicht
Nach der Position des Rates soll die Cookie-Einwilligungspflicht künftig sechs Ausnahmen vorsehen:
- Die technisch erforderliche Übertragung elektronischer Kommunikation über ein Kommunikationsnetz.
- Die Bereitstellung eines vom Nutzer ausdrücklich gewünschten digitalen Dienstes einschließlich der hierfür erforderlichen Funktionen.
- Die Erstellung anonymer, aggregierter Nutzungsstatistiken zur Reichweitenmessung eines Online-Dienstes durch dessen Anbieter oder in dessen Auftrag.
- Bestimmte Verfahren zur Medienreichweitenmessung nach Art. 24 des Europäischen Medienfreiheitsgesetzes (VO (EU) 2024/1083).
- Die Aufrechterhaltung oder Wiederherstellung der technischen Sicherheit eines digitalen Dienstes oder des hierfür verwendeten Endgeräts.
- Die Messung der Ausspielung und Wirksamkeit kontextbezogener Werbung unter bestimmten Voraussetzungen.
Die ersten beiden Ausnahmen bestehen bereits im geltenden Recht. Die vier weiteren sollen neu hinzukommen.
Die Ausnahmen sind allerdings an enge Voraussetzungen geknüpft. Insbesondere müssen die Speicherung und der Zugriff ausschließlich dem jeweiligen privilegierten Zweck dienen und hierfür unbedingt erforderlich sein.
Für Online-Händler dürften vor allem die geplanten Erleichterungen bei der Reichweitenmessung und der Messung kontextbezogener Werbung interessant sein.
1. Reichweitenmessung künftig ohne Einwilligung?
Bislang benötigen viele Analyseverfahren eine Cookie-Einwilligung, wenn sie Informationen auf Endgeräten speichern oder auslesen und keine der geltenden Ausnahmen greift.
Nach der Position des Rates soll die Reichweitenmessung künftig auch ohne Einwilligung möglich sein, sofern sie der Erstellung anonymer, aggregierter Nutzungsstatistiken dient. Dies soll auch gelten, wenn ein externer Dienstleister die Messung im Auftrag des Website-Betreibers durchführt.
Voraussetzung ist insbesondere, dass die hierfür erhobenen Daten nicht für andere Zwecke verarbeitet, an Dritte weitergegeben oder mit Daten aus anderen Diensten oder von Dritten zusammengeführt werden. Die daraus gewonnenen anonymen, aggregierten Statistiken dürfen dagegen auch an Dritte weitergegeben werden.
Ein Online-Händler möchte feststellen, wie häufig bestimmte Produktseiten aufgerufen werden und welche Kategorien besonders stark nachgefragt sind.
Hierfür nutzt er einen Analysedienst, der ausschließlich anonyme, aggregierte Nutzungsstatistiken erstellt und die genannten Voraussetzungen erfüllt.
Eine solche Reichweitenmessung könnte künftig ohne Cookie-Einwilligung zulässig sein.
Werden dagegen individuelle Nutzungsprofile erstellt oder die erhobenen Daten für andere Zwecke verwendet beziehungsweise mit Informationen aus anderen Diensten zusammengeführt, kann die Ausnahme ausscheiden.
Bei Google Analytics käme es daher weiterhin auf die konkrete technische Ausgestaltung an. Insbesondere eine eigenständige Datennutzung durch Google könnte der Ausnahme entgegenstehen.
2. Was gilt für Werbetracking?
Kontextbezogene Werbung orientiert sich am Inhalt der gerade aufgerufenen Internetseite oder an einer einzelnen Suchanfrage, ohne auf Nutzerprofile oder frühere Aktivitäten zurückzugreifen.
Nach dem Ratsmandat soll künftig auch die Messung der Ausspielung und Wirksamkeit solcher Werbung unter bestimmten Voraussetzungen ohne Cookie-Einwilligung möglich sein.
Die Messung muss durch den Anbieter des Online-Dienstes, gemeinsam mit anderen oder in seinem Auftrag erfolgen. Dabei dürfen weder Nutzerprofile erstellt oder genutzt noch Daten über frühere oder spätere Aktivitäten des Nutzers verarbeitet werden.
Zudem müssen die erhobenen Daten nach ihrer Erhebung pseudonymisiert werden und dürfen nicht für andere Zwecke verwendet werden.
Ein Online-Händler schaltet auf einer thematisch passenden Internetseite Werbung für Fahrradzubehör.
Gemeinsam mit dem Seitenbetreiber möchte er messen, wie häufig die Werbung angezeigt und angeklickt wird. Eine solche Messung könnte unter die geplante Ausnahme fallen.
Nicht erfasst wäre dagegen ein Verfahren, das Nutzer über verschiedene Internetseiten hinweg verfolgt, um ihnen personalisierte Werbung anzuzeigen.
Auch ein Conversion-Tracking, bei dem Werbekontakte einzelnen Nutzern zugeordnet und mit deren späteren Käufen verknüpft werden, wäre von der Ausnahme nicht gedeckt.
Neue Regeln für Cookie-Banner
Neben den zusätzlichen Ausnahmen von der Einwilligungspflicht sieht das Ratsmandat auch neue Vorgaben für Cookie-Banner vor. Nutzer sollen Einwilligungsanfragen einfacher ablehnen können und seltener erneut mit ihnen konfrontiert werden.
1. Einfachere Ablehnung und weniger Einwilligungsabfragen
Nach dem Ratsmandat sollen Nutzer eine Einwilligungsanfrage künftig mit einem einzigen Klick oder auf vergleichbar einfache Weise ablehnen können. Entsprechende Anforderungen ergeben sich in Deutschland bereits heute aus der Rechtsprechung und der aufsichtsbehördlichen Praxis.
Darüber hinaus will der Rat verhindern, dass Nutzer nach einer Ablehnung immer wieder mit derselben Einwilligungsanfrage konfrontiert werden. Deshalb soll der Anbieter grundsätzlich mindestens vier Monate lang keine erneute Einwilligung für denselben Zweck anfordern dürfen. Die Kommission hatte ursprünglich eine Frist von sechs Monaten vorgeschlagen.
Ausnahmen von dieser Sperrfrist sind unter anderem vorgesehen, wenn sich der Verarbeitungszweck ändert oder die gespeicherte Ablehnung aus Gründen außerhalb des Einflussbereichs des Anbieters nicht mehr verfügbar ist, etwa weil der Nutzer seine Cookies gelöscht hat.
Wiederholte Abfragen sollen aber nicht nur nach einer Ablehnung begrenzt werden. Auch wenn bereits eine wirksame Einwilligung vorliegt, soll eine erneute Anfrage für denselben Zweck unzulässig sein.
2. Keine verpflichtende Browserlösung
Die Europäische Kommission hatte vorgeschlagen, dass Nutzer ihre Cookie-Präferenzen zentral, etwa im Browser, festlegen können und Websites diese Entscheidungen beachten müssen. Browseranbieter sollten hierfür die technischen Voraussetzungen schaffen.
Der Rat hat diese verpflichtende Browserlösung jedoch nicht in sein Verhandlungsmandat übernommen.
Auch die von der Kommission vorgeschlagene Verlagerung der Cookie-Regeln in die DSGVO, soweit personenbezogene Daten betroffen sind, lehnt der Rat ab. Die Vorschriften sollen weiterhin in der ePrivacy-Richtlinie verbleiben.
In Deutschland besteht mit der seit dem 01.04.2025 geltenden Einwilligungsverwaltungsverordnung bereits ein Rechtsrahmen für anerkannte Dienste zur zentralen Verwaltung von Einwilligungen. Eine allgemeine Pflicht zur Nutzung solcher Dienste oder einer Browserlösung besteht allerdings nicht.
Wann könnten Cookie-Banner entfallen?
Die geplanten Ausnahmen könnten dazu führen, dass Online-Händler ihre Cookie-Banner deutlich vereinfachen oder sogar vollständig darauf verzichten können.
Voraussetzung wäre, dass sämtliche eingesetzten Technologien, die Informationen auf Endgeräten speichern oder auslesen, unter eine gesetzliche Ausnahme fallen und auch nach der DSGVO keine Einwilligung erforderlich ist. Davon könnten insbesondere Shops profitieren, die neben technisch notwendigen Funktionen lediglich bestimmte Verfahren zur Reichweitenmessung oder Maßnahmen zur technischen Sicherheit einsetzen.
Anders sieht es bei personalisierter Werbung, Retargeting oder websiteübergreifendem Tracking aus. Hier dürften Einwilligungsabfragen weiterhin erforderlich bleiben.
Entscheidend wäre somit nicht, ob ein Online-Shop Cookies verwendet, sondern zu welchen Zwecken und auf welche Weise Informationen auf Endgeräten gespeichert oder ausgelesen werden.
Eine Ausnahme von der Cookie-Einwilligungspflicht lässt die übrigen Datenschutzpflichten nicht entfallen.
Nach dem Ratsmandat soll die Ausnahme auch die anschließende Verarbeitung personenbezogener Daten für denselben privilegierten Zweck erfassen, soweit diese hierfür unbedingt erforderlich ist. Für eine darüber hinausgehende Verarbeitung bleibt eine Rechtsgrundlage nach der DSGVO erforderlich.
Auch die datenschutzrechtlichen Informationspflichten gelten weiterhin.
Wann kommt die Reform und was ist zu beachten?
Die Reform ist noch nicht beschlossen. Zunächst müssen sich das Europäische Parlament und der Rat auf einen gemeinsamen Gesetzestext verständigen. Dabei können sich die geplanten Regelungen noch ändern.
Da der Rat die Cookie-Regeln in der ePrivacy-Richtlinie belassen will, müssten die Änderungen anschließend in deutsches Recht umgesetzt werden.
Für Online-Händler besteht daher vorerst kein Handlungsbedarf aufgrund der geplanten Reform. Bis zu einer Änderung des geltenden Rechts müssen einwilligungspflichtige Technologien weiterhin von einer wirksamen Zustimmung abhängig gemacht werden.
Fazit
Der Rat will Cookie-Banner reduzieren, indem er zusätzliche Ausnahmen von der Einwilligungspflicht schafft. Eine verpflichtende Cookie-Steuerung über den Browser lehnt er dagegen ab.
Für Online-Händler könnten sich insbesondere bei der Reichweitenmessung, der technischen Sicherheit und der Messung kontextbezogener Werbung Erleichterungen ergeben. Eine generelle Freigabe von Tracking-Technologien ist jedoch nicht vorgesehen.
Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.
0 Kommentare