Cookie-Banner: Ablehnen sollte genauso einfach sein wie Akzeptieren

Auf Websites und in Apps darf die Zustimmung zu Cookies nicht auf einer einseitigen Auswahl beruhen. Nutzer müssen nicht notwendige Tracking-Technologien genauso einfach ablehnen wie akzeptieren können.

Diese mittlerweile etablierte Regel lässt sich jedoch nicht einfach durch das Hinzufügen eines „Alle ablehnen“-Buttons erfüllen. Die Einhaltung erfordert außerdem, dass keine Tracker platziert werden, die vor der Entscheidung des Nutzers eine Einwilligung erfordern, dass ausreichend klare Informationen bereitgestellt werden, dass die ausdrückliche Ablehnung wirksam respektiert wird und dass die Einwilligung jederzeit widerrufen werden kann.

Die von der CNIL verhängten Sanktionen zeigen, dass das Cookie-Banner als ein echter Einwilligungsprozess betrachtet werden muss, dessen Einhaltung auf rechtlicher, grafischer und technischer Ebene überprüft werden muss.

Welche Cookies erfordern die Zustimmung des Nutzers?

Die für Cookies und andere Tracking-Technologien geltenden Regeln basieren in erster Linie auf Artikel82 des französischen Datenschutzgesetzes, der die Bestimmungen der europäischen „ePrivacy“-Richtlinie in französisches Recht umsetzt.

Dieser Text betrifft Vorgänge, die den Zugriff auf bereits auf dem Gerät eines Nutzers gespeicherte Informationen oder das Speichern von Informationen auf diesem Gerät ermöglichen. Er umfasst daher sowohl herkömmliche Cookies als auch andere Tracking-Technologien, die auf Websites, mobilen Anwendungen, vernetzten Geräten oder bestimmten digitalen Diensten eingesetzt werden.

Der Grundsatz lautet wie folgt: Jeder Cookie oder Tracker, der nicht unbedingt für den Betrieb des vom Nutzer angeforderten Dienstes erforderlich ist, muss – außer in Ausnahmefällen – von ihm selbst genehmigt werden.

Folgende Bereiche dürften betroffen sein:

• Werbe-Cookies;
• Tracker, die die Personalisierung von Werbung ermöglichen;
• Cookies, die dazu dienen, einen Nutzer über mehrere Websites hinweg zu verfolgen;
• Tracker, die mit Social-Media-Sharing-Buttons verknüpft sind;
• einige Reichweitenmessungs-Cookies;
• Tools zur Erstellung von Browserprofilen;
• Tracker, die von Drittanbietern oder Dienstleistern platziert werden.

Umgekehrt können einige unbedingt notwendige Tracking-Cookies auch ohne Einwilligung platziert werden. Dazu gehören beispielsweise Cookies, die verwendet werden, um den Inhalt eines Warenkorbs zu speichern, die Authentifizierung zu sichern, die Cookie-Einstellungen des Nutzers zu speichern oder eine technische Sitzung aufrechtzuerhalten.

Bestimmte Tools zur Reichweitenmessung können ebenfalls ausgenommen sein, jedoch nur, wenn sie alle von der CNIL (französische Datenschutzbehörde) festgelegten Bedingungen erfüllen. Die bloße Kennzeichnung eines Cookies als „statistisch“ oder „zur Reichweitenmessung“ reicht daher nicht aus, um ihn von der Einwilligungspflicht zu befreien.

Was stellt eine gültige Einwilligung zur Verwendung von Cookies dar?

Die Einwilligung muss den Anforderungen der Datenschutz-Grundverordnung. Sie muss freiwillig, spezifisch, informiert und unmissverständlich erfolgen.

Der Nutzer muss eine positive Handlung vornehmen, die seine Wahl eindeutig zum Ausdruck bringt. Das weitere Surfen, das Scrollen auf einer Seite oder das Schließen des Banners gelten nicht als Zustimmung.

Das Schweigen des Nutzers gilt nicht als Zustimmung. Solange der Nutzer die entsprechenden Cookies nicht akzeptiert hat, dürfen keine Tracker, die seine Zustimmung erfordern, auf seinem Gerät platziert oder ausgelesen werden.

Des Weiteren muss der Nutzer über ausreichend genaue Informationen verfügen über:

• die Zwecke von Cookies;
• die Kategorien der verwendeten Tracker;
• die Identität des Datenverantwortlichen;
• die wichtigsten Drittparteien, die wahrscheinlich Tracker platzieren oder auslesen werden;
• die Folgen der Annahme oder Ablehnung;
• die Mittel, mit denen er/sie seine/ihre Einwilligung zu einem späteren Zeitpunkt widerrufen kann.

Daher kann die Zustimmung nicht durch eine allgemeine oder mehrdeutige Formel erreicht werden, die es nicht ermöglicht, den Umfang der vorgeschlagenen Wahl zu verstehen.

Warum sollte Ablehnung so einfach sein wie Akzeptanz?

Eine Einwilligung ist nur dann wirklich frei, wenn der Nutzer Cookies ablehnen kann, ohne auf größere Schwierigkeiten zu stoßen als bei deren Annahme.

Ein Banner mit einem sofort sichtbaren „Alle akzeptieren“-Button, der den Benutzer jedoch zwingt, mehrere aufeinanderfolgende Fenster zu öffnen, um Cookies abzulehnen, erzeugt ein Ungleichgewicht im vorgeschlagenen Benutzererlebnis.

Die vielen Klicks, die zum Ablehnen von Trackern erforderlich sind, schrecken Nutzer wahrscheinlich ab und verleiten sie dazu, die schnellste Option zu wählen. Eine unter diesen Bedingungen erteilte Einwilligung kann nicht als freiwillig angesehen werden.

Die CNIL empfiehlt daher in ihrer Empfehlung vom 17. September 2020 , dass die Schnittstellen zur Einholung von Einwilligungen es dem Benutzer ermöglichen sollten, mit demselben Grad an Einfachheit seine Einwilligung zu erteilen oder zu verweigern.

In der Praxis ist die sicherste Lösung, Folgendes ab der ersten Ebene des Banners anzuzeigen:

• eine Schaltfläche „Alle akzeptieren“;
• eine Schaltfläche „Alle ablehnen“;
• eine Schaltfläche oder ein Link mit der Bezeichnung „Meine Auswahl anpassen“.

Die Optionen zum Annehmen und Ablehnen von Daten müssen ausgewogen dargestellt werden. Es genügt nicht, dass ein gesetzlich vorgeschriebener „Ablehnen“-Button existiert; dieser muss auch erkennbar, verständlich und leicht zugänglich sein.

Kann das Erscheinungsbild des Banners die Entscheidung des Nutzers beeinflussen?

Die Einhaltung von Richtlinien hängt nicht allein von der Anzahl der Klicks ab. Auch die grafische Darstellung kann die Entscheidung des Nutzers künstlich beeinflussen.

Ein gut sichtbarer, farbenfroher „Alle akzeptieren“-Button in der Mitte des Banners, kombiniert mit einem kaum lesbaren „Weiter ohne Akzeptieren“-Button oder einem, der in den Hintergrund tritt, erzeugt wahrscheinlich eine irreführende Nutzerführung.

Diese Designtechniken werden mitunter als „Dark Patterns“ oder manipulative Benutzeroberflächen bezeichnet. Sie bestehen darin, die Präsentation, die Farben, die verwendeten Wörter oder die Informationshierarchie auszunutzen, um das Verhalten des Nutzers zu steuern.

Die beiden Tasten müssen nicht exakt identisch sein. Ihr Design sollte jedoch nicht dazu führen, dass die Ablehnungstaste künstlich schwerer zu finden oder zu verstehen ist.

Insbesondere sollte Folgendes vermieden werden:

• ein sehr deutlicher Kontrast, der ausschließlich dem Akzeptieren-Button zugutekommt;
• eine deutlich kleinere Schriftgröße für die Ablehnung;
• eine mehrdeutige Formulierung wie z. B. „Ohne Personalisierung fortfahren“;
• eine Ablehnungstaste, die auf einen zweiten Bildschirm verbannt wurde;
• Schuldgefühle auslösende oder alarmistische Botschaften;
• eine Reihe von Fenstern, die den Benutzer dazu bringen sollen, seine Ablehnung aufzugeben;
• Vorausgewählte Kästchen zugunsten der Ablagerung von Tracern.

Das Banner muss daher als Ganzes betrachtet werden: Anzahl der Aktionen, Platzierung der Schaltflächen, Farben, Kontrast, Schriftgröße und Wortwahl.

Reicht ein „Alle ablehnen“-Button aus, um die Einhaltung der Vorschriften zu gewährleisten?

Nein. Der Knopf muss einen realen technischen Effekt erzeugen.

Wenn ein Nutzer auf „Alle ablehnen“ klickt, werden keine Cookies gesetzt, die eine Einwilligung erfordern. Alle Tracker, die möglicherweise vor dieser Auswahl platziert wurden, werden nicht mehr ausgelesen oder verwendet.

Dieser Punkt stellt nach wie vor eine häufige Ursache für Verstöße dar. Ein Banner kann rechtlich einwandfrei erscheinen, obwohl die technischen Einstellungen der Website die angezeigte Auswahl nicht widerspiegeln.

Am 1. September 2025 verhängte die CNIL (französische Datenschutzbehörde) eine Geldbuße in Höhe von 150 Millionen Euro gegen ein Unternehmen der SHEIN-Gruppe. Die Behörde stellte insbesondere Folgendes fest:

• die Platzierung bestimmter Werbe-Tracker vor jeglicher Einwilligungserklärung;
• unzureichende Informationen über den Zweck von Cookies;
• das Fehlen vollständiger Informationen über die beteiligten Drittparteien;
• das Einzahlen oder Auslesen bestimmter Tracker trotz Ablehnung durch den Nutzer;
• fehlerhafte Mechanismen zum Widerruf der Einwilligung.

Diese Entscheidung verdeutlicht einen entscheidenden Punkt: Die Konformität eines Banners lässt sich nicht anhand eines einfachen Screenshots überprüfen. Es bedarf technischer Tests, um die vor und nach jeder Auswahl platzierten Tracker zu identifizieren.

Sollte der Nutzer seine Meinung ändern können?

Die Einwilligung ist nicht endgültig. Sie muss jederzeit genauso einfach widerrufen werden können, wie sie erteilt wurde.

Die Website muss daher einen permanenten Mechanismus zur Änderung der geäußerten Präferenzen bieten. Dieser könnte beispielsweise so aussehen:

• von einem Link „Meine Cookies verwalten“ in der Fußzeile;
• eine permanente Schaltfläche zur Verwaltung der Einstellungen;
• eines klar erkennbaren Symbols;
• aus einem Abschnitt, der über die Datenschutzrichtlinie oder die Cookie-Richtlinie zugänglich ist.

Der Widerruf muss ab dem Zeitpunkt des Widerrufs wirksam werden. Die betreffenden Tracker dürfen nicht mehr ausgelesen oder gespeichert werden, sobald der Nutzer seine Einwilligung widerruft.

Die getroffene Entscheidung muss zudem für einen angemessenen Zeitraum gespeichert werden, damit das Banner nicht bei jedem weiteren Besuch erneut angezeigt wird. Die französische Datenschutzbehörde CNIL empfiehlt generell, Entscheidungen – sowohl Zustimmung als auch Ablehnung – so lange zu speichern, dass der Nutzer nicht unangemessen belästigt wird.

Wo sollte der Button „Meine Auswahl personalisieren“ platziert werden?

Der Nutzer muss die Möglichkeit haben, den verschiedenen Zwecken separat zuzustimmen, sofern diese voneinander verschieden sind.

Die zweite Ebene des Banners ermöglicht es den Nutzern, Kategorien zu akzeptieren oder abzulehnen:

• Publikumsmessung;
• Personalisierung von Inhalten;
• personalisierte Werbung;
• die von sozialen Netzwerken angebotenen Funktionen;
• Peilsender, die von bestimmten Partnern platziert werden.

Die Kategorien müssen in klarer Sprache dargestellt werden. Allgemeine Überschriften wie „Verbessern Sie Ihre Nutzererfahrung“ oder „Optimieren Sie unsere Services“ reichen nicht aus, wenn sie den Nutzern nicht verdeutlichen, was die Datenverarbeitung konkret beinhaltet.

Die Optionen sollten nicht standardmäßig aktiviert sein. Der Nutzer muss aktiv die Cookie-Kategorien akzeptieren, die eine Einwilligung erfordern.

Es ist außerdem notwendig, die Liste der Partner oder Drittparteien, die voraussichtlich Tracker hinterlegen werden, sowie die von ihnen verfolgten Zwecke zugänglich zu machen.

Sind „Cookie-Mauern“ verboten?

Eine „Cookie-Wall“ besteht darin, den Zugang zu einer Website oder einem Dienst von der Annahme bestimmter Cookies abhängig zu machen und manchmal alternativ einen kostenpflichtigen Zugang ohne Werbe-Tracker anzubieten.

Diese Praxis ist nicht automatisch verboten. Ihre Rechtmäßigkeit muss jedoch im Einzelfall geprüft werden, um sicherzustellen, dass die Einwilligung tatsächlich freiwillig erfolgt.

Die CNIL untersucht insbesondere Folgendes:

• die Existenz einer realen und fairen Alternative;
• die Klarheit der dem Nutzer gegebenen Informationen;
• die Angemessenheit einer möglichen finanziellen Entschädigung;
• die Ausgewogenheit der Präsentation der verschiedenen Optionen;
• die konkreten Folgen der Verweigerung;
• die Möglichkeit, einen gleichwertigen Dienst in Anspruch zu nehmen, ohne der Werbeverfolgung zuzustimmen.

In ihrer Entscheidung gegen Google vom September 2025bekräftigte die CNIL (französische Datenschutzbehörde), dass der Zugang zu einem Dienst unter bestimmten Umständen von der Platzierung von Werbe-Trackern abhängig sein kann. Es ist jedoch unerlässlich, dass der Nutzer die Konsequenzen seiner Entscheidung klar versteht und ihm die Alternativen ausgewogen dargestellt werden.

Eine Cookie-Wall sollte daher nicht dazu verwendet werden, künstlich eine Zustimmung zu erlangen, die der Nutzer nicht freiwillig gegeben hätte.

Wer ist für Cookies verantwortlich, die von Dienstanbietern platziert werden?

Der Website-Betreiber kann nicht davon ausgehen, von jeglicher Verantwortung befreit zu sein, nur weil die Tracker von einem technischen Dienstleister, einer Werbeagentur, einem sozialen Netzwerk oder einem Tool zur Reichweitenmessung platziert werden.

Es obliegt ihm, die auf seinem Gelände vorhandenen Technologien zu identifizieren und die Bedingungen zu überprüfen, unter denen sie aktiviert werden.

Verträge mit Dienstleistern müssen insbesondere Folgendes festlegen:

• die Art der verwendeten Tracer;
• ihre Ziele;
• die jeweiligen Rollen der Parteien;
• die gesammelten Daten;
• Haltbarkeit;
• potenzielle Datentransfers außerhalb der Europäischen Union;
• Maßnahmen zur Gewährleistung der Einhaltung einer Verweigerung oder eines Widerrufs der Einwilligung;
• die Bedingungen, unter denen die Einhaltung geprüft werden kann.

Eine Website-Aktualisierung, das Hinzufügen eines Werbemoduls oder die Installation einer neuen Erweiterung können neue Cookies erzeugen. Daher muss die Einhaltung der Cookie-Richtlinien regelmäßig überprüft werden, und nicht nur bei der Erstellung des Banners.

Welche Risiken birgt ein nicht konformes Cookie-Banner?

Die CNIL verfügt über Kontroll-, Benachrichtigungs- und Sanktionsbefugnisse. Insbesondere kann sie den Standort aus der Ferne prüfen, Belege anfordern, Vor-Ort-Inspektionen durchführen oder die installierten Tracker technisch verifizieren.

Die Regulierung von Cookies bleibt ein Schwerpunkt ihrer Arbeit. Die gegen Google verhängte Geldstrafe von 325 Millionen Euro und die gegen SHEIN im Jahr 2025 verhängte Geldstrafe von 150 Millionen Euro bestätigen, dass es sich hierbei nicht mehr nur um eine grafische Formalität handelt.

Die Höhe einer Strafe hängt insbesondere von folgenden Faktoren ab:

• Art und Schwere der Verstöße;
• die Anzahl der betroffenen Nutzer;
• die Dauer der Übungen;
• wirtschaftliche Vorteile erzielt;
• der Grad der Kooperationsbereitschaft der Organisation;
• Korrekturmaßnahmen ergriffen;
• die Existenz möglicher Präzedenzfälle.

Nicht nur große Plattformen sind betroffen. Jedes Unternehmen, das eine Website oder Anwendung mit Trackern betreibt, muss die Konformität seines Systems nachweisen können.

Die Anwaltskanzlei ARST Avocats hat ebenfalls eine Publikation den CNIL-Kontrollen und den Risiken im Zusammenhang mit nicht konformen Cookies.

Wie können wir unser Cookie-Banner praktisch überprüfen?

Eine effektive Prüfung muss rechtliche, grafische und technische Analysen miteinander verbinden.

Insbesondere sollten folgende Punkte überprüft werden:

1. Wurden die auf dem Gelände vorhandenen Tracker identifiziert?
2. Werden Cookies, die eine Einwilligung erfordern, blockiert, bevor der Benutzer eine Auswahl treffen kann?
3. Sind die Schaltflächen „Alle akzeptieren“ und „Alle ablehnen“ auf der gleichen Ebene zugänglich?
4. Ist für eine Ablehnung mehr Aufwand erforderlich als für eine Annahme?
5. Wird die Akzeptanz durch die grafische Darstellung künstlich gefördert?
6. Sind die Ziele klar und präzise genug erklärt?
7. Werden die identifizierten Tracker wahrscheinlich von Drittanbietern platziert?
8. Kann der Nutzer eine Entscheidung auf Grundlage des Zwecks treffen?
9. Wird die Ablehnung formaljuristisch respektiert?
10. Kann die Einwilligung jederzeit einfach widerrufen werden?
11. Werden die Benutzerauswahlen für einen angemessenen Zeitraum gespeichert?
12. Entsprechen die Bannerbeschreibungen tatsächlich den auf der Website installierten Tools?
13. Ist die Cookie-Richtlinie aktuell und mit der Datenschutzrichtlinie vereinbar?
14. Werden die Nachweise der Zustimmung und die verschiedenen Versionen des Banners aufbewahrt?
15. Gibt es ein Kontrollverfahren für die Hinzufügung eines neuen Dienstanbieters oder Moduls?

Wichtigste Erkenntnisse

Das Vorhandensein einer Schaltfläche „Alle ablehnen“ ist eine wichtige Voraussetzung für die Einhaltung der Vorschriften, aber nicht ausreichend.

Ein datenschutzkonformes Cookie-Banner muss dem Nutzer die Möglichkeit geben, Cookies zu akzeptieren, abzulehnen oder seine Auswahl anzupassen, ohne ihn zu einer bestimmten Option zu drängen. Es muss verständliche Informationen bereitstellen, die vorzeitige Platzierung von Trackern verhindern, die geäußerte Wahl wirksam respektieren und einen einfachen Widerruf der Einwilligung ermöglichen.

Die Einhaltung der Vorschriften hängt daher ebenso sehr von der Gestaltung der Benutzeroberfläche wie von der technischen Funktionsfähigkeit der Website ab.

Eine regelmäßige Überprüfung der tatsächlich platzierten Banner und Tracker ist weiterhin unerlässlich, insbesondere nach jeder Änderung der Website, einem Wechsel des Dienstanbieters oder der Hinzufügung eines neuen Werbe- oder Statistiktools.

Morgan Jamet,
Partneranwalt – ARST Avocats