Cookie-Banner: Was der Viermonatsvorschlag der EU bedeutet

Written by Safegram Editorial Team

Irische Websites dürfen den neuen europäischen Cookie-Vorschlag nicht als Erlaubnis verstehen, Besucher zu verfolgen. Am 21. Oktober 2026 einigte sich der EU-Rat auf seine Verhandlungsposition zur Änderung digitaler Regeln. Vorgesehen sind einfachere Ablehnung, Grenzen für wiederholte Abfragen und eng bedingte Ausnahmen. Das ist ein Verhandlungsmandat, kein bereits geltendes Gesetz zur Änderung irischer Cookie-Pflichten. [1][2]

Die wichtigsten Punkte

Der Rat schlägt Ablehnung mit einem Klick oder einem gleichwertigen Mittel vor. Nach einer Ablehnung soll mindestens vier Monate lang nicht erneut für denselben Zweck gefragt werden. [2]
Vorgeschlagene Ausnahmen zur Reichweitenmessung gelten nur unter Bedingungen, nicht für sämtliche Analyse- oder Werbewerkzeuge. [2]
Die irische DPC verlangt weiterhin Einwilligung für Analyse-Cookies. Unternehmen sollten geltende Pflichten prüfen, nicht einen Vorschlag vorzeitig umsetzen. [3][4]

Was die vier Monate tatsächlich bedeuten

Das Mandat wurde zusammen mit der aktualisierten Mitteilung am 22. Oktober veröffentlicht. Nutzer sollen eine Einwilligungsanfrage einfach und verständlich mit einem Klick oder gleichwertig ablehnen können. Danach soll der Anbieter mindestens vier Monate nicht erneut für denselben Zweck fragen. Bei erteilter Einwilligung soll er nicht erneut fragen, solange er sich dafür rechtmäßig auf sie stützen kann. [2]

Das ist weder ein allgemeines Ablaufdatum aller Cookies nach vier Monaten noch eine Erlaubnis, spätere Präferenzänderungen zu ignorieren. Es geht um wiederholte Anfragen für denselben Zweck. Das Mandat sieht außerdem eine spätere nationale Umsetzung vor. Die Ankündigung änderte irisches Recht nicht über Nacht. [2]

Ein Cookie ist eine kleine Information auf einem Gerät. Manche ermöglichen ausdrücklich gewünschte Funktionen; andere messen Aktivitäten oder steuern Werbung. Dass Cookies für das Unternehmen nützlich sind, macht sie nicht automatisch „unbedingt erforderlich“. [4]

Eine Hand hält ein Smartphone neben Notizbuch und Tasse.

Eine Hand hält ein Smartphone neben Notizbuch und Tasse. KI-generierte redaktionelle Illustration; keine Aufnahme eines konkreten Ereignisses oder von Studienteilnehmenden.

Messung ist keine pauschale Ausnahme

Der Entwurf enthält unterschiedliche Messregelungen. Eine Vorschrift zur Reichweitenmessung verlangt Pseudonymisierung nach der Erhebung, begrenzt weitere Nutzung und Verfolgung außerhalb des gemessenen Dienstes oder Medieninhalts und beschränkt die Weitergabe personenbezogener Daten. Pseudonymisierung ist keine unumkehrbare Anonymisierung. Die pauschale Beschreibung als Ausnahme für „anonyme Analytik“ würde wichtige Bedingungen unterschlagen. [2]

Eine andere Regel betrifft die Messung kontextbezogener Werbung: Werbung, die sich am unmittelbaren Inhalt oder einer einzelnen Suchanfrage orientiert statt an einem Profil vergangener oder künftiger Aktivitäten. Profilbildung und andere Nutzungen werden eingeschränkt. Verhaltenswerbung lediglich in „kontextbezogen“ umzubenennen belegt keine Erfüllung dieser Bedingungen. [2]

Praktisch ist zu unterscheiden zwischen der Leistungsmessung einer Seite und einem fortlaufenden Bild der Aktivitäten einer identifizierbaren Person. Eine künftige Ausnahme hängt vom tatsächlichen Verhalten des Werkzeugs ab, nicht von seiner Verkaufsbeschreibung. Die Bestimmungen bleiben Vorschläge, keine fertige Konformitätsfreigabe für Software.

Was irische Unternehmen heute tun müssen

Die DPC beantwortet die Frage nach Einwilligung für Analyse-Cookies derzeit mit „ja“, auch in ihrer Erläuterung eigener First-Party-Analysen. Sie nennt enge Ausnahmen für unbedingt erforderliche, vom Nutzer angeforderte Funktionen und die Übertragung einer Nachricht. Cookies für gezielte Werbung und Conversion-Tracking sind nicht ausgenommen. [3][4]

Vorangekreuzte Kästchen oder Schalter begründen laut DPC keine gültige Einwilligung. Ein allgemeiner Link zur Cookie-Erklärung eines anderen Unternehmens ersetzt keine Erläuterung der eigenen Nutzung. Einwilligung muss geändert oder widerrufen werden können; der Widerruf muss so einfach sein wie die Erteilung. [4][5]

Deshalb genügt ein anderer Button nicht. Das Banner ist die Oberfläche; die dahinter laufenden Skripte entscheiden, ob die Wahl respektiert wird. Ein Unternehmen sollte wissen, was vor einer Entscheidung, nach Ablehnung und nach einem Widerruf geladen beziehungsweise beendet wird.

Ein Team bespricht digitale Messverfahren in einem Arbeitsraum.

Ein Team bespricht digitale Messverfahren in einem Arbeitsraum. KI-generierte redaktionelle Illustration; keine Aufnahme eines konkreten Ereignisses oder von Studienteilnehmenden.

Eine praktische Prüfung ohne Warten auf neue Gesetze

Ein illustratives Beispiel ist eine Dubliner Bäckerei mit Buchungsmodul, Besucherzähler und Werbepixel. Der Betreiber sollte den Entwickler bitten, für jedes Werkzeug Zweck, Datenempfänger, Speicherung und Einwilligungsverhalten zu dokumentieren. Buchungsfunktion und Werbepixel müssen nicht gleich behandelt werden. Das ist ein hypothetisches Beispiel, kein Audit eines genannten Betriebs.

Testen Sie die Website als neuer Besucher, der optionales Tracking ablehnt. Wiederholen Sie den Test mobil und nach dem Widerruf einer früheren Einwilligung. Prüfen Sie, ob die Erklärung die tatsächlich verwendeten Werkzeuge beschreibt und Ablehnung nicht unbemerkt an anderer Stelle zu Zustimmung wird. Dokumentieren Sie den Test und holen Sie bei Unklarheiten qualifizierten Rat ein. [4][5]

Weniger aufdringliche Abfragen könnten für Creator und kleine Unternehmen hilfreich sein. Erfolg allein an der Zahl der „Akzeptieren“-Klicks zu messen setzt jedoch den falschen Anreiz. Entscheidend ist, ob Menschen ihre Wahl verstehen und die Seite sie respektiert.

Eine Ladeninhaberin spricht mit einem Kunden in einer Designboutique.

Eine Ladeninhaberin spricht mit einem Kunden in einer Designboutique. KI-generierte redaktionelle Illustration; keine Aufnahme eines konkreten Ereignisses oder von Studienteilnehmenden.

Einfachheit braucht weiterhin Verantwortung

Safegrams Schwerpunkt auf Datenschutz und Nutzerkontrolle passt zu diesem Prinzip: Eine Datenschutz-Zusage muss sich auch am Erlebnis der Person messen lassen, die nein sagt. Das gilt ebenso für Safegram und ist kein Nachweis einer unabhängigen technischen Prüfung oder des generellen Verzichts auf ein bestimmtes Werkzeug.

Der Rat nennt Verhandlungen mit dem Europäischen Parlament als nächsten Schritt. Weder der EU-Vorschlag noch die irischen Hinweise ändern automatisch britisches, amerikanisches, brasilianisches oder anderes nationales Recht. Auch in Europa muss eine konkrete Umsetzung anhand der geltenden Regeln und des späteren endgültigen Texts bewertet werden. [1]

Der nächste sinnvolle Schritt ist schon möglich: Testen Sie eine echte Ablehnung und einen Widerruf auf Ihrer Website. Informationen zu Safegram finden Sie auf safegram.com (https://safegram.com/). Dies ist allgemeine Analyse, keine individuelle Rechtsberatung oder Konformitätsbescheinigung.

Häufige Fragen

Hat die EU Cookie-Banner im Oktober 2026 abgeschafft?

Nein. Der Rat hat eine Verhandlungsposition beschlossen, kein endgültiges Abschaffungsgesetz. Die bisherigen Pflichten gelten weiter. [1]

Was bedeutet der vorgeschlagene Viermonatszeitraum?

Nach Ablehnung soll mindestens vier Monate nicht erneut für denselben Zweck gefragt werden. Das ist noch keine neue irische Vorschrift. [2]

Dürfen irische Websites jetzt Analyse-Cookies ohne Einwilligung setzen?

Nicht aufgrund dieses Vorschlags. Die DPC verlangt derzeit Einwilligung; die geplanten Ausnahmen haben das nicht ersetzt. [3]

Sind pseudonymisierte Daten anonym?

Nicht automatisch. Ersetzte Kennungen schließen eine spätere Zuordnung zu einer Person nicht allein aus. Die Messbedingungen sind keine pauschale Annahme anonymer Analysen. [2]

Was ist kontextbezogene Werbung?

Werbung anhand des aktuell betrachteten Inhalts oder einer konkreten Anfrage statt anhand eines Aktivitätsprofils. Die vorgeschlagene Messausnahme enthält zusätzliche Grenzen. [2]

Was sollten Unternehmen sofort ändern?

Geltende Fehler beheben: Tracker erfassen, vorausgewählte Zustimmung entfernen, Zwecke erklären und einfachen Widerruf ermöglichen. Vorgeschlagene Ausnahmen nicht vorzeitig aktivieren. [3][4][5]