Weniger Banner? Der EU-Vorschlag zur Cookie-Einwilligung

Wichtige Erkenntnisse

• Der Rat schlägt eine Ablehnung per Klick oder auf gleichwertigem Wege vor; nach einer Ablehnung soll erst nach mindestens vier Monaten erneut für denselben Zweck angefragt werden. [2]
• Die vorgeschlagenen Ausnahmen für die Reichweitenmessung sind an Bedingungen geknüpft; sie befreien nicht jedes Analyse- oder Werbetool pauschal von der Einwilligungspflicht. [2]
• Irlands Datenschutzkommission (Data Protection Commission, DPC) vertritt weiterhin die Auffassung, dass Analyse-Cookies eine Einwilligung erfordern. Unternehmen sollten die aktuelle Konformität prüfen, anstatt einen Vorschlag vorzeitig umzusetzen. [3][4]

Was der Vorschlag zur Vier-Monats-Frist tatsächlich besagt

Das Mandat des Rates, das mit der aktualisierten Ankündigung am 22. Oktober veröffentlicht wurde, würde es Nutzern ermöglichen, eine Einwilligungsanfrage einfach und verständlich über eine Schaltfläche mit nur einem Klick oder ein gleichwertiges Mittel abzulehnen. Im Falle einer Ablehnung sollte der Anbieter für denselben Zweck für mindestens vier Monate nicht erneut fragen. Wenn eine Einwilligung erteilt wird, sollte sie während des Zeitraums, in dem sie rechtmäßig genutzt werden kann, nicht erneut für diesen Zweck angefordert werden. [2]

Die Details sind entscheidend. Dies ist kein universelles Ablaufdatum von vier Monaten für jeden Cookie. Es bedeutet auch nicht, dass eine Website eine spätere Änderung der Präferenzen ignorieren darf. Es adressiert wiederholte Anfragen für denselben Zweck. Das Mandat sieht zudem eine spätere nationale Umsetzungsfrist vor; niemand sollte die Ankündigung vom Oktober als eine sofortige Änderung des irischen Rechts interpretieren. [2]

Ein Cookie ist eine kleine Information, die auf einem Gerät gespeichert wird. Einige unterstützen Funktionen, die eine Person tatsächlich angefordert hat; andere helfen dabei, Aktivitäten zu messen oder Werbung gezielt zu steuern. Sie alle als „essenziell“ zu bezeichnen, nur weil sie für ein Unternehmen nützlich sind, macht diese Einstufung nicht korrekt. [4]

Eine Hand hält ein Telefon neben einer Kaffeetasse; der Bildschirm ist unleserlich. KI-generierte redaktionelle Illustration; kein Foto eines benannten Ereignisses oder Studienteilnehmers.

Messung ist keine pauschale Befreiung

Der Entwurf enthält unterschiedliche Bestimmungen zur Messung. Eine Bestimmung zur Reichweitenmessung verlangt, dass Daten nach der Erhebung pseudonymisiert werden, begrenzt die Wiederverwendung und das Tracking außerhalb des gemessenen Dienstes oder Medieninhalts und schränkt die Weitergabe personenbezogener Daten ein. Pseudonymisierung ist nicht dasselbe wie eine irreversible Anonymisierung. Den gesamten Vorschlag als Befreiung für „anonyme Analysen“ zu bezeichnen, würde wichtige Bedingungen außer Acht lassen. [2]

Eine weitere Bestimmung betrifft die Messung von kontextbezogener Werbung: Werbung, die basierend auf dem unmittelbaren Inhalt oder einer einzelnen Suchanfrage ausgewählt wird, statt auf Basis eines Profils vergangener oder zukünftiger Aktivitäten. Die Bedingungen hierfür schränken das Profiling und andere Nutzungen ein. Ein Unternehmen kann verhaltensbasierte Werbung nicht einfach in „kontextbezogen“ umbenennen und davon ausgehen, dass sie unter den Vorschlag fällt. [2]

Der praktische Unterschied besteht darin, ob man fragt, wie eine bestimmte Seite abschneidet, oder ob man ein fortlaufendes Bild der Aktivitäten einer identifizierbaren Person zusammensetzt. Ob ein spezifisches Tool eine künftige Ausnahme erfüllt, würde davon abhängen, was es tatsächlich tut, nicht von der Formulierung auf seiner Verkaufsseite. Diese Bestimmungen bleiben Vorschläge und sind keine fertige Konformitätsbescheinigung für ein Softwareprodukt.

Was irische Unternehmen jetzt tun müssen

Die aktuelle Anleitung der DPC beantwortet die Frage, ob Analyse-Cookies eine Einwilligung benötigen, mit „Ja“, auch in Bezug auf First-Party-Analysen. Sie identifiziert enge Ausnahmen für unbedingt erforderliche Funktionen, die vom Nutzer angefordert wurden, und für die Übertragung einer Nachricht. Sie besagt, dass Cookies für zielgerichtete Werbung und Conversion-Tracking nicht befreit sind. [3][4]

Die DPC warnt außerdem, dass vorausgewählte Kästchen oder Schalter keine gültige Einwilligung darstellen. Ein allgemeiner Link zur Cookie-Erklärung eines Dritten ist kein Ersatz für die Erklärung der eigenen Nutzung durch den Betreiber. Nutzer müssen in der Lage sein, ihre Einwilligung zu widerrufen oder zu ändern, und der Widerruf muss so einfach sein wie die Erteilung. [4][5]

Deshalb reicht es nicht aus, nur eine Schaltfläche zu ändern. Ein Einwilligungsbanner ist die Schnittstelle; die dahinter laufenden Skripte entscheiden, ob die Wahl des Besuchers respektiert wird. Ein Unternehmen sollte wissen, welche Tools vor einer Entscheidung geladen werden, welche nach einer Ablehnung geladen werden und was nach einem Widerruf gestoppt wird.

Drei Kollegen diskutieren an einem hellen Arbeitsplatz über einen Laptop. KI-generierte redaktionelle Illustration; kein Foto eines benannten Ereignisses oder Studienteilnehmers.

Ein praktisches Audit ohne Warten auf neue Gesetze

Nehmen wir als Beispiel eine Bäckerei in Dublin, die ein Buchungs-Widget, einen Besucherzähler und ein Werbepixel verwendet. Der Eigentümer sollte den Entwickler bitten, den Zweck jedes Tools, die Datenempfänger, die Speicherdauer und das Einwilligungsverhalten zu dokumentieren. Es sollte nicht davon ausgegangen werden, dass die Buchungsfunktion und das Marketing-Pixel identisch behandelt werden müssen. Dies ist ein hypothetisches Beispiel, kein Audit eines benannten Unternehmens.

Testen Sie die Website dann als neuer Besucher, der optionales Tracking ablehnt. Wiederholen Sie dies auf dem Mobiltelefon und nach dem Widerruf einer früheren Zustimmung. Prüfen Sie, ob die Richtlinie die tatsächlichen Tools beschreibt und ob aus der Ablehnung an anderer Stelle in der Benutzeroberfläche nicht stillschweigend eine Einwilligung wird. Dokumentieren Sie den Test und holen Sie in Zweifelsfällen qualifizierten Rat ein. [4][5]

Für Ersteller von Inhalten und kleinere Unternehmen könnten weniger aufdringliche Anfragen nützlich sein. Aber den Erfolg nur daran zu messen, wie viele Personen auf „Akzeptieren“ klicken, belohnt das falsche Ergebnis. Der bessere Test ist, ob die Menschen die Wahl verstehen und die Seite diese respektiert.

Ein Ladenbesitzer spricht mit einem Kunden an einer Theke. KI-generierte redaktionelle Illustration; kein Foto eines benannten Ereignisses oder Studienteilnehmers.

Einfachere Entscheidungen erfordern weiterhin Rechenschaftspflicht

Der Fokus von Safegram auf Privatsphäre und Nutzerkontrolle ist für diesen Grundsatz relevant: Ein Versprechen zum Datenschutz sollte an der Erfahrung derer gemessen werden, die „Nein“ sagen, nicht nur an einer Schlagzeile. Dies ist ein Designstandard, der auch für Safegram gilt, und keine Behauptung, dass seine Technologie unabhängig geprüft wurde oder dass es niemals ein bestimmtes Tool verwendet.

Der Rat erklärt, dass Verhandlungen mit dem Europäischen Parlament der nächste Schritt sind. Leser in anderen Regionen sollten den EU-Vorschlag oder die Leitlinien der irischen Aufsichtsbehörde nicht als automatische Änderung des britischen, US-amerikanischen, brasilianischen oder anderen nationalen Rechts betrachten. Selbst innerhalb Europas sollte eine spezifische Umsetzung mit den geltenden Regeln und dem endgültigen Text abgeglichen werden. [1]

Der nächste sinnvolle Schritt ist ab sofort möglich: Testen Sie eine echte Ablehnung und einen Widerruf auf Ihrer Website. Informationen über Safegram (ein soziales Netzwerk und Marktplatz mit Fokus auf Privatsphäre) finden Sie auf safegram.com (https://safegram.com/). Dies ist eine allgemeine redaktionelle Analyse, keine individuelle Rechtsberatung oder ein Konformitätszertifikat.

Häufig gestellte Fragen

Hat die EU die Cookie-Banner im Oktober 2026 abgeschafft?

Nein. Der Rat hat sich auf eine Verhandlungsposition geeinigt, nicht auf ein fertiges Gesetz zur Abschaffung von Bannern. Bestehende Verpflichtungen gelten weiterhin. [1]

Was bedeutet die vorgeschlagene Vier-Monats-Frist?

Nach der Ablehnung einer Anfrage soll eine Person laut dem Text des Rates für mindestens vier Monate nicht erneut für denselben Zweck gefragt werden. Dies ist noch keine neue irische Regelung. [2]

Können irische Websites nun Analyse-Cookies ohne Einwilligung setzen?

Nicht aufgrund dieses Vorschlags. Die aktuellen DPC-Leitlinien besagen, dass Analyse-Cookies eine Einwilligung erfordern. Die vorgeschlagenen Ausnahmen haben diese Leitlinien noch nicht ersetzt. [3]

Sind pseudonymisierte Informationen anonym?

Nicht zwangsläufig. Das Ersetzen von Identifikatoren allein schließt die Möglichkeit, Informationen mit einer Person zu verknüpfen, nicht aus. Die Messbedingungen des Entwurfs sollten nicht auf die Behauptung reduziert werden, dass alle Analysen anonym seien. [2]

Was ist kontextbezogene Werbung?

Werbung, die auf dem betrachteten Inhalt oder einer spezifischen Abfrage basiert und nicht auf einem Profil der Aktivitäten einer Person. Die vorgeschlagene Ausnahme für die Messung enthält weitere Einschränkungen. [2]

Was sollte ein Unternehmen sofort ändern?

Beheben Sie aktuelle Konformitätsprobleme: Identifizieren Sie tatsächliche Tracker, entfernen Sie ungültige vorausgewählte Einwilligungen, erklären Sie Zwecke und bieten Sie einen einfachen Widerrufsweg an. Aktivieren Sie vorgeschlagene Ausnahmen nicht, bevor diese anwendbar werden. [3][4][5]