Kurzfassung
Die CNIL (französische Datenschutzbehörde) sanktioniert regelmäßig Unternehmen, die gegen die Vorschriften zu Cookies und Trackern verstoßen. Die häufigsten Verstöße sind das Setzen von Cookies ohne vorherige Einwilligung, das Fehlen eines Ablehnen-Buttons, der ebenso sichtbar ist wie der Akzeptieren-Button, und eine unzureichende Information der Nutzer. 2025 gehörten Cookies mit 21 Entscheidungen zu den Hauptgründen für Sanktionen, darunter zwei hohe Bußgelder von 325 Millionen Euro (Google) und 150 Millionen Euro (Shein). Anfang 2026 setzte die CNIL ihre Durchsetzung mit einem Bußgeld von 1,5 Millionen Euro gegen American Express wegen Cookie-Verstößen fort und bestätigte, dass Cookies neben KI und Cybersicherheit ein Schwerpunktthema bleiben.
Warum sanktioniert die CNIL Cookie-Verstöße?
Die CNIL ist nach Artikel 82 des französischen Datenschutzgesetzes, mit dem die ePrivacy-Richtlinie umgesetzt wird, für die Kontrolle und Sanktionierung von Vorgängen im Zusammenhang mit Cookies zuständig. Diese Zuständigkeit gilt für jede Website, die von Frankreich aus erreichbar ist, auch für Websites mit Sitz außerhalb Frankreichs.
Seit 2020 hat die CNIL Cookies zu einem Schwerpunkt ihrer Durchsetzung gemacht. 2024 wurden 11 Organisationen wegen Cookie-Verstößen sanktioniert. 2025 wurden 21 Sanktionen mit einem Gesamtbetrag von über 475 Millionen Euro verhängt. Im Januar 2026 erhielt American Express ein Bußgeld von 1,5 Millionen Euro speziell wegen Cookie-Verstößen, was bestätigt, dass die CNIL die Cookie-Regeln weiterhin als eigenständige Priorität durchsetzt.
Die wichtigsten Sanktionen wegen Cookies
Google: 100 Millionen Euro (Dezember 2020)
Sanktioniert wegen des Setzens von Werbe-Cookies ohne Einwilligung, fehlender Information der Nutzer und eines mangelhaften Widerspruchsmechanismus. 2024 vom französischen Staatsrat (Conseil d’État) bestätigt.
Amazon: 35 Millionen Euro (Dezember 2020)
Sanktioniert wegen des Setzens von Cookies ohne Einwilligung und fehlender Information der Nutzer. Im September 2024 vom Staatsrat bestätigt.
Google: 150 Millionen Euro (Dezember 2021)
google.fr und youtube.com boten einen Button zum Akzeptieren von Cookies, aber keine gleichwertige Möglichkeit zum Ablehnen (5 Klicks erforderlich). Facebook wurde am selben Tag mit 60 Millionen Euro sanktioniert.
Microsoft, Apple, TikTok (Dezember 2022)
Microsoft (Bing): 60 Millionen Euro. Apple: 8 Millionen Euro für Werbe-Cookies unter iOS. TikTok: 5 Millionen Euro. Alle wurden wegen des Setzens von Cookies ohne Einwilligung und/oder wegen des Fehlens eines gleichwertigen Ablehnungsmechanismus sanktioniert.
Google: 325 Millionen Euro (September 2025)
Das höchste Cookie-Bußgeld, das die CNIL je verhängt hat. Setzen von Trackern ohne Einwilligung, ein Ablehnungsprozess, der komplizierter war als die Zustimmung, und kommerzielle Anreize, die den Zugang zum Dienst von der Annahme von Cookies abhängig machten.
Shein: 150 Millionen Euro (September 2025)
Werbe-Cookies ohne Einwilligung, unklare Information der Nutzer und ein bewusst komplizierter Prozess zur Ablehnung des Werbe-Trackings.
Welche Verstöße werden am häufigsten sanktioniert?
Setzen von Cookies vor der Einwilligung. Der häufigste Verstoß. Alle nicht notwendigen Cookie-Kategorien (Analyse, Werbung, funktional) erfordern eine Einwilligung, bevor sie gesetzt werden. Eine Cookie-Prüfung deckt das auf.
Kein Ablehnen-Button, der so sichtbar ist wie der Akzeptieren-Button. Grundlage für das Bußgeld von 150 Millionen Euro gegen Google (2021). Die Ablehnung muss so einfach sein wie die Zustimmung, mit einem einzigen Klick.
Unzureichende Information der Nutzer. Unklarer Banner oder unvollständige Cookie-Richtlinie.
Missachtung der Ablehnung. Der Nutzer lehnt ab, doch die Tracker laufen weiter, oder die Einwilligung wird missbräuchlich erneut abgefragt.
Sanktionen treffen nicht nur Großkonzerne
Die CNIL sanktioniert über ihr vereinfachtes Verfahren auch Unternehmen jeder Größe. Die Bußgelder sind auf 20.000 Euro begrenzt, gehen aber mit Anordnungen zur Herstellung der Konformität einher. Das Risiko einer Kontrolle besteht für jede von Frankreich aus erreichbare Website, unabhängig von ihrer Größe.
Wie vermeiden Sie eine CNIL-Sanktion wegen Cookies?
- Lösen Sie vor der Entscheidung des Besuchers keine nicht notwendigen Cookies aus.
- Zeigen Sie auf der ersten Ebene einen Ablehnen-Button, der so sichtbar ist wie der Akzeptieren-Button.
- Informieren Sie klar über die Zwecke der Tracker.
- Respektieren Sie die Ablehnung: Blockieren Sie Skripte tatsächlich, wenn der Besucher ablehnt.
- Fragen Sie die Einwilligung nicht bei jedem Besuch erneut ab (höchstens 13 Monate).
- Ermöglichen Sie den Widerruf der Einwilligung jederzeit (Link im Footer).
- Führen Sie einen regelmäßigen Scan Ihrer Website durch.
- Nutzen Sie eine CMP , die Skripte blockiert und Einwilligungsnachweise speichert.
Fazit
CNIL-Sanktionen wegen Cookies sind keine Theorie. Sie treffen Großkonzerne ebenso wie mittelständische Unternehmen, und die Beträge steigen jedes Jahr (insgesamt 487 Millionen Euro im Jahr 2025, fortgesetzte Durchsetzung 2026 mit dem Bußgeld gegen American Express). Das vereinfachte Verfahren macht inzwischen die Mehrheit der Entscheidungen aus, sodass auch KMU einem realen Kontrollrisiko ausgesetzt sind. Compliance beruht auf einer korrekt konfigurierten CMP und regelmäßigen Prüfungen.
Beginnen Sie mit einem kostenlosen Scan Ihrer Website , um zu prüfen, dass Ihre Cookies nicht vor der Einwilligung ausgelöst werden.