ePrivacy-Richtlinie und Cookies: die Regel hinter jedem Cookie-Banner

Kurz gesagt: Art. 5 Abs. 3 der ePrivacy-Richtlinie erlaubt das Speichern oder Auslesen von Informationen auf dem Gerät eines Besuchers (Cookies, Local Storage, Pixel, Fingerprinting) erst nach dessen Einwilligung, außer der Vorgang ist für den gewünschten Dienst unbedingt erforderlich. Die Regel gilt über das nationale Recht jedes Mitgliedstaats für jede Website und App, die von Menschen in der EU genutzt wird, in Deutschland über § 25 TDDDG. Nationale Behörden setzen sie direkt durch, ohne federführende Behörde, und auf dieser Grundlage wurden die höchsten Cookie-Bußgelder Europas verhängt.

ePrivacy-Richtlinie: Worum geht es?

Die ePrivacy-Richtlinie, amtlich Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation, wurde am 12. Juli 2002 erlassen. Die Mitgliedstaaten hatten bis zum 31. Oktober 2003 Zeit, sie umzusetzen. Mit der Richtlinie 2009/136/EG vom 25. November 2009 wurde die Cookie-Regel grundlegend überarbeitet und zur heute bekannten Opt-in-Pflicht. Daher stammt der Spitzname „Cookie-Richtlinie“.

Die Cookie-Regel steht in einem einzigen Satz, Art. 5 Abs. 3. Das Speichern von Informationen im Endgerät eines Teilnehmers oder Nutzers oder der Zugriff auf dort bereits gespeicherte Informationen ist nur erlaubt, wenn die Person ihre Einwilligung gegeben hat, nachdem sie klare und umfassende Informationen über die Zwecke erhalten hat. Darauf folgen zwei Ausnahmen.

Drei Merkmale unterscheiden diesen Text von der DSGVO:

• Er schützt das Gerät, nicht nur personenbezogene Daten. Erwägungsgrund 24 zählt das Endgerät und die darauf gespeicherten Informationen zur Privatsphäre des Nutzers. Der Gerichtshof der EU bestätigte im Urteil Planet49 (C-673/17, 1. Oktober 2019), dass der Schutz unabhängig vom Personenbezug gilt.
• Er ist eine Richtlinie, keine Verordnung. Er gilt nicht unmittelbar. Jeder EU-Staat hat Art. 5 Abs. 3 in eigenes Recht übertragen. In Deutschland geschah das ausdrücklich erst mit dem TTDSG zum 1. Dezember 2021, das seit dem 14. Mai 2024 TDDDG heißt: Die Regel steht in § 25 TDDDG.
• Er setzt den Auslöser, die DSGVO den Maßstab. Seit 2018 bedeutet „Einwilligung“ in der Richtlinie eine Einwilligung im Sinne der DSGVO: freiwillig, bestimmt, informiert und unmissverständlich.

Räumlicher Anwendungsbereich. Die Regel schützt Geräte von Nutzern in der EU, über das Umsetzungsgesetz jedes Staats. Ein Unternehmen außerhalb der EU, das Tracker auf den Browsern europäischer Besucher platziert, ist in derselben Lage wie ein lokales.

Die Kommission schlug 2017 vor, die Richtlinie durch eine ePrivacy-Verordnung zu ersetzen. Die Verhandlungen wurden nie abgeschlossen, und die Kommission billigte am 16. Juli 2025 die Rücknahme des Vorschlags (bekannt gemacht im Amtsblatt am 6. Oktober 2025). Die Richtlinie bleibt der Maßstab.

Wer ist betroffen?

Art. 5 Abs. 3 gilt nicht nur für Telekommunikationsanbieter, sondern für jeden, der Informationen auf dem Gerät eines Nutzers speichert oder ausliest. In der Praxis:

• Websitebetreiber, deren Seiten Cookies setzen oder Skripte ausführen, die in den Browser schreiben oder daraus lesen (Local Storage, Session Storage, IndexedDB).
• App-Anbieter, deren SDKs Gerätekennungen auslesen oder Daten auf dem Smartphone speichern.
• Drittanbieter wie Werbenetzwerke, Analyseanbieter und soziale Netzwerke, deren Tags auf Ihren Seiten laufen. Der EDSA weist darauf hin, dass Speicherung und Zugriff nicht von derselben Partei ausgehen müssen.
• Absender von E-Mails, die mit Tracking-Pixeln das Öffnen einer Nachricht messen.
• Hersteller vernetzter Geräte (Smart-TVs, vernetzte Autos, IoT-Sensoren), die gespeicherte Daten an einen Server senden.

Die Unternehmensgröße spielt keine Rolle, ebenso wenig, ob Sie Werbetreibender, Publisher oder Anbieter sind.

Was die ePrivacy-Richtlinie für Cookies und Einwilligung vorschreibt

Rechtsgrundlage: Einwilligung, sonst nichts

Für alles, was nicht ausgenommen ist, ist die Einwilligung die einzige Grundlage. Die Cookie-Banner-Taskforce des EDSA hat im Januar 2023 bestätigt, dass berechtigtes Interesse das Setzen oder Auslesen von Cookies nach Art. 5 Abs. 3 nicht rechtfertigt. Fehlt die Einwilligung, ist auch jede spätere Verarbeitung der Daten nicht DSGVO-konform.

Was als „Speichern“ oder „Zugriff“ gilt

Hier reicht die Richtlinie viel weiter, als viele denken. Die Leitlinien 2/2023 des EDSA (endgültige Fassung vom 7. Oktober 2024) nennen drei Kriterien: Es geht um Informationen (personenbezogen oder nicht), um das Endgerät eines Nutzers und um Speicherung oder Zugriff. Auf gängige Techniken angewendet:

• Tracking-Pixel und Tracking-Links. Die Auslieferung an das Gerät ist eine Speicherung, zumindest im Browser-Cache, und das Erfassen der zurückgesendeten Kennung ein Zugriff.
• Local Storage und ähnliche Browser-APIs. Schreiben und Lesen sind genau wie bei Cookies erfasst.
• Lokale Verarbeitung. Berechnet Code auf dem Gerät etwas (ein Profil, einen Score) und sendet das Ergebnis an einen Server, ist das ein Zugriff.
• Fingerprinting. Das Auslesen von Geräteeigenschaften zur Bildung einer Kennung war schon 2014 von der Artikel-29-Gruppe erfasst.
• IP-basiertes Tracking. Es kann unter Art. 5 Abs. 3 fallen, wenn die Adresse vom Gerät des Nutzers stammt, etwa bei IPv6 oder einer statischen IPv4 des Heimrouters.
• Eindeutige Kennungen. Eine auf dem Gerät gehashte E-Mail-Adresse, die an Partner gesendet wird, ist ein Zugriff.

Die Botschaft: Der Umstieg auf „cookieless“ Tracking beseitigt die Einwilligungspflicht nicht von selbst. Entscheidend ist, ob die Methode Informationen auf dem Gerät speichert oder ausliest.

Ausnahmen

Art. 5 Abs. 3 erlaubt zwei Arten der Speicherung oder des Zugriffs ohne Einwilligung:

• Vorgänge mit dem alleinigen Zweck der Übertragung einer Nachricht über ein Netz;
• Vorgänge, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Typische Beispiele sind Sitzungs- und Warenkorb-Cookies, Authentifizierung, Lastverteilung, Sicherheit und die Speicherung der Cookie-Entscheidung. Die Taskforce warnt davor, Marketing- oder Analyse-Cookies als „notwendig“ zu kennzeichnen. In Deutschland lehnt die DSK eine pauschale Ausnahme für Reichweitenmessung ausdrücklich ab.

Vorherige Einwilligung, Information, Widerruf und Nachweis

• Vorher, nicht nachher. Kein nicht ausgenommener Cookie darf gesetzt, kein Tracking-Skript ausgeführt werden, bevor die Einwilligung vorliegt.
• Klare und umfassende Informationen über die Zwecke müssen vor der Wahl kommen.
• Der Widerruf muss jederzeit möglich und so einfach wie die Erteilung sein, weil die Richtlinie die Einwilligungsbedingungen der DSGVO übernimmt.
• Nachweis. Halten Sie fest, dass die Einwilligung vorlag, bevor ein Tracker ausgelöst wurde.

Eine Dauer für Cookies oder Einwilligungen legt die Richtlinie nicht fest, das bleibt den nationalen Gesetzen und Behörden überlassen.

Der ePrivacy-konforme Cookie-Banner

Die Richtlinie beschreibt keinen Banner, aber die Behörden, die sie durchsetzen, sind sich über das Wesentliche einig:

• erklären Sie was die Tracker tun und wer sie setzt, bevor Sie fragen;
• bieten Sie „Akzeptieren“ und „Ablehnen“ auf derselben Ebene: Eine große Mehrheit der Behörden in der Taskforce hielt einen Banner ohne Ablehnoption auf der Ebene mit dem Akzeptieren-Button für unwirksam;
• lassen Sie alle Kästchen leer: Der Gerichtshof entschied in Planet49, dass ein vorausgewähltes Kästchen keine wirksame Einwilligung ist;
• machen Sie den Zugang zu Inhalten nicht von der Zustimmung abhängig (Cookie-Walls stehen unter genauer Beobachtung);
• sorgen Sie dafür, dass die Ablehnung wirkt: Nach einem Klick auf „Ablehnen“ darf kein nicht ausgenommener Tracker mehr geschrieben oder gelesen werden;
• bieten Sie einen dauerhaften Weg, die Wahl zu ändern, etwa ein Symbol oder einen Footer-Link.

Gestaltungstricks zählen so viel wie die Buttons. Siehe unseren Artikel über Cookie-Walls und Alternativen und unseren Leitfaden zum DSGVO-konformen Cookie-Banner.

Sanktionen und Kontrollen

Art. 15a der Richtlinie überlässt die Sanktionen den Mitgliedstaaten, die „wirksam, verhältnismäßig und abschreckend“ sein müssen. Es gibt daher keine EU-weite Obergrenze. In Deutschland sieht § 28 TDDDG für Verstöße gegen § 25 bis zu 300.000 € vor, in Frankreich verhängt die CNIL Bußgelder auf Grundlage von Art. 82 des französischen Datenschutzgesetzes. Da der One-Stop-Shop der DSGVO für ePrivacy-Fragen nicht gilt, kann jede nationale Behörde gegen ein ausländisches Unternehmen vorgehen. Reale Fälle:

• Google, 325 Mio. € (CNIL, 1. September 2025). Die CNIL verhängte 200 Mio. € gegen Google LLC und 125 Mio. € gegen Google Ireland Limited. Bei den Cookies stellte sie fest, dass Nutzer bei der Kontoerstellung zu personalisierten Werbe-Cookies gelenkt und nicht klar darüber informiert wurden, dass der Zugang von der Zustimmung abhängen konnte. Die Einwilligung war daher weder freiwillig noch informiert.
• SHEIN, 150 Mio. € (CNIL, Beschluss SAN-2025-005 vom 1. September 2025). Auf shein.com wurden Werbe-Cookies schon beim Aufruf der Startseite gesetzt, vor jeder Interaktion mit dem Banner. Nach einem Klick auf „Alle ablehnen“ wurden weiterhin neue Werbe-Cookies geschrieben und vorhandene ausgelesen.
• Planet49 (Gerichtshof der EU, 1. Oktober 2019). Kein Bußgeld, aber das Urteil, das alle Behörden heute anwenden: Ein vorausgewähltes Kästchen ist keine wirksame Einwilligung, Nutzer müssen über die Laufzeit der Cookies und den Zugriff Dritter informiert werden, und das gilt unabhängig vom Personenbezug.

Checkliste zur Umsetzung

1. Erfassen Sie jede Technik, die das Gerät berührt: Cookies, Local Storage, Pixel, Tracking-Links, Fingerprinting und SDKs.
2. Ordnen Sie jede ein als ausgenommen (Übertragung oder unbedingt erforderlich) oder einwilligungsbedürftig, und dokumentieren Sie die Begründung.
3. Blockieren Sie jedes nicht ausgenommene Skript bis zur Einwilligung, auch E-Mail-Tracking-Pixel.
4. Behandeln Sie cookieless oder serverseitiges Tracking nicht automatisch als ausgenommen: Prüfen Sie, ob Informationen vom Gerät gelesen werden.
5. Zeigen Sie „Akzeptieren“ und „Ablehnen“ nebeneinander, ohne vorausgewählte Kästchen.
6. Testen Sie, ob „Ablehnen“ wirklich wirkt: keine neuen Tracker, kein Auslesen alter Tracker.
7. Erklären Sie Zwecke und Drittanbieter klar vor der Wahl.
8. Bieten Sie einen dauerhaften Widerrufsweg und protokollieren Sie jede Entscheidung.
9. Prüfen Sie die nationalen Regeln jedes Landes, in dem Ihr Publikum lebt, in Deutschland das TDDDG.

Wie FlowConsent Ihnen hilft, die ePrivacy-Richtlinie einzuhalten

FlowConsent wendet Art. 5 Abs. 3 dort an, wo es zählt: im Browser. Der automatische Scan findet die Cookies und Tracker Ihrer Seiten, und Skripte werden vor der Einwilligung blockiert, sodass nichts Einwilligungsbedürftiges läuft, bevor der Besucher zustimmt. Sie legen fest, welche Dienste unbedingt erforderlich sind und welche eine Einwilligung brauchen, wie in unserer Dokumentation zur Konformitätsprüfung beschrieben. Der Banner zeigt „Akzeptieren“ und „Ablehnen“ nebeneinander, Google Consent Mode v2 ist integriert, jede Entscheidung wird als exportierbarer Einwilligungsnachweis gespeichert, das Hosting erfolgt in Europa. Die Einrichtung dauert etwa zehn Minuten. Testen Sie Ihre Website mit unserem kostenlosen Scanner und erstellen Sie Ihr kostenloses Konto: kostenlos bis 25.000 Sitzungen pro Monat, Pro für 14,99 € pro Monat bis 100.000 Sitzungen.

Weiterführende Artikel

Diese Artikel beleuchten die praktische Seite der ePrivacy-Regel. Lesen Sie, was die ePrivacy-Verordnung geändert hätte, für den gesetzgeberischen Hintergrund, und die Übersicht der CNIL-Sanktionen für weitere Fälle. Die übrigen behandeln Cookie-Walls, Cookieless Analytics, Server-Side Tagging und das Audit Ihrer Tracker.