Kurz gesagt: Im Vereinigten Königreich brauchen Sie eine Opt-in-Einwilligung, bevor Sie Cookies oder ähnliche Technologien auf dem Gerät eines Besuchers setzen, außer für unbedingt erforderliche Zwecke und, seit Februar 2026, für bestimmte risikoarme Analyse- und Darstellungszwecke, denen Nutzer widersprechen können. Die Regeln gelten für jede Organisation mit einem Online-Dienst für Menschen im Vereinigten Königreich, auch für deutsche Unternehmen, die britische Besucher ansprechen oder verfolgen. Die ICO kann Verstöße gegen die Cookie-Regeln jetzt mit bis zu 17,5 Mio. £ oder 4 % des weltweiten Umsatzes ahnden und hat die meistbesuchten Websites des Landes einzeln geprüft.
UK GDPR und PECR: Worum geht es?
Drei Texte regeln Cookies im Vereinigten Königreich, und sie wirken zusammen, ähnlich wie in Deutschland TDDDG und DSGVO.
- PECR, die Privacy and Electronic Communications (EC Directive) Regulations 2003, trat am 11. Dezember 2003 in Kraft. Regulation 6 ist die Cookie-Regel, die britische Umsetzung von Art. 5 Abs. 3 der ePrivacy-Richtlinie. Sie erfasst jede Technologie, die Informationen auf dem Gerät speichert oder ausliest: Cookies, aber auch Tracking-Pixel, Local Storage und Fingerprinting.
- Die UK GDPR ist die nach dem Brexit ins britische Recht übernommene Fassung der DSGVO, mit Änderungen ab dem 31. Dezember 2020. Sie gilt, sobald Cookies personenbezogene Daten betreffen, und setzt den Einwilligungsmaßstab für die PECR.
- Der Data Protection Act 2018 ergänzt die UK GDPR und regelt die Sanktionen der ICO.
Der Data (Use and Access) Act 2025 (DUAA), seit dem 19. Juni 2025 Gesetz, hat Regulation 6 neu gefasst und mit Schedule A1 eine Liste der Ausnahmen geschaffen. Laut den Inkraftsetzungsvorschriften (SI 2026/82) gelten Section 112 und das neue Sanktionsregime für die PECR seit dem 5. Februar 2026. Die ICO veröffentlichte am 29. April 2026 ihre endgültige Leitlinie zu Speicher- und Zugriffstechnologien, die die ältere Cookie-Leitlinie ersetzt.
Räumlich erfasst Art. 3 UK GDPR Organisationen mit Niederlassung im Vereinigten Königreich und Organisationen außerhalb, die Personen dort Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten.
Wer ist betroffen?
Die ICO ist deutlich: Die Regeln gelten für jede Organisation mit einem Online-Dienst, auch für Behörden. Die Größe spielt keine Rolle. Ein Ein-Personen-Blog mit Werbe-Pixel ist genauso erfasst wie ein landesweiter Händler.
Die PECR gelten unabhängig vom Personenbezug der gespeicherten oder gelesenen Informationen. Handelt es sich um personenbezogene Daten, was bei Kennungen, Analyse und Werbung meist der Fall ist, gilt zusätzlich die UK GDPR.
Auch Organisationen außerhalb des Vereinigten Königreichs sind betroffen, wenn sie britische Nutzer ansprechen. Laut ICO müssen sie in der Regel einen Vertreter im Vereinigten Königreich benennen, mit Ausnahmen für Behörden und gelegentliche, risikoarme Verarbeitung.
Sie sind auch für Drittanbieter-Technologien auf Ihrer Website verantwortlich. Die ICO erwartet, dass Sie angeben, ob Dritte auf das Gerät zugreifen, und die Dritten benennen, deren Technologien Nutzer akzeptieren sollen.
Was UK GDPR und PECR für Cookies und Einwilligung vorschreiben
Der Grundsatz: kein Speichern oder Auslesen ohne Einwilligung
Regulation 6 untersagt es, Informationen im Endgerät eines Nutzers zu speichern oder auf dort gespeicherte Informationen zuzugreifen, es sei denn, eine Ausnahme aus Schedule A1 greift. Die wichtigste ist die Einwilligung: Der Nutzer erhält klare und umfassende Informationen über den Zweck und willigt ein.
Die PECR definieren die Einwilligung über die UK GDPR. Laut ICO braucht es eine klare, aktive Handlung: Vorausgewählte Kästchen und bloßes Weitersurfen zählen nicht, Schweigen oder Untätigkeit sind keine Einwilligung. Nicht ausgenommene Technologien dürfen Sie nicht vor der Zustimmung einsetzen.
Die Ausnahmen in Schedule A1
In fünf eng gefassten Fällen brauchen Sie keine Einwilligung:
- Kommunikation: Speichern oder Zugriff allein zur Übertragung einer Nachricht über ein Netz.
- Unbedingt erforderlich: notwendig für den vom Nutzer gewünschten Dienst, etwa Sicherheit, Betrugsprävention, Authentifizierung, Warenkorb oder die Speicherung der Nutzerentscheidung. Werbe-Cookies, websiteübergreifendes Tracking und profilbasierte Personalisierung sind laut ICO nie unbedingt erforderlich.
- Statistische Zwecke (neu): Informationen über die Nutzung Ihres Dienstes, um ihn zu verbessern. Die Daten müssen aggregiert sein, dürfen nicht zum Tracking oder Profiling von Personen dienen, und ein externer Analyseanbieter muss als Ihr Auftragsverarbeiter handeln. Die Messung von Anzeigenklicks fällt laut ICO nicht darunter.
- Darstellung (neu): Anpassung der Website an Vorlieben oder Gerät, etwa die gewählte Sprache oder der Dunkelmodus.
- Notfallhilfe: Ortung eines Geräts, wenn der Nutzer Hilfe anfordert.
Für statistische Zwecke und Darstellung verlangt Schedule A1 zwei Bedingungen: klare und umfassende Information über den Zweck und eine einfache, kostenlose Widerspruchsmöglichkeit, die der Nutzer nicht genutzt hat. Browsereinstellungen allein genügen laut ICO nicht, Sie brauchen einen Mechanismus in Ihrem Dienst, etwa einen standardmäßig aktiven Schalter.
Information, Dauer und Widerruf
Ihre Cookie-Informationen müssen erklären, welche Technologien Sie nutzen, wozu, welche Dritten beteiligt sind und wie lange Speicherung oder Zugriff dauern. Eine Höchstdauer für die Einwilligung gibt es nicht: Laut ICO hängt sie vom Umfang der Einwilligung, den Erwartungen und Änderungen Ihrer Nutzung ab. Der Widerruf muss so einfach sein wie die Erteilung.
Nachweis
Die UK GDPR verlangt, dass Sie die Einwilligung nachweisen können. Laut ICO geschieht das meist über ein Präferenzprotokoll oder eine Consent-Management-Plattform. Halten Sie fest, was angezeigt, was gewählt wurde und wann.
Der PECR-konforme Cookie-Banner
Die Prüfungen der ICO bei den meistbesuchten Websites konzentrierten sich auf drei Punkte: keine nicht erforderlichen Werbe-Cookies vor der Einwilligung, Ablehnen so einfach wie Akzeptieren und keine nicht erforderlichen Cookies ohne Einwilligung. Ein konformer Banner:
- erscheint, bevor eine nicht ausgenommene Technologie läuft, und blockiert diese Skripte bis zur Wahl;
- bietet „Reject all“ genauso prominent und auf derselben Ebene wie „Accept all“;
- ermöglicht eine granulare Wahl nach Zweck, denn gebündelte Einwilligungen sind laut ICO unzulässig;
- nennt die beteiligten Dritten und verlinkt auf die vollständigen Cookie-Informationen;
- erklärt die Ausnahmen für Statistik oder Darstellung, wenn Sie sie nutzen, und bietet einen einfachen Widerspruch;
- bleibt nach dem ersten Besuch erreichbar, damit Nutzer ihre Wahl jederzeit ändern können.
Zu vermeiden sind vorausgewählte Kästchen, Scrollen als Einwilligung, eine Ablehnoption auf der zweiten Ebene und wiederholtes Nachfragen nach einer Ablehnung: Die ICO hält sechs Monate für angemessen, bevor Sie erneut fragen. Gestaltungsmuster finden Sie in unserem Leitfaden zum Cookie-Banner und zu Cookie Dark Patterns: Die Grundsätze gleichwertiger Wahl gelten auch im Vereinigten Königreich.
Sanktionen und Kontrollen
Die Information Commissioner's Office (ICO) setzt PECR und UK GDPR durch. Bis zum DUAA lagen die PECR-Bußgelder weit unter denen der UK GDPR. Seit dem 5. Februar 2026 wendet Schedule 13 des Gesetzes das Sanktionsregime des Data Protection Act 2018 auf die PECR an: Ein Verstoß gegen Regulation 6 kann mit dem höheren Höchstbetrag geahndet werden, 17,5 Mio. £ oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die neuen Sanktionen gelten nur für Verstöße ab diesem Datum.
Die jüngste Cookie-Arbeit der ICO stützt sich auf Warnungen und Durchsetzungsverfügungen statt Bußgelder, und sie ist gut dokumentiert:
- Top-100-Websites (November 2023 bis Januar 2024). Die ICO warnte 53 der 100 meistbesuchten Websites, dass ihre Banner nicht konform seien. Bis zum 31. Januar 2024 hatten 38 ihre Banner geändert und 4 eine Änderung binnen eines Monats zugesagt. (ICO-Mitteilung)
- Top-200-Websites (Januar 2025). Die ICO prüfte die 200 meistbesuchten Websites, kontaktierte 134 Organisationen und kündigte die Ausweitung auf die Top 1.000 an. (ICO-Mitteilung)
- Top-1.000-Websites (Dezember 2025). Am 4. Dezember 2025 meldete die ICO, dass 979 der 1.000 Websites ihre Prüfkriterien erfüllten, 415 ohne und 564 nach Intervention. Sie erließ 17 vorläufige Durchsetzungsverfügungen. (ICO-Mitteilung)
Im April 2026 erklärte die ICO, dass 99 % der 1.000 meistbesuchten Websites ihre Anforderungen an Cookie-Banner inzwischen erfüllen, beim Online-Tracking insgesamt aber noch Arbeit bleibt. Da die Bußgelder nun an die UK GDPR angeglichen sind, ist es deutlich teurer geworden, zum verbleibenden Prozent zu gehören. Für deutsche Unternehmen mit britischem Publikum heißt das: Ein Banner, der die Anforderungen der DSK erfüllt, ist eine gute Basis, muss aber um die britischen Ausnahmen und Widerspruchsmöglichkeiten ergänzt werden.
Checkliste zur Umsetzung
- Scannen Sie Ihre Website und erfassen Sie alle Cookies, Pixel, Local-Storage-Einträge und Fingerprinting-Skripte, auch von Dritten.
- Ordnen Sie jede Technologie nach Schedule A1 ein: unbedingt erforderlich, statistisch, Darstellung oder einwilligungsbedürftig.
- Prüfen Sie Ihre Analyse-Konfiguration, bevor Sie die statistische Ausnahme nutzen: aggregierte Daten, Auftragsverarbeitungsvertrag, keine Werbung.
- Blockieren Sie nicht ausgenommene Skripte bis zur Einwilligung.
- Zeigen Sie „Reject all“ und „Accept all“ gleichwertig und bieten Sie eine Wahl nach Zweck.
- Bieten Sie einen einfachen, kostenlosen Widerspruch gegen ausgenommene Analyse- und Darstellungs-Cookies.
- Aktualisieren Sie Ihre Cookie-Informationen: Zwecke, Dritte und Laufzeiten.
- Erleichtern Sie den Widerruf mit einem dauerhaften Link.
- Sichern Sie Nachweise und warten Sie nach einer Ablehnung mindestens sechs Monate.
- Prüfen Sie, ob Sie einen Vertreter im Vereinigten Königreich brauchen, wenn Sie von außerhalb britische Nutzer ansprechen.
Wie FlowConsent Ihnen hilft, UK GDPR und PECR einzuhalten
FlowConsent deckt die praktische Seite der PECR ohne langes Projekt ab. Mit dem kostenlosen Scanner sehen Sie, welche Cookies und Tracker Ihre Website lädt, und der automatische Scan hält die Liste aktuell. Der Banner ist in etwa zehn Minuten eingerichtet, blockiert Skripte vor der Einwilligung, bietet ausgewogene Buttons zum Akzeptieren und Ablehnen und integriert Google Consent Mode v2, damit Ihre Google-Tags jede Wahl respektieren. Jede Entscheidung wird protokolliert, und Sie exportieren den Nachweis über den Nachweisbericht, falls die ICO nachfragt. FlowConsent ist in Europa gehostet und kostenlos bis 25.000 Sitzungen pro Monat, Pro kostet 14,99 € pro Monat bis 100.000 Sitzungen. Erstellen Sie Ihr kostenloses Konto.
Weiterführende Artikel
Die folgenden Artikel vertiefen Themen, die diese Seite nur anreißt. Beginnen Sie mit den 7 Voraussetzungen einer wirksamen Einwilligung, die dem Maßstab der UK GDPR entsprechen, und lesen Sie dann, wie Cookieless Analytics die Zahl der Einwilligungsfragen verringern kann. Dazu kommen Anleitungen zum Tracker-Audit, Banner-Beispiele und Google Consent Mode v2.