Consent or Pay: Sind Cookie-Paywalls nach der DSGVO zulässig?

Ein „Consent or Pay“-Modell, manchmal auch Cookie-Paywall genannt, bietet Besuchern zwei Zugangswege: Tracking für personalisierte Werbung akzeptieren oder für einen Zugang ohne Tracking bezahlen. In der EU und im Vereinigten Königreich ist es nicht pauschal verboten, aber nur rechtmäßig, wenn die Verweigerung der Einwilligung keine unfairen Nachteile mit sich bringt. In der Praxis heißt das: ein fairer Preis, eine wirklich gleichwertige Bezahloption und bei den größten Plattformen in der Regel zusätzlich eine kostenlose Option ohne verhaltensbasierte Werbung.

Was ist ein Consent-or-Pay-Modell?

Ein Consent-or-Pay-Modell ersetzt die üblichen Buttons „Akzeptieren“ und „Ablehnen“ durch die Wahl zwischen dem Akzeptieren von Tracking und einer Bezahlung. Wer akzeptiert, erhält die kostenlose, werbefinanzierte Website. Wer bezahlt, erhält Zugang ohne personalisierte Werbung und in der Regel auch ohne das Tracking, auf dem sie beruht.

Es unterscheidet sich von einer reinen Cookie-Wall, bei der die Verweigerung der Einwilligung den vollständigen Verlust des Zugangs bedeutet. Bei Consent or Pay führt die Ablehnung nicht in eine Sackgasse, sondern hat einen Preis. Publisher haben das Modell eingeführt, als die Einwilligungsraten sanken und die Werbeeinnahmen bei nicht einwilligenden Nutzern zurückgingen, und große Plattformen sind ihnen gefolgt.

Was sagt das EU-Recht dazu?

Ausgangspunkt ist die Definition der Einwilligung in der DSGVO: Sie muss freiwillig erteilt werden. Nach Artikel 7 Absatz 4 prüfen Aufsichtsbehörden bei der Beurteilung der Freiwilligkeit, ob der Zugang zu einem Dienst von der Einwilligung in eine Verarbeitung abhängig gemacht wird, die für diesen Dienst nicht erforderlich ist. Ein Modell, das die Ablehnung bestraft, besteht diesen Test nicht. Alle Bedingungen finden Sie in der Checkliste für eine wirksame Einwilligung.

2023 befasste sich der Gerichtshof der EU in Meta Platforms v Bundeskartellamt (C-252/21) indirekt mit der Frage. Er entschied, dass Nutzern, die eine bestimmte, für den Vertrag nicht erforderliche Datenverarbeitung ablehnen, eine gleichwertige Alternative ohne diese Verarbeitung angeboten werden sollte, gegebenenfalls gegen ein angemessenes Entgelt. Die Formulierung „gegen ein angemessenes Entgelt“ wurde zum rechtlichen Anknüpfungspunkt für Consent or Pay.

Der Europäische Datenschutzausschuss hat das anschließend eingegrenzt. Seine im April 2024 angenommene Stellungnahme 08/2024 besagt, dass große Online-Plattformen in den meisten Fällen keine wirksame Einwilligung erhalten können, wenn sie Nutzern nur eine binäre Wahl zwischen Einwilligung und Bezahlung bieten. Er ermutigt sie, zusätzlich eine kostenlose Alternative ohne verhaltensbasierte Werbung anzubieten, etwa eine Version mit kontextbezogener oder weniger personalisierter Werbung. Die Stellungnahme betrifft ausdrücklich große Online-Plattformen und ist daher keine unmittelbare Vorgabe für kleinere Websites, doch nationale Aufsichtsbehörden lesen sie genau.

Wie haben Aufsichtsbehörden das angewendet?

Die Aufsichtsbehörden entscheiden im Einzelfall, wenden dabei aber weitgehend ähnliche Kriterien an. Diese Tabelle fasst die wichtigsten Positionen zusammen.

Behörde	Position	Zentrale Faktoren
EuGH (2023)	Eine gleichwertige Alternative kann gegen ein angemessenes Entgelt angeboten werden	Gleichwertigkeit, angemessenes Entgelt
EDSA (2024)	Ein binäres Consent or Pay reicht bei großen Plattformen in der Regel nicht aus	Machtungleichgewicht, Nachteile, eine kostenlose Alternative ohne verhaltensbasierte Werbung
CNIL, Frankreich (2022)	Cookie-Walls werden im Einzelfall bewertet	Eine echte, faire Alternative und ein angemessener Preis
ICO, Vereinigtes Königreich (2025)	Consent or Pay kann rechtmäßig sein, wenn die Bedingungen erfüllt sind	Machtungleichgewicht, Gleichwertigkeit, angemessenes Entgelt, Privacy by Design
Europäische Kommission (2025)	Metas Modell verstieß gegen den Digital Markets Act	Eine weniger personalisierte, aber gleichwertige Alternative für Nutzer, die ablehnen

Die Entscheidung der Kommission gegen Meta erging nach dem Digital Markets Act, der nur für benannte Gatekeeper gilt, und nicht nach der DSGVO. Sie zeigt dennoch, wie Regulierungsbehörden denken: Im April 2025 verhängte die Kommission eine Geldbuße von 200 Millionen Euro gegen Meta, weil das Unternehmen EU-Nutzern von Facebook und Instagram nur die Wahl ließ, in personalisierte Werbung einzuwilligen oder ein Abo zu bezahlen.

Kann ein kleinerer Publisher Consent or Pay nutzen?

Oft ja, wenn die Gestaltung fair ist. Die Bedenken wegen eines Machtungleichgewichts, die bei großen Plattformen schwer wiegen, fallen bei einer Nachrichtenseite oder einem Nischen-Publisher geringer aus, deren Nutzer leicht ausweichen können. Aufsichtsbehörden schauen sich trotzdem die Details an, prüfen Sie also diese Punkte.

1. Der Preis ist angemessen. Legen Sie ihn anhand der Werbeeinnahmen fest, die ein typischer Nutzer erzielt, und anhand der Preise ähnlicher Dienste, nicht als Abschreckung. Dokumentieren Sie, wie Sie auf den Betrag gekommen sind.
2. Die Bezahloption ist gleichwertig. Abonnenten sollten dieselben Inhalte und Kernfunktionen erhalten wie einwilligende Nutzer, nur ohne Tracking.
3. Die Bezahloption ist tatsächlich trackingfrei. Prüfen Sie, ob Werbe- und Tracking-Tags bei Abonnenten wirklich nicht mehr ausgelöst werden. Ein bezahltes Angebot, das weiterhin Werbepixel lädt, ist schlimmer als gar keins.
4. Die Einwilligung bleibt granular. Wer die kostenlose Option annimmt, sollte nicht pauschal allen Zwecken zugleich zustimmen müssen. Nutzer sollten zwischen nicht notwendigen Zwecken weiterhin wählen können, soweit das sinnvoll möglich ist.
5. Die Wahl ist ehrlich. Stellen Sie beide Optionen neutral dar, ohne die Dark Patterns, auf die Aufsichtsbehörden achten, etwa eine versteckte Bezahloption oder eine, die wie die falsche Antwort wirkt.
6. Der Widerruf funktioniert weiterhin. Wer akzeptiert hat, muss die Einwilligung so einfach widerrufen können, wie er sie erteilt hat. Siehe So ermöglichen Sie Besuchern den Widerruf ihrer Cookie-Einwilligung.
7. Kinder werden anders behandelt. Wenn Ihr Dienst voraussichtlich von Kindern genutzt wird, ist besondere Sorgfalt geboten; die Leitlinien des ICO behandeln das als Szenario mit höherem Risiko.

Halten Sie Ihre Überlegungen zu jedem Punkt schriftlich fest. Fragt eine Aufsichtsbehörde nach, müssen Sie zeigen können, warum die über die Wall eingeholte Einwilligung freiwillig erteilt wurde.

Was bedeutet das für den Banner selbst?

Ein Consent-or-Pay-Banner muss weiterhin alle anderen Anforderungen an die Einwilligung erfüllen: klare Informationen, eine aktive Handlung, keine vorab angekreuzten Kästchen und die Möglichkeit, die Entscheidung später zu ändern. Er ersetzt lediglich „Ablehnen“ durch „Abonnieren“ oder „Anmelden“ als Alternative zum Akzeptieren.

Technisch sind drei Zustände relevant: einwilligende Besucher, Abonnenten und Besucher, die sich noch nicht entschieden haben. Ihr Consent-Layer muss bei jedem Seitenaufruf wissen, welcher davon zutrifft, damit Tags nur bei einwilligenden Besuchern ausgelöst werden und Abonnenten erkannt werden, bevor ein Werbeskript lädt.

Fazit

Consent or Pay kann in der EU und im Vereinigten Königreich rechtmäßig sein, aber nur, wenn die Ablehnung von Tracking eine faire Wahl ist und keine Strafe. Halten Sie den Preis angemessen, machen Sie die Bezahloption wirklich gleichwertig und trackingfrei, halten Sie die Einwilligung granular und dokumentieren Sie, warum Ihr Modell funktioniert. Für große Plattformen liegt die Hürde höher, und sie sollten damit rechnen, zusätzlich eine kostenlose Option ohne verhaltensbasierte Werbung anbieten zu müssen. Tools wie Cookiesh können die technische Seite durchsetzen, indem sie Werbe-Tags bis zur Einwilligung blockieren und die Entscheidung jedes Besuchers protokollieren.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.