DSGVO5 Min. Lesezeit
ePrivacy-Richtlinie vs. DSGVO: So funktionieren die Cookie-Regeln
Die ePrivacy-Richtlinie regelt, wann Cookies eine Einwilligung brauchen, die DSGVO, was eine wirksame Einwilligung ist. So greifen beide EU-Gesetze ineinander.
Die ePrivacy-Richtlinie und die DSGVO teilen die Cookie-Frage in zwei Teile. Die ePrivacy-Richtlinie entscheidet, ob Sie eine Einwilligung brauchen, um Informationen auf dem Endgerät einer Person zu speichern oder auszulesen. Die DSGVO definiert, was eine wirksame Einwilligung ausmacht, und regelt alle personenbezogenen Daten, die Sie anschließend verarbeiten. Bei den meisten Analyse- und Werbe-Cookies müssen Sie beide Gesetze gleichzeitig erfüllen.
Was sagt die ePrivacy-Richtlinie über Cookies?
Artikel 5 Absatz 3 der ePrivacy-Richtlinie (Richtlinie 2002/58/EG) erlaubt das Speichern von Informationen auf dem Endgerät eines Nutzers oder den Zugriff auf dort bereits gespeicherte Informationen nur, wenn der Nutzer nach klarer und umfassender Information eingewilligt hat. Es gibt zwei eng gefasste Ausnahmen.
Die erste betrifft Speicherung oder Zugriff, die ausschließlich der Übertragung einer Nachricht über ein Netz dienen. Die zweite betrifft Speicherung oder Zugriff, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, etwa eine Login-Sitzung oder einen Warenkorb. Alles andere, einschließlich Analyse, Werbung und der meisten Social-Media-Funktionen, braucht eine Einwilligung.
Die Regel ist bewusst technologieneutral formuliert. „Endgerät“ meint jede Endeinrichtung, vom Laptop über das Smartphone bis zum Smart-TV. „Informationen“ umfasst Cookies, Local Storage, IndexedDB, Gerätekennungen und Techniken, die Geräteeigenschaften auslesen. Seit einer Änderung im Jahr 2009 ist die Einwilligung der Regelfall. Davor genügte es, Nutzer zu informieren und ihnen die Möglichkeit zur Ablehnung zu geben.
Vor allem aber gilt Artikel 5 Absatz 3 unabhängig davon, ob es sich bei den Informationen um personenbezogene Daten handelt. Auch ein Cookie mit einem Zufallswert ohne jeden Bezug zu einer Person fällt in den Anwendungsbereich.
Was ergänzt die DSGVO bei den Cookie-Regeln?
Die DSGVO steuert zwei Dinge bei: die Definition der Einwilligung, die Cookie-Banner erfüllen müssen, und die Regeln für alle personenbezogenen Daten, die Sie verarbeiten, nachdem ein Cookie gesetzt oder ausgelesen wurde.
Die ePrivacy-Richtlinie definiert die Einwilligung nicht selbst. Sie übernimmt die Definition aus dem EU-Datenschutzrecht, also heute aus der Datenschutz-Grundverordnung (DSGVO). Artikel 4 Nr. 11 verlangt, dass die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird, und Artikel 7 ergänzt Bedingungen wie den einfachen Widerruf und die Nachweisbarkeit der Einwilligung. Im Fall Planet49 (C-673/17, 2019) hat der Gerichtshof der Europäischen Union (EuGH) diesen Maßstab auf Cookies angewandt und entschieden, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung ist.
Nach dem Zugriff auf das Endgerät übernimmt die DSGVO. Erhält Ihr Analyseanbieter Seitenaufrufe, die mit einer Cookie-ID verknüpft sind, ist das eine Verarbeitung personenbezogener Daten. Sie brauchen dann eine Rechtsgrundlage nach Artikel 6, eine transparente Datenschutzerklärung, Verträge mit Auftragsverarbeitern, Garantien für internationale Datenübermittlungen und ein Verfahren für Auskunfts- und Löschanfragen.
Bei Tracking und Profilbildung, die mit einem einwilligungsbasierten Cookie beginnen, erwarten die Aufsichtsbehörden in der Regel, dass auch die anschließende Verarbeitung auf einer Einwilligung beruht. Deshalb funktioniert das berechtigte Interesse bei Cookies nur selten.
Wie unterscheiden sich ePrivacy-Richtlinie und DSGVO?
Die Unterschiede werden am deutlichsten, wenn man beide nebeneinanderstellt.
| Aspekt | ePrivacy-Richtlinie (Art. 5 Abs. 3) | DSGVO |
|---|---|---|
| Rechtsform | Richtlinie, umgesetzt durch nationale Gesetze | Verordnung, unmittelbar in jedem EU-Land anwendbar |
| Regelungsgegenstand | Speichern von Informationen auf dem Endgerät eines Nutzers oder Zugriff darauf | Verarbeitung personenbezogener Daten |
| Personenbezogene Daten erforderlich? | Nein | Ja |
| Zulässige Grundlagen | Einwilligung oder eine von zwei eng gefassten Ausnahmen | Sechs Rechtsgrundlagen in Artikel 6, darunter Einwilligung und berechtigtes Interesse |
| Durchsetzung | Von jedem Land benannte Behörde, häufig, aber nicht immer die Datenschutzbehörde | Nationale Datenschutzbehörden mit einem Mechanismus für die grenzüberschreitende Zusammenarbeit |
| Sanktionen | Durch nationales Recht festgelegt | Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes bei den schwersten Verstößen (Art. 83 Abs. 5) |
Welches Gesetz gilt für ein bestimmtes Cookie?
Häufig beide, und zwar nacheinander. Stellen Sie es sich als zweistufige Prüfung vor: Die ePrivacy-Richtlinie regelt den Moment des Speicherns oder Auslesens, die DSGVO die darauf folgende Verarbeitung personenbezogener Daten.
Typische Fälle sehen so aus:
- Analyse-Cookie. Das Setzen des Client-ID-Cookies braucht eine ePrivacy-Einwilligung. Werden mit dieser ID verknüpfte Seitenaufrufe an einen Analyseanbieter gesendet, ist das eine Verarbeitung personenbezogener Daten nach der DSGVO.
- Login-Sitzungscookie. Das Cookie ist von der Einwilligungspflicht ausgenommen, weil es für einen vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Die dahinterliegenden Kontodaten sind dennoch personenbezogene Daten, die DSGVO gilt also, meist auf einer Grundlage wie der Vertragserfüllung.
- Werbepixel. Das Auslesen oder Schreiben von Kennungen braucht eine ePrivacy-Einwilligung, und die anschließende Profilbildung braucht eine DSGVO-Rechtsgrundlage, in der Praxis also eine Einwilligung.
- Serverseitige Verarbeitung ohne Zugriff auf das Endgerät. Wird nichts auf dem Gerät gespeichert oder daraus ausgelesen, greift Artikel 5 Absatz 3 möglicherweise nicht, die DSGVO gilt aber weiterhin für personenbezogene Daten wie IP-Adressen. Die Aufsichtsbehörden legen „Zugriff“ weit aus, prüfen Sie daher deren Leitlinien, bevor Sie sich darauf verlassen.
Die Reihenfolge ist entscheidend. Eine gültige DSGVO-Rechtsgrundlage für Schritt zwei kann eine fehlende ePrivacy-Einwilligung in Schritt eins nicht heilen.
Warum ist der Unterschied zwischen Richtlinie und Verordnung wichtig?
Weil jedes Land die ePrivacy-Richtlinie in eigenes Recht umsetzt, kann dasselbe Banner von verschiedenen Aufsichtsbehörden nach leicht unterschiedlichen Regeln beurteilt werden. Das beeinflusst, wer gegen Sie vorgehen kann und auf welche Weise.
Die nationalen Gesetze unterscheiden sich in Details, etwa darin, welche Behörde die Cookie-Regeln durchsetzt, wie die Aufsichtsbehörden Ausnahmen für Analyse-Tools bewerten und wie lange eine Ablehnung gespeichert werden sollte.
Der One-Stop-Shop-Mechanismus der DSGVO, der grenzüberschreitende Fälle normalerweise an eine einzige federführende Behörde verweist, erstreckt sich nicht auf die nationalen ePrivacy-Vorschriften. Deshalb konnte die französische Datenschutzbehörde CNIL im Dezember 2021 direkt gegen Google und Facebook vorgehen und Geldbußen von 150 Mio. € und 60 Mio. € verhängen, weil das Ablehnen von Cookies schwieriger war als das Akzeptieren. Unsere Auswertung der Lehren aus Cookie-Bußgeldverfahren zeigt, was diese Entscheidungen für ganz normale Websites bedeuten.
Die praktische Konsequenz: Orientieren Sie sich am strengsten Maßstab unter Ihren Märkten. Das Vereinigte Königreich folgt einem parallelen Modell aus UK GDPR und den Privacy and Electronic Communications Regulations (PECR), durchgesetzt vom Information Commissioner’s Office (ICO). Unser Leitfaden zu UK GDPR und PECR erklärt, wo das Vereinigte Königreich abweicht.
Wird die ePrivacy-Richtlinie ersetzt?
Möglicherweise irgendwann, planen Sie aber auf Grundlage der aktuellen Rechtslage. Über eine geplante ePrivacy-Verordnung, die die Richtlinie ersetzen sollte, wurde jahrelang ohne Einigung verhandelt, und die Europäische Kommission kündigte 2025 an, den Vorschlag zurückzuziehen.
Neuere EU-Initiativen zur Vereinfachung digitaler Vorschriften haben die Cookie-Einwilligung inzwischen wieder auf die Tagesordnung gesetzt. Nichts davon ändert Ihre Pflichten, solange es nicht verabschiedet und in Kraft ist. Halten Sie sich also weiterhin an Artikel 5 Absatz 3 in der jeweiligen nationalen Umsetzung und prüfen Sie die aktuellen Leitlinien Ihrer Aufsichtsbehörde, bevor Sie auf eine angekündigte Reform hin handeln.
Fazit
Die ePrivacy-Richtlinie beantwortet die Frage „Brauche ich eine Einwilligung, um auf das Endgerät zuzugreifen?“, die DSGVO die Frage „Was bedeutet Einwilligung, und welche Pflichten habe ich in Bezug auf die Daten?“. Behandeln Sie beide als zwei Hürden, die Sie nehmen müssen, und lassen Sie sich von einer DSGVO-Rechtsgrundlage nie dazu verleiten, auf die ePrivacy-Einwilligung zu verzichten. Tools wie Cookiesh können je nach Region unterschiedliche Banner anzeigen, doch es lohnt sich weiterhin, selbst zu klären, welches Gesetz für welchen Tracker gilt.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.
Häufig gestellte Fragen
Ist die ePrivacy-Richtlinie dasselbe wie das EU-Cookie-Gesetz?
Weitgehend ja. „Cookie-Gesetz“ ist die informelle Bezeichnung für Artikel 5 Absatz 3 der ePrivacy-Richtlinie und die nationalen Gesetze, die ihn umsetzen. Die Richtlinie regelt darüber hinaus weitere Themen, etwa die Vertraulichkeit der Kommunikation und unerwünschte elektronische Werbung.
Wurde die ePrivacy-Richtlinie durch eine ePrivacy-Verordnung ersetzt?
Zum Zeitpunkt der Veröffentlichung nicht. Eine geplante ePrivacy-Verordnung kam jahrelang nicht voran, und die Europäische Kommission kündigte 2025 an, den Vorschlag zurückzuziehen. Die EU-Cookie-Regeln bleiben in der Diskussion, prüfen Sie daher die aktuellen Leitlinien Ihrer Aufsichtsbehörde.
Gilt der One-Stop-Shop der DSGVO auch für die Durchsetzung der Cookie-Regeln?
Nicht für den ePrivacy-Teil. Der DSGVO-Mechanismus, der grenzüberschreitende Fälle an eine federführende Behörde verweist, erfasst die nationalen ePrivacy-Vorschriften nicht. Eine nationale Aufsichtsbehörde kann daher direkt gegen die Cookie-Praktiken eines ausländischen Unternehmens vorgehen, wenn sie Personen in ihrem Land betreffen.
Folgt das Vereinigte Königreich demselben Modell?
Im Großen und Ganzen ja. Im Vereinigten Königreich gelten die UK GDPR und die Privacy and Electronic Communications Regulations (PECR), die beide vom ICO durchgesetzt werden. Die britischen Regeln entfernen sich inzwischen von denen der EU, prüfen Sie daher die aktuellen Leitlinien des ICO.
Quellen
Cookiesh-Redaktion
Privacy Engineers und Compliance-Fachleute, die praxisnahe Ratgeber zu Einwilligung, Cookies und Datenschutz für Produktteams schreiben.
