# UK GDPR und PECR: Cookie-Regeln im Vereinigten Königreich

> So funktioniert das britische Cookie-Recht: PECR-Einwilligungsregeln, der Standard der UK GDPR, ICO-Erwartungen an Banner und die Reformen von 2025.

Source: https://www.cookiesh.eu/de/blog/uk-gdpr-pecr-cookies  
Published: 2026-06-09

## Key takeaways

- Im Vereinigten Königreich regelt PECR das Speichern von und den Zugriff auf Informationen auf Endgeräten, während die UK GDPR den Maßstab für eine wirksame Einwilligung setzt.
- Nicht notwendige Cookies wie Analyse- und Werbe-Cookies erforderten bisher eine vorherige Opt-in-Einwilligung, sofern keine eng gefasste Ausnahme greift.
- Das ICO erwartet, dass das Ablehnen nicht notwendiger Cookies genauso einfach ist wie das Akzeptieren.
- Der Data (Use and Access) Act 2025 schafft neue Ausnahmen für bestimmte Cookies mit geringerem Risiko. Prüfen Sie daher die aktuellen ICO-Leitlinien, bevor Sie sich darauf stützen.
- Die britischen Regeln liegen nah an den EU-Regeln, sodass ein gut umgesetztes EU-Consent-Setup eine solide Grundlage für Besucher aus dem Vereinigten Königreich ist.

Im Vereinigten Königreich regeln zwei Gesetze im Zusammenspiel den Einsatz von Cookies. Die Privacy and Electronic Communications Regulations (PECR) verlangen eine Einwilligung, bevor Informationen auf einem Endgerät gespeichert oder abgerufen werden, sofern keine Ausnahme greift. Die UK GDPR legt fest, wie eine wirksame Einwilligung aussieht. Das Information Commissioner's Office (ICO) setzt beide durch, und aktuelle Reformen bringen neue Ausnahmen, die Sie genau im Blick behalten sollten.

## Wie greifen UK GDPR und PECR ineinander?

PECR enthält die Cookie-Regel, die UK GDPR den Maßstab für die Einwilligung. Wenn ein Cookie oder eine vergleichbare Technologie zugleich personenbezogene Daten betrifft, gelten außerdem die allgemeinen Grundsätze der UK GDPR, etwa Transparenz und Datenminimierung.

PECR ist die britische Umsetzung der ePrivacy-Richtlinie der EU. Die Cookie-Regel in Regulation 6 schreibt vor, dass Sie klare und umfassende Informationen bereitstellen und eine Einwilligung einholen müssen, bevor Sie Informationen auf dem Endgerät eines Nutzers speichern oder abrufen, sofern keine Ausnahme greift. Wie Artikel 5 Absatz 3 in der EU erfasst sie Cookies und vergleichbare Technologien wie Local Storage, Tracking-Pixel und Device Fingerprinting.

Die UK GDPR ist die Fassung der EU-DSGVO, die nach dem Brexit in britisches Recht übernommen wurde, und steht neben dem Data Protection Act 2018. Sie definiert eine Einwilligung als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben, und zwar durch eine eindeutige bestätigende Handlung. Wie dieses Verhältnis in der EU aussieht, lesen Sie in [ePrivacy-Richtlinie vs. DSGVO](/de/blog/eprivacy-directive-vs-gdpr).

## Welche Cookies brauchen im Vereinigten Königreich eine Einwilligung?

Nach den seit Langem geltenden Regeln braucht alles, was nicht unbedingt erforderlich ist, eine vorherige Opt-in-Einwilligung. Dazu gehören Analyse-, Werbe- und Social-Media-Cookies sowie die meisten Personalisierungs-Cookies.

Die klassischen Ausnahmen sind eng gefasst:

- **Kommunikationsausnahme:** Speicherung oder Zugriff ausschließlich zu dem Zweck, eine Nachricht über ein Netz zu übertragen.
- **Ausnahme für unbedingt erforderliche Cookies:** Speicherung oder Zugriff, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, etwa einen Warenkorb, eine Login-Sitzung oder ein Sicherheits-Cookie.

Das ICO stuft Analysen seit Langem als nicht unbedingt erforderlich ein, so wertvoll sie für ein Unternehmen auch sein mögen. Für Grenzfälle lesen Sie, [was als unbedingt erforderliches Cookie gilt](/de/blog/strictly-necessary-cookies).

## Was hat sich mit dem Data (Use and Access) Act 2025 geändert?

Der Data (Use and Access) Act 2025 ändert sowohl PECR als auch die UK GDPR, und seine Cookie-Änderungen sind die bedeutendsten seit Jahren. Die Bestimmungen treten allerdings schrittweise in Kraft. Prüfen Sie daher die aktuellen Leitlinien des ICO, bevor Sie Ihren Cookie-Banner ändern.

In der verabschiedeten Fassung schafft das Gesetz neue Ausnahmen vom Einwilligungserfordernis für bestimmte Zwecke mit geringerem Risiko, etwa für manche Analysen zur Verbesserung einer Website oder eines Dienstes und für Funktionen, die sich merken, wie eine Website für den Nutzer aussehen oder funktionieren soll. Wo diese Ausnahmen greifen, müssen Sie in der Regel trotzdem klar darüber informieren, was Sie tun, und den Menschen eine einfache, kostenlose Möglichkeit zum Widerspruch geben. Zudem sollen die Sanktionen nach PECR an das Niveau der UK GDPR angeglichen werden.

Solange die Details noch nicht feststehen, gelten drei praktische Vorbehalte:

1. **Werbung braucht weiterhin eine Einwilligung.** Die neuen Ausnahmen zielen auf Zwecke mit geringerem Risiko, nicht auf zielgerichtete Werbung oder websiteübergreifendes Tracking.
2. **Drittanbieter-Tools müssen genau geprüft werden.** Eine Ausnahme, die an die Verbesserung Ihres eigenen Dienstes geknüpft ist, deckt möglicherweise keinen Anbieter ab, der die Daten auch für eigene Zwecke nutzt.
3. **Für Besucher aus der EU ändert sich nichts.** Wenn Sie auch Menschen in der EU bedienen, verlangen die EU-Regeln für Analysen in der Regel weiterhin eine Einwilligung. Unter Umständen brauchen Sie also ein regionsabhängiges Verhalten.

Bevor Sie sich auf eine neue Ausnahme stützen, sollten Sie [ein Cookie-Audit durchführen](/de/blog/how-to-run-a-cookie-audit), damit Sie genau wissen, welche Cookies darunter fallen würden.

## Was erwartet das ICO von Cookie-Bannern?

Das ICO erwartet eine echte Wahl: Ablehnen muss so einfach sein wie Akzeptieren, nicht notwendige Cookies dürfen vor der Einwilligung nicht geladen werden, und die Informationen müssen klar sein. Die Behörde hat große Websites öffentlich aufgefordert, Banner nachzubessern, die diesem Maßstab nicht genügten.

Ein Cookie-Banner, der für das Vereinigte Königreich gerüstet ist, sollte:

1. „Alle ablehnen“ genauso prominent und mit genauso vielen Klicks anbieten wie „Alle akzeptieren“.
2. Auf vorab angekreuzte Kästchen, standardmäßig aktivierte Schalter und in die Nutzungsbedingungen eingebettete Einwilligungen verzichten.
3. Scrollen oder Weitersurfen niemals als Einwilligung werten.
4. Nicht notwendige Cookies blockieren, bis der Nutzer einwilligt.
5. Es leicht machen, die Einwilligung später zu ändern oder zu widerrufen.
6. Zwecke und Drittanbieter in verständlicher Sprache erklären und Details in einer Cookie-Richtlinie bereitstellen.

Gestaltungstricks, die Menschen zum Akzeptieren drängen, stehen bei der Durchsetzung immer wieder im Fokus. Unser Leitfaden zu [Dark Patterns in Cookie-Bannern](/de/blog/cookie-banner-dark-patterns) listet die Muster auf, die Sie vermeiden sollten.

## Wie unterscheiden sich die britischen Regeln von den EU-Regeln?

Die Cookie-Regeln im Vereinigten Königreich und in der EU sind weiterhin eng aufeinander abgestimmt, beginnen aber auseinanderzudriften. Nutzen Sie diese Tabelle als schnelle Orientierung, nicht als rechtliche Landkarte.

| | EU | Vereinigtes Königreich |
| --- | --- | --- |
| Cookie-Regel | ePrivacy-Richtlinie Art. 5 Abs. 3, umgesetzt durch nationale Gesetze | PECR Regulation 6 |
| Einwilligungsstandard | DSGVO | UK GDPR |
| Aufsichtsbehörde | Nationale Datenschutzbehörden | ICO |
| Analyse-Cookies | Einwilligung in der Regel erforderlich, mit engen nationalen Ausnahmen | Neue Ausnahmen für bestimmte Analysen, abhängig vom Inkrafttreten und den ICO-Leitlinien |
| Werbe-Cookies | Einwilligung erforderlich | Einwilligung erforderlich |
| Höchstbußgeld nach DSGVO | 20 Mio. € oder 4 % des weltweiten Jahresumsatzes | 17,5 Mio. £ oder 4 % des weltweiten Jahresumsatzes |

## Fazit

Setzen Sie für Besucher aus dem Vereinigten Königreich bei allem, was nicht notwendig ist, auf eine Opt-in-Einwilligung, machen Sie das Ablehnen so einfach wie das Akzeptieren und verfolgen Sie, wie die Cookie-Änderungen des Data (Use and Access) Act 2025 in Kraft treten. Prüfen Sie die neuesten Leitlinien des ICO, bevor Sie ein Einwilligungserfordernis lockern, und denken Sie daran, dass Besucher aus der EU weiterhin eine Einwilligung nach EU-Standard benötigen. Tools wie Cookiesh können das Cookie-Scanning automatisieren und manipulationsgeschützte Einwilligungsprotokolle führen, damit Sie dem ICO zeigen können, was Ihre Website tut und wofür sich die Besucher entschieden haben.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Gelten die britischen Cookie-Regeln auch für Websites außerhalb des Vereinigten Königreichs?

Das ist möglich. Die UK GDPR gilt für Organisationen außerhalb des Vereinigten Königreichs, die Menschen dort Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten, und die Cookie-Einwilligung wird in der Regel zusammen damit beurteilt. Wenn Sie ein nennenswertes britisches Publikum haben, sollten Sie die Einhaltung einplanen.

### Ist das britische Cookie-Recht dasselbe wie das der EU?

Beide haben denselben Ursprung, denn PECR setzt die ePrivacy-Richtlinie um und die UK GDPR leitet sich von der EU-DSGVO ab. Seit dem Brexit können sich die beiden Regelwerke auseinanderentwickeln, und die 2025 verabschiedeten britischen Reformen haben diesen Prozess eingeleitet.

### Brauche ich im Vereinigten Königreich weiterhin eine Einwilligung für Analyse-Cookies?

Solange keine neue Ausnahme Ihr Setup eindeutig abdeckt, sollten Sie davon ausgehen. Die Reformen von 2025 lockern die Regel für bestimmte Analysen, die der Verbesserung eines Dienstes dienen, doch wie sie greifen, hängt von den gesetzlichen Voraussetzungen und den aktuellen ICO-Leitlinien ab.

### Welche Sanktionen kann das ICO bei Cookie-Verstößen verhängen?

Das ICO kann Verwarnungen, Durchsetzungsanordnungen und Bußgelder aussprechen. Die Reformen von 2025 sollen die Höchstbußgelder nach PECR an das Niveau der UK GDPR angleichen. Prüfen Sie daher auf der Website des ICO, welche Obergrenzen aktuell gelten.

## Sources

- [ICO (UK Information Commissioner's Office)](https://ico.org.uk/)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)