Was „Consent or Pay“ ist und warum es unter Druck steht
Das Modell entstand, als klassische Tracking-Cookies unter Druck gerieten und werbefinanzierte Anbieter nach einer neuen Rechtsgrundlage suchten. Die Idee: Wer der datengetriebenen Werbung nicht zustimmt, soll stattdessen zahlen. Rechtlich stützt sich das Muster auf die Überlegung, dass eine bezahlte Alternative die Einwilligung „freiwillig“ mache, weil der Nutzer ja eine Wahl habe. Der Europäische Gerichtshof hatte in der Rechtssache C-252/21 angedeutet, dass Nutzern gegebenenfalls gegen ein „angemessenes Entgelt“ eine tracking-freie Variante angeboten werden kann (EuGH C-252/21). Aus diesem Halbsatz haben viele Anbieter ein Geschäftsmodell abgeleitet.
Der Haken: Aus „darf gegen angemessenes Entgelt“ wurde vielerorts „nur gegen Entgelt oder volle Zustimmung“. Damit kippt die Freiwilligkeit. Wer entweder umfassendem Tracking zustimmen oder bezahlen muss, hat keine echte dritte Option — und genau daran entzündet sich die aufsichtsrechtliche Kritik. Das Muster ist längst nicht mehr auf sehr große Plattformen beschränkt: Verlage, Vergleichsportale und zunehmend auch kleinere Websites experimentieren damit. Wer die Grundlagen der DSGVO-konformen Website-Analytics kennt, erkennt schnell, dass die Beweislast hier zum Bumerang werden kann.
Der EDPB betont, dass personenbezogene Daten nicht als handelbare Ware behandelt werden dürfen (EDPB). Ein Modell, das die einzige kostenlose Nutzung an die Preisgabe von Daten für Verhaltenswerbung koppelt, verlagert genau diese Logik auf die Website — und untergräbt damit erfahrungsgemäß die Freiwilligkeit der Einwilligung nach Art. 4 Nr. 11 DSGVO (Art. 4 Nr. 11 DSGVO).
Die EDPB-Linie: Opinion 08/2024 und die Leitlinien 2026
Am 17. April 2024 verabschiedete der EDPB die Opinion 08/2024 zur gültigen Einwilligung bei Consent-or-Pay-Modellen großer Online-Plattformen (EDPB). Kernaussage: In den meisten Fällen ist eine wirksame Einwilligung nicht möglich, wenn Nutzern nur die binäre Wahl zwischen Zustimmung zur Verhaltenswerbung und einer Zahlung bleibt (EDPB). Der Ausschuss fordert deshalb regelmäßig eine echte, gleichwertige und in der Regel kostenlose dritte Option ohne verhaltensbasierte Werbung (EDPB).
Diese dritte Option muss nicht bedeuten, ganz auf Werbung zu verzichten. Der EDPB nennt als Beispiel Werbung, die weniger oder keine personenbezogenen Daten verarbeitet — etwa allgemeine, kontextbezogene Werbung oder Werbung nach vom Nutzer selbst gewählten Interessengebieten (EDPB). Wird trotzdem ein Entgelt verlangt, soll es niedrig genug sein, um die Freiwilligkeit der Einwilligung nicht zu unterlaufen; ein rein bezahlpflichtiger Ausweg soll nicht der Standardweg sein (EDPB).
Opinion 08/2024 betraf ausdrücklich nur sehr große Plattformen. Doch der EDPB hat im Arbeitsprogramm 2026-2027, verabschiedet am 11. Februar 2026, angekündigt, Leitlinien mit breiterem Anwendungsbereich zu erarbeiten (EDPB-Arbeitsprogramm 2026-2027). Die Richtung ist damit gesetzt: Was für große Plattformen gilt, wird perspektivisch an kleineren Angeboten gemessen. Betreiber, die frühzeitig eine banner- und tracking-freie Messung aufsetzen, ersparen sich die Nachjustierung, wenn die breiteren Leitlinien greifen.
| Anforderung des EDPB | Bedeutung fürs Cookie-Banner |
|---|---|
| Echte dritte Option | Neben „zustimmen“ und „zahlen“ ein tracking-freier, meist kostenloser Weg |
| Keine Datenpreisgabe als Preis | Werbung ohne Verhaltensprofil (kontext- oder interessenbasiert) muss möglich sein |
| Angemessenes, niedriges Entgelt | Ein Preis darf die Freiwilligkeit nicht faktisch erzwingen |
| Freiwillig, informiert, unmissverständlich | Zustimmung nach Art. 4 Nr. 11 DSGVO ohne Nachteil oder Druck |
| Beweislast beim Betreiber | Nach Art. 7 Abs. 1 DSGVO muss der Betreiber die Wirksamkeit belegen |
Warum das binäre Muster meist keine gültige Einwilligung ist
Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO nur wirksam, wenn sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgt (Art. 4 Nr. 11 DSGVO). An der Freiwilligkeit scheitert das binäre Muster typischerweise: Wer nur zwischen umfassendem Tracking und einer Zahlung wählen kann, gibt seine Zustimmung nicht wirklich frei, sondern unter wirtschaftlichem Druck. Der EDPB sieht darin in den meisten Fällen keine gültige Grundlage (EDPB).
- Freiwilligkeit: Es fehlt eine zumutbare Alternative ohne Nachteil — Zahlung ist für viele Nutzer keine echte Wahl.
- Bestimmtheit: Pauschale Zustimmung zu breit gefasster Verhaltenswerbung ist selten „für den bestimmten Fall“.
- Informiertheit: Nutzer überblicken die Kette aus Datenempfängern, Zwecken und Werbepartnern erfahrungsgemäß kaum.
- Unmissverständlichkeit: Dark Patterns, die zum Klick auf „Akzeptieren“ drängen, verwässern die klare, aktive Handlung.
Hinzu kommt die deutsche Besonderheit: Das Speichern oder Auslesen von Informationen auf dem Endgerät — also das Setzen und Lesen von Cookies — setzt nach § 25 TDDDG grundsätzlich eine Einwilligung voraus, unabhängig davon, ob dabei personenbezogene Daten anfallen (§ 25 TDDDG). Ein Consent-or-Pay-Banner löst dieses Problem nicht, es verschiebt es nur in eine zweifelhafte Zahloption. Wie sich Einwilligungen sauber einholen lassen, wenn man sie überhaupt braucht, behandelt der Beitrag zum Cookie-Consent richtig implementieren.
Die Beweislast liegt beim Betreiber
Der oft übersehene Punkt: Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass eine wirksame Einwilligung vorliegt (Art. 7 DSGVO). Nicht die Aufsichtsbehörde muss die Unwirksamkeit belegen — der Betreiber muss die Wirksamkeit dokumentieren. Bei einem binären Muster ist genau das schwer: Wenn schon die Grundstruktur die Freiwilligkeit in Frage stellt, hilft auch ein perfekt protokolliertes Consent-Log wenig.
Ein Consent-or-Pay-Banner verlagert Aufwand und Haftung auf den Betreiber: Er muss Preise begründen, Alternativen vorhalten, Einwilligungen protokollieren und im Streitfall die Wirksamkeit beweisen. Jede dieser Pflichten ist ein Angriffspunkt — für Beschwerden, Abmahnungen und Aufsichtsverfahren. Wer die Datenerhebung so gestaltet, dass gar keine Einwilligung nötig ist, nimmt sich diese Beweislast von vornherein von den Schultern.
Dass Aufsichtsbehörden und zivilgesellschaftliche Organisationen genau hinsehen, ist keine Theorie. Die Datenschutzorganisation noyb hat im August 2021 in einer ersten Welle 422 formelle DSGVO-Beschwerden gegen irreführende Cookie-Banner eingereicht (noyb); nach Vorwarnungen an mehr als 500 Unternehmen ergänzten 42 Prozent der zuvor beanstandeten Seiten binnen 30 Tagen eine Ablehnen-Option (noyb). Im Oktober 2024 gab eine europäische Aufsichtsbehörde einer solchen Beschwerde recht und verlangte, „Ablehnen“ und „Akzeptieren“ gleich prominent darzustellen (noyb). Der Trend zeigt klar in Richtung echter Wahlfreiheit.
Was das für KMU und Agenturen bedeutet
Für kleine und mittlere Betriebe ist die Lage unbequem: Ein aufwendiges Consent-or-Pay-Modell zu bauen, lohnt sich für die meisten nicht — und ist rechtlich riskant. Ein klassisches Cookie-Banner ohne Bezahloption wiederum kostet Reichweite in der Messung, weil ein großer Teil der Besucher nicht zustimmt. Drei Wege stehen zur Wahl, und nur einer nimmt das Dilemma vollständig heraus:
| Weg | Rechtliches Risiko | Datenqualität | Aufwand |
|---|---|---|---|
| Consent or Pay (tracken oder zahlen) | hoch — Freiwilligkeit fraglich, Beweislast beim Betreiber | hoch bei Zustimmung, aber angreifbar | hoch (Preise, Alternativen, Nachweise) |
| Cookie-Banner ohne Bezahloption | mittel — abhängig von sauberer Umsetzung | niedrig — große Zustimmungslücke | mittel (Banner, Consent-Management) |
| Cookiefreie First-Party-Messung | gering — keine Einwilligung nötig | hoch — nahezu alle Besucher erfasst | niedrig — ein Snippet, kein Banner |
Der dritte Weg klingt zu einfach, ist aber technisch und rechtlich sauber begründbar. Er setzt voraus, dass die Messung ohne Zugriff auf den Endgerätespeicher auskommt und keine Profile über verschiedene Seiten hinweg bildet. Genau darin unterscheidet sich eine cookiefreie Analytics-Lösung von den großen werbefinanzierten Statistikdiensten, die auf Cookies und Cross-Site-Profile angewiesen sind.
Der Ausweg: gar kein Consent-Dilemma
Die Einwilligungspflicht des § 25 TDDDG greift, sobald Informationen auf dem Endgerät gespeichert oder ausgelesen werden (§ 25 TDDDG). Wird beides vermieden, entfällt der Auslöser für die Zustimmung — und mit ihm das ganze Consent-or-Pay-Gebäude. Das ist der Hebel: eine Messung, die keinen Cookie setzt, keinen Wert im Local Storage ablegt und kein geräteübergreifendes Profil bildet, braucht nach dieser Vorschrift keine Einwilligung.
Die cookiefreie First-Party-Analytics von XICTRAQ ist so gebaut, dass sie keinen Browser-Speicher anfasst — keine Cookies, kein Local Storage, kein Fingerprinting über das Gerät hinweg. Damit fällt der Anlass für ein Consent-Banner weg, und das binäre „tracken oder zahlen“ wird zur Nicht-Frage. Die Messung läuft im Erstanbieter-Kontext in Ihrer eigenen Domain, nicht über einen Dritten.
Der Nutzen ist doppelt: rechtlich verschwindet die Beweislast, und in der Datenqualität schließt sich die Zustimmungslücke. Weil kein Banner Besucher abschreckt oder ausschließt, werden praktisch alle Sitzungen erfasst statt nur der zustimmende Anteil. Das macht die Zahlen belastbarer als eine banner-gedrosselte Messung — ein Punkt, den auch der Beitrag zur DSGVO-konformen Analytics-Alternative vertieft. Auch die Herkunfts- und Standortmessung bleibt im Erstanbieter-Kontext belastbar, wie der Beitrag zu Chrome IP Protection und Geodaten zeigt.
Ohne Zugriff auf den Endgerätespeicher greift die Einwilligungspflicht nach § 25 TDDDG nicht (§ 25 TDDDG). Kein Banner heißt: keine Zustimmungslücke, kein Dark-Pattern-Risiko, keine Beweislast.
Die Daten laufen im Erstanbieter-Kontext in Ihrer Domain zusammen und werden nicht an Werbenetzwerke gespiegelt — die Kette aus fremden Datenempfängern, die Einwilligungen so angreifbar macht, entfällt.
Weil kein Banner Sitzungen aussortiert, sind die Zahlen vollständiger. Statt nur des zustimmenden Anteils fließt nahezu der gesamte Traffic in Pageviews, Quellen und Conversions ein.
Was gemessen wird und was nicht, lässt sich klar belegen — nützlich für das Verarbeitungsverzeichnis und für Kunden, die eine DSGVO-konforme Grundlage erwarten.
Cookie-Banner kosten mehr, als sie einbringen
Cookie-Banner sind teuer — nicht im Einkauf, sondern in Reichweite und Vertrauen. Eine viel zitierte Untersuchung der fünf verbreitetsten Consent-Management-Plattformen auf den 10.000 meistbesuchten Websites fand, dass weniger als 12 Prozent der Banner die rechtlichen Mindestanforderungen erfüllten (Nouwens et al. 2020). Gleichzeitig beeinflussen gestalterische Kniffe — vorausgewählte Optionen, ungleiche Buttons, versteckte Ablehnung — die Entscheidung der Nutzer messbar (Nouwens et al. 2020). Solche Dark Patterns sind genau das, was Aufsichtsbehörden inzwischen abmahnen.
Auf der anderen Seite steht der Datenverlust: Ein erheblicher Teil der Besucher ignoriert Banner oder lehnt ab, sodass banner-gestützte Statistik nur einen Ausschnitt sieht. Wer diesen blinden Fleck schließen will, ohne rechtlich Risiko zu häufen, landet zwangsläufig bei einer Messung ohne Zustimmungspflicht. Der Beitrag zu cookiefrei messen nach dem Aus der Privacy Sandbox zeigt, dass belastbare Messung ganz ohne Cookies möglich ist — dieselbe Logik trägt für Analytics insgesamt.
Ein aufdringliches Consent-or-Pay-Banner ist der erste Eindruck, den eine Website hinterlässt. Wer stattdessen ohne Banner auskommt, weil gar keine einwilligungspflichtige Datenerhebung stattfindet, verbessert erfahrungsgemäß die Nutzererfahrung und senkt zugleich das rechtliche Risiko. Wie sich verbliebene Einwilligungen und eingebettete Skripte sauber im Blick behalten lassen, zeigt das Consent- und Skript-Monitoring.
In fünf Schritten aus der Consent-Falle
- Bestand aufnehmen: Prüfen Sie, ob Ihre Website heute ein Consent-or-Pay- oder ein klassisches Cookie-Banner nutzt und welche Skripte auf den Endgerätespeicher zugreifen.
- Einwilligungsbedarf klären: Trennen Sie, was wirklich Cookies braucht (etwa Warenkorb, Login), von dem, was sich cookiefrei messen lässt — Analytics gehört in aller Regel in die zweite Gruppe.
- Auf cookiefreie Messung umstellen: Ersetzen Sie banner-pflichtige Statistik durch eine First-Party-Analytics ohne Endgerätespeicher, die keine Einwilligung auslöst.
- Banner reduzieren: Fällt der Analytics-Grund weg, lässt sich das Banner oft ganz abschaffen oder auf wenige echte Ausnahmen eindampfen — dokumentiert im Verarbeitungsverzeichnis.
- Laufend überwachen: Behalten Sie neue Skripte und eingebettete Dienste im Auge, damit sich nicht unbemerkt wieder einwilligungspflichtige Tracker einschleichen, und belegen Sie Ihre DSGVO-Grundlage prüfbar.
Consent or Pay umgehen statt verwalten
Die neue EDPB-Linie macht das binäre „tracken oder zahlen“ für die meisten Betreiber zum Auslaufmodell (EDPB), und die breiteren Leitlinien 2026-2027 werden den Druck erhöhen (EDPB-Arbeitsprogramm 2026-2027). Statt ein zweifelhaftes Banner mit wachsendem Aufwand rechtssicher zu halten, ist der ruhigere Weg, die Datenerhebung so zu gestalten, dass Einwilligung und Bezahlschranke gar nicht erst nötig werden. Wer die Grundlagen der DSGVO-Compliance für Websites 2026 kennt, sieht: Vermeiden ist einfacher als Verwalten.
XICTRAQ setzt genau hier an: eine cookiefreie First-Party-Analytics, die keinen Browser-Speicher anfasst, kein Consent-Banner braucht und die Messung dennoch vollständig hält — kombiniert mit DSGVO-Werkzeugen und einem Cookie- und Skript-Monitoring, das eingebettete Dienste überwacht. So bleibt das Consent-or-Pay-Dilemma dort, wo es hingehört: bei den anderen.
Starten Sie mit dem kostenlosen Test und sehen Sie, wie vollständig Ihre Zahlen ohne Banner werden. Oder vereinbaren Sie eine persönliche Demo, um cookiefreie Messung und DSGVO-Werkzeuge in Aktion zu sehen — ganz ohne die Frage, ob Ihre Besucher tracken oder zahlen.
Dieser Artikel basiert auf: Europäischer Datenschutzausschuss (EDPB), Opinion 08/2024 zur gültigen Einwilligung bei Consent-or-Pay-Modellen großer Online-Plattformen, verabschiedet am 17.04.2024 (binäres Muster meist keine gültige Einwilligung, echte kostenlose Alternative, Daten kein handelbares Gut, angemessenes niedriges Entgelt); EDPB-Arbeitsprogramm 2026-2027, verabschiedet am 11.02.2026 (breitere Leitlinien zu Consent or Pay); Art. 4 Nr. 11 DSGVO und Art. 7 (Voraussetzungen und Nachweispflicht der Einwilligung); § 25 TDDDG (Einwilligung beim Speichern/Auslesen von Informationen im Endgerät); EuGH, Rechtssache C-252/21 (angemessenes Entgelt als mögliche Alternative); Nouwens et al. 2020, „Dark Patterns after the GDPR“ (unter 12 Prozent der Cookie-Banner mindestkonform, Einfluss von Design auf Entscheidungen); noyb (422 formelle Beschwerden gegen Cookie-Banner, 42 Prozent Nachbesserung binnen 30 Tagen, Aufsichtsentscheidung 2024). Rechtliche Aussagen ersetzen keine Rechtsberatung.