Cookie-Banner-Reform 2026: Was der Entwurf ändern will

Was heute gilt: Paragraf 25 TDDDG

Die geltende Regel steht in einem einzigen Satz: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf bereits dort gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat (Paragraf 25 Absatz 1 TDDDG). Das Gesetz stammt vom 23. Juni 2021 und wurde zuletzt durch Artikel 3 des Gesetzes vom 10. März 2026 geändert (TDDDG, Gesamtausgabe); an der Einwilligungspflicht hat sich dabei nichts verschoben.

Zwei Ausnahmen nennt das Gesetz, mehr nicht (Paragraf 25 Absatz 2 TDDDG). Die erste betrifft die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz. Die zweite greift, wenn der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Wer eine Reichweitenmessung unter die zweite Ausnahme zieht, argumentiert gegen den Wortlaut: gemessen wird für den Anbieter, gewünscht hat der Nutzer die Seite.

Ein Verstoß gegen Absatz 1 Satz 1 ist eine Ordnungswidrigkeit und kann mit einer Geldbuße bis zu 300.000 Euro geahndet werden (Paragraf 28 Absatz 2 TDDDG). Das ist der Rahmen, nicht der Regelfall - aber es ist der Rahmen, der heute offensteht, während über den Entwurf noch verhandelt wird.

Zwei Eigenheiten der deutschen Regel werden regelmäßig übersehen. Erstens gilt sie unabhängig davon, ob die gespeicherte Information einen Personenbezug hat: Die Aufsichtsbehörden halten fest, dass Paragraf 25 Absatz 1 TDDDG ein Einwilligungserfordernis unabhängig von einem Personenbezug begründet und damit über den Anwendungsbereich der Datenschutz-Grundverordnung hinausgeht (DSK, Randnummer 26). Zweitens ist die Einwilligung an den bestimmten Fall gebunden: Ändern sich die eingesetzten Cookies oder die eingebundenen Dritt-Dienste, wird die ursprüngliche Einwilligung gegenstandslos und muss neu eingeholt werden (DSK, Randnummer 63). Wie sich so ein stiller Wechsel im Tag-Bestand bemerkbar macht, steht im Beitrag zur Überwachung von Consent- und Tag-Drift.

Auch zur Gestaltung gibt es eine Linie der Aufsicht. Eine Ablehnfunktion auf der ersten Ebene ist nicht generell erforderlich, sondern dann, wenn Nutzerinnen mit dem Banner interagieren müssen, um den Besuch fortzusetzen (DSK, Randnummer 124). Wird neben der Schaltfläche zur Einwilligung eine zum Ablehnen angeboten, muss deren Beschriftung unmissverständlich sein; eine Schaltfläche mit der Aufschrift Einstellungen oder Ablehnen, die auf eine weitere Ebene führt, genügt an dieser Stelle nicht (DSK, Randnummer 137). Was das für den Aufbau eines Banners bedeutet, steht ausführlich im Beitrag zur rechtssicheren Umsetzung der Cookie-Einwilligung.

Was der Vorschlag vorsieht: Artikel 88a und 88b

Die Kommission hat ihren Vorschlag am 20. November 2025 an den Rat übermittelt; er ist Teil eines größeren Pakets zur Vereinfachung des digitalen Rechtsrahmens (Rat der EU, Fortschrittsbericht vom 1. Juni 2026). Der Grundsatz bliebe erhalten: Das Speichern personenbezogener Daten im Endgerät und der Zugriff darauf wären nur mit Einwilligung zulässig (Kommissionsvorschlag, Artikel 88a Absatz 1). Neu wäre der Ort der Regel - sie stünde in der Datenschutz-Grundverordnung statt in der ePrivacy-Richtlinie.

Deutlich weiter als heute ist die Liste der Zwecke, für die keine Einwilligung nötig wäre. Der Vorschlag nennt vier (Kommissionsvorschlag, Artikel 88a Absatz 3):

1. Übertragung einer elektronischen Nachricht über ein elektronisches Kommunikationsnetz - inhaltlich die heutige erste Ausnahme.
2. Bereitstellung eines ausdrücklich angeforderten Dienstes. Heute ist diese Ausnahme auf Dienste der Informationsgesellschaft begrenzt; der Vorschlag lässt diese Begrenzung fallen (EDSA und EDSB, Randnummer 101).
3. Erzeugung aggregierter Informationen über die Nutzung eines Online-Dienstes zur Messung seiner Reichweite, sofern der Verantwortliche dieses Dienstes sie ausschließlich für eigene Zwecke erhebt. Diese Ausnahme gibt es im geltenden Recht nicht.
4. Erhalt oder Wiederherstellung der Sicherheit eines vom Verantwortlichen bereitgestellten und vom Nutzer angeforderten Dienstes. Auch diese Ausnahme wäre neu.

Wo die Einwilligung weiterhin nötig wäre, sähe der Vorschlag drei Pflichten vor (Kommissionsvorschlag, Artikel 88a Absatz 4). Die betroffene Person müsste die Abfrage einfach und verständlich mit einer Ein-Klick-Schaltfläche oder gleichwertigen Mitteln ablehnen können. Nach einer erteilten Einwilligung dürfte für denselben Zweck so lange nicht erneut gefragt werden, wie sich der Verantwortliche rechtmäßig auf die Einwilligung stützen kann. Und nach einer Ablehnung dürfte für denselben Zweck mindestens sechs Monate lang keine neue Abfrage erfolgen. Artikel 88a soll sechs Monate nach Inkrafttreten der Verordnung anwendbar werden (Kommissionsvorschlag, Artikel 88a Absatz 5).

Artikel 88b beträfe die technische Seite. Verantwortliche müssten ihre Oberflächen so gestalten, dass Einwilligung und Ablehnung auch automatisiert und maschinenlesbar erklärt werden können, und diese Erklärungen beachten. Diese beiden Absätze sollen 24 Monate nach Inkrafttreten gelten (Kommissionsvorschlag, Artikel 88b Absatz 5). Anbieter von Webbrowsern, die keine kleinen oder mittleren Unternehmen sind, müssten die technischen Mittel dafür bereitstellen - diese Pflicht soll erst 48 Monate nach Inkrafttreten greifen (Kommissionsvorschlag, Artikel 88b Absatz 7). Die Kommission soll europäische Normungsorganisationen mit der Ausarbeitung von Normen für die Auslegung solcher Signale beauftragen.

Wo das Verfahren im August 2026 steht

Ein Vorschlag der Kommission ist der Anfang eines Verfahrens, nicht sein Ergebnis. Das Vorhaben läuft im ordentlichen Gesetzgebungsverfahren, Parlament und Rat müssen sich einigen. Die Verfahrensakte des Parlaments weist die Veröffentlichung des Vorschlags am 19. November 2025 aus, die Ankündigung der Ausschussbefassung am 19. Januar 2026 und die Benennung der Berichterstatterinnen am 25. Februar 2026 (Verfahrensakte des Europäischen Parlaments). Zuständig sind zwei Ausschüsse gemeinsam. Ein Berichtsentwurf datiert vom 22. Juni 2026, die Änderungsanträge im Ausschuss vom 27. Juli 2026; als erreichte Stufe ist die Ausschussentscheidung ausgewiesen, die noch aussteht.

Im Rat liegt der dritte Kompromisstext der Präsidentschaft vor. Er wurde in der Sitzung der zuständigen Arbeitsgruppe am 27. Mai 2026 vorgestellt und berücksichtigt schriftliche Beiträge der Delegationen sowie einen Fachworkshop vom 5. Mai 2026 (Rat der EU, Fortschrittsbericht vom 1. Juni 2026). Inhaltlich enthält der Kompromisstext den für die Praxis wichtigsten Punkt des ganzen Verfahrens: Zum vorgeschlagenen Artikel 88a lehnt die Präsidentschaft die Verlagerung dieser Bestimmungen in die Datenschutz-Grundverordnung ab und ändert stattdessen die geltenden Regeln der ePrivacy-Richtlinie, damit sie in einem einzigen, spezifischen Rechtsrahmen bleiben; der Kompromisstext stellt dort die von der Kommission vorgeschlagenen Ausnahmen klar, ausdrücklich auch für die unabhängige Reichweitenmessung (Rat der EU, Randnummer 18). Der vorgeschlagene Artikel 88b wird inzwischen als neuer Artikel 8a geführt; die überarbeitete Vorschrift soll nach dem Willen der Präsidentschaft im Rahmen der Datenschutz-Grundverordnung bleiben, mit größerem Gewicht auf dem Normungsverfahren (Rat der EU, Randnummer 19).

Ein zweiter Punkt aus demselben Bericht gehört in jede Einschätzung: Das Fehlen einer Folgenabschätzung zum Vorschlag wurde von einer großen Zahl von Delegationen wiederholt angesprochen, insbesondere zu den Bestimmungen mit Bezug zur Datenschutz-Grundverordnung (Rat der EU, Randnummer 22). Ein Vorhaben, an dem Artikelnummern, Regelungsort und Rechtsakt noch beweglich sind, taugt nicht als Grundlage für eine Umbauentscheidung im eigenen Haus.

Was die Datenschutzaufsicht am Vorschlag kritisiert

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben am 10. Februar 2026 eine gemeinsame Stellungnahme angenommen. Ihr zentraler Einwand ist kein Detail, sondern der Aufbau: Der Schutz des Endgeräts läge künftig teils bei der Datenschutz-Grundverordnung, teils weiter bei der ePrivacy-Richtlinie, und damit entstünden zwei verschiedene Regime, je nachdem ob die Daten personenbezogen sind oder nicht (Gemeinsame Stellungnahme von EDSA und EDSB). Informationen im Endgerät können beides zugleich sein - dann könnte sich die Verarbeitung personenbezogener Daten auf eine Ausnahme nach Artikel 88a Absatz 3 stützen, während für die nicht personenbezogenen Daten nach der ePrivacy-Richtlinie weiterhin eine Einwilligung nötig wäre.

Für Deutschland ist dieser Punkt besonders greifbar, weil Paragraf 25 TDDDG gerade nicht am Personenbezug hängt (DSK, Randnummer 26). Eine Reichweitenmessung, die im Endgerät eine rein technische Kennung ablegt, fiele auch dann unter die deutsche Norm, wenn sie datenschutzrechtlich niemanden identifiziert. Das angekündigte Ziel der Vereinfachung würde an dieser Stelle also nicht ohne Weiteres erreicht - jedenfalls nicht, solange die ePrivacy-Richtlinie daneben stehen bleibt.

Auch die neue Reichweitenausnahme kommentieren die Aufsichtsgremien. Sie empfehlen klarzustellen, dass die aggregierte Information anonym sein und sich nicht auf eine bestimmte Person beziehen darf, dass die erhobenen Daten nicht für einen anderen Zweck weiterverarbeitet, nicht mit Daten aus anderen Diensten des Anbieters oder eines Dritten zusammengeführt und nicht an Dritte weitergegeben werden dürfen (EDSA und EDSB, Randnummer 102). Genau diese drei Bedingungen entscheiden darüber, ob eine Messung überhaupt in die Ausnahme fiele - und sie sind strenger, als die kurze Formulierung im Vorschlag zunächst klingt. Was das für den Aufbau einer Messung bedeutet, steht im Beitrag zu Analytics ohne Einwilligungsbanner.

Ein praktischer Widerspruch fällt den Gremien ebenfalls auf: Um die Sperrfrist von sechs Monaten nach einer Ablehnung einzuhalten, müsste der Verantwortliche die Ablehnung festhalten - und dafür wieder auf das Endgerät zugreifen. Sie schlagen deshalb vor, für diesen Fall eine ausdrückliche Ausnahme aufzunehmen, sofern dabei keine eindeutige Kennung verwendet wird, sondern eine allgemeine Angabe, die für alle ablehnenden Personen gleich ist (EDSA und EDSB, Randnummer 106). Die Regel, die das Banner seltener machen soll, braucht also selbst einen Eintrag im Browser.

Zustimmung gibt es an einer Stelle deutlich: Die Anforderungen an automatisierte, maschinenlesbare Erklärungen werden ausdrücklich begrüßt, weil technische Mittel die Einhaltung vereinfachen und Entscheidungen wirksam machen können. Sie adressierten außerdem die Ermüdung durch wiederholte Einwilligungsabfragen, weil betroffene Personen derzeit über keinen Mechanismus verfügen, ihre Präferenzen seitenübergreifend auszudrücken (EDSA und EDSB, Randnummer 108).

Der deutsche Weg zur Einwilligungsverwaltung läuft schon

Was Artikel 88b europäisch vorschlägt, hat Deutschland auf eigenem Weg bereits geregelt - allerdings freiwillig statt verpflichtend. Paragraf 26 TDDDG erlaubt die Anerkennung von Diensten zur Einwilligungsverwaltung, wenn sie vier Bedingungen erfüllen: ein nutzerfreundliches und wettbewerbskonformes Verfahren, kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung, Verarbeitung der Daten ausschließlich zur Einwilligungsverwaltung und ein vorgelegtes Sicherheitskonzept (Paragraf 26 Absatz 1 TDDDG).

Die Ausgestaltung steht in der Einwilligungsverwaltungsverordnung vom 6. Februar 2025, deren Text seit dem 1. April 2025 nachgewiesen ist (EinwV, Gesamtausgabe). Sie enthält drei Punkte, die den Vergleich mit dem Entwurf lohnen. Erstens darf ein anerkannter Dienst frühestens nach einem Jahr zur Überprüfung der Einstellungen auffordern, wenn der Endnutzer nichts anderes vorgesehen hat (Paragraf 4 Absatz 2 EinwV) - eine Frist, die in dieselbe Richtung zielt wie die sechs Monate im Vorschlag, nur länger ist und an ein anderes Ereignis anknüpft. Zweitens sollen Hersteller und Anbieter von Abruf- und Darstellungssoftware im Rahmen der technischen Möglichkeiten dafür sorgen, dass hinterlegte Signale und Einstellungen weder unterdrückt, verzögert oder entschlüsselt noch in anderer Weise verändert werden (Paragraf 17 EinwV). Drittens berücksichtigen Anbieter digitaler Dienste, die einen anerkannten Dienst einbinden, die Einstellungen der Endnutzer (Paragraf 19 Absatz 1 EinwV).

Der Unterschied zum Vorschlag ist der Anschluss: Die Einwilligungsverwaltung nach deutschem Recht wirkt, wenn ein Anbieter sie einbindet. Artikel 88b würde die Beachtung maschinenlesbarer Erklärungen zur allgemeinen Pflicht machen und die Browseranbieter in die Verantwortung nehmen. Beide Wege setzen dasselbe voraus: eine Seite, die weiß, welche Skripte sie überhaupt lädt und wovon deren Ausführung abhängt.

Welche Arbeit sich unter beiden Rechtslagen lohnt

Der interessante Teil an diesem Verfahren ist, wie viel Vorbereitung sich lohnt, ohne auf ein Ergebnis zu wetten. Die folgenden fünf Schritte sind nach heutigem Recht geboten und blieben es auch, wenn der Entwurf in der Fassung der Kommission oder in der des Rates Gesetz würde.

1. Bestandsaufnahme vor der Einwilligung. Rufen Sie jede wichtige Seite ohne jede Interaktion mit dem Banner auf und halten Sie fest, welche Cookies gesetzt und welche fremden Verbindungen geöffnet werden. Alles, was vor der Einwilligung passiert, braucht heute eine Ausnahme nach Paragraf 25 Absatz 2 TDDDG - und unter dem Entwurf eine nach Artikel 88a Absatz 3.
2. Zweck je Eintrag festhalten, nicht je Werkzeug. Beide Rechtslagen knüpfen an den Zweck an, nicht an den Namen des Anbieters. Ein Werkzeug mit vier Zwecken braucht vier Zeilen im Verzeichnis.
3. Ablehnen so einfach machen wie Zustimmen. Nach heutiger Auslegung der Aufsicht muss die Ablehnung ohne Mehraufwand an Klicks möglich sein, wenn das Banner den Zugang versperrt (DSK, Randnummer 124). Unter dem Entwurf wäre der Ein-Klick-Ablehnknopf ausdrückliche Pflicht. Wer ihn heute baut, arbeitet in beide Richtungen richtig.
4. Einwilligungen dokumentieren und mit dem Fall verknüpfen. Ändert sich der Bestand an Cookies oder Dritt-Diensten, wird die alte Einwilligung gegenstandslos (DSK, Randnummer 63). Ohne Änderungsprotokoll lässt sich weder der Zeitpunkt noch der Umfang belegen.
5. Messung so aufbauen, dass sie ohne Einwilligung tragfähig ist. Eine Reichweitenmessung, die keinen Speicher im Endgerät berührt, fällt schon heute nicht unter Paragraf 25 TDDDG. Sie erfüllte zugleich die engen Bedingungen, die die Aufsicht an die vorgeschlagene Reichweitenausnahme knüpfen will (EDSA und EDSB, Randnummer 102).

Der letzte Punkt ist der einzige, der eine Architekturentscheidung verlangt - und der einzige, der sich unter beiden Rechtslagen auszahlt. Wie eine solche Messung aufgebaut ist und was sie liefert, steht im Überblick zu DSGVO-konformer Website-Analytik; für Tests gilt derselbe Aufbau, beschrieben unter A/B-Tests ohne Einwilligungsbanner.

# Eine Zeile je Cookie und je fremder Verbindung, täglich neu erhoben
# Spalte 2 ist die einzige, die über Recht oder Unrecht entscheidet

Seite      vor Einwilligung   Name                Zweck             § 25 Abs. 2 Nr. 2
/          ja                 sitzung_id          Warenkorb         einschlägig
/          ja                 messung_besucher    Reichweite        nicht einschlägig
/preise    nein               test_variante       A/B-Test          erst nach Einwilligung
/blog      ja                 fremdes_skript      Karte             nicht einschlägig

# Jede Zeile mit "ja" in Spalte 2 und "nicht einschlägig" in Spalte 5
# ist heute ein Befund - unabhängig davon, wie das Verfahren ausgeht.

Die Tabelle sieht banal aus und ist es nicht: Sie ist die einzige Form, in der sich der Zustand einer Seite gegen beide Rechtslagen prüfen lässt, ohne den Text des Entwurfs zu kennen. Sie ist außerdem die Grundlage für eine Datenschutz-Folgenabschätzung beim Web-Tracking, falls eine nötig wird.

Was jetzt nicht sinnvoll ist

Drei Reaktionen auf die Berichterstattung über den Vorschlag sind verbreitet und in der Sache falsch.

• Das Banner abschalten oder zurückbauen. Der Vorschlag ist nicht beschlossen, und selbst die Fassung der Kommission würde erst sechs Monate nach Inkrafttreten der Verordnung anwendbar (Kommissionsvorschlag, Artikel 88a Absatz 5). Bis dahin bleibt Paragraf 25 Absatz 1 TDDDG unverändert anwendbar.
• Die Reichweitenmessung schon jetzt auf die neue Ausnahme stützen. Die Ausnahme existiert im geltenden Recht nicht. Selbst wenn sie käme, verlangte sie anonyme Aggregate ohne Zusammenführung und ohne Weitergabe (EDSA und EDSB, Randnummer 102).
• Auf das Browsersignal warten und bis dahin nichts tun. Die entsprechenden Absätze sollen erst 24 Monate nach Inkrafttreten greifen, die Pflicht der Browseranbieter erst nach 48 Monaten (Kommissionsvorschlag, Artikel 88b Absatz 7). Und im Rat wird dieser Teil inzwischen als neuer Artikel 8a geführt (Rat der EU, Randnummer 19).

Wie sich der Zustand laufend messen lässt

Ein Cookie-Inventar altert schnell. Eine neue Kampagne, ein eingebundenes Video, ein aktualisiertes Rahmenwerk - und vor der Einwilligung läuft etwas, das gestern noch nicht lief. Genau dieser Fall ist der teure: Die Einwilligung, die für den alten Bestand eingeholt wurde, deckt den neuen nicht mehr ab (DSK, Randnummer 63).

Dasselbe Prinzip trägt über die Einwilligung hinaus: Auch Abflüsse in Drittländer und Aufzeichnungen von Sitzungen lassen sich nur beurteilen, wenn bekannt ist, welche Verbindungen eine Seite tatsächlich öffnet. Und ohne Überblick darüber, welche Seiten überhaupt überwacht werden, bleibt jede Aussage Stichprobe - dazu steht mehr unter Monitoring-Abdeckung prüfen.

Wer Bezahlschranken oder Zugangsmodelle einsetzt, findet die dazu passende Linie der Aufsicht im Beitrag zu Einwilligung oder Bezahlung. Und wer die technische Seite der Sitzungskennungen sauber halten will, findet die Attribute im Beitrag zu Session-Cookies mit Secure, HttpOnly und SameSite.

Was Sie sich für die nächsten Monate merken sollten

Der Vorschlag ist real, das Verfahren läuft, und die Richtung ist erkennbar: weniger Abfragen, mehr maschinenlesbare Entscheidungen, eine breitere Liste einwilligungsfreier Zwecke. Was daraus wird, entscheidet sich zwischen zwei Kammern, die derzeit unterschiedliche Wege verfolgen - der Rat will die Ausnahmen vom Einwilligungserfordernis in der ePrivacy-Richtlinie belassen, die Kommission wollte sie in die Datenschutz-Grundverordnung verschieben (Rat der EU, Randnummer 18).

Für die eigene Seite folgt daraus eine unspektakuläre Reihenfolge: erst wissen, was vor der Einwilligung läuft, dann den Zweck je Eintrag festhalten, dann das Ablehnen so einfach machen wie das Zustimmen. Diese drei Schritte sind unter dem geltenden Recht geboten und unter jeder diskutierten Fassung des Entwurfs ebenfalls sinnvoll. Alles Weitere lässt sich entscheiden, wenn ein Text beschlossen ist - und nicht vorher. Für den Aufbau ohne Einwilligungsabfrage lohnt daneben der Blick auf die Lage nach dem Ende der Privacy Sandbox.