Die Rechtslage: Was sagen EuGH und Datenschutzbehörden?

Der Europäische Gerichtshof hat in mehreren Urteilen klargestellt, dass eine Einwilligung nur dann gültig ist, wenn sie freiwillig, spezifisch, informiert und unmissverständlich erteilt wird (DSGVO Art. 7 i.V.m. Art. 4 Nr. 11). Eine Einwilligung ist nicht freiwillig, wenn das Ablehnen deutlich komplizierter ist als das Akzeptieren.

Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien zu Dark Patterns (Leitlinien 03/2022) explizit festgestellt: Ein Cookie Banner, das auf der ersten Ebene nur einen "Akzeptieren"-Button zeigt, während das Ablehnen über "Einstellungen" oder ähnliche Links versteckt ist, stellt ein unzulässiges Dark Pattern dar.

Rechtliche Einschätzung

Die österreichische Datenschutzbehörde (DSB) und die deutschen Landesbehörden beziehen sich in Prüfungen aktiv auf die EDSA-Leitlinien zu Dark Patterns. Ein nicht konformer Cookie Banner ist kein Bagatell, sondern ein aktiv prüfbarer DSGVO-Verstoß.

Was sind Dark Patterns bei Cookie Bannern?

Dark Patterns sind Gestaltungsmuster, die Nutzer durch psychologische Tricks zu einer breiteren Einwilligung als gewünscht bewegen. Beim Cookie Banner zeigen sie sich am häufigsten in diesen Formen:

  • Kein direktes "Ablehnen" auf der ersten Ebene des Banners, nur "Einstellungen" oder "Mehr Optionen"
  • Farblicher Kontrast: prominenter blauer oder grüner "Akzeptieren" Button neben unauffälligem grauen Textlink "Ablehnen"
  • Größenunterschied: "Akzeptieren" als großer Button, "Ablehnen" als kleiner Textlink oder Icon
  • Vorausgefüllte Häkchen für optionale Cookie-Kategorien
  • Irreführende Texte wie "Cookies verwalten" statt "Ablehnen"

Was muss ein DSGVO-konformer Cookie Banner 2026 enthalten?

Aus der Kombination von DSGVO-Text, EuGH-Rechtsprechung und EDSA-Leitlinien ergibt sich eine klare Anforderungsliste für Ihren Cookie Banner:

Checkliste: DSGVO-konformer Cookie Banner 2026

"Alles akzeptieren" und "Alles ablehnen" gleichwertig auf der ersten Ebene sichtbar
Beide Buttons gleich groß, gleich farblich gewichtet, gleich leicht erreichbar
Klare Kategorien: Analyse, Marketing, Personalisierung getrennt darstellbar
Keine vorausgefüllten Häkchen für optionale Cookie-Kategorien
Einwilligung jederzeit widerrufbar (Link im Footer, z.B. "Cookie-Einstellungen")
Information, welche Anbieter hinter jeder Cookie-Kategorie stehen
Kein Seiteninhalt wird vor der Einwilligung verborgen (kein "Cookie Wall")

Welche Cookies brauchen überhaupt eine Einwilligung?

Nicht alle Cookies sind einwilligungspflichtig. Hier die Abgrenzung:

Technisch notwendige Cookies: keine Einwilligung erforderlich

  • Session-Cookies für Login-Funktionen oder Warenkörbe
  • Cookies zur Speicherung Ihrer Cookie-Einwilligung selbst
  • Load-Balancing-Cookies auf Serverebene
  • Sicherheits-Cookies (z.B. CSRF-Token)

Einwilligungspflichtige Cookies

  • Google Analytics und ähnliche Analyse-Tools (auch wenn anonymisiert, aber mit Cross-Site-Tracking)
  • Google Ads, Facebook Pixel, LinkedIn Insight Tag
  • YouTube-Einbettungen und Social-Media-Widgets
  • Personalisierungs-Cookies von Drittanbietern
  • Heatmap-Tools wie Hotjar oder Microsoft Clarity
Praxishinweis

Google Analytics 4 (GA4) ist auch in der Standardkonfiguration einwilligungspflichtig, solange es IP-Adressen verarbeitet oder Nutzer geräteübergreifend verfolgt. Die Aktivierung von IP-Anonymisierung allein reicht nicht aus.

Was droht bei einem rechtswidrigen Cookie Banner?

Der Rahmen der DSGVO-Sanktionen reicht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. In der Praxis für KMU relevanter sind:

  • Bußgelder der österreichischen DSB oder der deutschen Landesbehörden im fünf- bis sechsstelligen Bereich
  • Abmahnungen durch Mitbewerber oder Verbraucherschutzorganisationen (in Deutschland besonders aktiv)
  • Zivilrechtliche Schadenersatzansprüche betroffener Personen nach DSGVO Art. 82
  • Reputationsschäden durch öffentliche Bußgeldbescheide der Behörden

Welche Cookie-Banner-Tools sind empfehlenswert?

Für Österreich und Deutschland haben sich folgende Lösungen in der Praxis bewährt. Alle bieten eine "Alles ablehnen" Schaltfläche auf der ersten Ebene:

  • Usercentrics: Marktführer im DACH-Raum, umfangreiche Konfiguration, automatische Rechtstext-Updates
  • Cookiebot (Cybot): Gute Scan-Funktion, erkennt automatisch eingesetzte Cookies, EU-Server möglich
  • Borlabs Cookie (WordPress): Beliebt für WordPress-Websites, einmaliger Kauf möglich
  • Real Cookie Banner: Deutsche Entwicklung, besonders für DSGVO und österreichisches DSG ausgelegt

Wichtig: Auch mit einem guten Tool ist die korrekte Konfiguration entscheidend. Viele Bußgelder entstehen nicht durch fehlendes Tool, sondern durch falsche Einstellungen.

Fazit: Der "Alles ablehnen" Button ist kein Optional

Eine gleichwertige "Alles ablehnen" Schaltfläche auf der ersten Ebene des Cookie Banners ist nach aktueller Rechtslage in Österreich und Deutschland keine Empfehlung, sondern eine rechtliche Anforderung. Wer dies noch nicht umgesetzt hat, sollte schnell handeln. Die Datenschutzbehörden prüfen Cookie Banner aktiv und verhängen auch ohne Beschwerde Bußgelder.

Wenn Sie unsicher sind, ob Ihr Cookie Banner DSGVO-konform ist, empfehle ich eine kurze Prüfung im Rahmen eines Datenschutz-Audits. Oft lassen sich mit wenigen Konfigurationsänderungen erhebliche Risiken eliminieren.