Ein Banner, das „Alle akzeptieren“ mit einem Klick anbietet und die Ablehnung in einem Untermenü versteckt, entspricht nicht den Erwartungen der CNIL. Ihre Regel lässt sich in einem Satz zusammenfassen: Tracker abzulehnen muss ebenso einfach sein, wie sie zu akzeptieren. Sie stammt aus dem September 2020, gehört aber noch immer zu den häufigsten Fehlern auf Websites.
Was das Gesetz sagt
Artikel 82 der loi Informatique et Libertés (Gesetz Nr. 78-17 vom 6. Januar 1978) setzt Artikel 5 Absatz 3 der ePrivacy-Richtlinie um. Er verpflichtet dazu, die Nutzer klar und vollständig über den Zweck des Zugriffs auf Informationen im Endgerät oder der Speicherung von Informationen darin sowie über die Möglichkeiten des Widerspruchs zu informieren. Solche Zugriffe oder Speicherungen dürfen erst nach der Einwilligung der Nutzer erfolgen.
Was die CNIL ergänzt
In ihren ergänzenden Leitlinien und ihrer Empfehlung vom September 2020 stellt die CNIL klar, dass das bloße Weitersurfen nicht mehr als gültige Willensbekundung zur Einwilligung gelten kann: Erforderlich ist eine eindeutige aktive Handlung. Sie empfiehlt außerdem, dass die Oberfläche zur Einholung der Einwilligung neben dem Button „Alle akzeptieren“ einen Button „Alle ablehnen“ anbietet und dass Nutzer ihre Einwilligung jederzeit einfach widerrufen können.
Was keine Einwilligung erfordert
Artikel 82 sieht zwei Ausnahmen vor: den Zugriff oder die Speicherung, deren ausschließlicher Zweck es ist, die elektronische Kommunikation zu ermöglichen oder zu erleichtern, sowie jene, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Online-Kommunikationsdienst bereitzustellen. In der Praxis nennt die CNIL die Authentifizierung, das Speichern eines Warenkorbs und bestimmte Maßnahmen zur Reichweitenmessung. Diese Tracker laufen nicht über das Banner.
Was einer nicht konformen Website droht
Die CNIL kann die verantwortliche Stelle förmlich abmahnen (mise en demeure) und anschließend ein Bußgeld verhängen. Die Obergrenze liegt bei 10.000.000 € oder 2 % des weltweiten Jahresumsatzes, wobei der höhere Betrag zählt. In den von Artikel 83 DSGVO erfassten Fällen steigt sie auf 20.000.000 € oder 4 %. Das sind Höchstgrenzen, keine Festbeträge: Ein kleines Unternehmen ist dem Risiko nicht in gleichem Maß ausgesetzt wie ein Großkonzern.
Vier Prüfungen, die Sie bei sich selbst vornehmen können
Ist die Ablehnung schon auf der ersten Ebene des Banners sichtbar? Öffnen Sie Ihre Website im privaten Modus und zählen Sie die Klicks zum Akzeptieren und dann zum Ablehnen.
Wird vor der Auswahl kein Tracker gesetzt? Der Reiter „Application“ in den Entwicklertools des Browsers zeigt, was gleich beim Aufruf der Seite gespeichert wird.
Können Sie Ihre Entscheidung widerrufen? Am einfachsten ist ein dauerhafter Link im Footer.
Entspricht Ihre Cookie-Richtlinie den tatsächlich installierten Tools? Ein Werbe-Pixel, das ein Dienstleister hinzugefügt hat, macht die Seite unrichtig, ohne dass es jemand bemerkt.
Die Verantwortung für die Konformität liegt weiterhin bei Ihnen als Unternehmer: Dieser Artikel informiert, ersetzt aber nicht die Beratung durch einen Anwalt oder Datenschutzbeauftragten (DPO) zu einem konkreten Fall.
Quelle: Artikel 82 und Artikel 20 (IV, 7°) des Gesetzes Nr. 78-17 vom 6. Januar 1978, Seiten „La loi Informatique et Libertés“ auf cnil.fr; „Cookies et autres traceurs : la CNIL publie des lignes directrices modificatives et sa recommandation“, cnil.fr, Seiten abgerufen am 3. November 2026.
