DSGVO-Abmahnung: Warum dein Cookie-Banner wahrscheinlich illegal ist

Jeder hasst Cookie-Banner. Nutzer hassen sie, weil sie nerven. Websitebetreiber hassen sie, weil sie aufwändig sind. Und Datenschutzbehörden hassen sie — weil die meisten illegal sind. Ja, auch deins wahrscheinlich. Lass uns darüber reden.

Was die DSGVO wirklich verlangt

Die DSGVO sagt im Kern etwas Simples: Bevor du Daten über jemanden sammelst, brauchst du dessen informierte Einwilligung. „Informiert“ bedeutet: Der Nutzer muss verstehen, was passiert, und aktiv zustimmen. Kein „Wer hier weitersurft, stimmt zu“. Kein vorausgewähltes Häkchen. Keine Zustimmung durch Nichtstun. Klingt einfach? Die Realität sieht anders aus.

Die Top-Verstöße, die Behörden finden

• Der „Alles akzeptieren“-Trick: Großer grüner Button für Zustimmung, winziger grauer Text für Ablehnung. Das ist ein Dark Pattern und rechtswidrig.
• Cookies vor Einwilligung: Google Analytics, Facebook Pixel und Co. feuern schon beim Seitenaufruf — bevor der Nutzer überhaupt das Banner sieht.
• Kein „Ablehnen“-Button: Ein Cookie-Banner nur mit „OK“ ist keine Einwilligung. Es ist Nötigung.
• Versteckte Einstellungen: Wenn der Nutzer drei Klicks und ein Dropdown-Menü braucht, um Cookies abzulehnen, ist das nicht DSGVO-konform.
• Fehlende Cookie-Liste: Nutzer müssen sehen können, welche Cookies konkret gesetzt werden und wofür.
• Kein Widerruf möglich: Die Einwilligung muss genauso einfach widerrufbar sein, wie sie gegeben wurde.

Dark Patterns: Die schmutzigen Tricks der Branche

Einige Cookie-Management-Plattformen werben offen damit, dass ihre Banner zu höheren „Consent-Raten“ führen. Übersetzt bedeutet das: Sie sind besser darin, Menschen zu manipulieren. Farbe und Größe der Buttons, Formulierungen wie „Erleben Sie unsere Website in voller Pracht“ für Akzeptieren vs. „Eingeschränkte Version nutzen“ für Ablehnen — das sind bewusste psychologische Manipulationstechniken. Und sie sind illegal.

Was Datenschutzbehörden wirklich prüfen

Datenschutzbehörden nutzen automatisierte Scan-Tools, die Websites auf DSGVO-Verstöße prüfen. Sie schauen: Werden Cookies vor Einwilligung gesetzt? Sind alle Buttons gleichwertig gestaltet? Gibt es eine echte Ablehnungsoption? Funktioniert der Widerruf? Stimmen die deklarierten Cookies mit den tatsächlich gesetzten überein? Wer bei einem dieser Punkte durchfällt, riskiert empfindliche Strafen.

Ein rechtswidriges Cookie-Banner ist kein Kavaliersdelikt. Es ist ein dokumentierter Verstoß gegen EU-Recht, der bei jeder Behördenprüfung auffällt.

So wird dein Cookie-Banner legal

Gleichwertige Buttons für Zustimmung und Ablehnung. Keine Cookies vor Einwilligung. Klare Sprache statt Juristendeutsch. Vollständige Cookie-Liste mit Zweckangabe. Einfacher Widerruf über ein dauerhaft sichtbares Element. Klingt nach viel? Ist es auch. Aber es ist Pflicht.