Am 24. Juni 2026 verschwand ein einziger Artikelentwurf aus einem Verhandlungspapier des EU-Rats, und damit blieb etwas bestehen, das seit Jahren als politisch totgesagt gilt: das Cookie-Banner. Ein durchgesickerter Kompromisstext der zyprischen Ratspräsidentschaft strich Artikel 88b des "Digital Omnibus" vollständig, jene Klausel, die browserbasierte Datenschutzsignale verbindlich gemacht und Cookie-Banner auf den meisten Webseiten überflüssig gemacht hätte (netzpolitik.org, Juni 2026).
Wenn Sie 2025 zuletzt geprüft haben, ob Ihr Banner rechtssicher ist, reicht dieser Stand 2026 nicht mehr aus. Nicht weil sich die Grundregeln der Einwilligung geändert hätten, sondern weil sich verschoben hat, wer haftet, wie genau geprüft wird und welche technischen Signale Ihr Banner überhaupt noch zuverlässig weiterleiten muss. Wer für Recht, Marketing oder IT verantwortlich ist, sollte drei Entwicklungen aus diesem Jahr konkret auf dem Schirm haben, bevor die nächste Prüfung eintrifft.
Das Wichtigste in Kürze
➤ Der EU-Rat hat am 24. Juni 2026 die zentrale Klausel des "Digital Omnibus" gestrichen, die Cookie-Banner durch verbindliche Browser-Signale hätte ersetzen können: Cookie-Banner bleiben vorerst der einzige rechtssichere Weg zur Einwilligung, die Verhandlungen zwischen Rat, Parlament und Kommission laufen aber weiter.
➤ Das OLG Frankfurt am Main hat am 11. Dezember 2025 entschieden, dass nicht nur Webseitenbetreiber, sondern auch Anbieter von Tracking-Code selbst nach § 25 TDDDG und Art. 82 DSGVO haften, wenn ihr Skript ohne wirksame Einwilligung ausgeführt wird (Az. 6 U 81/23).
➤ Seit dem 15. Juni 2026 steuert bei Google Ads ausschließlich noch der ad_storage-Parameter aus Consent Mode, ob Werbedaten überhaupt fließen; die bisherige Doppelkontrolle über die separate Google-Signals-Einstellung in Google Analytics entfällt für diesen Datenfluss.
➤ Aufsichtsbehörden prüfen 2026 zunehmend technisch, ob eine Ablehnung tatsächlich das Tracking stoppt, statt sich auf die optische Gleichwertigkeit von Buttons zu verlassen. Wer nur die Banner-Oberfläche geprüft hat, hat die eigentliche Prüfung noch nicht bestanden.
Was Cookie-Einwilligung rechtlich überhaupt ist und welche Wirksamkeitskriterien seit Planet49 gelten, erklärt der Grundlagenartikel Was ist Cookie-Einwilligung? DSGVO- und TDDDG-Anforderungen 2026 erklärt. Dieser Beitrag setzt das voraus und konzentriert sich auf das, was sich 2026 an der Durchsetzung tatsächlich verändert hat.
Warum sich die Durchsetzung 2026 verschärft, nicht nur die Optik
Bis vor kurzem konzentrierte sich fast jede Prüfung auf das, was ein Nutzer sieht: Ist der Ablehnen-Button genauso groß wie der Zustimmen-Button, liegt er auf der ersten Ebene, ist er identisch beschriftet. Die "Orientierungshilfe für Anbieter digitaler Dienste" der Datenschutzkonferenz aus November 2024 hat diese Kriterien für Deutschland festgeschrieben, und sie gelten 2026 unverändert weiter.
Der eigentliche Wandel liegt woanders: Aufsichtsbehörden und Gerichte verifizieren inzwischen, ob eine Ablehnung technisch etwas bewirkt, nicht nur, ob sie optisch gleichwertig aussieht. Ein Banner, das eine funktionierende Ablehnungsoption zeigt, während im Hintergrund Tracking-Skripte unverändert weiterlaufen, gilt als eigenständiger Verstoß, unabhängig vom Design der Oberfläche. Genau dieses Muster war der Kern des Bußgelds von 150 Millionen Euro, das die französische CNIL am 1. September 2025 gegen Shein verhängte: Werbe-Cookies wurden bereits vor jeder Interaktion gesetzt und blieben nach einem Klick auf "Alle ablehnen" weiterhin aktiv (CNIL, September 2025).
Diese Verifikationslogik hat sich seither auf eine zweite Ebene ausgeweitet, die 2025 noch kein deutsches Gericht adressiert hatte: die Haftung der technischen Zulieferer, nicht nur der Webseitenbetreiber selbst.
Neue Haftungslinie: Das OLG-Frankfurt-Urteil vom Dezember 2025
Am 11. Dezember 2025 entschied das OLG Frankfurt am Main (Az. 6 U 81/23), dass ein Anbieter von Tracking-Software neben dem Webseitenbetreiber selbst haftet, wenn sein Code ohne wirksame Einwilligung nach § 25 TDDDG ausgeführt wird. Das Gericht begründete das damit, dass die Norm jeden adressiert, der vorsätzlich Code zum Speichern oder Auslesen von Informationen ausführt, unabhängig davon, wer die Webseite betreibt. Dem klagenden Nutzer sprach das Gericht 100 Euro immateriellen Schadensersatz nach Art. 82 DSGVO zu, ein für sich genommen kleiner Betrag mit einer strukturell großen Wirkung.
Was das praktisch bedeutet: Wer Tracking-Skripte, Tags oder ein SDK eines Drittanbieters ohne eigene Prüfung einbindet, kann sich nicht mehr darauf zurückziehen, dass allein der Anbieter für dessen Verhalten verantwortlich sei. Umgekehrt können Tool-Anbieter selbst dann belangt werden, wenn sie mit dem konkreten Website-Betrieb formal nichts zu tun haben, ihr Code aber ohne Einwilligung läuft. Für Unternehmen, die mehrere Marketing- und Analyse-Tags gleichzeitig einbinden, verändert das die Vertragsprüfung: Wer haftet, welcher Anbieter tatsächlich vor Einwilligung Daten sendet und wie sich das im Streitfall nachweisen lässt, sind jetzt Fragen, die vor der Integration geklärt werden sollten, nicht danach.
Die gescheiterte Abschaffung des Cookie-Banners: Digital Omnibus und Artikel 88b
Die vielleicht folgenreichste Entwicklung des Jahres betraf nicht die Einwilligung selbst, sondern die Frage, ob das klassische Cookie-Banner überhaupt noch gebraucht wird. Die EU-Kommission hatte mit dem "Digital Omnibus" vorgeschlagen, verbindliche, maschinenlesbare "Datenschutzsignale" einzuführen, die Nutzer einmal im Browser, Betriebssystem oder über einen Consent-Manager hinterlegen und die Webseiten dann automatisch respektieren müssten, ohne erneutes Banner. Artikel 88b sah dafür unter anderem eine sechsmonatige Sperrfrist vor, innerhalb der eine Webseite nach einer automatisierten Ablehnung nicht erneut nachfragen dürfte.
Am 24. Juni 2026 strich der EU-Rat diese Klausel aus einem durchgesickerten Kompromisstext vollständig. Deutschland und Frankreich führten den Widerstand an, mit dem Argument möglicher wirtschaftlicher Schäden ohne belastbare Folgenabschätzung; Google brachte Lobby-Papiere ein, die branchenweite Kosten von 40 bis 50 Milliarden Euro für die Werbewirtschaft in Aussicht stellten, unterstützt von deutschen Verbänden wie Bitkom und BVDW (netzpolitik.org, Juni 2026). Die Verhandlungen zwischen Rat, Parlament und Kommission laufen zum Redaktionsschluss dieses Artikels weiter, ein endgültiges Scheitern ist damit noch nicht formal besiegelt, aber die Streichung der zentralen Klausel macht eine kurzfristige EU-weite Ablösung des Banners unwahrscheinlich.
Für die Praxis heißt das: Wer 2026 darauf gewartet hat, das eigene Cookie-Banner "bald" durch ein Signal-basiertes System ersetzen zu können, sollte diese Planung zurückstellen. Ergänzend dazu bleibt die im April 2025 in Kraft getretene deutsche Einwilligungsverwaltungsverordnung (EinwV) praktisch folgenlos: Zertifizierte PIMS-Dienste (Personal Information Management Services), die eine vergleichbare Funktion national anbieten sollten, haben sich am Markt bislang nicht in relevantem Umfang durchgesetzt, unter anderem weil der Zertifizierungsprozess durch Bundesnetzagentur und Aufsichtsbehörden noch keine breite Anbieterbasis hervorgebracht hat. Das Cookie-Banner bleibt damit 2026 der praktisch einzige verlässliche Weg zur nachweisbaren Einwilligung, nicht aus Trägheit, sondern weil beide angekündigten Alternativen bislang nicht tragfähig geworden sind.
Google Consent Mode: die technische Stellschraube ändert sich zum 15. Juni 2026
Parallel zur regulatorischen Debatte hat Google selbst eine strukturelle Änderung vorgenommen, die Cookie-Banner-Betreiber unmittelbar betrifft. Bis zum 15. Juni 2026 kontrollierten zwei getrennte Einstellungen gemeinsam, ob Werbedaten aus Google Analytics an ein verknüpftes Google-Ads-Konto flossen: die Google-Signals-Einstellung innerhalb Analytics und der ad_storage-Parameter aus Consent Mode. Beide mussten Tracking erlauben, damit das vollständige Werbesignal ankam.
Seit dem 15. Juni 2026 sind diese beiden Datenflüsse entkoppelt: Google Signals steuert nur noch, ob Analytics-Daten mit angemeldeten Nutzerkonten für Verhaltensberichte verknüpft werden, während ad_storage aus Consent Mode allein bestimmt, ob Werbedaten überhaupt bei Google Ads ankommen. Für ein Cookie-Banner bedeutet das praktisch: Wenn die Consent-Mode-Signale nicht korrekt und früh genug im Seitenaufbau gesetzt werden, gibt es keine zweite Kontrollinstanz mehr, die einen Fehler in der technischen Umsetzung abfängt, bevor Werbedaten unerlaubt fließen. Eine Fehlkonfiguration, die vor Juni 2026 durch die Google-Signals-Einstellung noch abgefedert wurde, führt jetzt direkt zu einem unrechtmäßigen Datenfluss, sobald ad_storage fälschlich auf "granted" steht.
Was weiterhin nicht erlaubt ist
Die Grundregeln aus Art. 4 Nr. 11 DSGVO und § 25 TDDDG haben sich 2026 nicht verändert, nur die Konsequenzen ihrer Missachtung sind konkreter geworden:
Vorausgewählte Zustimmung bleibt unwirksam, ebenso wie das reine Weiterscrollen als angebliche Zustimmung; beide Muster hat der EuGH bereits 2019 im Planet49-Verfahren ausgeschlossen.
Cookie-Walls, die den Zugang zur Seite komplett von einer Zustimmung abhängig machen, ohne eine echte Alternative zu bieten, gelten weiterhin als unfreiwillig erzwungen, außer in engen Ausnahmefällen mit einer echten, zumutbaren Alternative.
Consent-Theater, also ein Banner mit funktionierender Optik, hinter der Tracking-Skripte unabhängig von der Nutzerentscheidung weiterlaufen, ist der Verstoßtyp, der 2026 am aktivsten technisch geprüft wird, wie das Shein-Verfahren und die verschärfte Prüfpraxis zeigen.
Berechtigtes Interesse kann eine Einwilligungspflicht nach § 25 TDDDG für nicht notwendige Cookies nicht ersetzen, unabhängig davon, wie die Interessenabwägung im Übrigen ausfiele.
Cross-Device-Tracking und Geo-Targeting: neue Erwartungen an die Banner-Logik
Zwei technische Entwicklungen verschärfen 2026 zusätzlich, was ein Cookie-Banner leisten muss, ohne dass sich die zugrunde liegende Rechtslage geändert hätte.
Cross-Device-Tracking, also das Verknüpfen des Verhaltens eines Nutzers über mehrere Geräte hinweg zu einem einheitlichen Profil, braucht eine eigene Einwilligung, die spezifisch genug ist, um Zweck, beteiligte Geräte und Kennungen abzudecken. Eine Einwilligung, die nur "Marketing-Cookies" pauschal erfasst, deckt eine geräteübergreifende Profilbildung in aller Regel nicht ab, weil der konkrete Verwendungszweck für den Nutzer bei der Entscheidung nicht erkennbar war.
Geo-Targeting von Bannern selbst, also das automatische Ausspielen des jeweils rechtlich passenden Banners je nach Standort des Besuchers, ist 2026 von einer Komfortfunktion zu einer praktischen Notwendigkeit geworden. Wer Besucher aus mehreren Rechtsordnungen mit demselben, undifferenzierten Banner bedient, riskiert entweder eine Übererfüllung außerhalb der EU, die die Konversion unnötig senkt, oder eine Untererfüllung innerhalb der EU, die im Streitfall nicht als wirksame Einwilligung zählt.
Was sich seit 2025 geändert hat: Überblick
| Bereich | Stand 2025 | Stand 2026 |
|---|---|---|
| Zukunft des Cookie-Banners | EU-Kommission plant verbindliche Browser-Signale (Digital Omnibus) | Zentrale Klausel (Art. 88b) am 24.6.2026 vom EU-Rat gestrichen; Banner bleibt vorerst Standard |
| Haftung für Tracking-Code | Praktisch nur der Webseitenbetreiber im Fokus | OLG Frankfurt (11.12.2025) bejaht zusätzliche Haftung des Tracking-Anbieters selbst |
| Prüfmaßstab der Behörden | Vorrangig optische Gleichwertigkeit der Buttons | Zunehmend technische Verifikation, ob Ablehnung Tracking tatsächlich stoppt |
| Google-Werbedatensteuerung | Doppelkontrolle über Google Signals und Consent Mode gemeinsam | Seit 15.6.2026 steuert allein ad_storage aus Consent Mode die Ads-Datenfreigabe |
| PIMS / EinwV | EinwV tritt am 1.4.2025 in Kraft, noch ohne zertifizierte Anbieter | Zertifizierungsprozess weiterhin ohne breite Marktdurchdringung |
| ePrivacy-Regulierung | Rückzugsbeschluss der Kommission im Februar 2025 angekündigt | Rückzug seit 6.10.2025 amtlich im EU-Amtsblatt; TDDDG bleibt nationale Umsetzung ohne EU-Harmonisierung in Sicht |
Folgen bei Verstößen
Die Bußgeldrahmen selbst sind unverändert: bis zu 300.000 Euro nach § 28 TDDDG für den reinen Zugriffsverstoß, parallel bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach Art. 83 Abs. 5 DSGVO, je nachdem, welcher Betrag höher ausfällt. Was sich geändert hat, ist die Bandbreite der tatsächlich verhängten Konsequenzen: Neben dem Shein-Bußgeld von 150 Millionen Euro zeigt der mit 100 Euro vergleichsweise geringe Schadensersatz aus dem OLG-Frankfurt-Urteil, dass Haftungsrisiken 2026 nicht mehr nur als große Bußgelder gegen Konzerne auftreten, sondern als zivilrechtliche Ansprüche einzelner Nutzer gegen jeden Akteur in der technischen Kette, vom Webseitenbetreiber bis zum Tool-Anbieter. Bei vielen betroffenen Nutzern oder wiederholten Verstößen skaliert diese Haftung schnell über den Einzelfall hinaus.
Ein automatisiertes Cookie-Scanning, das laufend prüft, welche Skripte tatsächlich vor einer Einwilligung ausgeführt werden, deckt Consent-Theater-Muster auf, bevor eine Behörde oder ein einzelner Nutzer es tut. Secure Privacys Cookie & Consent Solution erkennt neue Tracker automatisch und blockiert sie, bis eine Einwilligung vorliegt, statt sich auf eine einmalige, manuelle Prüfung zu verlassen.
Compliance-Checkliste für die zweite Jahreshälfte 2026
- Prüfen, ob abgelehnte Cookies technisch tatsächlich blockiert werden, nicht nur, ob der Ablehnen-Button korrekt aussieht
- Verträge mit allen eingebundenen Tracking- und Tag-Anbietern auf Haftungsverteilung nach § 25 TDDDG prüfen, angesichts des OLG-Frankfurt-Urteils
- Consent-Mode-Signale (ad_storage, ad_user_data, ad_personalization, analytics_storage) technisch verifizieren, seit der Entkopplung von Google Signals am 15.6.2026 besonders für ad_storage
- Geo-Targeting einsetzen, damit Besucher aus unterschiedlichen Rechtsordnungen das jeweils passende, rechtlich ausreichende Banner erhalten
- Cross-Device-Tracking nur mit einer Einwilligung ausrollen, die den geräteübergreifenden Zweck ausdrücklich benennt
- Keine Umstellung auf browserbasierte Signale als Ersatz für das Banner einplanen, solange Art. 88b nicht in Kraft ist
- Einwilligungsprotokolle lückenlos und exportierbar führen, für den Nachweis nach Art. 5 Abs. 2 DSGVO im Streitfall
Wer die Consent-Mode-Umstellung technisch noch nicht validiert hat, sollte nicht bis zur nächsten Kampagnenauswertung warten: Secure Privacys automatisches Scanning erkennt inkonsistente Consent-Signale und aktualisiert die Kategorisierung eingebundener Tracker selbst, wenn sich der Tracker-Bestand einer Seite ändert.
Häufig gestellte Fragen
Was hat sich bei der Cookie-Einwilligung 2026 gegenüber 2025 tatsächlich geändert?
Die materiellen Wirksamkeitskriterien der Einwilligung sind gleich geblieben, aber die Durchsetzung hat sich verschärft: Gerichte lassen jetzt auch Tracking-Anbieter selbst haften (OLG Frankfurt, Dezember 2025), Behörden prüfen technisch statt nur optisch, und die geplante Abschaffung des Banners durch den Digital Omnibus wurde im Juni 2026 vorerst gestoppt.
Kommt die Abschaffung des Cookie-Banners durch den Digital Omnibus noch?
Unklar. Der EU-Rat hat die zentrale Klausel (Art. 88b) am 24. Juni 2026 aus einem Verhandlungstext gestrichen, die Trilog-Verhandlungen zwischen Rat, Parlament und Kommission laufen aber weiter. Bis zu einer förmlichen Einigung bleibt das Banner der einzige verlässliche Weg zur nachweisbaren Einwilligung.
Haften Anbieter von Tracking-Software jetzt auch persönlich für fehlende Einwilligung?
Ja, laut dem Urteil des OLG Frankfurt vom 11. Dezember 2025 (Az. 6 U 81/23) kann ein Tracking-Anbieter neben dem Webseitenbetreiber selbst nach § 25 TDDDG und Art. 82 DSGVO haften, wenn sein Code ohne wirksame Einwilligung ausgeführt wird, auch wenn er die Webseite nicht selbst betreibt.
Reicht ein optisch symmetrisches Banner 2026 noch aus?
Nicht mehr allein. Aufsichtsbehörden verifizieren zunehmend, ob eine Ablehnung tatsächlich das Setzen und Auslesen von Cookies stoppt, nicht nur, ob Zustimmen- und Ablehnen-Button gleich aussehen. Ein Banner ohne funktionierende technische Blockade gilt als Consent-Theater und damit als eigenständiger Verstoß.
Was ändert sich durch die Google-Consent-Mode-Umstellung vom 15. Juni 2026?
Seit diesem Datum steuert bei Google Ads allein der ad_storage-Parameter aus Consent Mode, ob Werbedaten fließen; die bisherige zusätzliche Kontrolle über die Google-Signals-Einstellung in Analytics entfällt für diesen Datenfluss. Eine fehlerhafte Consent-Mode-Konfiguration wirkt sich damit direkter aus als zuvor.
Was bedeutet der endgültige Rückzug der ePrivacy-Verordnung für deutsche Unternehmen?
Seit der amtlichen Veröffentlichung des Rückzugs am 6. Oktober 2025 gibt es keine EU-weite Harmonisierung der Cookie-Regeln in Aussicht. Für Deutschland bleibt § 25 TDDDG die maßgebliche nationale Umsetzung der bestehenden ePrivacy-Richtlinie, unverändert und ohne absehbares Ablaufdatum.
Wie lange müssen Einwilligungsnachweise 2026 aufbewahrt werden?
Eine feste gesetzliche Frist gibt es nicht; europäische Aufsichtsbehörden empfehlen weiterhin eine Erneuerung nach etwa 12 bis 13 Monaten sowie sofort bei jeder Änderung der eingebundenen Anbieter oder Zwecke. Der Nachweis selbst muss nach Art. 5 Abs. 2 DSGVO jederzeit rekonstruierbar sein, nicht nur für einen festen Zeitraum vorgehalten werden.
Fazit
Keine der hier beschriebenen Entwicklungen ändert, was eine wirksame Einwilligung rechtlich ausmacht. Sie ändern, wie genau und gegen wen diese Anforderung 2026 tatsächlich durchgesetzt wird: technisch statt nur optisch, gegen Tool-Anbieter statt nur gegen Webseitenbetreiber, und ohne die kurzfristige Entlastung durch ein Ende des Banners, mit dem mancher Compliance-Plan für 2026 gerechnet hatte.
Manuell nachzuhalten, ob ein Ablehnen-Klick tatsächlich jeden eingebundenen Tracker stoppt, ob die Consent-Mode-Signale korrekt gesetzt sind und ob das eigene Banner je Rechtsordnung die richtige Fassung ausspielt, wird ab mehr als einer Handvoll Domains kaum noch verlässlich möglich. Secure Privacys Cookie & Consent Solution kombiniert automatisches Tracker-Scanning, geo-gezielte Banner-Vorlagen für über 55 Datenschutzgesetze und ein fälschungssicheres Einwilligungsprotokoll in einem Dashboard. Vereinbaren Sie eine Demo, um zu prüfen, ob Ihr aktuelles Banner die technische Prüfung von 2026 tatsächlich besteht.