DSGVO-Cookie-Banner-Bußgelder: Wofür Websites wirklich verurteilt werden (2026)
Die meisten Website-Betreiber wissen, dass sie ein Cookie-Banner brauchen. Wenige wissen, was eine Seite tatsächlich ein Bußgeld kostet — und es ist meistens nicht „gar kein Banner“. Die Datenschutzbehörden in der EU bestrafen konsequent einen kleinen Satz spezifischer, behebbarer Fehler.
Dieser Artikel zeigt echte Durchsetzungsmuster, die beteiligten Summen und wie Sie prüfen, ob Ihr eigenes Setup dieselben Schwächen hat — bevor eine Behörde oder die Beschwerde eines Konkurrenten es tut.
Wofür Websites bestraft werden (und wofür nicht)
1. Nicht-konforme Banner, die schlimmer sind als gar keins
Der mit Abstand häufigste Auslöser ist ein Banner, das konform aussieht, es aber nicht ist:
- Vorausgefüllte Checkboxen für nicht notwendige Cookies — vom EuGH in der Rechtssache Planet49 (C-673/17) ausdrücklich verworfen
- „Ablehnen“ ist schwerer als „Akzeptieren“ — versteckte, ausgegraute oder fehlende Ablehnen-Buttons haben Bußgelder mehrerer Behörden ausgelöst, darunter die französische CNIL (Google- und Meta-Strafen von 150 Mio. € bzw. 60 Mio. €, u. a. deshalb)
- Cookies feuern vor der Einwilligung — Tracking-Skripte, die beim Seitenaufruf laden, bevor irgendein Klick erfolgt ist. Das ist technisch von jedem mit einem Browser-DevTools-Fenster nachweisbar — genau die Personen, die Beschwerden einreichen
2. Keine Nachweise über die Einwilligung
Art. 7 Abs. 1 DSGVO legt die Beweislast bei Ihnen. Wenn Sie nicht zeigen können, wann und wie jeder Nutzer eingewilligt hat, behandeln Aufsichtsbehörden die Einwilligung, als hätte sie nie stattgefunden. Bußgelder hier sind häufig, weil die meisten Consent-Setups kleiner Seiten gar nichts speichern.
3. Fehlende oder versteckte Datenschutzerklärung
Ein Cookie-Banner, das nicht auf eine Datenschutzerklärung verlinkt, die Cookie-Zwecke, Speicherdauern und Drittanbieter erklärt, erfüllt die Anforderung der „informierten“ Einwilligung nicht. Mehrere Behörden verhängen dafür täglich niedrigstufige Bußgelder und Rügen — sie machen selten Schlagzeilen, landen aber trotzdem im Briefkasten.
Wofür typischerweise nicht bestraft wird
Streng notwendige Cookies ohne Einwilligung (legal nach ePrivacy Art. 5 Abs. 3), First-Party-Session-Cookies und Banner mit ungewöhnlichem Design, solange die Einwilligung freiwillig, informiert und widerruflich ist. Geschmack wird nicht reguliert; Mechanik schon.
Typische Bußgeld-Spannen
| Verstoß | Typische Spanne | Anmerkung |
|---|---|---|
| Kein gültiger Einwilligungsmechanismus | 2.000 – 100.000+ € | Skaliert mit Traffic und Datensensibilität |
| Tracking vor der Einwilligung | 5.000 € – 60 Mio. € | Meta-/Google-Fälle am oberen Ende |
| Fehlende Ablehnen-Option / Dark Patterns | 40.000 € – 150 Mio. € | Die CNIL-Entscheidungen 2022 setzen den Maßstab |
| Kein Link zur Datenschutzerklärung / unvollständige Infos | 500 – 20.000 € | Häufigstes Ergebnis für KMU nach Beschwerden |
Aktuelle Durchsetzung: Was die Regulierer tatsächlich getan haben
Das sind echte Entscheidungen aus 2024–2026, jeweils anhand der eigenen Verlautbarung der Behörde überprüft:
| Wann | Wer | Bußgeld / Maßnahme | Was schief war |
|---|---|---|---|
| Sep. 2025 | Google (Frankreich, CNIL) | 325 Mio. € | Werbung in Gmail ohne gültige Einwilligung; zwingende Cookie-Praktiken. Dritte CNIL-Strafe gegen Google-Cookies (nach 100 Mio. € 2020 und 150 Mio. € 2021). |
| Sep. 2025 | SHEIN (Frankreich, CNIL) | 150 Mio. € | Werbe-Cookies vor jeder Nutzerwahl gesetzt; unwirksame Ablehnungs-/Widerrufsmechanismen; unvollständige Banner-Informationen. |
| Dez. 2025 | Top-1.000 UK-Seiten (ICO) | Durchsetzungsoffensive | 564 der 1.000 größten britischen Websites fielen durch die Erstprüfung und kamen erst nach ICO-Schreiben, Untersuchungen und 17 vorläufigen Vollzugsverfügungen in Ordnung; 21 weiterhin mangelhaft. |
| 2024 | Kruidvat / AS Watson (Niederlande) | 600.000 € | Tracking-Cookies ohne gültige Einwilligung; vorausgefüllte Consent-Mechanik. |
| Apr. 2025 | Warner Music Sweden, Aller Media u. a. (Schweden, IMY) | Förmliche Verwarnungen | Banner, die „Akzeptieren“ gegenüber „Ablehnen“ bevorzugten. |
Quellen: CNIL-Pressemitteilungen (cnil.fr, 1. & 3. Sep. 2025), EDPB-Fallregister, ICO-Meldung (4. Dez. 2025), niederländische DPA-Entscheidung zu AS Watson, schwedische IMY-Aufsichtshinweise.
Das Muster in jedem Fall ist dasselbe Dreifach-Versagen: Cookies vor der Einwilligung, eine schwerer zu findende Ablehnen-Option und unvollständige Informationen. Keines davon braucht Enterprise-Budgets zum Beheben — es sind Umsetzungsfehler.
Der 5-Punkte-Selbsttest
- Nichts feuert vor dem Klick. Öffnen Sie Ihre Seite inkognito mit DevTools. Vor der Einwilligung dürfen keine Analyse-, Marketing- oder Embed-Cookies erscheinen.
- Ablehnen ist ein Klick, gleichgewichtig. Gleiche Größe, gleicher Kontrast, gleiche Klickanzahl wie Akzeptieren.
- Einwilligung wird protokolliert. Ihr CMP speichert Zeitstempel + Auswahl pro Nutzer.
- Banner verlinkt Ihre Datenschutzerklärung, die Cookie-Kategorien, Zwecke, Speicherdauern und Drittanbieter nennt.
- Widerruf funktioniert. Ein sichtbarer „Cookie-Einstellungen“-Weg erlaubt Nutzern, ihre Meinung genauso leicht zu ändern, wie sie Ja gesagt haben.
Punkte 1–3 automatisch prüfen
Unser kostenloser Scanner prüft jede URL — WordPress, Shopify, Webflow, Next.js, Squarespace oder handgeschriebenes HTML — auf Consent-Banner, HTTPS-Härtung und Datenschutzverlinkung und sagt Ihnen genau, was zu fixen ist:
Bestanden? Zeigen Sie es her — fügen Sie ein kostenloses Compliance-Badge zu Ihrer Seite hinzu (gut für Kundenvertrauen und einen Backlink).
Sie brauchen Dokumentwerkzeuge für eine WordPress-Website? EUComply Pro schaltet bearbeitbare HTML-Startdokumente und einen HTML-Bericht aus dem letzten Scan frei — 79 USD pro Jahr und Website. Gehostete tägliche Scans sind geplant, nicht enthalten.