Wie ein Cookie-Banner aussehen sollte, das einer Prüfung standhält

Ablehnen ist gleich in der ersten Ebene möglich

Wenn der Besucher nur „Ich stimme zu“ sieht und die Ablehnung einen Klick weiter in den Einstellungen suchen muss, ist die Einwilligung nicht freiwillig — sie wird durch Unbequemlichkeit erzwungen. Die Ablehnung muss auf demselben Bildschirm und genauso einfach verfügbar sein wie die Annahme.

Das ist die häufigste Ursache für Bußgelder in Tschechien und zugleich der Fehler, den die meisten Standard-Banner von Online-Shop-Plattformen haben.

Vor der Einwilligung wird kein einziges Mess-Skript geladen

Das Gesetz spricht nicht vom Cookie-Banner — es spricht vom Speichern von Informationen auf dem Endgerät und dem Zugriff darauf. Solange der Besucher nicht klickt, dürfen weder Google Analytics noch der Meta-Pixel, Sklik oder ein Chat-Widget geladen werden. Ein Banner, das nur angezeigt wird, während die Skripte im Hintergrund laufen, ist Dekoration ohne rechtliche Wirkung.

Genau dafür fielen die höchsten tschechischen Bußgelder für Cookies.

Keine Kategorie ist vorangekreuzt

Die Einwilligung muss eine unmissverständliche Willensbekundung sein — also eine aktive Handlung. Ein Schalter, der beim Öffnen der Einstellungen bereits aktiviert ist, ist keine Einwilligung, weil der Besucher nichts getan hat. Der EuGH hat das im Fall Planet49 eindeutig entschieden.

Es gibt nur eine Ausnahme: technisch notwendige Cookies. Die sind immer aktiviert, lassen sich nicht deaktivieren und benötigen keine Einwilligung.

Weder das Schließen über das X noch Scrollen ist eine Einwilligung

Wenn der Besucher das Banner schließt oder die Seite nur scrollt, hat er nichts geäußert — und das darf nicht als Einwilligung ausgelegt werden. Der EDSA sagt es ausdrücklich: Weitersurfen oder Scrollen erfüllt nicht die Anforderung einer unmissverständlichen Handlung.

Richtige Lösung: Nach dem Schließen bleiben die optionalen Cookies deaktiviert und das Banner lässt sich jederzeit erneut öffnen.

Die Schaltflächen wirken gleichwertig

Es genügt nicht, dass die Ablehnung existiert — sie darf nicht optisch benachteiligt sein. Ein großes grünes „Akzeptieren“ neben einem grauen Text „Ablehnen“ ist irreführendes Design: Das Design drängt zu einer Option, sodass die resultierende Einwilligung nicht freiwillig ist.

Praktisches Kriterium: Beide Optionen haben vergleichbare Größe, Kontrast und Platzierung. Sie müssen nicht identisch sein, dürfen aber nicht in einer anderen Gewichtsklasse liegen.

Dieselbe Logik gilt für den Text auf den Schaltflächen. Die Vorschriften verlangen keinen identischen Wortlaut — aber wenn eine Option genau benennt, was passiert, und die andere nicht, entsteht Unsicherheit gerade auf der Seite der Ablehnung.

Die Einwilligung lässt sich für jeden Zweck getrennt erteilen

Die Einwilligung muss bestimmt sein. Eine einzige Schaltfläche „ich stimme allem zu“ ohne die Möglichkeit, nur die Analyse zuzulassen und die Werbung abzulehnen, erfüllt die Bedingung nicht — der Besucher muss die Zwecke unterscheiden können.

Gängige Kategorien: notwendig, funktional, Analyse, Marketing. Jede mit eigenem Schalter und einer Erklärung, wozu sie dient.

Die Cookie-Liste ist vollständig und konkret

Informierte Einwilligung bedeutet, dass der Besucher weiß, was genau er zulässt: Name des Cookies, wozu es dient, wie lange es bestehen bleibt und wer darauf Zugriff hat. Der Satz „wir verwenden Cookies von Drittanbietern“ erfüllt die Informationspflicht nicht.

In der Praxis ist das die häufigste Stelle des Widerspruchs: Ein Online-Shop deklariert fünf Cookies und speichert real dreißig. Die Liste muss der Wirklichkeit entsprechen — und immer dann aktualisiert werden, wenn ein neues Werkzeug zur Website hinzukommt.

Die Einwilligung zu widerrufen muss genauso einfach sein wie sie zu erteilen

Das ist keine Auslegung — GDPR sagt es wörtlich. Wenn die Einwilligung mit einem Klick auf dem Banner erteilt werden kann, muss sie sich auch mit einem Klick widerrufen lassen. Nicht per E-Mail, nicht per Antrag, nicht durch Löschen der Cookies im Browser.

Übliche Lösung: ein dauerhafter Link „Cookie-Einstellungen“ in der Fußzeile oder ein schwebendes Symbol, das das Banner erneut öffnet.

Die Website funktioniert auch für den, der ablehnt

Den Zugang zum Inhalt von der Einwilligung in Marketing-Cookies abhängig zu machen bedeutet, dass die Einwilligung nicht freiwillig ist — der Besucher hat keine echte Wahl. Eine sogenannte Cookie-Wall ist deshalb unzulässig.

Ebenso wenig in Ordnung ist ein Banner, das den ganzen Bildschirm überdeckt und sich nur durch Einwilligung umgehen lässt.

Nach einer Ablehnung fragt das Banner nicht bei jedem Besuch erneut

Das wiederholte Aufpoppen des Banners, nachdem der Besucher abgelehnt hat, ist Druck — Ziel ist, dass er es irgendwann „wegklickt“, nur um seine Ruhe zu haben. Auch hier geht es um die Freiwilligkeit der Einwilligung.

Die tschechische Behörde empfiehlt konkrete Zahlen: eine Gültigkeit der Einwilligung von etwa 12 Monaten und nach einer Ablehnung mindestens 6 Monate lang nicht zu fragen.

Das Banner lässt sich per Tastatur bedienen und von einem Screenreader vorlesen

Seit dem 28. Juni 2025 gilt der Europäische Rechtsakt zur Barrierefreiheit. Wenn sich das Cookie-Banner nicht per Tastatur bedienen lässt oder der Screenreader es überspringt, kommt ein Teil der Menschen gar nicht zur Auswahl — und der Online-Shop hat ein Problem über GDPR hinaus.

Mindestanforderung: sichtbarer Fokus, Bedienung per Tabulatortaste, ausreichender Kontrast von Text und Schaltflächen, Schließen per Esc-Taste.

Es ist klar, wer die Daten verarbeitet und wo die Einzelheiten stehen

Die Einwilligung ist nur dann informiert, wenn der Besucher weiß, wem er sie gibt. Das Banner muss den Verantwortlichen nennen (oder eindeutig auf ihn verweisen) und einen Link zur Datenschutzerklärung enthalten.

Wenn die Datenschutzerklärung auf der Domain des Banner-Anbieters liegt, ist das kein Problem — aus ihr muss aber hervorgehen, dass der Verantwortliche der jeweilige Online-Shop ist, nicht der Anbieter.