Datenschutz: EU plant Vorlagen und verhängt Rekordstrafen

Europäische Aufsichtsbehörden verhängen hohe Bußgelder für fehlerhafte Cookie-Einwilligungen, während der EDPB standardisierte Vorlagen zur Vereinfachung der Compliance entwickelt.

Die europäische Datenschutzaufsicht intensiviert den Druck auf Unternehmen. Während Rekordgelder fließen, will sie die Regeln vereinfachen.

Die europäische Datenschutzlandschaft steht an einem Wendepunkt. Nationale Behörden verhängen immer höhere Strafen, während die EU-Spitzenaufsicht gleichzeitig versucht, die komplexen Regeln für Unternehmen handhabbarer zu machen. Auf einer zentralen Konferenz in Brüssel am 17. März 2026 diskutierte der Europäische Datenschutzausschuss (EDPB) die wachsenden Überschneidungen zwischen der Datenschutz-Grundverordnung (DSGVO) und neuen Gesetzen wie dem Digital Services Act (DSA).

Anzeige

Angesichts steigender Bußgelder und komplexer werdender Regeln ist eine lückenlose Dokumentation für Unternehmen überlebenswichtig. Diese kostenlose Excel-Vorlage mit Schritt-für-Schritt-Anleitung macht die Erstellung Ihres Verarbeitungsverzeichnisses nach Art. 30 DSGVO kinderleicht. Verarbeitungsverzeichnis nach Art. 30 DSGVO in unter einer Stunde erstellt

Rekordstrafe zeigt: Cookie-Banner sind eine Milliardenfalle

Die finanziellen Risiken durch fehlerhafte Cookie-Einwilligungen haben ein neues Rekordniveau erreicht. Die französische Datenschutzbehörde CNIL verhängte im vergangenen Jahr Strafen in Höhe von insgesamt 487 Millionen Euro. Zwei besonders hohe Geldbußen von 325 und 150 Millionen Euro betrafen explizit Verstöße gegen die Vorgaben für Cookie-Zustimmungen.

Die Aufsichtsbehörden in ganz Europa interpretieren die Regeln für eine gültige Einwilligung streng. Diese muss freiwillig, spezifisch, informiert und eindeutig sein. Im Visier stehen vor allem Websites, die mit manipulativen Designs arbeiten. Dazu gehört, dass die Ablehnung von Cookies umständlicher gestaltet ist als die Annahme oder dass Datenschutzeinstellungen in komplexen Menüs versteckt werden.

Ein reines Banner reicht längst nicht mehr aus. Die Behörden betonen: Nicht-essenzielle Tracking-Skripte dürfen erst dann laden, wenn der Nutzer aktiv zugestimmt hat. Die millionenschweren Strafen zeigen, dass die Kontrolleure aktiv hochfrequentierte Websites prüfen und jene abstrafen, die ihre Datenschutzerklärungen nicht in funktionierende technische Restriktionen umsetzen.

EDPB-Konferenz: Der Datenschutz wird zum Netzwerk

Die zentrale Herausforderung, die auf der Brüsseler Konferenz diskutiert wurde, ist die zunehmende Vernetzung der Vorschriften. Cookie-Einwilligungen und Datenschutzerklärungen existieren nicht mehr im luftleeren Raum der DSGVO. Unternehmen müssen sicherstellen, dass ihre Datensammlung auch mit dem Digital Markets Act (DMA) und dem KI-Gesetz (AI Act) konform ist.

Ein Beispiel: Daten, die über Cookies für gezielte Werbung gesammelt werden, müssen nicht nur die DSGVO-Anforderungen an die Einwilligung erfüllen. Sie unterliegen auch den Transparenzvorgaben des DSA, die erklären, wie Algorithmen Nutzer profile erstellen. Für Unternehmen bedeutet das, Compliance ganzheitlich zu denken. Die Datenschutzerklärung muss Pflichten aus mehreren EU-Richtlinien abdecken – Datenschutz ist keine isolierte Rechtsmaterie mehr.

Anzeige

Die neue EU-KI-Verordnung bringt zusätzliche Anforderungen mit sich, die viele Unternehmen bei ihrer Compliance-Strategie noch nicht auf dem Schirm haben. Dieser kostenlose Leitfaden erklärt Ihnen kompakt die wichtigsten Kennzeichnungspflichten und Risikoklassen, damit Sie keine teuren Bußgelder riskieren. EU-KI-Verordnung kompakt: Endlich verständlich erklärt

Standard-Vorlagen: EDPB will Bürokratie abbauen

Als Reaktion auf den enormen Verwaltungsaufwand – besonders für kleine und mittlere Unternehmen – geht der EDPB in die Offensive. In seinem neu verabschiedeten Arbeitsprogramm für 2026-2027 hat die Behörde die Entwicklung praxisnaher Compliance-Tools priorisiert.

Nach einer öffentlichen Konsultation kündigte der EDPB an, offizielle EU-Vorlagen für Datenschutzerklärungen zu entwickeln. Diese standardisierten Muster sollen die Rechtsunsicherheit beseitigen, was eine rechtlich ausreichende Erklärung ist. Sie bieten Unternehmen eine klare Blaupause, um Datenverarbeitung, Cookie-Nutzung and Nutzerrechte offenzulegen. Zusätzlich arbeitet der Ausschuss an Vorlagen für Interessenabwägungen und Verzeichnisse von Verarbeitungstätigkeiten.

Rechtsexperten sehen darin einen großen Schritt. Die offiziellen Ressourcen könnten die Kosten für individuelle Rechtsberatung senken und das Risiko von Strafen wegen unzureichender Informationen minimieren.

Technische Umsetzung: Vom Banner zur funktionierenden Sperre

Neben der Dokumentation bleibt die technische Umsetzung der Cookie-Einwilligung ein Hauptaugenmerk der Aufseher. Der EDPB stellt klar: „Cookie-Walls“ – also Zugangssperren für Nutzer, die Tracking-Cookies ablehnen – stellen keine freiwillige Einwilligung dar. Ausnahmen sind extrem selten und erfordern eine echte, gleichwertige Alternative ohne Tracking.

Moderne Compliance braucht eine robuste technische Architektur. Es reicht nicht, in der Datenschutzerklärung ein Opt-out zu beschreiben. Die auf der Website getroffenen Nutzerentscheidungen müssen nahtlos an alle eingebundenen Analyse-Tools, Werbeplattformen und Tag-Manager kommuniziert werden. Technische Prüfungen zeigen oft, dass Tools wie Google Tag Manager falsch konfiguriert sind. Dann laufen Skripte Dritter unabhängig von der Banner-Entscheidung.

Wenn ein Nutzer Marketing-Cookies ablehnt, muss die technische Infrastruktur der Website diese Skripte zuverlässig blockieren. Die Lücke zwischen dem, was eine Datenschutzerklärung verspricht, und dem, wie eine Website technisch funktioniert, ist der häufigste Auslöser für behördliche Untersuchungen und die darauffolgenden Strafen.

Ausblick: Vorlagen kommen, Kontrollen werden schärfer

Unternehmen auf dem europäischen Markt sollten sich auf die Veröffentlichung der offiziellen EDPB-Vorlagen in den kommenden Monaten einstellen. Es ist ratsam, die bestehende Dokumentation und die technischen Einwilligungsmechanismen jetzt zu überprüfen.

Da die behördenübergreifende Zusammenarbeit nach der Konferenz vom 17. März zunimmt, werden die Kontrollen voraussichtlich noch ausgefeilter. Sie zielen dann stärker auf Diskrepanzen zwischen der schriftlichen Datenschutzerklärung und dem tatsächlichen Datenfluss über verschiedene Plattformen hinweg ab. Unternehmen, die ihre Cookie-Architektur proaktiv prüfen und die kommenden EU-Standards übernehmen, sind für diese anspruchsvolle Compliance-Landschaft am besten gewappnet.