Auf einer durchschnittlichen europäischen Website landen 16 Third-Party-Cookies auf dem Endgerät, bevor der Besucher überhaupt geklickt hat. Nicht nach der Einwilligung, sondern davor. Diese eine Zahl beschreibt das Cookie-Banner treffender als jede juristische Analyse: Es ist keine Entscheidung, es ist eine Quittung, die nachgereicht wird.
Seit diesem Sommer läuft die Kampagne Kill the Cookie Banner, getragen von noyb, EDRi, dem europäischen Verbraucherverband BEUC, der EFF und weiteren Organisationen. Die Forderung: Die Einwilligung soll einmal im Browser gesetzt werden und für alle Seiten gelten. Ich halte das für richtig. Ich halte es aber auch für eine Lösung, die das eigentliche Problem verschiebt, statt es zu beseitigen.
Der Artikel, den kaum jemand haben will
Die EU-Kommission hatte im November 2025 als Teil des Digital Omnibus zwei neue Artikel vorgeschlagen. Artikel 88a holt die Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO, verlangt eine Ablehnung mit einem Klick, verbietet die erneute Abfrage für sechs Monate nach einer Ablehnung und nimmt einige Zwecke ganz aus der Einwilligungspflicht heraus, darunter die Reichweitenmessung für eigene Zwecke ohne Weitergabe an Dritte. Artikel 88b ging weiter: Betreiber hätten automatisierte, maschinenlesbare Entscheidungen aus dem Browser beachten müssen.
Genau dieser Artikel 88b ist politisch unter Druck geraten. Ein von Politico geleaktes Ratsdokument zeigt, dass der Kompromisstext der zypriotischen Ratspräsidentschaft seine vollständige Streichung vorsieht. Widerstand kam nicht nur aus der Werbewirtschaft: Mehrere Mitgliedstaaten, darunter Deutschland und Frankreich, hatten sich gegen die Signale gestellt. Die deutschen Wirtschaftsverbände forderten bereits im März in einem gemeinsamen Papier wörtlich, Artikel 88b müsse ersatzlos entfallen.
Warum die Kritik am Banner berechtigt ist
Die stärksten Belege liefert nicht die Kampagne, sondern die Forschung. Midas Nouwens und Kollegen haben 2020 die fünf verbreitetsten Consent-Lösungen auf den 10.000 meistbesuchten britischen Websites ausgewertet und anschließend im Feldexperiment gemessen, wie das Design die Entscheidung verändert. Nur 11,8 Prozent der Banner erfüllten die rechtlichen Mindestanforderungen. Entfernt man den Ablehnen-Button von der ersten Ebene, steigt die Zustimmung um 22 bis 23 Prozentpunkte. Zeigt man dagegen die feingliedrigen Einstellungen gleich zu Beginn, sinkt sie um 8 bis 20 Prozentpunkte.
Das heißt im Klartext: Die Zustimmungsrate misst keine Präferenz. Sie misst eine Gestaltungsentscheidung. Und sie wird auch genau so behandelt. In der Marketing-Beratung gilt eine Akzeptanzrate über 80 Prozent als optimal, unter 70 Prozent besteht angeblich Gesprächsbedarf. Eine Kennzahl, die man optimieren kann, ist keine Einwilligung.
Genau hier verschiebt sich das Problem
Angenommen, das Browsersignal käme doch und die Zustimmungsraten fielen auf realistische Werte. Was passiert dann? Die Antwort steht nicht bei den Datenschützern, sondern in den Mandantenanalysen der Wirtschaftskanzleien. Taylor Wessing schreibt, der Digital Omnibus werde die Cookies nicht beenden, sondern den Übergang zu einem Werbeökosystem beschleunigen, das auch bei eingeschränkter oder fehlender Einwilligung funktioniert. Wer sich früh anpasse, sei am besten aufgestellt.
Diese Anpassung hat einen Namen: Server-Side-Tracking. Es wird seit Monaten genau mit diesem Argument beworben, weil die Ereignisse nicht mehr im Browser, sondern in der Anwendung erfasst werden. Consent-Anbieter werden inzwischen daran gemessen, ob sie einen Server-Modus mitbringen, der ohne clientseitige Skripte auskommt.
Aus Sicht der digitalen Nachhaltigkeit ist das kein Gewinn, sondern ein Tausch. Der Browser wird leichter, das Rechenzentrum wird schwerer. Was vorher als Skript beim Besucher lief und dort sichtbar war, läuft danach als Prozess auf dem Server: nicht durch einen Adblocker zu verhindern, nicht in den Entwicklertools zu sehen, nicht durch ein Browsersignal zu stoppen. Der Datenverkehr sinkt, der Energieverbrauch wandert. Und die Auswertung selbst wird dabei nicht kleiner, sondern meist umfangreicher, weil serverseitig auch das erfasst wird, was der Browser nie hergegeben hätte.
Dieselbe Logik gilt für den zweiten Ausweg, den ich zunehmend sehe: den Loginbereich. Aus einer Einwilligung wird eine Geschäftsbeziehung, und aus einer statisch auslieferbaren, cachebaren Seite wird eine Session mit Datenbankzugriff bei jedem Aufruf. Bei Social Media, Suchmaschinen und KI-Werkzeugen ist dieser Weg längst Standard. Für eine normale Unternehmenswebsite wäre er teuer erkauft.
Die Option, über die niemand spricht
Es gibt einen fünften Weg, und er kommt in der gesamten Debatte praktisch nicht vor: nichts einbauen, was einwilligungspflichtig ist. Das ist eine bewusste Architekturentscheidung, die zeitlich weit vor dem Einbau eines CookiBanner liegt.
Ich weiß, dass das im B2B oft nicht durchsetzbar ist. Wo Vertrieb, Kampagnensteuerung und Attribution an den Daten hängen, hilft der Hinweis auf Datensparsamkeit wenig. Bemerkenswert ist trotzdem, was im Ratstext mit gestrichen werden soll: Artikel 88a hätte die eigene Reichweitenmessung ohne Weitergabe an Dritte von der Einwilligungspflicht befreit. Ausgerechnet die Ausnahme für den sparsamsten Weg steht damit ebenfalls zur Disposition.
Auf datensm.art läuft genau dieser Ansatz. Die Seite speichert ein paar Byte im Local Storage für eine Einstellung, die Du selbst gesetzt hast, und mein selbst gehostetes Matomo ist bewusst so konfiguriert, dass es die Browserdaten gar nicht erst erhebt, die es für eine Wiedererkennung bräuchte. Deshalb gibt es hier kein Banner. Und um es klar zu sagen: § 25 TDDDG schreibt kein Banner vor, sondern eine Einwilligung für Zugriffe auf das Endgerät, die nicht unbedingt erforderlich sind. Wer nur solche Technik einsetzt, braucht auch heute schon kein Consent-Werkzeug. Die DSGVO gilt trotzdem, und eine Rechtsgrundlage nach Artikel 6 braucht auch eine cookielose Messung.
Die Kampagne hat recht: Das Banner gehört weg. Nur wird es nicht dadurch verschwinden, dass wir die Einwilligung in den Browser verlegen, sondern erst dadurch, dass weniger einzuwilligen ist. Alles andere macht die Datenerhebung unsichtbar, nicht kleiner.
Das Banner ist keine Rechtspflicht. Es ist die Rechnung für etwas, das vorher bestellt wurde.
Quellen: Kill the Cookie Banner · netzpolitik.org zum Ratsdokument · noyb zur Streichung von Artikel 88b · Taylor Wessing zum Digital Omnibus und Cookies · Nouwens et al., Dark Patterns after the GDPR · Studienübersicht zu Cookie-Bannern und Consent-Raten