Die EU verschärft die Anforderungen an das Cookie-Einwilligungsmanagement

Am 25. Juli 2026 veröffentlichte der Europäische Datenschutzausschuss (EDPB) den „Leitfaden 2.1 zur Durchsetzung der Cookie-Compliance“. Damit wurden die Compliance-Anforderungen für eigenständige Websites, die sich an Nutzer in der Europäischen Union richten, verschärft. Die neuen Anforderungen beziehen sich unmittelbar auf den Cookie-Consent-Mechanismus und die Art der Einwilligungsaufbewahrung auf eigenständigen Websites. Sie betreffen sowohl B2B- als auch B2C-Websites und wirken sich bereits auf die technische Due-Diligence-Prüfung chinesischer Lieferantenwebsites durch Einkäufer in Deutschland und den Niederlanden aus. Für Außenhandelsunternehmen, Betreiber eigenständiger Markenwebsites, technische Dienstleister und Einkaufsabteilungen handelt es sich nicht mehr nur um eine Frage der Konfiguration von Frontend-Pop-ups, sondern um einen geschäftlichen Aspekt, der in die Kundenprüfung und die Bewertung von Compliance-Risiken einfließt.

Was wird in den aktuellen Durchsetzungsanforderungen klargestellt?

Nach den vorliegenden Informationen veröffentlichte der EDPB am 25. Juli 2026 den „Leitfaden 2.1 zur Durchsetzung der Cookie-Compliance“ und verlangt, dass alle eigenständigen Websites, die sich an Nutzer in der Europäischen Union richten, ab diesem Datum ein abgestuftes Cookie-Einwilligungsmanagement aktivieren, bei dem die Zustimmung für jede Funktionskategorie einzeln eingeholt wird.

Gleichzeitig müssen die betreffenden Websites die geografische IP-Adresse des Nutzers beim Zugriff erfassen und aufbewahren, um die Gültigkeit der Einwilligung zu belegen.

Aus den vorliegenden Informationen geht außerdem hervor, dass Websites, die diese Anforderungen nicht erfüllen, dem in Artikel 83 der DSGVO vorgesehenen Sanktionsrisiko einer „Geldbuße von bis zu 4 % des weltweiten Jahresumsatzes“ ausgesetzt sind. Diese Änderung wirkt sich derzeit bereits auf die technische Due-Diligence-Prüfung chinesischer Lieferantenwebsites durch Einkäufer in Deutschland und den Niederlanden aus.

Die Auswirkungen reichen von den Website-Einstellungen bis zur Prüfung vor dem Geschäftsabschluss

Betreiber eigenständiger Websites müssen die Autorisierungslogik im Frontend erneut prüfen

Aus Branchensicht sind eigenständige B2B- und B2C-Websites, die sich direkt an Nutzer in der Europäischen Union richten, zuerst betroffen, da die Anforderungen unmittelbar den Cookie-Consent-Mechanismus betreffen. Die Auswirkungen zeigen sich vor allem bei der Autorisierungsmethode im Website-Frontend, der Aufbewahrung von Einwilligungsprotokollen und den internen Compliance-Prüfungen. Unternehmen müssen prüfen, ob das bestehende Cookie-Pop-up weiterhin nur eine einmalige pauschale Zustimmung vorsieht, anstatt eine Einzelautorisierung nach Funktionskategorien zu ermöglichen.

Außenhandelslieferanten sehen sich einer strengeren technischen Due-Diligence-Prüfung durch Einkäufer gegenüber

Für chinesische Lieferanten, die ihre offizielle Website zur Gewinnung von Anfragen, zur Darstellung ihrer Qualifikationen oder zum Aufbau von Einkaufsvertrauen nutzen, liegen die Auswirkungen nicht nur auf regulatorischer Ebene, sondern auch bei der Kundenprüfung. Bekanntermaßen haben Einkäufer in Deutschland und den Niederlanden diese Änderung in die technische Due-Diligence-Prüfung von Lieferantenwebsites aufgenommen. Das bedeutet, dass der Compliance-Status einer Website die frühe Kontaktaufnahme, die Bewertung von Qualifikationen und die Effizienz der anschließenden Kommunikation beeinflussen kann. Besonders zu beachten ist derzeit, dass Einkäufer das Cookie-Management einer Website möglicherweise als Teil der Daten-Governance-Fähigkeiten eines Lieferanten betrachten.

Die Bedeutung technischer und Compliance-Dienstleister nimmt zu

Für Anbieter von Website-Erstellungsdiensten, Marketing-Technologie-Dienstleister und Teams, die für die Wartung von Websites verantwortlich sind, wird diese Anforderung unmittelbar auf die Bereitstellung von Funktionen und die Protokollverwaltung übertragen. Der Grund liegt darin, dass Kunden nicht mehr nur ein Einwilligungs-Pop-up benötigen, sondern einen Informationsmechanismus, der eine kategorienbasierte Autorisierung unterstützt und entsprechende Nachweise aufbewahrt. Zu beachten ist, ob die Projektbereitstellung die Compliance-Konfiguration, die Aufbewahrung von Aufzeichnungen und die spätere Unterstützung bei Prüfungen abdecken kann.

Welche praktischen Fragen müssen derzeit besonders beachtet werden?

Zunächst muss zwischen „ein Pop-up vorhanden“ und „Compliance nachweisbar“ unterschieden werden

Der Analyse zufolge liegt der Schwerpunkt dieser Änderung nicht lediglich darin, ob auf der Seite ein Cookie-Hinweis erscheint, sondern darin, ob der Einwilligungsmechanismus über abgestufte Verwaltungsmöglichkeiten verfügt und ob das Unternehmen Nachweise zur Gültigkeit der Einwilligung aufbewahren kann. Unternehmen sollten derzeit vorrangig die Autorisierungslogik und die Aufbewahrungsmechanismen ihrer bestehenden eigenständigen Websites prüfen, anstatt sich nur auf Anpassungen der Benutzeroberfläche zu beschränken.

Websites für Nutzer in der Europäischen Union sollten vorrangig überprüft werden

Da die Anforderungen ausdrücklich für eigenständige Websites gelten, die sich an Nutzer in der Europäischen Union richten, müssen die betreffenden Unternehmen zunächst ermitteln, welche Websites, Sprachversionen und Geschäftsseiten von Nutzern aus der Europäischen Union aufgerufen oder für die Kommunikation im Einkauf genutzt werden. In der Praxis verdienen insbesondere Seiten für die Bearbeitung von Anfragen, die Produktpräsentation, die Kundenverifizierung und die geschäftliche Kommunikation besondere Aufmerksamkeit, da sie eher in den Prüfungsbereich der Einkäufer gelangen.

Unterlagen für die Kundenkommunikation müssen möglicherweise frühzeitig vorbereitet werden

Vor dem Hintergrund, dass Einkäufer in Deutschland und den Niederlanden ihre technischen Due-Diligence-Prozesse bereits angepasst haben, sollten Unternehmen neben der Optimierung ihrer Website auch überlegen, wie sie auf Kundenanfragen reagieren. Entscheidend sind keine allgemeinen Erklärungen, sondern die Fähigkeit, Kunden klar zu erläutern, wie die Cookie-Einwilligung auf der Website erfolgt, wie die Aufzeichnungen aufbewahrt werden und ob der betreffende Mechanismus bereits entsprechend den neuesten Anforderungen angepasst wurde.

Die offiziellen Vorgaben und Einzelheiten der Umsetzung müssen weiterhin überprüft werden

Obwohl bekannt ist, dass die Anforderungen seit dem 25. Juli 2026 umgesetzt werden, müssen Unternehmen bei der praktischen Umsetzung weiterhin beobachten, ob nachfolgende offizielle Stellungnahmen, Durchsetzungsmaßstäbe und Kundenanforderungen an die Prüfung weiter konkretisiert werden. Zwischen politischen Signalen und der tatsächlichen Umsetzung im Geschäftsalltag bestehen häufig Unterschiede hinsichtlich des Umsetzungsumfangs, der Prüfungsschwerpunkte und der Nachweisführung. Dieser Bereich muss daher weiterhin beobachtet werden.

Dies ist eher ein Signal für eine Vorverlagerung der Durchsetzungspraxis

Aus analytischer Sicht lässt sich diese Information besser als Hinweis darauf verstehen, dass die Anforderungen der Europäischen Union an die Durchsetzung der Cookie-Compliance weiter vorverlagert und konkretisiert werden – insbesondere von der Frage „Wurde informiert?“ hin zu den Fragen „Kann eine Zustimmung nach Kategorien erteilt werden?“ und „Kann die Gültigkeit der Zustimmung nachgewiesen werden?“. Es handelt sich nicht nur um einen Hinweis auf eine Aktualisierung von Seitenfunktionen, sondern darum, dass die Datenschutz-Compliance von Websites deutlicher in Einkaufsprüfungen und Lieferantenbewertungen einbezogen wird.

Ob diese Änderung in weiteren Märkten der Europäischen Union und bei weiteren Einkaufsszenarien zu einer einheitlichen Praxis führen wird, kann derzeit noch nicht als feststehendes Ergebnis formuliert werden. Für die Branche lautet die realistischere Einschätzung: Sie stellt bereits eine klare kurzfristige Compliance-Maßnahme dar und sendet zugleich ein mittel- bis langfristiges Signal, das weiter verfolgt werden muss.

Für die Branche kommt es auf das parallele Vorgehen von „sofortiger Anpassung“ und „laufender Beobachtung“ an

Zusammenfassend liegt die Bedeutung dieser Information für die Branche darin, dass sich das Cookie-Management eigenständiger Websites von einer gewöhnlichen Frage der Website-Konfiguration zu einer Compliance-Angelegenheit entwickelt, die unmittelbar mit dem Sanktionsrisiko nach der DSGVO, der technischen Due-Diligence-Prüfung durch Kunden und dem Vertrauen in grenzüberschreitende Geschäfte verbunden ist. Für Unternehmen, die auf den Markt der Europäischen Union ausgerichtet sind, ist es derzeit angemessener, dies als bereits geltende Durchsetzungsanforderung und nicht als eine aufschiebbare politische Tendenz zu verstehen.

Aus einer längerfristigen Perspektive besteht jedoch weiterhin Beobachtungsbedarf hinsichtlich der Aufzeichnungsweise, des Prüfungsmaßstabs und der tatsächlichen Akzeptanzkriterien auf Seiten der Einkäufer. Ein sachgerechtes Vorgehen besteht darin, die Prüfung und Anpassung innerhalb des bekannten Anforderungsumfangs so bald wie möglich abzuschließen und gleichzeitig die weiteren offiziellen Vorgaben sowie das Feedback der Kunden zu verfolgen.

Grundlage dieses Artikels und weitere Prüfungsrichtungen

Dieser Artikel wurde auf Grundlage des vom Nutzer bereitgestellten Informationstitels, des Zeitpunkts des Ereignisses und der Ereigniszusammenfassung erstellt. Alle bestätigten Tatsachen stammen aus den bereitgestellten Informationen. Informationen dieser Art müssen in der Regel zusätzlich anhand offizieller Bekanntmachungen, Dokumente von Aufsichtsbehörden, Compliance-Erklärungen von Unternehmen, Informationen von Branchenverbänden, Berichten autoritativer Medien und Dokumenten von Normungsorganisationen weitergehend abgeglichen und überprüft werden.

Es ist darauf hinzuweisen, dass die Eingabe keinen konkreten Link zu einer offiziellen Quelle enthält. Daher müssen die Links zu den Originaldokumenten und deren vollständiger Wortlaut weiterhin überprüft werden. Beobachtenswert sind insbesondere weitere vom EDPB veröffentlichte Durchsetzungshinweise, eine mögliche weitere Konkretisierung der Due-Diligence-Anforderungen durch Einkäufer sowie die tatsächlichen Standards für die Compliance-Umsetzung von Unternehmen in Szenarien mit Nutzern aus der Europäischen Union.