Verschärfte Durchsetzung der EU-DSGVO: Tracking auf eigenständigen Websites erfordert eine zweistufige Einwilligung

Am 2. August 2026 zeichneten sich im Hinblick auf die Durchsetzung der Anforderungen an die Einhaltung der Vorschriften zur Nachverfolgung von EU-Nutzerdaten weitere Verschärfungssignale ab. Laut der von der Europäischen Datenschutzbehörde (EDPB) veröffentlichten Durchsetzungsmitteilung müssen unabhängige Websites, die Dienstleistungen für Nutzer in der EU anbieten, einen zweistufigen Mechanismus zur aktiven Einwilligung mit „Cookie + Datenschutzeinstellungs-Panel“ einsetzen. Eine Einwilligung darf weder über vorab aktivierte Kontrollkästchen noch über eine standardmäßig aktivierte oder anderweitig verdeckte Voreinstellung eingeholt werden. Für international tätige Unternehmen, die bei der Kundengewinnung, der Anzeigenschaltung, der Suchmaschinenoptimierung und der Konvertierung über soziale Medien auf eine eigene Website angewiesen sind, betrifft dies nicht nur die Anpassung der Seitendarstellung, sondern auch die konkrete Gestaltung der Datenerhebung, der Marketingprozesse und der Kontrolle von Compliance-Risiken.

Welche klaren Signale sendet die Durchsetzungsmitteilung?

Nach den bestätigten Informationen veröffentlichte die Europäische Datenschutzbehörde (EDPB) am 2. August 2026 eine Durchsetzungsmitteilung, die alle unabhängigen Websites, die Dienstleistungen für Nutzer in der EU anbieten, einschließlich der von chinesischen Unternehmen mit internationaler Ausrichtung betriebenen Websites, verpflichtet, einen zweistufigen Mechanismus zur aktiven Einwilligung mit „Cookie + Datenschutzeinstellungs-Panel“ umzusetzen.

Die Mitteilung stellt außerdem klar, dass vorab aktivierte Kontrollkästchen sowie standardmäßig aktivierte oder anderweitig verdeckte Einwilligungspraktiken verboten sind. Das bedeutet, dass die Einwilligung zur Nachverfolgung des Nutzerverhaltens auf einer aktiven Entscheidung des Nutzers beruhen muss.

Bei den Sanktionen wurde die Obergrenze für Bußgelder auf 6 % des weltweiten Umsatzes oder 20 Millionen Euro angehoben, wobei der höhere Betrag maßgeblich ist. Die Zusammenfassung des Vorfalls weist zudem ausdrücklich darauf hin, dass diese Änderung die Prozesse für Anzeigenschaltung, SEO-Datenerhebung und die Konvertierung über Social-Media-Zuführung unmittelbar beeinflussen wird.

Von der Kundengewinnung bis zur Leistungserbringung: Betroffen ist nicht nur das Frontend der Website

Exportunternehmen, die auf den Geschäftsabschluss über eine eigene Website angewiesen sind

Aus Branchensicht werden Exportunternehmen, die direkt an Nutzer in der EU verkaufen oder bei ihnen Kunden gewinnen, den Druck durch die geänderten Vorschriften voraussichtlich zuerst spüren. Der Grund dafür ist, dass eine unabhängige Website sowohl als Eingang für den Traffic als auch als wichtiger Knotenpunkt für die Speicherung von Nutzerdaten dient. Wird der zweistufige Einwilligungsmechanismus nicht umgesetzt, können Unternehmen bei der Zuordnung von Werbemaßnahmen, beim Remarketing, bei der Zielgruppenanalyse und beim Conversion-Tracking sowohl mit Compliance- als auch mit geschäftlichen Einschränkungen konfrontiert werden.

Diese Unternehmen müssen derzeit nicht nur darauf achten, ob auf der Website ein Cookie-Hinweis erscheint. Ebenso wichtig ist, ob die Art der Einholung der Tracking-Einwilligung mit dem Datenschutzeinstellungs-Panel einen vollständigen geschlossenen Prozess bildet und ob die entsprechenden Compliance-Unterlagen, internen Nachweise und externen Formulierungen übereinstimmen.

Anzeigenschaltung und Betrieb von Vertriebskanälen

Für operative Teams, die für Anzeigenschaltung, SEO-Datenerhebung und die Zuführung von Traffic über soziale Medien verantwortlich sind, können sich die geänderten Vorschriften unmittelbar auf die Prozesse zur Traffic-Gewinnung und Erfolgsmessung auswirken. Die Zusammenfassung des Vorfalls weist bereits darauf hin, dass Anzeigenschaltung, SEO-Datenerhebung und die Konvertierung über Social-Media-Zuführung betroffen sein werden. Nach der vorliegenden Analyse bedeutet dies, dass Methoden zur Optimierung von Werbekampagnen, zur Bewertung von Inhalten und zur Messung von Conversions, die auf der Nachverfolgung des Nutzerverhaltens beruhen, hinsichtlich ihrer Einwilligungsvoraussetzungen neu bewertet werden müssen.

Die betreffenden Teams sollten insbesondere prüfen, ob die Tracking-Logik innerhalb der Website mit der Einwilligungsaktion übereinstimmt und ob beim Angebot von Dienstleistungen für Nutzer in der EU weiterhin Risiken durch standardmäßig aktivierte Funktionen, unklare Einwilligungen oder Einstellungen bestehen, bei denen ein einziger Klick mehrere Verwendungszwecke abdeckt.

Dienstleister für Website-Erstellung, technische Lösungen und Compliance-Unterstützung

Auch Dienstleistungsunternehmen, die internationale Unternehmen beim Aufbau unabhängiger Websites, bei der Bereitstellung von Plug-ins, bei der Datenanalyse oder bei Compliance-Fragen unterstützen, gehören zum betroffenen Kreis. Der Grund dafür ist, dass der zweistufige Mechanismus zur aktiven Einwilligung nicht nur Seitentexte betrifft, sondern auch die Frontend-Interaktion, die Bedingungen für die Auslösung von Tracking-Skripten, die Konfiguration des Datenschutzeinstellungs-Panels sowie die spätere Überprüfbarkeit.

Diese Dienstleister müssen während der Projektabwicklung und des Betriebs stärker auf die Geschäftsszenarien ihrer Kunden mit EU-Nutzern achten und prüfen, ob bestehende Vorlagen, Plug-ins und Leistungspakete weiterhin geeignet sind. Für Auftraggeber kann die entsprechende Compliance-Kompetenz bei der Auswahl technischer Anbieter oder ausgelagerter Dienstleistungen künftig ebenfalls zu einem Bewertungskriterium werden.

Führungskräfte mit Verantwortung für Beschaffung und Geschäftsauswertung

Für unternehmensinterne Positionen, die für Budget, Beschaffung und die Auswertung der Geschäftsentwicklung verantwortlich sind, beschränkt sich die Wirkung dieser Änderung nicht auf die Rechtsabteilung oder die IT. Sobald der Mechanismus zur Einholung der Tracking-Einwilligung angepasst wird, können sich die Vollständigkeit von Marketingdaten, die Vergleichbarkeit der Kampagnenergebnisse und die Methoden zur Analyse von Website-Conversions verändern. Dies kann wiederum Beschaffungsentscheidungen, die Verteilung auf Vertriebskanäle und die Erwartungen an die Leistungserbringung beeinflussen.

Daher sollten die betreffenden Funktionen insbesondere prüfen, ob die Änderungen der Compliance-Anforderungen bereits auf Website-Anpassungen, den Einkauf von Tools, Dienstleistungsverträge und Prozesse zur Datennutzung übertragen wurden. So lässt sich vermeiden, dass Geschäftsziele weiterhin nach der bisherigen Logik festgelegt werden, während sich die Bedingungen für ihre Umsetzung bereits geändert haben.

Wichtige praktische Punkte, die derzeit besonders beobachtet werden sollten

Zunächst prüfen, ob die Einwilligung tatsächlich aktiv eingeholt wird

Nach der vorliegenden Analyse liegt die unmittelbarste Änderung dieser Durchsetzungsmitteilung nicht darin, ob ein Unternehmen einen Cookie-Hinweis eingerichtet hat, sondern darin, ob es gleichzeitig einen zweistufigen Mechanismus zur aktiven Einwilligung mit Cookie-Hinweis und Datenschutzeinstellungs-Panel geschaffen hat. Unternehmen sollten vorrangig prüfen, ob auf bestehenden Seiten vorab aktivierte Kontrollkästchen, standardmäßig aktivierte Funktionen oder schwache Hinweise bei gleichzeitig weitreichender Einwilligung vorkommen. Außerdem sollten sie die tatsächliche Darstellung und Auslösungslogik entlang des Besuchspfads von EU-Nutzern bestätigen.

Anschließend die Voraussetzungen der Datenerhebung in der Marketingkette überprüfen

Für Unternehmen, die auf Anzeigenschaltung, SEO und die Traffic-Zuführung über soziale Medien angewiesen sind, ist insbesondere die Verbindung zwischen Datenerhebung und Einwilligungsmechanismus relevant. Die aktuelle Zusammenfassung enthält keine detaillierten Ausführungsangaben. Daher kann daraus nicht abgeleitet werden, dass alle konkreten technischen Verarbeitungsweisen bereits vereinheitlicht wurden. Unternehmen sollten jedoch so bald wie möglich ihre bestehenden Tracking-Punkte, die Bereitstellung von Skripten und die Erfassung von Conversions prüfen und feststellen, welche Prozesse auf der Einwilligung der Nutzer beruhen.

Externe Dokumente und interne Anforderungen an die Leistungserbringung gleichzeitig prüfen

Wenn Unternehmen die betreffenden Aufgaben über externe Teams, Website-Dienstleister oder Marketingdienstleister ausführen lassen, sollten auch Vertragsklauseln, Lieferumfang, Seitenbeschreibungen, datenschutzbezogene Dokumente und interne Prüfanforderungen gleichzeitig überprüft werden. Nach der vorliegenden Beobachtung entstehen künftige Risiken häufig nicht nur durch die Seite selbst, sondern auch durch Widersprüche zwischen „Frontend-Darstellung, technischer Umsetzung, externer Kommunikation und interner Dokumentation“.

Die weitere Auslegung der Durchsetzung kontinuierlich beobachten

Da die vorliegenden Informationen lediglich die Durchsetzungsmitteilung, die zentralen Anforderungen an den Mechanismus und die Anpassung der Bußgeldregelung bestätigen, aber keine detaillierteren ergänzenden Erläuterungen enthalten, sollten Unternehmen diese Änderung derzeit eher als ein bereits deutlich ausgesendetes Signal für eine verschärfte Durchsetzung verstehen. Gleichzeitig sollten sie weitere offizielle Aussagen, konkrete Durchsetzungsmaßstäbe und die Rückmeldungen der Branche zur Umsetzung weiter beobachten.

Dies wirkt eher wie ein Signal für eine Verschärfung auf der Umsetzungsebene

Aus redaktioneller Sicht liegt der Kern dieser Nachricht nicht nur darin, dass die Anforderungen „strenger“ werden. Vielmehr wird die Compliance bei der Nachverfolgung auf unabhängigen Websites von einem allgemeinen Hinweis zu konkreten, umsetzbaren und überprüfbaren Anforderungen weiterentwickelt. Der zweistufige Mechanismus zur aktiven Einwilligung, das Verbot vorab aktivierter Kontrollkästchen oder verdeckter Standardeinwilligungen sowie die höhere Obergrenze für Bußgelder bilden eine relativ klare Ausrichtung der Durchsetzung.

Gleichzeitig ist weiterhin Vorsicht geboten. Die derzeit bekannten Informationen zeigen, dass die Vorschriften verschärft werden, reichen jedoch nicht aus, um die Folgen für alle Branchen abschließend zu beurteilen. Angemessener ist die Einschätzung, dass es sich um ein Signal für eine bereits praktisch verbindliche Durchsetzung handelt. Unternehmen sollten daher so bald wie möglich mit der Prüfung und Anpassung beginnen. Die konkreten Grenzen der Umsetzung in unterschiedlichen Geschäftsszenarien müssen jedoch anhand der weiteren Auslegung fortlaufend beobachtet werden.

Für internationale Geschäfte verlagert sich der Schwerpunkt auf die Frage: „Wie wird dies umgesetzt?“

Zusammenfassend liegt die Bedeutung dieser Nachricht für die Branche darin, dass sich die Anforderungen an die Compliance bei der Datennachverfolgung auf unabhängigen Websites, die Dienstleistungen für Nutzer in der EU anbieten, von grundsätzlichen Vorgaben zu klareren Umsetzungsanforderungen entwickeln. Betroffen sind nicht nur Rechts- oder Website-Technikteams, sondern auch mehrere Geschäftsbereiche wie Anzeigenschaltung, Vertriebskanalbetrieb, Beschaffung von Dienstleistungen und Unternehmensführung.

Die derzeit sachlichste Einschätzung lautet, dass diese Änderung als bereits wirksames Signal für eine Verschärfung der Compliance betrachtet werden sollte. Unternehmen sollten ihre bestehenden Einwilligungsmechanismen auf unabhängigen Websites und ihre Marketingprozesse entsprechend überprüfen. Die weiteren Umsetzungsdetails, branchenspezifischen Anpassungen und Marktreaktionen müssen jedoch weiter verfolgt werden; voreilige oder übermäßig weitreichende Schlussfolgerungen sind nicht angebracht.

Grundlage dieses Artikels und Bereiche für die weitere Überprüfung

Der Inhalt dieses Artikels wurde auf Grundlage des vom Nutzer bereitgestellten Informationstitels, des Zeitpunkts des Ereignisses und der Zusammenfassung des Ereignisses erstellt. Die bestätigten Tatsachen beschränken sich auf die entsprechenden Eingabeinformationen. Bei Ereignissen dieser Art können zur fortlaufenden Überprüfung üblicherweise offizielle Bekanntmachungen, Veröffentlichungen von Aufsichtsbehörden, Informationen von Branchenverbänden, Dokumente von Normungsorganisationen und Berichte maßgeblicher Medien herangezogen werden.

Es ist darauf hinzuweisen, dass die Eingabe keinen konkreten Link zu einer offiziellen Quelle enthält. Daher müssen die ursprünglichen Formulierungen und spätere Aktualisierungen weiterhin überprüft werden. Weiter zu beobachten sind unter anderem die weitere Präzisierung der Umsetzungsdetails, die konkrete Anwendung der Durchsetzungsmaßstäbe, der Umsetzungsstand von Anpassungen unabhängiger Websites in Unternehmen sowie die Reaktionen des Marktes auf Änderungen bei Anzeigenschaltung, SEO-Datenerhebung und der Konvertierung über Social-Media-Zuführung.