Browser statt Banner: Wer kontrolliert künftig den Consent?

Cookie-Banner gehören zu den sichtbarsten Folgen des europäischen Datenschutzrechts. Der Digital Omnibus der EU-Kommission soll die Regeln vereinfachen und wiederholte Abfragen reduzieren. Zwei ursprünglich geplante Artikel könnten jedoch weit mehr verändern als die Gestaltung eines Banners. Sie berühren die Frage, wer Datenschutzentscheidungen im offenen Web künftig steuert. Ausgangspunkt der Debatte war unter anderem ein offener Brief von 46 Unternehmen, die vor neuen Risiken warnten und mehr Zeit für die Prüfung verlangten.

Inzwischen hat sich die politische Lage verändert. Im jüngsten Kompromissentwurf der irischen EU-Ratspräsidentschaft vom 2. Oktober 2026 fehlt die ursprünglich vorgesehene Verpflichtung zur Berücksichtigung maschinenlesbarer Browser-Signale. Auch die geplante Überführung der Cookie-Regeln in die Datenschutz-Grundverordnung wurde aufgegeben. Eine Einigung ist jedoch nicht erreicht: Am 11. Oktober wurde der Digital Omnibus im Ausschuss der Ständigen Vertreter der Mitgliedstaaten weder beraten noch zur Abstimmung gestellt.

Vom Banner zum zentralen Signal

Artikel 88a und 88b sollten nach dem ursprünglichen Vorschlag der EU-Kommission ineinandergreifen. Artikel 88a sollte einen Teil der bisherigen ePrivacy-Regeln in die Datenschutz-Grundverordnung überführen. Grundsätzlich sollte eine Einwilligung nötig bleiben, wenn Informationen auf einem Endgerät gespeichert oder von dort abgerufen werden.

Ausnahmen waren unter anderem vorgesehen, wenn dies für einen ausdrücklich gewünschten Dienst, die eigene aggregierte Reichweitenmessung oder die Sicherheit eines Dienstes notwendig ist. Eine Ablehnung sollte ebenso einfach möglich sein wie eine Zustimmung. Nach einer Ablehnung sollte für denselben Zweck grundsätzlich sechs Monate lang keine neue Anfrage erscheinen. Der jüngste Ratsentwurf sieht stattdessen eine Frist von mindestens vier Monaten vor.

Artikel 88b sollte regeln, wie Nutzerinnen und Nutzer ihre Entscheidung technisch übermitteln können. Zustimmung, Ablehnung oder Widerspruch sollten als automatisierte, maschinenlesbare Signale übermittelt werden können, etwa über eine Einstellung im Browser. Websites und die dort eingebundenen Anbieter hätten diese Signale grundsätzlich erkennen und berücksichtigen müssen. So sollten Menschen ihre Auswahl nicht auf jeder Website erneut treffen müssen.

Für Medienanbieter sah der Kommissionsvorschlag allerdings eine Ausnahme vor. Sie hätten auch dann erneut nach einer Einwilligung fragen können, wenn bereits eine maschinenlesbare Entscheidung übermittelt wurde.

Branche warnt vor neuen Gatekeepern

Gegen die ursprünglichen Regelungen formierte sich Kritik aus der Digitalwirtschaft. Anfang Juni veröffentlichten 46 Unternehmen einen offenen Brief zum Digital Omnibus. Zu den Unterzeichnenden gehören Publisher, Vermarkter, Werbetechnikanbieter und Consent-Dienstleister, darunter BurdaMedia Extra, GMX, WEB.DE, Criteo, Adform und Usercentrics.

Die Unternehmen unterstützten nach eigener Aussage das Ziel, das europäische Digitalrecht zu vereinfachen. Sie warnten jedoch, dass insbesondere Artikel 88b neue technische Abhängigkeiten schaffen könnte. Die Verwaltung von Datenschutzentscheidungen würde stärker zu Browsern und Betriebssystemen verlagert. Große integrierte Plattformen könnten dadurch zusätzliche Marktmacht erhalten.

Diese Kritik wurde bereits vor dem offenen Brief formuliert. Im März warnte der Bundesverband Digitale Wirtschaft vor zusätzlichen Abhängigkeiten von Browser- und Betriebssystemanbietern. „Was als Vereinfachung gedacht war, erzeugt neue technische Komplexität und schwächt insbesondere die mittelständisch geprägte europäische Digitale Wirtschaft“, erklärte BVDW-Präsident Dirk Freytag damals.

Datenschutzseite fordert verbindliche Lösung

Datenschützer halten dem entgegen, dass separate Einwilligungsanfragen auf jeder Website die Entscheidungsmüdigkeit verstärken. Ein freiwilliges System werde sich kaum durchsetzen, schrieb Frederick Richter, Vorstand der Stiftung Datenschutz, bereits im Mai.

„Die vorgesehene verpflichtende Lösung ist konsequent. Nicht konsequent ist hingegen die vorgesehene Ausnahme für Medienanbieter“, so Richter mit Blick auf den ursprünglich geplanten Artikel 88b. Dass viele Menschen zentral „alles ablehnen“ könnten, sei kein Grund, am heutigen Zustand festzuhalten.

Wer gestaltet die Consent-Infrastruktur?

Damit bleibt die Machtfrage offen: Browser können lediglich ein standardisiertes Signal übertragen. Sie können aber auch die Oberfläche, die Auswahlmöglichkeiten und die Voreinstellungen prägen. Dann würden wenige Anbieter erheblichen Einfluss darauf gewinnen, wie viele Menschen personalisierter Werbung zustimmen.

Ungeklärt ist zudem, wie solche Signale mit Consent-Management-Plattformen und dem Transparency and Consent Framework zusammenspielen würden. Entscheidend wäre, wie eine im Browser hinterlegte Auswahl technisch an Websites und die beteiligten Anbieter übermittelt wird.

Für Publisher, Vermarkter und AdTech-Anbieter geht es damit weiterhin um weit mehr als die Gestaltung von Cookie-Bannern. Der jüngste Ratsentwurf enthält zwar keine verpflichtende Browser-Lösung mehr, sieht aber neue Ausnahmen für bestimmte Formen der Reichweiten- und Werbemessung vor. Ob diese Regelungen Bestand haben, ist offen. Die grundlegende Frage bleibt, wer künftig den Zugang zu Einwilligungen kontrolliert und unter welchen Bedingungen Daten für digitale Werbung genutzt werden dürfen.