Verstöße gegen die Cookie-Einwilligungspflicht sind kein theoretisches Risiko — Datenschutzbehörden in mehreren EU-Ländern haben in den vergangenen Jahren wiederholt und in beträchtlicher Höhe Bußgelder verhängt. Der rechtliche Rahmen dafür ergibt sich aus Artikel 83 Absatz 5 DSGVO: Bei schweren Verstößen sind Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist — auch wenn der eigentliche Auslöser, wie in den vorigen Beiträgen beschrieben, formal aus der ePrivacy-Richtlinie bzw. ihrer nationalen Umsetzung stammt.
Eines der bekanntesten Beispiele stammt von der französischen Datenschutzbehörde CNIL: Im Dezember 2020 verhängte sie gegen Google Bußgelder von insgesamt 100 Millionen Euro und gegen Amazon 35 Millionen Euro, weil beide Unternehmen Werbe-Cookies gesetzt hatten, bevor Nutzer ihre Einwilligung erteilt hatten. Im Januar 2022 folgte ein weiteres Bußgeld gegen Google in Höhe von 150 Millionen Euro sowie eines gegen Facebook (heute Meta) über 60 Millionen Euro — dieses Mal, weil das Ablehnen von Cookies auf den jeweiligen Websites deutlich umständlicher gestaltet war als das Zustimmen: Wer zustimmen wollte, brauchte einen Klick, wer ablehnen wollte, musste sich durch mehrere Menüs klicken. Die CNIL wertete das als Verstoß gegen das Erfordernis einer freien, ebenso leicht zu verweigernden wie zu erteilenden Einwilligung.
Auch andere Datenschutzbehörden wurden aktiv, wenn auch meist mit geringeren Summen gegenüber kleineren und mittleren Unternehmen: fehlende Kategorisierung von Cookies, Skripte von Drittanbietern, die bereits vor jeder Interaktion mit dem Banner luden, oder ein "Ablehnen"-Knopf, der schlicht nicht existierte und Besucher zur Zustimmung zwang, weil es keine echte Alternative gab. Gerade dieser letzte Punkt — ein Banner ohne gleichwertige Ablehnen-Option — zählt zu den häufigsten Beanstandungen bei Prüfungen, weil er unmittelbar der im Planet49-Urteil bestätigten Anforderung an eine freie Entscheidung widerspricht.
Was Datenschutzbehörden bei einer Prüfung konkret nachvollziehen wollen, lässt sich aus diesen Fällen und den veröffentlichten Leitlinien der Aufsichtsbehörden ableiten: Wurden nicht notwendige Cookies erst NACH einer aktiven Zustimmung gesetzt, nicht vorher? Gab es eine echte, gleichwertig gestaltete Möglichkeit abzulehnen? Waren die Kategorien und Zwecke konkret genug beschrieben? Und — oft der entscheidende Punkt in einem konkreten Streitfall — kann der Websitebetreiber im Nachhinein überhaupt noch belegen, dass eine bestimmte Einwilligung zu einem bestimmten Zeitpunkt tatsächlich erteilt wurde?
Genau dieser letzte Punkt wird in der Praxis häufig unterschätzt. Ein technisch einwandfreies Banner nützt wenig, wenn im Streitfall — etwa nach einer Beschwerde oder einer stichprobenartigen Prüfung — kein Nachweis mehr existiert, dass und wie genau eingewilligt wurde. Die Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO liegt beim Websitebetreiber, nicht beim Besucher: Er muss im Zweifel beweisen, nicht der Nutzer widerlegen.
Für die meisten kleineren und mittleren Websites sind Bußgelder in der Größenordnung der genannten Fälle unwahrscheinlich — die Aufsichtsbehörden konzentrieren sich in der Praxis auf große Reichweite, wiederholte Verstöße oder gezielte Beschwerden. Das ändert aber nichts am zugrunde liegenden Prinzip: Eine informierte, aktive, protokollierte Einwilligung ist keine Formalie, sondern die einzige Grundlage, auf der ein Cookie-Banner überhaupt seinen Zweck erfüllt.