noyb's 422 Cookie-Beschwerden: Was CMP-Anbieter jetzt ändern müssen

Automatisierte Beschwerdeeinreichung als Hebel für die Regulierungswirkung

Im Mai 2023 setzte noyb eine maßgeschneiderte Scan-Infrastruktur ein, um Verstöße gegen die Cookie-Einwilligung auf Hunderten von europäischen Websites zu identifizieren, und reichte 422 koordinierte Beschwerden bei Datenschutzbehörden in der gesamten EU ein. Dies ist keine herkömmliche Kampagne der Zivilgesellschaft – es ist ein bewusster Versuch, die Beschwerdemechanismen nach Art. 77 DSGVO zu industrialisieren und die Datenschutzbehörden zu zwingen, gegen Einwilligungsverstöße in einem Umfang vorzugehen, der durch manuelle Durchsetzung niemals erreicht werden könnte. Die strategische Konsequenz für Anbieter von Consent-Management-Plattformen (CMP) – Cookiebot (Usercentrics), OneTrust und Usercentrics Standalone – besteht darin, dass ihre Standardkonfigurationen und UI-Muster nun effektiv gleichzeitig in 27 Rechtsordnungen einer behördlichen Überprüfung unterliegen.

Die Beschwerden stützen sich auf Art. 5 Abs. 1 Buchstabe a, Art. 6 Abs. 1 und Art. 7 DSGVO in Verbindung mit den nationalen Umsetzungen von Art. 5 Abs. 3 der ePrivacy-Richtlinie. Der Kernvorwurf: Cookie-Banner sind so gestaltet, dass eine Ablehnung schwieriger ist als eine Zustimmung, was gegen das Erfordernis verstößt, dass die Einwilligung freiwillig, spezifisch, in Kenntnis der Sachlage und unmissverständlich erteilt werden muss (Art. 4 Abs. 11 DSGVO). Der Scanner von noyb hat insbesondere Muster identifiziert, bei denen die Accept All die Schaltfläche in einer visuell dominanten Position oder Farbe erscheint, während Reject All man eine zweite Ebene aufrufen muss – ein strukturelles Dark Pattern, das in den EDPB-Leitlinien 03/2022 zu Dark Patterns (verabschiedet im März 2023) dokumentiert ist.

Was der Scanner von noyb tatsächlich erkennt

Das Verständnis der technischen Erkennungsmethodik ist für Compliance-Teams von Bedeutung. Die Tools von noyb führen Headless-Browser-Crawls durch und untersuchen das gerenderte DOM auf von CMPs eingefügte UI-Komponenten für die Einwilligung. Zu den spezifischen Erkennungskriterien gehören:

• Asymmetrische Schaltflächenhierarchie: Primärer CTA (Accept All), das mit höherem visuellen Gewicht (Hintergrundfarbe, Schriftstärke, Z-Index) gerendert wird, im Vergleich zu einem Klartext- oder Ghost-Button Reject .
• Vorgehakte Kontrollkästchen: Einwilligungszwecke, die checked=true im HTML vor der Benutzerinteraktion – was einen direkten Verstoß gegen Art. 7 Abs. 2 DSGVO und Erwägungsgrund 32 darstellt.
• Setzen von Cookies vor der Interaktion: HTTP-Antwort-Header oder nachfolgende JavaScript-Aufrufe, die nicht unbedingt erforderliche Cookies setzen (erkennbar über Set-Cookie Antwort-Header und document.cookie Schreibvorgänge) gesetzt werden, bevor das Einwilligungsbanner eine Benutzeraktion erhält.
• Vorauswahl aufgrund berechtigter Interessen: IAB-TCF-Anbieterzwecke 2–10, die standardmäßig unter einer legitimate interest Rechtsgrundlage, der sich Nutzer aktiv widersetzen müssen – eine Konfiguration, die in der TCF-Stellungnahme des EDPB (Stellungnahme 7/2023) ausdrücklich in Frage gestellt wurde.

CMP-Anbieter liefern diese Konfigurationen als Standardeinstellungen aus. Die 422 Beschwerden machen die Website-Betreiber implizit gemäß Art. 83 Abs. 4–5 DSGVO haftbar, doch die zugrunde liegenden Designentscheidungen gehen auf die CMP zurück. Dies schafft eine Haftungskette, die die Datenschutzbehörden der Betreiber nun rückwärts nachverfolgen.

Länderspezifische Durchsetzungsmuster

Da noyb in mehreren Rechtsordnungen gleichzeitig Beschwerde eingereicht hat, nutzt die Kampagne eine strukturelle Schwäche des One-Stop-Shop-Mechanismus der DSGVO (Art. 60 DSGVO) aus: Bei Cookie-Verstößen liegt die Zuständigkeit in der Regel bei der Datenschutzbehörde des Mitgliedstaats des Nutzers, nicht bei der federführenden Aufsichtsbehörde des Verantwortlichen. Das bedeutet, dass ein deutscher Websitebetreiber gleichzeitig mit Beschwerden konfrontiert werden kann, die von der österreichischen DSB, der französischen CNIL und der spanischen AEPD bearbeitet werden. Die CNIL war in der Vergangenheit am aggressivsten: Ihre Durchsetzungswelle im Jahr 2022 führte zu Bußgeldern in Höhe von über 210 Millionen Euro wegen Cookie-Verstößen gegen Google, Facebook und Microsoft. Die Entscheidung der belgischen Datenschutzbehörde aus dem Jahr 2022 gegen IAB Europe (Fall IE/2020/0024) stellte fest, dass das TCF-Framework selbst eine gemeinsame Verantwortlichkeit darstellt – ein Präzedenzfall mit direkter Relevanz für CMPs, die als Auftragsverarbeiter oder gemeinsam Verantwortliche gemäß Art. 26 DSGVO agieren.

Haftung von CMP-Anbietern: Auftragsverarbeiter oder gemeinsam Verantwortlicher?

Die Frage „Auftragsverarbeiter oder gemeinsam Verantwortlicher“ ist für CMP-Anbieter wirtschaftlich existenziell. Gemäß Art. 28 DSGVO handelt ein Auftragsverarbeiter nur auf der Grundlage dokumentierter Anweisungen des Verantwortlichen. Wenn ein CMP-Anbieter jedoch eine Standardkonfiguration liefert, die Einwilligungszwecke vorab auswählt oder Listen von Drittanbietern (IAB TCF Global Vendor List) unabhängig von den Anweisungen des Verantwortlichen lädt, übt er eine eigenständige Entscheidungsgewalt über die Verarbeitung personenbezogener Daten aus – der definitorische Auslöser für die gemeinsame Verantwortlichkeit gemäß Fashion ID (EuGH C-40/17) und Wirtschaftsakademie (EuGH C-210/16).

In der Praxis bedeutet dies: Wenn die Standardvorlage von Cookiebot Google Analytics als vorab genehmigten Anbieter initialisiert, bevor der Betreiber diese Konfiguration geprüft oder genehmigt hat, hat der Anbieter eine eigenständige Entscheidung über Mittel und Zwecke getroffen. Die IAB-Europe-Entscheidung der belgischen Datenschutzbehörde (teilweise bestätigt durch das Brüsseler Berufungsgericht im Jahr 2023) bildet die Vorlage für diese Analyse. CMP-Anbieter, die behaupten, sie seien lediglich Auftragsverarbeiter, haben nach dieser Rechtsprechung nur schwache Argumente.

Sofortmaßnahmen für CMP-Anbieter und ihre Kunden

Für CMP-Anbieter (Cookiebot, OneTrust, Usercentrics)

1. Überprüfung der Standardvorlagen anhand der EDPB-Leitlinien 03/2022: Jede an Neukunden ausgelieferte Standardkonfiguration muss Banner generieren, bei denen Accept All und Reject All visuell gleichwertig sind – gleicher Button-Stil, gleiche Interaktionstiefe, gleiche Ebenenhierarchie.
2. Beseitigen Sie vorab angekreuzte Zustände auf SDK-Ebene: Das consent Objekt muss alle nicht wesentlichen Zwecke als false. Setzen Sie dies im SDK durch, nicht als Empfehlung in der Dokumentation, die Betreiber außer Kraft setzen können.
3. Blockieren Sie das Setzen von Cookies bis zur ausdrücklichen Zustimmung: Die CMP muss document.cookie Schreibvorgänge und navigator.sendBeacon Aufrufe aus Tag-Manager-Payloads (GTM, Tealium) abfangen, bis der Zustimmungsstatus geklärt ist. Dies erfordert, dass die Tag-Blocking-Funktionalität standardmäßig aktiviert ist und nicht erst nach Opt-in.
4. DPA-Vereinbarungen neu bewerten: Wenn Sie den Status als Auftragsverarbeiter geltend machen, muss Ihre Datenverarbeitungsvereinbarung gemäß Art. 28 Abs. 3 DSGVO dem CMP ausdrücklich untersagen, eigenständige Entscheidungen über die Aktivierung von Anbietern zu treffen. Jede Abweichung davon macht den Status als gemeinsam Verantwortlicher zur korrekten rechtlichen Einstufung.

Für Website-Betreiber, die CMPs nutzen

1. Akzeptieren Sie die Standardeinstellungen von CMPs nicht als rechtskonform: Ihre Verpflichtungen als Verantwortlicher gemäß Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) verlangen, dass Sie die CMP-Konfiguration überprüfen und die Einhaltung der Vorschriften nicht an den Anbieter delegieren. Dokumentieren Sie Ihre Konfigurationsprüfung in Ihrem ROPA (Art. 30 DSGVO).
2. Testen Sie Ihr Banner technisch: Verwenden Sie den Netzwerk-Tab der Browser-Entwicklertools, um sicherzustellen, dass keine Set-Cookie Header mit nicht wesentlichen Identifikatoren (z. B. _ga, _fbp, IDE) vor einer Einwilligungsinteraktion ankommen. Der Scanner von noyb tut genau dies.
3. Wenden Sie die eigenen Erkennungskriterien von noyb auf Ihre Website an: Der NOYB Consent Banner Checker (verfügbar über die noyb.eu-Tools) bildet die Kernlogik des Scanners nach. Führen Sie ihn monatlich durch. Integrieren Sie ihn in Ihre CI/CD-Pipeline, wenn Ihre Einwilligungs-Benutzeroberfläche dynamisch gerendert wird.

Der systemische Wandel: Durchsetzung als Infrastruktur

Die Kampagne mit 422 Beschwerden steht für einen Übergang von reaktiver zu systematischer DSGVO-Durchsetzung. Wenn eine einzelne Organisation mithilfe automatisierter Tools Hunderte von rechtlich begründeten Beschwerden einreichen kann, vervielfacht sich die effektive Durchsetzungskapazität des DSGVO-Ökosystems, ohne dass eine proportionale Aufstockung der Ressourcen der Datenschutzbehörden erforderlich ist. EDPB-Vorsitzende Anu Talus bestätigte 2024, dass koordinierte Durchsetzungsmaßnahmen gemäß Art. 62 DSGVO eine strategische Priorität darstellen – die Kampagne von noyb ist das zivilgesellschaftliche Pendant zu dieser institutionellen Ausrichtung.

Für CMP-Anbieter hat sich die Compliance-Bilanz dauerhaft verändert. Die Bereitstellung nicht konformer Standardeinstellungen ist keine risikoarme Geschäftsentscheidung mehr, die durch langsame Verfahren der Datenschutzbehörden abgefedert wird. Es handelt sich um eine systemische Haftung, die nun eine koordinierte, automatisierte Beschwerdeerhebung in jeder Rechtsordnung auslöst, in der ihre Plattform eingesetzt wird. Die Frage ist nicht mehr, ob ihre Standardeinstellungen geprüft werden – sondern welche Datenschutzbehörde die erste wegweisende Entscheidung treffen wird, in der ein CMP-Anbieter als gemeinsam Verantwortlicher benannt wird, und wie die in Art. 83 Abs. 5 festgelegte Höchststrafe von 4 % des weltweiten Jahresumsatzes bei einer Plattform aussieht, die auf Hunderttausenden von Websites eingesetzt wird.