Verstöße gegen die Cookie-Vorschriften des TDDDG und der DSGVO können auf zwei Ebenen sanktioniert werden: nach dem TDDDG für den Zugriff auf Endeinrichtungen und nach der DSGVO für die anschließende Datenverarbeitung.
Die zweistufige Prüfung (DSK-OH Digitale Dienste)
- § 25 TDDDG: Regelt die Speicherung in und den Zugriff auf Endeinrichtungen (z. B. Cookies, Fingerprinting). Grundsatz: Einwilligungspflicht, es sei denn, die Speicherung ist technisch notwendig für die Nachrichtenübertragung oder die Bereitstellung des Dienstes (z. B. Warenkorb-Cookie).
- DSGVO: Regelt die anschließende Verarbeitung personenbezogener Daten.
Sanktionen nach TDDDG
§ 28 TDDDG sieht eigene Bußgeldvorschriften vor. Verstöße gegen § 25 (Cookie-Pflichten) können als Ordnungswidrigkeit geahndet werden. Zuständig sind die Datenschutzaufsichtsbehörden, für Telekommunikationsanbieter der BfDI (§ 29 TDDDG). Das Bußgeld beträgt bis zu 300.000 Euro (§ 28 Abs. 1 Nr. 13, Abs. 2 TDDDG).
Sanktionen nach DSGVO
Wenn durch die Cookies personenbezogene Daten ohne Rechtsgrundlage verarbeitet werden (z. B. Tracking ohne Einwilligung), drohen zusätzlich Bußgelder nach Art. 83 Abs. 5 DSGVO (Stufe 2: bis 20 Mio. EUR / 4 %).
Besondere Anforderungen an Einwilligungsbanner (DSK-OH Digitale Dienste)
- Die Ablehnoption muss auf gleicher Ebene wie die Zustimmungsoption stehen
- Dark Patterns (manipulative Gestaltung, die zur Zustimmung drängt) sind unzulässig
- Die Einwilligung muss so einfach widerrufbar sein wie ihre Erteilung
Die Aufsichtsbehörden haben in den letzten Jahren verstärkt Cookie-Banner geprüft und Bußgelder verhängt.
Wie ein zulässiges Banner aussieht, zeigt der Artikel Brauche ich ein Cookie-Banner?. Ob Ihre Website die Regeln einhält, klärt ein Datenschutz-Audit.