ePrivacy-Verordnung

Was ist die ePrivacy-Verordnung?

Die ePrivacy-Verordnung war ein EU-Gesetzesvorhaben zum Schutz vertraulicher elektronischer Kommunikation und zur Regulierung von Cookies, Tracking-Technologien und Direktwerbung. Sie sollte die bestehende ePrivacy-Richtlinie ersetzen. Der Vorschlag wurde 2025 zurückgezogen. Für Unternehmen gelten deshalb weiterhin die ePrivacy-Richtlinie, nationale Vorschriften und die DSGVO.

Die ePrivacy-Verordnung sollte als unmittelbar geltendes EU-Recht festlegen, wann Unternehmen Informationen auf Endgeräten speichern, auslesen oder für elektronische Werbung nutzen dürfen. Die englische Bezeichnung lautet ePrivacy Regulation. Der Entwurf erfasste neben klassischen Cookies auch vergleichbare Verfahren wie Fingerprinting, Gerätekennungen und bestimmte Formen der Kommunikationsanalyse.

Aktueller Stand der ePrivacy-Verordnung 2026

Die Europäische Kommission legte den Vorschlag für die ePrivacy-Verordnung 2017 vor. Das Gesetz sollte ursprünglich gemeinsam mit der Datenschutz-Grundverordnung wirksam werden und die ePrivacy-Richtlinie 2002/58/EG ablösen. Die EU-Institutionen konnten sich jedoch über mehrere Jahre nicht auf einen endgültigen Text einigen. Im Jahr 2025 wurde der Vorschlag zurückgezogen.

Damit ist die ePrivacy-Verordnung nicht in Kraft. Unternehmen müssen ihre Cookie-Banner, Analytics-Systeme und Werbe-Tags weiterhin anhand der bestehenden Regeln beurteilen. In Deutschland besteht der maßgebliche Rahmen insbesondere aus der DSGVO und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG.

Die Bezeichnung ePrivacy-Verordnung wird weiterhin in Ratgebern und Datenschutztexten verwendet, obwohl kein entsprechendes EU-Gesetz in Kraft getreten ist. Prüfe deshalb bei jeder Handlungsempfehlung, ob sie sich auf einen früheren Entwurf oder auf geltendes Recht wie die DSGVO, die ePrivacy-Richtlinie und das TDDDG bezieht.

Welche Regeln gelten stattdessen?

Für das Speichern oder Auslesen von Informationen auf Computern, Smartphones und anderen Endgeräten gilt in Deutschland vor allem § 25 TDDDG. Eine Einwilligung ist grundsätzlich erforderlich, wenn eine Website beispielsweise Analyse-Cookies, Werbe-IDs oder vergleichbare Identifikatoren einsetzen möchte. Die Vorgabe betrifft den Zugriff auf das Endgerät unabhängig davon, ob die ausgelesenen Informationen bereits personenbezogen sind.

Eine Einwilligung kann entfallen, wenn der Zugriff ausschließlich der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dient oder unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Ein Warenkorb-Cookie kann diese Bedingung erfüllen. Ein Cookie zur kanalübergreifenden Werbezuordnung wird dagegen nicht allein dadurch erforderlich, dass es dem Marketing nützt.

Technisch erforderliche Speicherung: Sie ermöglicht eine ausdrücklich angeforderte Funktion, etwa den Warenkorb oder eine sichere Anmeldung.
Analytics: Analyseverfahren benötigen je nach technischer Gestaltung und Rechtslage regelmäßig eine vorherige Prüfung und häufig eine Einwilligung.
Werbung und Remarketing: Nutzerprofile, Werbe-IDs und kanalübergreifende Wiedererkennung setzen in der Regel eine Einwilligung voraus.
Externe Medien: Eingebettete Videos, Karten oder Social-Media-Inhalte können bereits beim Laden Informationen übertragen.

ePrivacy-Verordnung und DSGVO im Vergleich

Der Unterschied zwischen der ePrivacy-Verordnung und der DSGVO liegt im Schutzgegenstand. Die geplante ePrivacy-Verordnung sollte elektronische Kommunikation und den Zugriff auf Endgeräte speziell regeln. Die DSGVO greift, sobald personenbezogene Daten verarbeitet werden. Bei einem Tracking-System können deshalb mehrere Regelwerke gleichzeitig relevant sein.

Regelwerk	Schwerpunkt	Praktisches Beispiel
ePrivacy-Verordnung	Zurückgezogenes EU-Gesetzesvorhaben für elektronische Kommunikation, Cookies und Tracking	Geplante einheitliche Regeln für Gerätezugriffe und elektronische Direktwerbung
ePrivacy-Richtlinie	EU-Vorgaben, die von Mitgliedstaaten in nationales Recht umgesetzt werden	Grundlage nationaler Regeln zum Speichern und Auslesen von Informationen
TDDDG	Deutsche Vorschriften für den Zugriff auf Endgeräte	Einwilligung vor dem Setzen eines nicht erforderlichen Analyse-Cookies
DSGVO	Verarbeitung personenbezogener Daten	Übermittlung einer Online-Kennung zusammen mit Nutzungs- oder Conversion-Daten

Ein verbreiteter Denkfehler besteht darin, ausschließlich nach personenbezogenen Daten zu fragen. § 25 TDDDG setzt bereits beim Speichern oder Auslesen von Informationen auf dem Endgerät an. Erst im nächsten Schritt ist zu prüfen, ob die weitere Verarbeitung zusätzlich unter die DSGVO fällt. Kontrolliere deshalb getrennt den Gerätezugriff, die Datenübermittlung, den Verarbeitungszweck und die Empfänger.

ePrivacy-Verordnung und Analytics

Für Analytics ist weniger die zurückgezogene ePrivacy-Verordnung als die aktuelle technische Umsetzung maßgeblich. Ein Analysesystem kann Cookies setzen, lokale Speicher auslesen, Geräteinformationen erfassen oder Online-Kennungen übertragen. Die bloße Bezeichnung als Reichweitenmessung sagt deshalb noch nichts darüber aus, ob eine Einwilligung erforderlich ist.

Auch First-Party-Analytics ist nicht automatisch ein erforderlicher Bestandteil der Website. Entscheidend sind Zweck, Umfang, Speichertechnik, Personenbezug, Empfänger und Wiedererkennungsmöglichkeiten. Gleiches gilt für cookielose Verfahren: Fingerprinting oder serverseitige Kennungen können Nutzer ebenfalls unterscheiden, obwohl im Browser kein klassisches Cookie erscheint.

Messbar ist ein Consent- und Analytics-Setup durch einen Test in mindestens drei Zuständen: vor einer Auswahl im Banner, nach Ablehnung und nach Zustimmung. Vergleiche dabei Cookies, lokalen Speicher und ausgehende Netzwerkanfragen. Analyse- und Werbe-Tags dürfen vor der erforderlichen Einwilligung keine dafür vorgesehenen Kennungen speichern oder übertragen.

Consent Management richtig aufbauen

Ein Consent-Management-System muss die Entscheidung des Nutzers technisch an alle angebundenen Dienste weitergeben. Eine rein optische Schaltfläche reicht nicht aus. Wenn ein Nutzer Statistik ablehnt, müssen die zugehörigen Tags entsprechend blockiert oder in einen dafür vorgesehenen eingeschränkten Modus versetzt werden. Der Widerruf muss ebenso zuverlässig verarbeitet werden wie die Zustimmung.

Erfasse alle Cookies, Skripte, Pixel, externen Inhalte und serverseitigen Datenflüsse.
Ordne jeden Dienst einem konkreten Zweck und einer Einwilligungskategorie zu.
Setze den Standardzustand vor dem Laden der betroffenen Tracking-Tags.
Teste Zustimmung, Ablehnung, Teilzustimmung und späteren Widerruf getrennt.
Dokumentiere Änderungen an Tags, Kategorien und Einwilligungstexten.

Folgen für SEO, SEA und GEO

SEO: Rankings und Messdaten trennen

Die ePrivacy-Verordnung hätte Suchmaschinen-Rankings nicht direkt geregelt. Cookie-Einwilligungen beeinflussen jedoch die Vollständigkeit von Analytics-Daten, etwa Sitzungen, Einstiegsseiten und Conversions. Fehlende Analytics-Daten bedeuten deshalb nicht automatisch weniger organischen Traffic. Ranking- und Klickdaten aus der Google Search Console müssen getrennt von zustimmungsabhängigen Website-Daten beurteilt werden. Eine ausführliche Einordnung bietet der Beitrag zur Google Search Console und zum Datenschutz.

SEA: Conversion-Signale korrekt einordnen

Bei SEA betrifft der Datenschutz vor allem Conversion-Tracking, Remarketing und personalisierte Anzeigen. Eine niedrige Zahl gemessener Abschlüsse kann durch Kampagnenprobleme oder durch fehlende Einwilligungen entstehen. Marketing-Verantwortliche sollten deshalb Werbekosten, tatsächliche Verkäufe, dokumentierte Einwilligungen und technisch erfasste Conversions gemeinsam prüfen. Ein Consent-Modus kann die Tag-Steuerung unterstützen, ersetzt aber keine erforderliche Einwilligung und keine Rechtsgrundlage.

Für die Kampagnensteuerung braucht es eine klare Trennung zwischen realem Geschäftsergebnis und technisch zugeordneten Conversions. Diese Trennung gehört auch in die Planung professioneller Google-Ads-Maßnahmen, weil automatisierte Gebotsstrategien auf den verfügbaren Messsignalen aufbauen.

GEO: KI-Zugriffe und Nutzeranalyse

GEO, ausgeschrieben Generative Engine Optimization, optimiert Inhalte für Empfehlungen und Quellenangaben in generativen Suchsystemen. Das öffentliche Crawling einer Website durch Suchmaschinen oder KI-Dienste ist von einem nutzerbezogenen Analytics-Tag zu unterscheiden. Sobald du Besucher aus KI-Antworten auf deiner Website analysierst, gelten für diese Messung dieselben Consent- und Datenschutzfragen wie für andere Traffic-Quellen.

Prüfliste für Marketing-Verantwortliche

Die zurückgezogene ePrivacy-Verordnung ändert nichts daran, dass Unternehmen ihre Datenflüsse regelmäßig prüfen müssen. Besonders nach einem Relaunch, einem neuen Tag-Manager-Container oder der Integration zusätzlicher Werbeplattformen können Dienste vor der vorgesehenen Zustimmung aktiv werden.

Welche Informationen werden im Browser oder auf einem anderen Endgerät gespeichert oder ausgelesen?
Welche Dienste starten bereits vor einer Auswahl im Consent-Banner?
Welche Daten verlassen die Website nach Ablehnung von Statistik und Marketing?
Kann der Nutzer eine erteilte Einwilligung später ebenso einfach widerrufen?
Sind Banner, Tag-Konfiguration und Datenschutzhinweise technisch und inhaltlich aufeinander abgestimmt?

Bei komplexen Analytics- und Kampagnen-Setups sollten Marketing, Entwicklung und Datenschutz gemeinsam prüfen, welche Messung benötigt wird und wie sie technisch umgesetzt ist. Ein unverbindlicher Potenzialcheck kann dabei SEO-, GEO- und Ads-Daten sowie vorhandene Messlücken einordnen.

Kostenloser Potenzialcheck

Häufige Fragen zur ePrivacy-Verordnung

Ist die ePrivacy-Verordnung bereits in Kraft?

Nein. Der 2017 vorgelegte Vorschlag wurde 2025 zurückgezogen. Maßgeblich bleiben die ePrivacy-Richtlinie, ihre nationale Umsetzung und die DSGVO.

Was bedeutet die ePrivacy-Verordnung für Google Analytics?

Die geplante Verordnung ist nicht in Kraft. Für Google Analytics müssen Unternehmen nach geltendem Recht prüfen, ob Cookies, Geräteinformationen oder personenbezogene Daten verarbeitet werden und ob dafür eine vorherige Einwilligung erforderlich ist.

Brauche ich für jedes Cookie eine Einwilligung?

Nein. Technisch unbedingt erforderliche Cookies können ohne Einwilligung zulässig sein, wenn sie eine ausdrücklich gewünschte Funktion ermöglichen. Analyse-, Werbe- und Remarketing-Cookies benötigen dagegen häufig eine vorherige Zustimmung.

Gilt der Schutz auch für Fingerprinting?

Ja, die geltenden Regeln sind nicht auf klassische Cookies beschränkt. Auch Fingerprinting, lokaler Speicher und andere Verfahren können Informationen auf einem Endgerät auslesen oder einen Nutzer wiedererkennen.

Was ist der Unterschied zwischen ePrivacy und DSGVO?

ePrivacy-Regeln betreffen insbesondere elektronische Kommunikation und Zugriffe auf Endgeräte. Die DSGVO regelt die Verarbeitung personenbezogener Daten. Bei Tracking und Online-Werbung können beide Bereiche gleichzeitig betroffen sein.

Ersetzt der Google Consent Mode ein Cookie-Banner?

Nein. Der Google Consent Mode übermittelt Einwilligungszustände an Google-Dienste und passt deren Verhalten an. Er beschafft selbst keine Einwilligung und ersetzt weder das Consent-Banner noch die Prüfung der Rechtsgrundlage.