Ce qui bouge du côté des autorités, de la jurisprudence et des outils. Chaque entrée renvoie à sa source officielle, et dit ce qu'il faut en retenir.
Europa
Der Europäische Datenschutzausschuss verpflichtet die belgische Behörde, eine Beschwerde über ein Cookie-Banner inhaltlich zu prüfen
Die belgische Behörde wollte eine Beschwerde der Organisation noyb gegen das Cookie-Banner des öffentlichen Senders VRT unter Berufung auf Rechtsmissbrauch zurückweisen. In einem verbindlichen Beschluss vom 28. Mai 2026, veröffentlicht am 14. Juli, fordert der Europäische Datenschutzausschuss sie auf, in der Sache zu entscheiden und einen neuen Beschlussentwurf vorzulegen.
Eine von einer Organisation eingereichte Beschwerde kann nicht mehr allein aus diesem verfahrensrechtlichen Grund zurückgewiesen werden. Wird Ihr Einwilligungsbanner Gegenstand einer Beschwerde, müssen Sie damit rechnen, dass sie inhaltlich geprüft wird.
Der Europäische Datenschutzausschuss verabschiedet Leitlinien zur Anonymisierung
Der Europäische Datenschutzausschuss hat Leitlinien zur Anonymisierung und zur automatisierten Datenerhebung für generative KI verabschiedet. Daten gelten als anonym, wenn sie weder eine Individualisierung noch eine Verknüpfung noch eine Ableitung erlauben. Der Text greift das Urteil des Gerichtshofs vom 4. September 2025 auf und bleibt bis zum 30. Oktober 2026 in öffentlicher Konsultation.
Der anonyme Charakter ist im Einzelfall und je Stelle zu beurteilen. Wenn Sie Ihre Statistiken als anonym darstellen, dokumentieren Sie diesen Test mit drei Kriterien, statt sich auf ein Anbieterlabel zu verlassen.
Dreiundzwanzig vereinfachte Sanktionen der CNIL seit Januar 2026, davon mehrere zu Cookies
Die CNIL hat seit Januar 2026 im vereinfachten Verfahren 23 Sanktionen verhängt, über insgesamt 133.750 Euro. Neunzehn davon gehen auf Beschwerden von Privatpersonen zurück. Die festgestellten Verstöße betreffen insbesondere Banner ohne eine ebenso einfache Ablehnungsmöglichkeit wie die Annahme sowie Werbecookies, die vor jeder Einwilligung gesetzt wurden.
Das vereinfachte Verfahren trifft Websites jeder Größe, nicht nur die großen Plattformen. Prüfen Sie, dass das Ablehnen einen einzigen Klick erfordert, genau wie das Annehmen, und dass vor der Entscheidung kein Werbetracker startet.
Der Eidgenössische Datenschutzbeauftragte veröffentlicht seinen 33. Tätigkeitsbericht
Der Bericht 2025/26 des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten weist über 2000 Meldungen möglicher Datenschutzverletzungen, 156 Interventionen bei Verantwortlichen und 9 Untersuchungen aus. Er nennt zudem das erste rechtskräftige Urteil unter dem neuen Gesetz, vom 6. Oktober 2025, das die Entscheidpraxis der Behörde bestätigt.
Das neue Schweizer Gesetz wird inzwischen angewandt und ist gerichtlich bestätigt. Wenn Sie Daten von Personen in der Schweiz bearbeiten, müssen Ihr Verarbeitungsverzeichnis und Ihr Verfahren zur Meldung von Verletzungen einsatzbereit sein.
Google Analytics: Das Einwilligungssignal wird zur einzigen Steuerung der Werbedaten
Seit dem 15. Juni 2026 steuert die Einstellung Google Signals in Google Analytics nur noch die Zuordnung der Daten zu angemeldeten Nutzern, für die Verhaltensberichte. Die Datenweitergabe an Google Ads hängt nunmehr von den Ads-Einstellungen und vom Einwilligungssignal für Werbung ab. Google kündigt für später im Jahr 2026 einen zweiten Schritt zur Werbepersonalisierung an.
Wenn Sie Google Analytics einsetzen, hat die mit Ihrer Rechtsberatung abgestimmte Konfiguration womöglich nicht mehr dieselbe Wirkung. Wiederholen Sie den Test: Lehnen Sie in Ihrem Banner alles ab und prüfen Sie, was tatsächlich gesendet wird.
Die CNIL veröffentlicht ihre Empfehlung zu Tracking-Pixeln in E-Mails
Die am 12. März 2026 verabschiedete (Beschluss Nr. 2026-042) und am 14. April veröffentlichte Empfehlung stuft Tracking-Pixel in E-Mails als Tracker im Sinne von Artikel 82 des französischen Datenschutzgesetzes ein. Ihr Einsatz unterliegt daher grundsätzlich der vorherigen Einwilligung des Empfängers. Die individuelle Messung der Zustellbarkeit von Transaktions-E-Mails gehört zu den Fällen, die als befreit erörtert werden.
Die Öffnungsraten Ihrer Kampagnen beruhen auf diesen Pixeln. Für vor dem 14. April 2026 erhobene Adressen verlangt die CNIL eine klare Information und eine einfache Widerspruchsmöglichkeit innerhalb von drei Monaten.
Der Eidgenössische Datenschutzbeauftragte warnt vor gefälschten E-Mails in seinem Namen
Der EDÖB warnt vor einer Welle betrügerischer Nachrichten, die seine Identität missbrauchen. Diese E-Mails richten sich an Betreiber von Websites und werfen ihnen Verstöße gegen das Schweizer Datenschutzgesetz vor, verbunden mit der Aufforderung zu einer Zahlung oder zur Übermittlung von Daten. Die Behörde hat den Fall den zuständigen Stellen gemeldet.
Eine Datenschutzbehörde fordert nie eine Zahlung per E-Mail. Prüfen Sie die Domain des Absenders, öffnen Sie keine Anhänge und wenden Sie sich über die offiziellen Kanäle an die Behörde.
Europäische koordinierte Aktion 2026: Transparenz und Information der betroffenen Personen
Der Europäische Datenschutzausschuss hat am 19. März 2026 seine jährliche koordinierte Aktion gestartet. Fünfundzwanzig nationale Behörden prüfen die Einhaltung der Transparenz- und Informationspflichten der Artikel 12, 13 und 14 DSGVO. Die Ergebnisse werden im zweiten Halbjahr 2026 zusammengeführt.
Ihre Datenschutzerklärung und Ihre Informationshinweise stehen dieses Jahr auf dem Prüfprogramm. Gehen Sie sie Punkt für Punkt durch: Zwecke, Rechtsgrundlagen, Aufbewahrungsfristen, Empfänger.
Der Luxemburger Verwaltungsgerichtshof hebt die von der CNPD verhängte Geldbuße über 746 Millionen Euro auf
Mit Urteil Nr. 52757C vom 12. März 2026 hat der Verwaltungsgerichtshof Luxemburgs die Entscheidung der CNPD vom Juli 2021 aufgehoben, mit der einem großen Akteur des Onlinehandels 746 Millionen Euro für seine Praktiken der verhaltensbasierten Werbung auferlegt worden waren. Der Gerichtshof wirft der Behörde vor, weder den vorsätzlichen oder fahrlässigen Charakter des Verhaltens noch die Bandbreite der verfügbaren Abhilfemaßnahmen geprüft zu haben. Der Fall geht an die CNPD zurück.
Die Aufhebung betrifft die Methode, nicht die Sache selbst. Wichtig ist vor allem, dass die Luxemburger Behörde ihre Sanktionen künftig feiner begründen muss, was die Verfahren verlängert, ohne das Anforderungsniveau zu senken.
Ende der Übergangsfrist zur Version 2.3 des Rahmenwerks für die Werbeeinwilligung
Die am 19. Juni 2025 veröffentlichte Version 2.3 des Transparency and Consent Framework von IAB Europe macht das Segment disclosedVendors in der Einwilligungskette verbindlich. Die Übergangsfrist endete am 28. Februar 2026. Nach diesem Datum erzeugte Ketten ohne dieses Segment gelten als ungültig.
Wurde Ihre Plattform zur Verwaltung der Einwilligung nicht aktualisiert, können die von ihr erzeugten Signale von Ihren Werbepartnern abgelehnt werden. Lassen Sie sich von Ihrem Dienstleister die Aktualisierung schriftlich bestätigen.
Die Luxemburger CNPD kann nunmehr Verbandsklagen erheben
Das Gesetz vom 20. November 2025, in Kraft seit dem 25. November 2025, setzt die Richtlinie 2020/1828 über Verbandsklagen um und schafft ein neues Buch 5 des Verbrauchergesetzbuchs. Die CNPD ist darin als qualifizierte Einrichtung anerkannt. Sie kann daher gerichtlich eine Unterlassung, eine Abhilfe oder beides verlangen.
In Luxemburg kann ein Verstoß gegen die DSGVO, der zahlreiche Kunden betrifft, künftig neben einer Geldbuße auch eine Verbandsklage auf Schadensersatz nach sich ziehen. Das finanzielle Risiko beschränkt sich nicht mehr auf die Sanktion der Behörde.
Kritische gemeinsame Stellungnahme der europäischen Behörden zum digitalen Omnibus
Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben eine gemeinsame Stellungnahme zum Vorschlag für einen digitalen Omnibus verabschiedet. Sie halten die Neudefinition des Begriffs des personenbezogenen Datums für weit mehr als eine technische Anpassung und für eine Abkehr von der Rechtsprechung des Gerichtshofs. Die Maßnahmen gegen die Einwilligungsmüdigkeit und die Bannerflut sowie die maschinenlesbaren automatisierten Signale unterstützen sie dagegen.
Der Rahmen für Tracker wird sich ändern, aber noch nicht jetzt. Verfolgen Sie das Dossier, ohne Ihre Banner schon heute neu zu schreiben: Der Text ist nicht stabil.
Schweiz: Ein großer Onlinehändler macht die Personalisierung mit einem Klick abschaltbar
Auf eine förmliche Empfehlung des EDÖB hin erlaubt die Website Digitec Galaxus nunmehr, die Personalisierung der Website mit einer einzigen Handlung abzuschalten, samt automatischer Deaktivierung der zugehörigen Cookies. Die Behörde hatte die Kopplung von Bestellvorgang, Kontoeröffnung und Bearbeitung zu Marketingzwecken als Verstoß gegen den Grundsatz der Verhältnismäßigkeit gewertet. Das Verfahren wurde abgeschlossen.
Auch in der Schweiz ist es problematisch, einen Kauf an eine nicht erforderliche Marketingverarbeitung zu binden. Der Widerspruch muss so einfach sein wie die Aktivierung und sich tatsächlich auf die gesetzten Tracker auswirken.
Bilanz 2025 der CNIL: 486,8 Millionen Euro an Geldbußen
Die CNIL hat 2025 insgesamt 259 Entscheidungen getroffen, darunter 83 Sanktionen, 143 Abmahnungen, 31 Hinweise auf gesetzliche Pflichten und 2 Verwarnungen. Die Summe der Geldbußen erreicht 486.839.500 Euro. Einundzwanzig Organisationen wurden wegen Cookies und anderer Tracker sanktioniert.
Tracker bleiben in Frankreich der häufigste Sanktionsgrund. Eine jährliche Prüfung Ihres Banners und der tatsächlich geladenen Skripte ist das vertretbare Minimum.
Die CNIL regelt die geräteübergreifend gültige Einwilligung in Tracker
Die CNIL hat am 16. Januar 2026 ihre endgültigen Empfehlungen zur geräteübergreifenden Einwilligung veröffentlicht, die auf den Beschluss Nr. 2025-131 vom 18. Dezember 2025 zur Änderung der Cookie-Empfehlung von 2020 zurückgehen. Das Verfahren ist freiwillig und gilt nur in Umgebungen, in denen der Nutzer angemeldet ist. Die Ablehnung muss so einfach bleiben wie die Annahme, und die Information muss die Reichweite der Entscheidung angeben. Arbeiten zur Einwilligung über mehrere Angebote hinweg sind für 2026 angekündigt.
Wenn Ihre Nutzer über ein Konto verfügen, können Sie deren Entscheidung an dieses Konto knüpfen statt an den Browser. Sehen Sie eine ausdrückliche Regel für den Fall widersprüchlicher Entscheidungen zwischen Geräten vor.
Meta verpflichtet sich, in der Europäischen Union eine Wahl bei personalisierter Werbung anzubieten
Nach einer im April 2025 festgestellten Nichtkonformität mit dem Gesetz über digitale Märkte hat sich Meta gegenüber der Europäischen Kommission verpflichtet, den Nutzern von Facebook und Instagram eine Alternative zum binären Modell anzubieten. Die Betroffenen können zwischen vollständig personalisierter Werbung und einer Nutzung mit weniger personenbezogenen Daten wählen. Diese Optionen wurden den europäischen Nutzern im Januar 2026 vorgelegt.
Das Modell, das nur Einwilligung oder kostenpflichtiges Abonnement zur Wahl stellt, wird von den Regulierungsbehörden beanstandet. Wenn Sie eine Einwilligungsschranke erwägen, sehen Sie einen dritten, datensparsameren Weg vor.
Die Europäische Kommission schlägt vor, die Cookie-Regeln in die DSGVO zu überführen
Der am 19. November 2025 vorgelegte Vorschlag für eine Verordnung über einen digitalen Omnibus (Verfahren 2025/0360) überführt die Regeln über den Zugriff auf im Endgerät gespeicherte Informationen, die heute in der ePrivacy-Richtlinie stehen, in die DSGVO. Die Einwilligung bleibt der Grundsatz, mit einer erweiterten Liste befreiter Zwecke und der Idee einer im Browser hinterlegten Entscheidung. Der Text wird weiterhin zwischen Parlament und Rat verhandelt.
Zum jetzigen Zeitpunkt gilt nichts davon. Bauen Sie Ihr Einwilligungsverfahren nicht in Erwartung eines Textes ab, der sich noch ändern kann.
Google streicht zehn Technologien aus dem Programm Privacy Sandbox
Am 17. Oktober 2025 hat Google die Einstellung von zehn Technologien des Programms Privacy Sandbox angekündigt, darunter Topics, Protected Audience, Attribution Reporting und Private Aggregation, und dies mit einer geringen Verbreitung begründet. Einige Bausteine bleiben erhalten, insbesondere CHIPS, FedCM und Private State Tokens.
Die vom Browser versprochenen Alternativen zu Drittanbieter-Cookies werden nicht kommen. Werbetracker bleiben damit einwilligungspflichtig, ohne dass eine technische Ersatzlösung zu erwarten wäre.
Der Gerichtshof präzisiert, wann pseudonymisierte Daten personenbezogene Daten bleiben
In der Rechtssache C-413/23 P zwischen dem Europäischen Datenschutzbeauftragten und dem Einheitlichen Abwicklungsausschuss entscheidet der Gerichtshof, dass pseudonymisierte Daten nicht in jedem Fall und für jede Person personenbezogene Daten darstellen. Je nach den Umständen kann die Pseudonymisierung einen Empfänger daran hindern, die betroffenen Personen zu identifizieren. Die Identifizierbarkeit ist aus Sicht des Verantwortlichen im Zeitpunkt der Erhebung zu beurteilen, der weiterhin zur Information der Personen verpflichtet bleibt.
Der Status Ihrer Daten hängt davon ab, wer sie besitzt und was er zusammenführen kann. Dokumentieren Sie für jeden Empfänger, welche Mittel ihm tatsächlich zur Verfügung stehen, um eine Person erneut zu identifizieren.
Die CNIL sanktioniert Google mit 325 Millionen Euro und Shein mit 150 Millionen
Am 3. September 2025 hat die CNIL zwei Geldbußen wegen Nichteinhaltung der für Tracker geltenden Regeln verhängt. Google wird insbesondere für die Anzeige von Werbung zwischen den Nachrichten im Posteingang und für das Setzen von Trackern bei der Kontoeröffnung ohne gültige Einwilligung sanktioniert. Die irische Tochtergesellschaft von Shein wird für das Setzen von Werbecookies bereits beim ersten Besuch und für eine unzureichende Information über die Zwecke und die Ablehnung sanktioniert.
Der Rekordbetrag darf den Vorwurf nicht verdecken: vor der Entscheidung gesetzte Tracker und eine unvollständige Information. Genau das wird bei Online-Kontrollen geprüft, unabhängig von der Größe der Website.
Das Gericht der Europäischen Union weist die Klage gegen den Rahmen für Übermittlungen in die Vereinigten Staaten ab
In der Rechtssache T-553/23 hat das Gericht der Europäischen Union die Nichtigkeitsklage gegen den Angemessenheitsbeschluss vom 10. Juli 2023 abgewiesen, der die Datenübermittlungen in die Vereinigten Staaten regelt. Es hält das gebotene Schutzniveau für im Wesentlichen gleichwertig mit dem in der Union gewährleisteten. Im Herbst 2025 wurde beim Gerichtshof ein Rechtsmittel eingelegt.
Übermittlungen an einen zertifizierten US-Dienstleister bleiben heute möglich. Behalten Sie jedoch im Blick, dass ein Rechtsmittel anhängig ist, und erfassen Sie Ihre Abhängigkeiten außerhalb der Europäischen Union.
Die CNIL ersetzt ihr Bewertungsprogramm durch eine Selbstbewertung der Lösungen zur Reichweitenmessung
Am 4. Juli 2025 hat die CNIL ein Werkzeug zur Selbstbewertung bereitgestellt, mit dem Anbieter prüfen können, ob ihre Lösung zur Reichweitenmessung von der Einwilligung befreit werden kann. Das frühere Bewertungsprogramm und seine öffentliche Liste von Lösungen endeten zum 1. Januar 2026. Die Anbieter müssen ihre Analyse dokumentieren und können keine Zertifizierung durch die CNIL beanspruchen.
Ein Werbeversprechen der Art befreite Lösung genügt nicht mehr. Verlangen Sie von Ihrem Dienstleister das Selbstbewertungsdokument und die genau anzuwendende Konfiguration, denn im Fall einer Prüfung bleibt der Website-Betreiber verantwortlich.
Der belgische Marktgerichtshof entscheidet über das Rahmenwerk für die Werbeeinwilligung
Mit Urteil vom 14. Mai 2025 bestätigt der Marktgerichtshof Brüssel, dass die Einwilligungskette, der sogenannte TC String, ein personenbezogenes Datum ist und dass IAB Europe im Rahmen des TCF als Verantwortlicher für die Verarbeitung der Nutzerpräferenzen handelt. Für die über das Protokoll OpenRTB durchgeführten Verarbeitungen verneint er diese Einordnung dagegen. Die Geldbuße von 250.000 Euro bleibt bestehen, nachdem die ursprüngliche Entscheidung aus einem Verfahrensgrund aufgehoben worden war.
Die von Ihrer Plattform erzeugte Einwilligungskette ist ein vollwertiges personenbezogenes Datum. Sie gehört in Ihr Verarbeitungsverzeichnis und in Ihre Information an die Besucher.
Chrome verzichtet auf seine neue Abfrage zu Drittanbieter-Cookies
Am 22. April 2025 hat Google angekündigt, seinen bisherigen Umgang mit Drittanbieter-Cookies in Chrome beizubehalten und die vorgesehene eigene Abfrage nicht auszurollen. Die Nutzer können ihre Präferenzen weiterhin in den Einstellungen des Browsers verwalten. Diese Entscheidung beendet mehrere Jahre voller Ankündigungen zum Verschwinden der Drittanbieter-Cookies.
Das oft als unmittelbar bevorstehend dargestellte Verschwinden der Drittanbieter-Cookies wird nicht über den Browser kommen. Ihre Einwilligungspflichten bleiben unverändert und ergeben sich aus dem Recht, nicht aus Chrome.
Der Eidgenössische Datenschutzbeauftragte veröffentlicht einen Leitfaden zu Cookies und ähnlichen Technologien
Der EDÖB hat am 3. Februar 2025 einen Leitfaden veröffentlicht, der die Anforderungen an die Datenbearbeitung mittels Cookies und ähnlicher Technologien durch private Verantwortliche beschreibt. Er leitet diese Anforderungen aus dem Bundesgesetz über den Datenschutz, seiner Verordnung und der Rechtsprechung ab. Eine Version 1.1 des Dokuments wurde am 6. Oktober 2025 verbreitet.
Das Schweizer Recht übernimmt die europäische Regelung der vorherigen Einwilligung nicht, verlangt aber Transparenz und Verhältnismäßigkeit. Wenn Sie ein Schweizer Publikum ansprechen, richten Sie Ihre Datenschutzerklärung an diesem Leitfaden aus, statt eine Gleichwertigkeit mit der DSGVO anzunehmen.
