Abmahnung wegen Cookie-Banner — Wettbewerbsrechtliche Risiken bei fehlerhafter Einwilligung

Wie Abmahnungen wegen Cookie-Banner entstehen

Wettbewerber und Verbände können Datenschutzverstöße — darunter fehlerhafte Cookie-Einwilligungen — als unlautere Geschäftspraktiken nach dem Gesetz gegen unlauteren Wettbewerb (UWG) abmahnen. Mehrere Gerichte haben diese Möglichkeit in den letzten Jahren bestätigt. Das bedeutet: Der Kanal für eine Abmahnung wegen Cookie-Banner ist nicht nur datenschutzrechtlich (DSGVO, TTDSG), sondern auch wettbewerbsrechtlich geöffnet.

Die Prüfung ist einfach durchzuführen: Mit Browser-Netzwerkanalyse lässt sich beim Seitenaufruf — vor jeder Nutzerinteraktion — sehen, welche Requests an externe Tracking-Server gesendet werden. Wenn Google Analytics oder Facebook Pixel bereits beim ersten HTTP-Request feuern, ist der Verstoß dokumentierbar.

Cookie-Banner vorhanden und sichtbar ≠ Tracking wartet auf Einwilligungsentscheidung

Bekanntes Consent-Tool eingebunden ≠ Tracking-Skripte korrekt an Consent gebunden

Ablehnen-Button im Banner ≠ Ablehnen verhindert tatsächlich das Laden der Skripte

Ob diese Konfiguration auf Ihrer Website tatsächlich so umgesetzt ist, lässt sich ohne technische Analyse nicht feststellen. Eine visuelle Prüfung der Website reicht dafür nicht aus.

Abweichungen werden erkannt, bevor der Betreiber davon weiß — durch automatisierte Prüfsysteme, die dieselben öffentlich zugänglichen Informationen analysieren, die für jeden Besucher sichtbar sind.

Tracking-Skripte werden in vielen Fällen bereits beim ersten Seitenaufruf geladen.

Die Analyse bildet genau diese technische Prüfung ab — tatsächliche Erreichbarkeit, technische Einbindung und reale Lade- und Verarbeitungsprozesse.

Website prüfen

Warum Cookie-Banner in der Praxis in vielen Fällen fehlerhaft sind

Ein korrekt funktionierender Cookie-Consent-Flow erfordert das explizite Zusammenspiel von mindestens drei unabhängigen Systemkomponenten: dem Consent-Tool (zeigt den Banner, speichert die Entscheidung), dem Script-Lademechanismus (Google Tag Manager oder direktes Script-Management) und den Tracking-Skripten selbst. Diese drei Komponenten entstammen typischerweise verschiedenen Quellen — das Consent-Tool vom Webentwickler, der Tag Manager vom Marketing-Team, die Tracking-Tags vom Analytics-Verantwortlichen.

Sie werden selten gemeinsam konfiguriert und getestet. Die Folge: Jede Komponente ist vorhanden — aber die technischen Verbindungen zwischen ihnen sind nicht oder falsch hergestellt. Das Consent-Tool zeigt den Banner an, hat aber keine Kontrolle über das Ladeverhalten der Skripte. Diese strukturelle Konfigurationslücke ist bei Cookie-Banner-Implementierungen in vielen Fällen anzutreffen — nicht als seltene Ausnahme, sondern als typisches Ergebnis eines Prozesses, bei dem Banner, Tag Manager und Skripte unabhängig voneinander eingerichtet wurden.

Warum sich Cookie-Banner-Fehler von außen erkennen lassen

Ob Tracking-Skripte beim initialen Seitenaufruf — vor jeder Nutzerinteraktion mit dem Banner — HTTP-Requests an externe Server senden, ist durch Netzwerkanalyse ohne Zugang zur Website-Konfiguration feststellbar. Requests an analytics.google.com, connect.facebook.net, static.hotjar.com oder ähnliche Tracking-Domains beim ersten Seitenaufruf sind dokumentierbar — mit Zeitstempel, vor jeder Nutzerinteraktion. Ob ein expliziter Ablehnen-Klick das Laden dieser Skripte verhindert, ist durch einen separaten Test mit anschließender Netzwerkbeobachtung prüfbar.

Automatisierte Prüfsysteme führen genau diese Analysen durch — reproduzierbar und skaliert. Das Ergebnis ist vollständig dokumentierbar, bevor der Betreiber von der Prüfung weiß. Wettbewerber und Abmahnkanzleien nutzen diesen Ansatz systematisch.

Konkret abmahnrelevante Mängel

Tracking-Skripte laufen vor der Einwilligung

Das häufigste und klarste Muster: Google Analytics, Facebook Pixel, LinkedIn Insight Tag, Hotjar oder ähnliche Tracking-Dienste sind direkt im <head> des HTML-Dokuments eingebunden — ohne Consent-Gate. Der Cookie-Banner erscheint sichtbar, hat aber keinen technischen Einfluss auf die Skript-Ladereihenfolge. Das Tracking läuft immer, unabhängig von der Nutzerentscheidung.

Dark Patterns im Banner-Design

Die Ablehnoption ist schwerer zugänglich als die Zustimmungsoption — durch visuelle Gestaltung, Hierarchie oder Position. Typische Muster: „Alle akzeptieren" als prominenter Button, „Ablehnen" nur als Textlink am Seitenende. „Einstellungen anpassen" führt in einen mehrstufigen Prozess, „Akzeptieren" funktioniert in einem Klick. Diese asymmetrische Gestaltung kann als Einwilligungsmanipulation gewertet werden.

Einwilligung durch Weitersurfen

Banner, die Weitersurfen ohne Interaktion als Zustimmung interpretieren — über einen Hinweis wie „Durch die weitere Nutzung dieser Website stimmen Sie der Verwendung von Cookies zu" — sind nicht TTDSG-konform und abmahnrelevant.

Keine echte Ablehnungsmöglichkeit

Banner, die ausschließlich einen „Akzeptieren"-Button anbieten, ohne die Möglichkeit zur Ablehnung oder granularen Auswahl, erfüllen nicht die Anforderung an eine freiwillige Einwilligung.

Einwilligung für alle Kategorien pauschal gesetzt

Consent-Tools, die bei Zustimmung die Einwilligung für alle Kategorien pauschal erteilen, ohne differenzierte Auswahlmöglichkeit, entsprechen nicht den Anforderungen an spezifische Einwilligung.

Typische Fehlannahme

Annahme: „Mein Cookie-Banner sieht professionell aus und wird von einem seriösen Anbieter bereitgestellt — damit bin ich auf der sicheren Seite."

Tatsächlich: Ein professionell aussehendes Consent-Tool ist kein Schutz vor Abmahnungen, wenn die technische Konfiguration fehlerhaft ist. Das Consent-Tool stellt die Oberfläche bereit — ob Tracking-Skripte tatsächlich an den Consent-Status gebunden sind, hängt von der individuellen Konfiguration ab, die aus drei unabhängigen Quellen (Consent-Tool-Konfiguration, Google Tag Manager, Skript-Einbindung) zusammengesetzt werden muss. Viele Websites, die bekannte und seriöse Consent-Tools einsetzen, haben diese technische Verbindung nicht korrekt hergestellt — nicht aus Nachlässigkeit, sondern weil diese Komponenten typischerweise von verschiedenen Personen konfiguriert und nie gemeinsam getestet wurden. Das Ergebnis ist in der Praxis in vielen Fällen dasselbe: Das Tool erscheint, die Skripte laufen trotzdem — und ob das der Fall ist, lässt sich ohne Netzwerkanalyse beim Seitenaufruf nicht verlässlich beurteilen.

Warum die Fehlfunktion für den Betreiber unsichtbar ist

Der Betreiber sieht den Cookie-Banner beim Seitenaufruf und hält ihn für funktionsfähig. Ob das Tracking-Skript in diesem Moment bereits an Google oder Facebook sendet, ist im normalen Browser-Rendering nicht erkennbar. Der Netzwerk-Tab der Browser-Entwicklerwerkzeuge zeigt es — dieser wird im täglichen Betrieb nicht geöffnet. Wer diesen Test nicht explizit durchgeführt hat, kann die Frage „Feuern die Tracking-Skripte erst nach Einwilligung?" nicht verlässlich beantworten — auch nicht die Person, die den Banner eingerichtet hat, wenn kein Netzwerktest durchgeführt wurde.

Wettbewerber und Abmahnkanzleien nutzen automatisierte Tools, die genau diese Prüfung durchführen — reproduzierbar und ohne Ankündigung. Der Verstoß ist dokumentiert, bevor der Betreiber davon weiß. Beschwerdelosigkeit ist kein Indikator für eine korrekt funktionierende Einwilligungslösung.

Der entscheidende Zustand ist nicht das, was auf der Website sichtbar ist, sondern das, was im Hintergrund technisch passiert. Dieser Zustand ist ohne Analyse nicht zugänglich.