„Alle ablehnen“ auf der ersten Ebene: Was die CNIL-Entscheidungen 2025 für jedes Cookie-Banner geändert haben

Was die CNIL festgestellt hat

Am 1. September 2025 verhängte die CNIL gegen die irische Tochter, die shein.com betreibt, ein Bußgeld von 150 Millionen Euro. Die Entscheidung ist ungewöhnlich konkret, was die Mechanik angeht. Das erste Banner bot „Cookie settings“, „Reject all“ und „Accept“, sagte aber nichts über den Werbezweck der Cookies. Schlimmer: Klickte ein Besucher auf „Reject all“ oder widerrief später die Einwilligung, wurden trotzdem neue Cookies geschrieben und bestehende weiter gelesen. Die zweite Ebene, erreichbar über „Cookie settings“, nannte die Dritten nicht, die Cookies setzen würden. Drei getrennte Verstöße, und der Ablehnen-Button machte die Schlagzeilen: Er tat nicht, was er versprach.

Zwei Tage später veröffentlichte die CNIL ihre Google-Entscheidung: 200 Millionen Euro für Google LLC und 125 Millionen für Google Ireland, zusammen 325 Millionen. Der Cookie-Teil dieser Entscheidung dreht sich um Asymmetrie. Im Kontoerstellungsprozess brauchte bis Oktober 2023 eine Person, die „express personalisation“ wählte, sechs Klicks, um personalisierte Werbe-Cookies abzulehnen, und zwei, um sie zu akzeptieren. Die Formulierung der CNIL ist der entscheidende Punkt: Dieses Ungleichgewicht beeinträchtigte die Freiwilligkeit der Einwilligung. Eine Einwilligung, deren Verweigerung mehr kostet als ihre Erteilung, ist nicht freiwillig, und eine nicht freiwillige Einwilligung ist keine Einwilligung.

Keine der beiden Entscheidungen erfand eine neue Regel. Beide wandten Artikel 5 Absatz 3 der ePrivacy-Richtlinie und die DSGVO-Definition der Einwilligung auf eine konkrete Oberfläche an, und beide lohnen sich eher als Ingenieur denn als Jurist zu lesen, weil jede Feststellung einer Codezeile oder einer Textzeile entspricht.

Die Leitlinie hinter den Bußgeldern

Der Europäische Datenschutzausschuss nahm im März 2022 die Leitlinien 03/2022 zu Deceptive Design Patterns an. Sie sind für Social-Media-Oberflächen geschrieben, aber der Abschnitt zu Cookie-Bannern wurde seither von jeder europäischen Aufsichtsbehörde zitiert. Der entscheidende Satz: Die erste Ebene eines Cookie-Banners sollte einen klaren Button haben, mit dem alle Cookies abgelehnt werden können, und ein Banner ohne ihn bietet keine einfache Wahl, was das Recht auf freiwillige Einwilligung verletzt. Die Leitlinien sortieren irreführendes Design in sechs Familien (Overloading, Skipping, Stirring, Obstructing, Fickle, Left in the Dark), und ein Cookie-Banner schafft es, vier davon auf einem Bildschirm zu treffen: eine versteckte Ablehnungsoption, ein farbiger Akzeptieren-Button neben einem grauen Link, ein „ד, das als Ja zählt, und eine Wand aus Zwecken, die niemand liest.

Im Januar 2023 veröffentlichte die Cookie-Banner-Taskforce des EDPB ihren Bericht, und er liest sich wie eine Liste dessen, was die CNIL später ahnden würde: kein Ablehnen-Button auf der ersten Ebene, vorangekreuzte Kästchen, ein Link, der wie Fließtext gestaltet ist, wo ein Button erwartet wurde, Kontrast, der die Ablehnungsoption verschwinden lässt, und berechtigtes Interesse als Alternative zur Einwilligung. Seither war das Muster der Durchsetzung stetig statt spektakulär, bis 2025, als sich die Beträge änderten.

Was eine erste Ebene leisten muss

Reduziert man die Entscheidungen und die Leitlinie auf den Kern, bleiben sechs Anforderungen. Sie sind klein, sie sind prüfbar, und jede einzelne hat schon jemanden teuer zu Fall gebracht.

1. Ablehnen auf der ersten Ebene. Nicht auf der zweiten Ebene, nicht nach einem Klick auf Einstellungen. Auf demselben Bildschirm wie Akzeptieren.
2. Gleiches Gewicht. Gleiche Größe, gleiches visuelles Gewicht, gleiche Position in der Lesereihenfolge. Ein weißes „Ablehnen“ neben einem schwarzen „Akzeptieren“ ist ein Stirring-Pattern; ein Textlink neben einem Button ist Obstruktion.
3. Zwecke, keine Adjektive. „Statistik“ und „Marketing“ sind Zwecke. „Um Ihr Erlebnis zu verbessern“ ist keine Information; die SHEIN-Entscheidung sagt das über den fehlenden Werbezweck.
4. Die rechtlichen Seiten einen Klick entfernt. Die Cookie-Erklärung, die Datenschutzerklärung und in Deutschland das Impressum. Wenn die zweite Ebene existiert, muss sie die Dritten nennen.
5. Keine Einwilligung durch Schließen. Ein „ד, ein Scrollen oder ein Klick außerhalb der Box ist keine Entscheidung. Das Banner bleibt, bis eine Entscheidung getroffen ist, oder schließt als Ablehnung.
6. Ein Weg zurück. Widerrufen muss so einfach sein wie Einwilligen (Artikel 7 Absatz 3). Ein dauerhaftes Bedienelement oder ein Footer-Link, der das Banner wieder öffnet, auf jeder Seite.

Hinter dem Banner: nichts lädt

Die SHEIN-Feststellung, die am meisten schmerzt, betrifft nicht die Buttons. Sondern dass „Reject all“ die Cookies nicht gestoppt hat. Dieses Versagen ist auf einem Screenshot unsichtbar und in einem Scan offensichtlich, und es ist der Grund, warum ein Banner nur die Hälfte eines Consent-Tools ist. Die andere Hälfte ist der Code, der jedes Analyse-, Werbe- und Social-Skript zurückhält, bis seine Kategorie erlaubt wird, und der Check, der beweist, dass er es getan hat.

In der Praxis heißt das: Die Consent-Runtime ist das erste Skript im Head, sodass nichts darüber ein Cookie setzen kann, das die Runtime nicht zurücknehmen kann. Jedes einwilligungspflichtige Tag ist inaktiv (type="text/plain" mit einer Kategorie), bis die Kategorie erlaubt wird. Alles, was ein Scan auf der Website gefunden hat und nicht getaggt ist, wird per Host neutralisiert. Und die Website wird erneut gescannt, nach Zeitplan, mit verweigerter Einwilligung, sodass ein Pixel, das jemand nächsten Monat über ein Tag-Manager-Experiment hinzufügt, als datierter Fund auftaucht statt als Überraschung im Brief einer Aufsichtsbehörde. Dafür gibt es den Scanner und den Installations-Check.

Eine Checkliste, die Sie heute durchgehen können

• Öffnen Sie Ihre Website in einem privaten Fenster. Steht „Alle ablehnen“ auf dem ersten Bildschirm, in derselben Größe wie „Alle akzeptieren“?
• Klicken Sie auf „Alle ablehnen“. Öffnen Sie das Storage-Panel des Browsers. Gibt es Analyse- oder Marketing-Cookies? Wenn ja, ist das Banner kosmetisch.
• Klicken Sie auf „Alle akzeptieren“ und finden Sie dann von einer beliebigen Seite den Weg zurück zum Banner. Zählen Sie die Klicks. Vergleichen Sie mit den Klicks zum Akzeptieren.
• Lesen Sie die erste Ebene. Nennt sie Zwecke? Verlinkt sie auf die Cookie-Erklärung und die Datenschutzerklärung?
• Starten Sie den kostenlosen Scan auf Ihrer Startseite. Er liest das HTML und listet die Tracker auf, die vor der Einwilligung feuern würden.

Fällt eine Zeile durch, ist die Reparatur meist ein Nachmittag. Die Bußgelder gibt es für Websites, die nicht geprüft haben.

Quellen

1. CNIL, „Cookies placed without consent: SHEIN fined 150 million euros by the CNIL“, 3. September 2025
2. EDPB, nationale Nachrichten: Französische Aufsichtsbehörde verhängt 150 000 000 EUR gegen SHEIN, September 2025
3. Gerrish Legal, „CNIL fines Google €325M and SHEIN €150M for breaking cookie rules“, September 2025
4. Slaughter and May, „Cookie catch-up: what you need to know about the CNIL’s Google and Shein fines“, 2025
5. EDPB, Leitlinien 03/2022 zu Deceptive Design Patterns in Social-Media-Oberflächen, angenommen am 14. März 2022
6. Cookie Information, „Cookie banner dark patterns: CNIL’s enforcement is real and it’s escalating“, 2025

Geschrieben vom CookieCrumbs-Team, veröffentlicht am 5. September 2026. Fakten tragen ihr Datum; wenn sich etwas geändert hat, sagen Sie uns Bescheid und wir korrigieren es.