Britische Cookie-Regeln nach dem 5. Februar 2026: die Statistik-Ausnahme, erklärt

Was sich am 5. Februar 2026 geändert hat

Die Privacy and Electronic Communications Regulations (PECR) sind das britische Cookie-Gesetz, und bis dieses Jahr verlangten sie Einwilligung für jedes Cookie, das nicht unbedingt notwendig war, genau wie die EU. Der Data (Use and Access) Act 2025 hat sie geändert, und die Cookie-Bestimmungen traten am 5. Februar 2026 in Kraft. Das Gesetz fügte PECR einen neuen Schedule A1 mit einer kurzen Liste von Zwecken hinzu, für die Speicherung und Zugriff keine Einwilligung mehr brauchen, und es hob das Höchstbußgeld für PECR-Verstöße von 500.000 £ auf das Niveau der UK GDPR an. Das ICO hat seine Leitlinien zu Speicher- und Zugriffstechnologien am 29. April 2026 nach zwei Konsultationen finalisiert, und diese Leitlinien sind jetzt die Referenz dafür, wie die Ausnahmen in der Praxis funktionieren.

Die Ausnahmen und ihre Bedingungen

Drei neue Zwecke sind von der Einwilligung befreit. Cookies, die ausschließlich statistischen Zwecken dienen, wenn die resultierenden Informationen nur vom Betreiber der Website genutzt werden, um sie zu verbessern. Cookies, die ausschließlich dazu dienen, Aussehen oder Funktion der Website an die Präferenzen des Besuchers anzupassen, Barrierefreiheits- und Anzeigeeinstellungen sind die offensichtlichen Beispiele. Und Cookies, die für Notfallhilfe nötig sind, etwa der Standort für einen Notdienst. Das Wort, das das Gewicht trägt, ist ausschließlich: Ein Analyse-Cookie, das auch Werbung speist, oder ein Präferenz-Cookie, das zugleich als Kennung für einen Dritten dient, qualifiziert sich nicht.

Für die Statistik- und Darstellungsausnahmen gelten zwei Bedingungen, und beide übersieht man leicht. Erstens muss der Besucher weiterhin klar informiert werden, was gespeichert wird und warum. Zweitens muss er eine einfache Möglichkeit zum Widerspruch bekommen, und der Widerspruch muss beachtet werden. Das Banner verschwindet also nicht; es ändert seine Form. Für ein befreites Statistik-Cookie reicht ein Informationshinweis mit Opt-out. Für alles andere bleibt die Einwilligungsregel unverändert.

Was weiterhin Einwilligung braucht

• Werbe- und Retargeting-Cookies und -Pixel, jedes einzelne.
• Social-Media-Embeds und Teilen-Buttons, die Cookies setzen.
• Analyse, die mit jemand anderem als dem Website-Betreiber geteilt oder von ihm genutzt wird.
• Website-übergreifendes Tracking jeder Art, einschließlich „Statistik“, die eine Person über Websites hinweg identifiziert.
• Alles, was die ICO-Leitlinien als invasiv bezeichnen: Fingerprinting, Session-Recording mit personenbezogenen Daten, A/B-Tools, die profilieren.

Qualifiziert sich GA4?

Das ist die Frage, die jede britische Website stellt, und die ehrliche Antwort lautet: nicht in der Standardkonfiguration. Die Ausnahme gilt für Statistik, die nur vom Website-Betreiber genutzt wird. Eine Standard-GA4-Property sendet die Daten an Google, wo sie unter Googles Bedingungen verarbeitet und, sofern Sie nicht jede Freigabeeinstellung abschalten, auch für Googles eigene Zwecke genutzt werden. Das ist nicht „nur vom Betreiber genutzt“. Ein selbst gehostetes oder First-Party-Analysetool, das die Daten nie teilt, ist der klare Fall; GA4 mit abgeschalteter Datenfreigabe ist diskutabel, und das ICO hat es nicht abgesegnet. CookieCrumbs liefert das britische Regelwerk mit modellierten Ausnahmen und behandelt GA4 als einwilligungspflichtig, sofern Sie nichts anderes festlegen, was die konservative Lesart ist und die, die wir verteidigen würden.

Bußgelder entsprechen jetzt der UK GDPR

Die andere Hälfte des Gesetzes ist der Teil, den Websites gern überspringen. PECR-Bußgelder waren auf 500.000 £ gedeckelt; jetzt liegt die Obergrenze bei 17,5 Millionen £ oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist, was der Obergrenze der UK GDPR entspricht. Das ICO hat erklärt, die neuen Befugnisse nutzen zu wollen. Mit anderen Worten: Das Vereinigte Königreich hat die Regel für die am wenigsten invasiven Cookies gelockert und die Strafe für die invasiven fünfunddreißigmal höher gemacht.

Was auf Ihrer Website zu tun ist

1. Scannen Sie die Website und sortieren Sie jedes Cookie nach Zweck. Die Ausnahmen gelten pro Zweck, nicht pro Anbieter.
2. Entscheiden Sie, ob Ihre Analyse „nur von Ihnen genutzt“ wird. Ist es GA4 im Auslieferungszustand, dann nicht. Lassen Sie es hinter der Einwilligung.
3. Für Cookies, die Sie als befreite Statistik oder Darstellung einstufen, behalten Sie den Informationshinweis und fügen einen Widerspruchsweg hinzu. Ein „Cookies verwalten“-Link, über den man sie abschalten kann, reicht.
4. Behalten Sie Opt-in für Werbung, Social und Drittanbieter-Analyse, mit Ablehnen so einfach wie Akzeptieren.
5. Bewahren Sie die Datensätze auf. Die Beweislast hat sich nicht verschoben.

Der Regionen-Leitfaden zeigt, wie das britische Regelwerk pro Besucher angewendet wird, neben den EU-, Schweizer, brasilianischen, kanadischen und US-Regeln, aus einem Banner.

Quellen

1. Practical Law (Thomson Reuters), „Changes to UK cookie rules: Data (Use and Access) Act 2025“
2. Stevens & Bolton, „The Data (Use and Access) Act 2025: cookies, what is changing and what you need to know“
3. Womble Bond Dickinson, „New exceptions for non-intrusive cookies: the ICO’s updated guidance has landed“, 2026
4. Clifford Chance, „Key aspects of the Data (Use and Access) Act take effect“, Februar 2026
5. CookieCrumbs Regulierungs-Watch, „UK PECR Schedule A1“, ICO-Leitlinien finalisiert am 29. April 2026

Geschrieben vom CookieCrumbs-Team, veröffentlicht am 5. September 2026. Fakten tragen ihr Datum; wenn sich etwas geändert hat, sagen Sie uns Bescheid und wir korrigieren es.