UK-GDPR- und PECR-Cookie-Regeln für Firmenwebsites (2026)

Zuletzt geprüft: Oktober 2026. Zwei Regelwerke bestimmen, wie die Website eines UK-Unternehmens Cookies und ähnliche Technologien nutzen darf. Die Privacy and Electronic Communications Regulations 2003 (PECR) regeln das Speichern oder Auslesen von Informationen auf dem Gerät eines Besuchers. Die UK GDPR regelt alle personenbezogenen Daten, die Sie so erheben, und legt fest, was als wirksame Einwilligung gilt.

Der Data (Use and Access) Act 2025 (DUAA), der am 19. Juni 2025 die königliche Zustimmung erhielt, hat die Cookie-Regel der PECR neu gefasst. Seit dem 5. Februar 2026 brauchen manche risikoarmen Verwendungen, darunter bestimmtes Analytics, keine Einwilligung mehr, und PECR-Bußgelder können jetzt £17.5 Millionen oder 4 % des weltweiten Umsatzes erreichen. Die ICO veröffentlichte ihre endgültigen Hinweise, die jetzt „guidance on storage and access technologies“ heißen, am 29. April 2026.

Dieser Artikel ist praktische Anleitung einer Webagentur, keine Rechtsberatung. Bei risikoreicher Verarbeitung oder einer Beschwerde sprechen Sie mit einer Datenschutzfachkraft.

Regulation 6 der PECR, ersetzt durch Section 112 des DUAA, besagt: Sie dürfen keine Informationen auf dem Gerät eines Nutzers speichern oder auf dort gespeicherte Informationen zugreifen, es sei denn, eine der Ausnahmen im neuen Schedule A1 greift. Die bekannteste Ausnahme ist die Einwilligung: Der Nutzer erhält klare und umfassende Informationen über den Zweck und stimmt dann zu.

Die PECR gilt auch, wenn keine personenbezogenen Daten im Spiel sind: Die ICO weist darauf hin, dass Regulation 6 von „Informationen“ spricht, nicht von „personenbezogenen Daten“. Handelt es sich bei den Informationen um personenbezogene Daten – was bei Kennungen, Analytics und Werbe-Tags meist der Fall ist –, gilt zusätzlich die UK GDPR, sodass Sie beide einhalten müssen.

Nicht nur Cookies

Die Hinweise der ICO erfassen Cookies neben Tracking-Pixeln, Link-Decoration, Local Storage, Geräte-Fingerprinting sowie Skripten und Tags. Die ICO sagt, die weitere Formulierung spiegele die Technologien wider, die Organisationen heute nutzen, und habe den Anwendungsbereich des Gesetzes nicht erweitert. Ein Social-Media-Tracking-Pixel auf Ihrer Checkout-Seite fällt ebenso darunter wie ein klassischer Cookie.

Der Maßstab für die Einwilligung

Wo eine Einwilligung nötig ist, verwendet die PECR die Definition der UK GDPR. Laut ICO muss die Einwilligung freiwillig, spezifisch, informiert und unmissverständlich sein und durch eine klare bestätigende Handlung erteilt werden. Schweigen, Untätigkeit und vorangekreuzte Kästchen zählen nicht, und Sie müssen Nachweise vorlegen können, die die Einwilligung belegen. Wenn die PECR eine Einwilligung verlangt und es sich um personenbezogene Daten handelt, sollten Sie nach Auffassung der ICO die Einwilligung auch als Ihre Rechtsgrundlage nach der UK GDPR für die anschließende Verarbeitung nutzen.

Die Hinweise der ICO nennen fünf Ausnahmen vom Verbot, Informationen auf einem Gerät zu speichern oder darauf zuzugreifen. Jede gilt nur, wenn Ihre Nutzung bei ihrem Zweck bleibt.

• Kommunikation: der alleinige Zweck ist die Übertragung einer Kommunikation über ein Netz – zum Beispiel ein Sitzungs-Cookie für den Lastausgleich.
• Unbedingt erforderlich: die Speicherung oder der Zugriff ist unbedingt erforderlich, um den vom Nutzer angefragten Dienst bereitzustellen. Beispiele der PECR sind die Sicherheit des Geräts, die Verhinderung oder Aufdeckung von Betrug, das Erkennen technischer Fehler und die Authentifizierung des Nutzers. Werbe-Cookies sind nicht unbedingt erforderlich, auch wenn die Einnahmen Ihre Website finanzieren.
• Statistikzwecke (Analytics): der alleinige Zweck ist die Erhebung statistischer Informationen über die Nutzung Ihres Dienstes mit Blick auf dessen Verbesserung. Die erhobenen Informationen dürfen nur mit anderen geteilt werden, um Ihnen bei der Verbesserung des Dienstes oder der Website zu helfen. Sie müssen klare und umfassende Informationen und eine einfache, kostenlose Möglichkeit des Widerspruchs bieten. Wiederholen Sie dieselbe Speicherung oder denselben Zugriff zum selben Zweck, genügt es laut Schedule A1, diese Bedingungen bei der ersten Nutzung zu erfüllen.
• Darstellung: der alleinige Zweck ist die Anpassung von Aussehen oder Funktionsweise des Dienstes an die Vorlieben des Nutzers, mit denselben Informations- und Widerspruchspflichten.
• Notfallhilfe: der alleinige Zweck ist die Ortung eines Geräts, damit Notfallhilfe geleistet werden kann.

Die Falle des alleinigen Zwecks

Die ICO stellt klar, dass Sie sich nicht auf die Statistik-Ausnahme berufen können, während Sie dieselben Informationen auch für etwas anderes nutzen, etwa für Online-Werbung. Werbebezogene Zwecke – Frequency Capping, Werbemessung, Erkennung von Klickbetrug und Ähnliches – fallen unter keine Ausnahme. Wenn Sie Analytics von Drittanbietern nutzen, brauchen Sie geeignete Vereinbarungen mit dem Anbieter, und jede Einwilligungsanfrage muss die beteiligten Dritten nennen.

Der Secretary of State kann Ausnahmen per Verordnung hinzufügen oder ändern, nach Anhörung der ICO und mit Zustimmung beider Häuser des Parlaments. Am 18. Mai 2026 veröffentlichte die ICO ihren Rat an die Regierung, wie Regulation 6 geändert werden könnte, damit bestimmte risikoarme Formen von Online-Werbung ohne Einwilligung laufen dürfen. Die ICO betont, dass sich zum jetzigen Zeitpunkt nichts geändert hat und die bestehenden PECR-Regeln weiter gelten. Als wir im Oktober 2026 nachsahen, zeigte legislation.gov.uk keine ausstehenden Änderungen an Schedule A1, Werbung braucht also weiterhin eine Einwilligung.

Diese Tabelle fasst die Lage so zusammen, wie die ICO sie beschreibt. Grenzfälle hängen davon ab, wie genau ein Tool konfiguriert ist; verstehen Sie sie daher als Ausgangspunkt für Ihr eigenes Audit.

Bis zum 4. Februar 2026 enthielt Regulation 6(4) nur zwei Ausnahmen: Kommunikation und unbedingt erforderlich. Die ICO hat stets gesagt, „unbedingt erforderlich“ bedeute wesentlich für die Bereitstellung des vom Nutzer angefragten Dienstes, nicht bloß nützlich für den Anbieter. Analytics brauchte deshalb normalerweise eine Einwilligung, bevor die neue Ausnahme für Statistikzwecke kam.

Die Einwilligungshinweise der ICO sind konkret. In der Praxis tut ein konformes Banner auf einer Firmenwebsite Folgendes:

• Es setzt keine nicht ausgenommenen Technologien, bevor der Nutzer aktiv eingewilligt hat, und hält deren Schalter in einem Bereich „Weitere Optionen“ standardmäßig ausgeschaltet.
• Es macht das Ablehnen so einfach wie das Akzeptieren. Das Beispiel guter Praxis der ICO zeigt gleich auffällige Optionen „Alle akzeptieren“ und „Alle ablehnen“ neben einer Schaltfläche „Weitere Optionen“; ihr Beispiel schlechter Praxis bietet „Alle akzeptieren“ und „Weitere Optionen“ ohne „Alle ablehnen“.
• Es stützt sich nicht auf Formulierungen wie „Wenn Sie unsere Website weiter nutzen, willigen Sie ein“, auch nicht mit einer „OK“-Schaltfläche daneben. Die ICO wertet dies als Vorab-Aktivierung von Technologien ohne Einwilligung.
• Es lässt Nutzer die Einwilligung so einfach widerrufen, wie sie sie erteilt haben, und sagt ihnen, wie sie ihre Wahl erneut aufrufen können, zum Beispiel über ein Einstellungssymbol oder einen Link, die verfügbar bleiben.
• Es sagt den Nutzern, mit welchen Dritten ihre Informationen geteilt werden, entweder auf der ersten Ebene oder auf einer zweiten Ebene, auf die die erste klar hinweist.
• Es respektiert eine Ablehnung: Technologien werden nur gesetzt, wenn eine wirksame Einwilligung vorliegt oder eine Ausnahme greift.

Am 23. Januar 2025 kündigte die ICO Pläne an, die 1,000 größten Websites des Vereinigten Königreichs zur Konformität zu bringen. Sie hatte bereits die ersten 200 geprüft und bei 134 davon Bedenken geäußert. Am 4. Dezember 2025 berichtete sie, dass 979 der 1,000 größten Websites bei ihrem jüngsten Test die Konformitätsprüfungen bestanden: 415 ohne jedes Eingreifen und 564, nachdem sie zunächst durchgefallen waren und die ICO sie kontaktiert hatte. Die ICO begann mit Schreiben, leitete Untersuchungen ein, wo das nichts brachte, und erließ in 17 Fällen vorläufige Durchsetzungsbescheide. Außerdem sagte sie, Einwilligungsplattformen hätten ihre Banneroptionen so geändert, dass sie standardmäßig konform seien. Mit ihren endgültigen Hinweisen im April 2026 bezifferte die ICO den Anteil der 1,000 größten Websites, die ihre Standards für Cookie-Banner erfüllen, auf 99 %.

Der DUAA gleicht die Durchsetzung der PECR außerdem an die UK-GDPR-Regelung nach dem Data Protection Act 2018 an. Seit dem 5. Februar 2026 kann die ICO nach der PECR Bußgelder bis zu £17.5 Millionen oder 4 % des weltweiten Umsatzes verhängen. Ihre Hinweise zu Speicherung und Zugriff besagen, sie werde neue Hinweise zu ihrem Vorgehen bei der PECR-Durchsetzung erarbeiten, die die Regulatory Action Policy ersetzen. Als wir im Oktober 2026 nachsahen, hieß es in diesem Kapitel weiterhin, in der Zwischenzeit gelte die Regulatory Action Policy, und Geldbußen seien den schwersten Verstößen vorbehalten. Für ein kleines Unternehmen ist der realistische erste Schritt ein Schreiben, kein Bußgeld – doch das ist kein Grund, ein fehlerhaftes Banner stehen zu lassen.

1. Prüfen Sie, was tatsächlich geladen wird. Öffnen Sie die Website in einem sauberen Browser und listen Sie jeden Cookie, jedes Pixel, jeden Local-Storage-Eintrag, jedes Skript und jeden Tag auf: wer ihn setzt, wofür und wie lange er gilt. Prüfen Sie Checkout-, Buchungs- und Seiten mit eingebettetem Video, nicht nur die Startseite.
2. Ordnen Sie jeden Eintrag ein, gemessen an den fünf Ausnahmen. Alles mit Werbezweck oder seitenübergreifendem Zweck gehört in die Kategorie mit Einwilligung.
3. Entscheiden Sie über Analytics. Wenn Sie Analytics ohne Einwilligung betreiben wollen, konfigurieren Sie es nur für Statistik, schalten Sie Werbefunktionen und Datenweitergabe aus und prüfen Sie Ihren Vertrag mit dem Anbieter. Sagen Sie den Nutzern, was Sie erheben, und bieten Sie einen einfachen, kostenlosen Widerspruch.
4. Konfigurieren Sie Ihre Einwilligungsplattform (CMP): blockieren Sie nicht ausgenommene Tags standardmäßig, zeigen Sie „Alle ablehnen“ so auffällig wie „Alle akzeptieren“, halten Sie nicht ausgenommene Kategorien standardmäßig ausgeschaltet, listen Sie Dritte auf und fügen Sie einen Einstellungslink hinzu, der verfügbar bleibt.
5. Aktualisieren Sie Ihren Datenschutz- und Cookie-Hinweis, damit die Informationen klar und umfassend sind, einschließlich des Widerspruchs gegen Analytics und Ihrer Transparenzinformationen nach der UK GDPR.
6. Führen Sie Nachweise über Einwilligungen: was der Nutzer sah (Bannerversion), was er wählte und wann.
7. Testen Sie nach jeder Änderung. Lehnen Sie alles ab und prüfen Sie dann die Netzwerk- und Speicher-Tabs des Browsers, um sicherzustellen, dass nichts Nicht-Ausgenommenes geladen wurde. Wiederholen Sie das, sobald das Marketing einen neuen Tag hinzufügt.

Häufige Verursacher auf Websites kleiner Unternehmen

Das Banner selbst ist oft nur ein Teil des Problems. Tracking kommt meist über später Hinzugefügtes: eingebettete Videos und Karten, Social-Media-Pixel, Live-Chat-Widgets, Buchungs- und Bewertungstools sowie A/B-Test-Skripte. Viele davon setzen schon beim Laden der Seite eigene Cookies oder lesen Geräteinformationen aus. Laden Sie sie erst nach der Einwilligung, oder nutzen Sie einen datenschutzfreundlichen Modus oder einen Platzhalter mit Klick-zum-Laden, wo der Anbieter einen bietet.

Cookie-Konformität ist meist ein Umsetzungsproblem: Tags feuern zu früh, Banner sind auf Beeinflussung gestaltet, und Analytics-Einstellungen verschieben sich. Wir richten Einwilligungsmanagement, das Laden von Tags und die Analytics-Konfiguration als Teil unserer Web-Projekte und der Wartung ein – siehe unsere Leistungen. Wenn wir prüfen sollen, was Ihre Website heute lädt, nehmen Sie Kontakt auf.

• Data (Use and Access) Act 2025, section 112 – Storing information in the terminal equipment of a subscriber or user
• Privacy and Electronic Communications (EC Directive) Regulations 2003, Schedule A1
• PECR regulation 6 as it stood on 4 February 2026 (legislation.gov.uk, point in time)
• The Data (Use and Access) Act 2025 (Commencement No. 6 and Transitional and Saving Provisions) Regulations 2026, regulation 2
• GOV.UK – Data (Use and Access) Act 2025: factsheets
• GOV.UK – Data (Use and Access) Act factsheet: PEC Regulations
• ICO – Guidance on the use of storage and access technologies: About this guidance
• ICO – Guidance on the use of storage and access technologies: What are the exceptions?
• ICO – Guidance on the use of storage and access technologies: How do the PECR rules relate to the UK GDPR?
• ICO – Guidance on the use of storage and access technologies: How do we manage consent in practice?
• ICO – Guidance on the use of storage and access technologies: What happens if we don’t comply?
• ICO – Final storage and access technologies guidance published (29 April 2026)
• ICO – Statement on the commencement of the Data (Use and Access) Act (DUAA)
• ICO – What is valid consent?
• ICO – What are PECR?
• ICO – Fact vs fiction: ICO debunks myths on storage and access technologies (September 2025)
• ICO – ICO takes action to tackle cookie compliance across the UK’s top 1,000 websites (January 2025)
• ICO – ICO action secures increased cookie compliance (December 2025)
• ICO – Our advice to government on potential changes to online advertising rules (18 May 2026)