Privacy · Belege aus der Praxis
Was ein Consent-Fehler wirklich kostet.
Die französische Datenschutzbehörde CNIL hat 2025 mehrere Unternehmen mit Millionenbeträgen gebüsst, weil Cookies trotz Ablehnung weiterliefen oder schon vor der Wahl gesetzt wurden. Das sind Fehler der Technik, und sie lassen sich messen, bevor eine Behörde es tut.
Vier Entscheide der CNIL
Wer gebüsst wurde, und wofür
EUR 150 Mio.
Shein, September 2025
Die Behörde büsste die Betreiberin von shein.com, weil Werbe-Cookies ohne Zustimmung gesetzt wurden und auch dann weiterliefen, wenn Besucher sie ausdrücklich abgelehnt hatten.
CNIL, Beschluss vom 1. September 2025 · Shein hat Rechtsmittel angekündigt · Quelle ↗
EUR 1,5 Mio.
American Express, November 2025
Cookies wurden ohne Einwilligung oder trotz Ablehnung gesetzt, und bereits gesetzte Cookies wurden nach einem Widerruf weiter gelesen.
CNIL, Beschluss vom 27. November 2025 · Quelle ↗
EUR 750'000
Condé Nast, vanityfair.fr, November 2025
Nicht notwendige Cookies wurden gesetzt, bevor Besucher im Banner antworten konnten. Die Behörde hatte dieselbe Art Mangel schon 2021 angemahnt und wertete das bei der Höhe der Busse.
CNIL, Beschluss vom 20. November 2025 · Quelle ↗
EUR 150 Mio. und 60 Mio.
Google und Facebook, Januar 2022
Google wurde mit 150 Millionen gebüsst, Facebook mit 60 Millionen. Die Seiten boten einen Klick zum Akzeptieren, zum Ablehnen brauchte es mehrere. Das ist eine Frage der Gestaltung, die der Privacy Chaos Gate nicht prüft.
CNIL, Beschluss vom 6. Januar 2022 · Quelle ↗
Gemeinsamer Nenner
Das Banner sagte Nein. Die Technik lief weiter.
In den drei neueren Fällen verhielt sich die Seite anders, als das Banner versprach: Cookies vor der Wahl, trotz Ablehnung, nach dem Widerruf. Genau diese Szenarien prüft der Privacy Chaos Gate, dazu Schnellklick, Storage-Wipe, ausgefallene Consent-Software und zehn weitere. Du bekommst die Requests als Beleg, nicht nur eine Einschätzung.
Schweiz und EU
Und bei dir?
Schweiz: Wer die Informationspflicht nach Art. 19 DSG vorsätzlich verletzt, kann auf Antrag mit einer Busse bis CHF 250'000 bestraft werden (Art. 60 DSG). Die Busse trifft die verantwortliche Person, nicht die Firma. Ob ein bestimmter Tracking-Fehler darunter fällt, hängt vom Einzelfall ab. Kommentar zu Art. 60 DSG ↗
EU: Richtet sich deine Website an Besucher in der EU oder beobachtest du deren Verhalten, kann auch EU-Recht gelten (Art. 3 Abs. 2 DSGVO). Die Fälle oben hat die CNIL nach französischem Recht entschieden (Art. 82 des Datenschutzgesetzes).
Das ist keine Rechtsberatung. Für die rechtliche Einordnung deiner Seite brauchst du eine Fachperson.
Vorgehen
Messen, beheben, nachweisen
schritt 1
Scan
Der Privacy Chaos Gate läuft mit 16 Szenarien gegen deine Staging- oder Live-Seite.
schritt 2
Bericht
Befunde mit den ausgelösten Requests, nach Priorität geordnet, mit Fix-Vorschlag für deinen Entwickler.
schritt 3
Nachweis
Ein zweiter Lauf zeigt, ob die Korrektur hält.
Grenzen
Was der Scan nicht ist
Ein Schutz vor Bussen?
Nein.
Ein bestandener Scan ist ein Messergebnis zu einem Zeitpunkt, kein Freispruch.
Rechtsberatung?
Nein.
Der Bericht ist ein technisches Hilfsmittel.
Eine Prüfung der Banner-Gestaltung?
Nein.
Geprüft wird das technische Verhalten, nicht, wie leicht man «Ablehnen» findet.
Weisst du, was dein Banner im Hintergrund auslöst?
Schreib die Adresse deiner Website und welche Consent-Software du einsetzt. Ich sage dir, ob sich ein Scan lohnt.
Eine Mail · Antwort in der Regel innerhalb von 24h