Das Argument, zu dem die Behörde griff

Die belgische Datenschutzbehörde hat als federführende Aufsichtsbehörde versucht, eine Cookie-Beschwerde zu schließen, ohne das Cookie-Banner jemals zu prüfen. Ihr Vorschlag lautete, den Fall als Rechtsmissbrauch nach Artikel 77 und Artikel 80 Absatz 1 DSGVO abzuweisen. Die Beschwerde betraf das Einwilligungsbanner der Vlaamse Radio- en Televisieomroeporganisatie, des flämischen öffentlich-rechtlichen Rundfunks, und sie kam von noyb, der Datenschutzorganisation, die über den Vertretungsweg des Artikels 80 Absatz 1 DSGVO in großer Zahl Beschwerden einreicht.

Die österreichische Datenschutzbehörde erhob Einspruch. Dieser Einspruch hat die Akte aus Belgien heraus in das Kohärenzverfahren gebracht, und deshalb hat am Ende der Europäische Datenschutzausschuss nach Artikel 65 Absatz 1 Buchstabe a DSGVO entschieden, statt dass die belgische Behörde die Sache einfach abschließt.

Das Ergebnis ist der Verbindliche Beschluss 1/2026. Angenommen wurde er am 28. Mai 2026, veröffentlicht am 14. Juli 2026. Die Annahme ist das ältere Ereignis. Die Veröffentlichung am 14. Juli hat die Begründung vor jeden gebracht, der in der Europäischen Union ein Banner betreibt.

Was der Ausschuss am 28. Mai entschied

Der Europäische Datenschutzausschuss sah keinen Rechtsmissbrauch, und er sah keines der beiden Elemente erfüllt, die eine solche Feststellung verlangt. Gestützt auf die Maßstäbe des Gerichtshofs der Europäischen Union befand er, dass weder das objektive noch das subjektive Element vorlag.

Anschließend wies er die federführende Aufsichtsbehörde an, die Beschwerde in der Sache zu prüfen und nach Artikel 60 Absatz 3 DSGVO einen neuen Beschlussentwurf vorzulegen. Eine Frist für diesen neuen Entwurf ist nicht genannt.

Genau gelesen ist das eine Verfahrensentscheidung und nichts weiter. Sie schafft keine Regel zur Gestaltung von Bannern. Sie stellt kein Fehlverhalten des Rundfunks fest. In der Sache ist nichts entschieden, keine Sanktion ist festgesetzt, und die Frage, ob das Banner rechtmäßig war, steht genau dort, wo sie 2021 stand, und wartet auf eine Antwort.

Menge macht ein Mandat nicht verdächtig

Eine verfahrensrechtliche Notluke ist gerade zugefallen, und es war jene, auf die sich die meisten Betreiber still verlassen haben. Das Argument hatte einen offensichtlichen Reiz. Diese Beschwerde ist eine von Tausenden einer Aktivistenorganisation, also behandelt man die Einreichung selbst als den Mangel und weist sie ab. Eine nationale Behörde hat dieses Argument als federführende Stelle tatsächlich vorgetragen. Der Ausschuss hat es in einem verbindlichen Beschluss zurückgewiesen.

Der berichtete Grundsatz lautet, dass ein wirksames Mandat nach Artikel 80 Absatz 1 DSGVO nicht schon deshalb verdächtig wird, weil die vertretende Organisation in großem Umfang tätig ist. Diese Formulierung stammt aus der Berichterstattung über den Beschluss und nicht aus dem Beschlusstext, und deshalb sollte man sie mit Vorsicht führen. Am Ergebnis selbst besteht kein Zweifel.

Die Folge für einen Eigentümer ist unmittelbar. Ihr Risiko bei einem Einwilligungsbanner entscheidet sich an der Gestaltung des Banners, nicht daran, wer sich beschwert hat oder wie viele Beschwerden er eingereicht hat. Jede Verteidigung, die auf der Identität oder dem Durchsatz des Beschwerdeführers aufbaut, ist jetzt eine Verteidigung, mit der eine federführende Behörde es versucht und verloren hat.

Fünf Jahre in der Warteschlange, und noch lebendig

Die Beschwerde wurde am 10. August 2021 eingereicht. Erst jetzt, fast fünf Jahre später, geht sie zur inhaltlichen Entscheidung zurück. Sie lag in einer Warteschlange, und das Liegen hat an ihrer Stellung nichts geändert.

Die Lehre, die wir daraus ziehen, ist, dass eine ruhende Beschwerde ihre volle Kraft behält. Ein Banner, das Sie 2023 repariert haben, erledigt nicht die Beschwerde, die jemand gegen die 2021 betriebene Fassung eingereicht hat. Gehen Sie davon aus, dass die vor Jahren ausgelieferte Fassung weiterhin prüfbar ist, denn in diesem Fall ist sie es.

Was sich dadurch auf Ihrer Website ändert

Arbeiten Sie mit der Annahme, dass das vor Jahren betriebene Banner weiterhin prüfbar ist, und nicht mit dem Alter Ihres Archivs. Wenn Sie die Einwilligungsoberfläche in ihrer Fassung von 2021 oder 2022 nicht vorlegen können, können Sie nicht zeigen, was eine Aufsichtsbehörde tatsächlich prüfen würde, und Sie streiten über einen Bildschirm, den Sie nicht mehr haben.

Führen Sie deshalb versionierte Aufzeichnungen des Banners selbst. Den Wortlaut, die Hierarchie der Schaltflächen, die Voreinstellungen, die Ebene, auf der die Ablehnung angeboten wurde. Das sind die Dinge, die eine inhaltliche Prüfung betrachtet, und es sind die Dinge, die sich still verändern, sobald eine Einwilligungsplattform ein Update ausrollt.

Und hören Sie auf, die Zahl der Einreichungen als Risikosignal zu lesen. Wie viele Beschwerden eine Organisation einreicht, sagt Ihnen nichts darüber, ob die gegen Sie gerichtete gehört wird. Der Verbindliche Beschluss 1/2026 deutet darauf hin, dass sie es wird.

Weiterlesen: Die EU schreibt die DSGVO neu  |  Der erste Auskunftsantrag kann Missbrauch sein