Arbeitsbereich

Leitfaden · Britische Verordnung

UK GDPR und Cookies im Vereinigten Königreich, ohne Juristendeutsch

Nach dem Brexit hat das Vereinigte Königreich eigene Datenschutz- und Cookie-Regeln. 2026 haben sie sich erneut geändert: Es gibt Ausnahmen von der Einwilligung, die Cookie-Strafen sind gestiegen, und die Aufsichtsbehörde hat einen neuen Namen. Dieser Leitfaden erklärt, was heute für eine Website mit AdSense oder Ad Manager gilt, die britische Besucher erhält.

Meinen Traffic aus dem Vereinigten Königreich prüfenLeitfaden lesen
  • ✓Basiert auf der britischen Gesetzgebung und der offiziellen Orientierung der Aufsichtsbehörde
  • ✓Beispiele für Websites mit Anzeigen, auch aus Brasilien
  • ✓Lesen, ohne die Website zu verändern
17,5 Mio. £Obergrenze der schwersten Strafen des UK GDPR
4%des weltweiten Jahresumsatzes, wenn dieser Wert höher als die feste Obergrenze ist
5Ausnahmen von der Einwilligung für Cookies, die die offizielle Orientierung von 2026 vorsieht
72 hFrist, um die Aufsichtsbehörde über eine Datenpanne zu informieren, die ein Risiko für Personen schafft

Was es ist

Drei Regeln, die zusammenwirken

Als das Vereinigte Königreich die Europäische Union verließ, übernahm es die europäische DSGVO in die eigene Gesetzgebung. Diese Kopie, in Kraft seit dem 1. Januar 2021, heißt UK GDPR. Sie wirkt zusammen mit dem Data Protection Act 2018, dem britischen Gesetz, das den Text ergänzt und anpasst, und mit dem PECR, der Verordnung von 2003 zu Cookies, E-Mail-Marketing und elektronischer Kommunikation.

In der Praxis legt das UK GDPR fest, was personenbezogene Daten sind, wann sie verwendet werden dürfen und welche Rechte Personen haben. Das PECR beantwortet eine speziellere Frage: wann eine Website Informationen auf dem Gerät des Besuchers speichern oder lesen darf. Cookies, Pixel, lokaler Browserspeicher, Geräte-Fingerprinting und Tracking-Skripte fallen alle unter diese Regel.

Das Gesetz gilt für im Vereinigten Königreich ansässige Unternehmen und auch für Unternehmen von außerhalb, die Personen im Land Produkte oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Eine brasilianische Website, die Anzeigen-Cookies nutzt, um Profile britischer Besucher zu erstellen, beobachtet Verhalten, auch ohne Büro in London.

2025 hat der Data (Use and Access) Act 2025 alle drei Regelwerke geändert. Der Großteil der Änderungen gilt seit dem 5. Februar 2026. Und am 30. September 2026 wurde die Aufsichtsbehörde ICO durch die Information Commission abgelöst, die dieselben Aufgaben und Befugnisse übernommen hat.

Checkliste

Was Sie erfüllen müssen

Das sind die Punkte, die die britische Aufsichtsbehörde und Google von einer Website mit Werbung verlangen, die Besucher aus dem Vereinigten Königreich hat.

  1. Eine von Google zertifizierte CMP verwenden

    Seit dem 16. Januar 2024 verlangt Google eine zertifizierte CMP mit IAB-TCF-Integration, um im Vereinigten Königreich personalisierte Anzeigen auszuspielen. Ohne sie darf dieser Traffic nur nicht personalisierte oder eingeschränkte Anzeigen erhalten.

    Beispiel

    Erstellen Sie unter Datenschutz & Mitteilungen die Mitteilung zu europäischen Bestimmungen, die für den EWR, das Vereinigte Königreich und die Schweiz gilt.

  2. Holen Sie die Einwilligung für jedes Werbe-Cookie ein

    Die offizielle Orientierungshilfe sagt, dass Online-Werbung nie von der Einwilligungspflicht ausgenommen war. Werbe-Cookies und -Pixel dürfen erst nach einer gültigen Einwilligung gesetzt werden.

    Beispiel

    Das Remarketing-Pixel lädt erst nach dem Klick auf Einwilligen.

  3. Machen Sie das Ablehnen so einfach wie das Akzeptieren

    Die Aufsichtsbehörde erwartet, dass Ablehnen genauso wenig Aufwand macht wie Akzeptieren. Schweigen oder ausbleibende Antwort gelten nicht als Einwilligung.

    Beispiel

    Einwilligen und Nicht einwilligen stehen auf dem ersten Bildschirm direkt beieinander und sind gleich groß.

  4. Beginnen Sie mit allem ausgeschaltet

    Die Optionen für Technologien, die eine Einwilligung brauchen, müssen standardmäßig ausgeschaltet sein. Nur die aktive Wahl des Besuchers darf sie einschalten.

    Beispiel

    Auf dem Einstellungsbildschirm stehen die Schalter für Werbung und Anzeigenmessung zunächst auf aus.

  5. Nennen Sie, wer die Dritten sind

    Damit die Einwilligung gilt, muss die Website die Identität der Dritten nennen, die die Daten erhalten.

    Beispiel

    Das Banner hat einen Link zur Partnerliste mit Google und jedem Werbenetzwerk der Website.

  6. Erlauben Sie den Widerruf der Einwilligung jederzeit

    Das Gesetz verlangt, dass der Besucher die Einwilligung jederzeit widerrufen kann. Die Richtlinie von Google verlangt dafür ebenfalls klare Anweisungen.

    Beispiel

    Ein fester Link im Footer, Datenschutzeinstellungen, öffnet das Banner erneut.

  7. Nutzen Sie die Ausnahmen nur mit Hinweis und einfacher Ablehnung

    Statistik- und Darstellungs-Cookies können von der Einwilligung befreit sein, aber die Website muss den Zweck erklären und eine einfache, kostenlose Möglichkeit zum Ablehnen bieten. Diese Ausnahmen gelten nicht für Werbung.

    Beispiel

    Auf der Cookie-Seite: Wir verwenden Statistik-Cookies, um die Website zu verbessern, und Sie können sie mit diesem Button ausschalten.

  8. Prüfen Sie, ob Sie die Gebühr an die Aufsichtsbehörde zahlen müssen

    Organisationen, die personenbezogene Daten verwenden, müssen die Datenschutzgebühr zahlen, sofern sie nicht befreit sind. Prüfen Sie auf der Website der Aufsichtsbehörde, ob das auf Sie zutrifft.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Für personalisierte Anzeigen im Vereinigten Königreich verlangt Google eine zertifizierte CMP, und dies sind die offiziellen Seiten zum Auswählen und Einrichten.

Definitionen

Die Wörter, die überall auftauchen

Es sind dieselben Konzepte wie in der europäischen DSGVO, mit einigen neuen Namen aus der Reform von 2025.

Personenbezogenes Datum

Jede Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist. Online-Kennungen wie Cookies, Werbe-IDs und IP-Adresse zählen normalerweise als personenbezogene Daten.

Verantwortlicher und Auftragsverarbeiter

Der Verantwortliche entscheidet, warum und wie Daten verwendet werden, wie der Inhaber der Website. Der Auftragsverarbeiter verarbeitet die Daten in seinem Namen, etwa ein Hosting- oder E-Mail-Unternehmen.

Speicher- und Zugriffstechnologien

So nennt die Aufsichtsbehörde jetzt Cookies und alles, was dieselbe Rolle erfüllt: Pixel, Web Storage, Fingerprinting und Skripte, die Daten vom Gerät lesen.

Einwilligung

Eine freie, spezifische, informierte Entscheidung, die durch eine klare Handlung getroffen wird, etwa den Klick auf Akzeptieren. Schweigen, vorausgewählte Kästchen oder weiteres Surfen gelten nicht als Einwilligung.

Rechtsgrundlagen und Einwilligung

Wann man um Erlaubnis fragen muss

Das UK GDPR verlangt für jede Verwendung personenbezogener Daten eine Rechtsgrundlage. Die häufigsten sind Einwilligung, Vertragserfüllung, rechtliche Verpflichtung und berechtigtes Interesse. Die Reform von 2025 schuf eine Liste anerkannter berechtigter Interessen, etwa Verbrechensverhütung und Notfallsituationen, die vom Abwägungstest befreit sind. Werbung steht nicht auf dieser Liste.

Bei Cookies bestimmt das PECR. Die allgemeine Regel bleibt gleich: Etwas auf dem Gerät des Besuchers zu speichern oder zu lesen erfordert eine Einwilligung, es sei denn, die Nutzung fällt unter eine Ausnahme. Der Maßstab für die Einwilligung ist der des UK GDPR, und die Aufsichtsbehörde erwartet, dass Ablehnen genauso einfach ist wie Akzeptieren.

Seit dem 5. Februar 2026 gibt es fünf Ausnahmen: Übermittlung der Kommunikation, unbedingt erforderlicher Dienst, Statistik zur Verbesserung des eigenen Dienstes, vom Nutzer gewähltes Erscheinungsbild oder gewählte Funktion und Notfallhilfe. Bei den Ausnahmen für Statistik und Erscheinungsbild muss die Website klar informieren und eine einfache, kostenlose Möglichkeit zur Ablehnung bieten.

Die offizielle Orientierung ist eindeutig: Keine der Ausnahmen deckt Online-Werbung ab. Cookies und Pixel für personalisierte Anzeigen, Anzeigenmessung und Remarketing hängen weiter von der Einwilligung ab. Im Mai 2026 schlug die Aufsichtsbehörde der Regierung vor, eine Ausnahme für risikoarme Werbung zu prüfen, aber bisher hat sich am Gesetz nichts geändert.

Rechte der Personen

Was der Besucher von Ihrer Website verlangen kann

Jede Person im Vereinigten Königreich kann diese Rechte ausüben. Die Website muss einen Kanal haben, um Anfragen zu empfangen und fristgerecht zu beantworten.

Wissen und Zugriff

Klare Informationen über die Nutzung der Daten erhalten und eine Kopie dessen, was die Website über sie speichert, in der Regel innerhalb eines Monats.

Berichtigen und löschen

Die Berichtigung falscher Daten und die Löschung verlangen, wenn es keinen Grund mehr gibt, sie zu speichern, zum Beispiel nach dem Widerruf der Einwilligung.

Dem Marketing widersprechen

Der Nutzung der Daten für Direktmarketing jederzeit widersprechen. In diesem Fall ist der Widerspruch absolut, und die Website muss aufhören.

Einwilligung widerrufen

Die Meinung zu Cookies so leicht ändern, wie man zugestimmt hat. Ein fester Link zum erneuten Öffnen der Einstellungen löst das.

Automatisierte Entscheidungen

Informiert werden, widersprechen und eine menschliche Überprüfung verlangen, wenn eine wichtige Entscheidung nur von einem System getroffen wird.

Beim Verantwortlichen Beschwerde einlegen

Seit dem 19. Juni 2026 muss, wer Daten verarbeitet, ein Beschwerdeverfahren haben und den Eingang innerhalb von 30 Tagen bestätigen.

Pflichten

Was eine Website mit britischen Besuchern tun muss

  1. Eine vollständige Datenschutzerklärung veröffentlichenSagen Sie, wer für die Website verantwortlich ist, welche Daten sie erhebt, wofür, mit welcher Rechtsgrundlage, mit wem sie sie teilt, wie lange sie sie speichert und wie die Person ihre Rechte ausübt. Nennen Sie die Werbepartner und die Übermittlung von Daten ins Ausland.
  2. Ein Banner mit echter Wahl zeigenHolen Sie vor jedem Anzeigen-Cookie oder jeder Anzeigenmessung die Einwilligung ein. Akzeptieren und Ablehnen müssen das gleiche visuelle Gewicht haben und auf demselben Bildschirm stehen.
  3. Blockieren, was von der Einwilligung abhängtPixel, Remarketing und personalisierte Anzeigen dürfen erst nach der Zustimmung auslösen. Ohne Antwort behandelt die Website es als Ablehnung.
  4. Die Ausnahmen transparent nutzenWenn Sie Statistik- oder Präferenz-Cookies ohne Einwilligung verwenden, erklären Sie das auf der Cookie-Seite und bieten Sie eine einfache Möglichkeit zum Abschalten.
  5. Sicherheit und Datenpannen beachtenSchützen Sie die Daten und informieren Sie die Aufsichtsbehörde innerhalb von 72 Stunden, wenn eine Datenpanne ein Risiko für Personen bedeuten kann. Bei hohem Risiko informieren Sie auch die Betroffenen.
  6. Ordnung haltenHaben Sie Verträge mit den Anbietern, die Daten verarbeiten, führen Sie bei Nutzungen mit hohem Risiko eine Folgenabschätzung durch und prüfen Sie, ob das Unternehmen die Jahresgebühr an die Aufsichtsbehörde zahlen muss.

Durchsetzung und Strafen

Was ein Fehler kostet

Die Aufsichtsbehörde beginnt meist mit Verwarnungen und Abhilfeanordnungen, aber die Höchststrafen sind hoch, und die Reform von 2025 hat auch die Befugnisse bei Cookies gestärkt.

Höhere Obergrenze des UK GDPR

Bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist, für die schwersten Verstöße, etwa Datenverarbeitung ohne Rechtsgrundlage.

Standardobergrenze

Bis zu 8,7 Millionen Pfund oder 2 % des weltweiten Jahresumsatzes bei Mängeln wie unvollständigen Verzeichnissen oder unzureichender Sicherheit.

Größere Befugnisse bei Cookies

Die Reform von 2025 hat die Kontroll- und Strafbefugnisse der Aufsichtsbehörde beim PECR erweitert. Die neuen Regeln gelten für Verhalten ab dem 5. Februar 2026.

Aktive Kontrolle

Im Januar 2025 kündigte die Aufsichtsbehörde die Überprüfung der Banner der tausend meistbesuchten Websites des Landes an. Im April 2026 teilte sie mit, dass 99 % bereits die Standards erfüllten.

Zeitleiste

Wie die Regeln bis hierher gekommen sind

Die Termine, die für alle mit Besuchern aus dem Vereinigten Königreich am wichtigsten sind.

  1. 2003

    Das PECR entsteht

    Die britische Verordnung über elektronische Kommunikation regelt nun Cookies und elektronisches Marketing.

  2. 25. Mai 2018

    DSGVO und Data Protection Act 2018

    Die europäische DSGVO gilt im Vereinigten Königreich, zusammen mit dem neuen britischen Datenschutzgesetz.

  3. 1. Januar 2021

    Das UK GDPR beginnt

    Mit dem Ende der Brexit-Übergangsphase hat das Land seine eigene Version der DSGVO.

  4. 16. Januar 2024

    Zertifizierte CMP für Google-Anzeigen

    Für personalisierte Anzeigen im Vereinigten Königreich verlangen AdSense und Ad Manager eine zertifizierte, in das IAB TCF integrierte CMP.

  5. 19. Juni 2025

    Data (Use and Access) Act 2025

    Das Gesetz, das das UK GDPR, den Data Protection Act und das PECR reformiert, erhält die königliche Zustimmung.

  6. 5. Februar 2026

    Neue Ausnahmen und mehr Befugnisse

    Die neuen Ausnahmen für Cookies, die anerkannten berechtigten Interessen und die neuen Kontrollbefugnisse der Aufsichtsbehörde zum PECR treten in Kraft.

  7. 29. April 2026

    Endgültige Orientierung zu Cookies

    Die Aufsichtsbehörde veröffentlicht die endgültige Fassung der Orientierung zu Speicher- und Zugriffstechnologien.

  8. 30. September 2026

    Information Commission

    Das ICO wird durch die Information Commission ersetzt, ein Kollegialorgan mit denselben Aufgaben und Befugnissen.

Für alle mit AdSense oder Ad Manager

Was sich in der Praxis für die Einnahmen ändert

Google behandelt das Vereinigte Königreich genauso wie den Europäischen Wirtschaftsraum. Um britischen Besuchern personalisierte Anzeigen zu zeigen, braucht die Website eine von Google zertifizierte, in das IAB TCF integrierte CMP. Ohne sie erhält dieser Traffic nur nicht personalisierte oder eingeschränkte Anzeigen, die meist deutlich weniger einbringen.

Die CMP speichert die Auswahl des Besuchers in einem TC string und gibt die Signale des Consent Mode an die Google-Tags weiter. Wenn die Website auch Google Analytics oder Google Ads nutzt, müssen die vier Signale des Consent Mode widerspiegeln, was die Person im Banner gewählt hat.

Denken Sie an ein brasilianisches Rezeptportal, das einen kleinen Anteil an Besuchern aus dem Vereinigten Königreich hat, viele davon Brasilianer, die dort leben. Für das Publikum in Brasilien gilt die LGPD, für das britische das UK GDPR mit dem PECR. Die richtige Konfiguration zeigt die TCF-Meldung nur denen, die im Vereinigten Königreich, im EWR und in der Schweiz sind, ohne das brasilianische Publikum zu stören.

Die Datenschutzmeldung von AdSense und Ad Manager selbst ist zertifiziert und deckt das Vereinigte Königreich bereits ab. Wer eine andere CMP nutzt, muss bestätigen, dass sie auf der Liste von Google steht und das Vereinigte Königreich zu den konfigurierten Regionen gehört.

In der Praxis

Was im Vereinigten Königreich erlaubt ist und was nicht

Häufige Beispiele auf Nachrichten-, Rezept-, Finanz- und Jobwebsites mit britischen Besuchern.

Erlaubt

  • Statistik-Cookies zur Verbesserung der eigenen Website ohne Einwilligung nutzen, sofern Sie informieren und eine einfache Ablehnung anbieten
  • Die Sprach- oder Dunkelmodus-Präferenz des Besuchers auf Grundlage der Ausnahme für das Erscheinungsbild speichern
  • Die TCF-Meldung nur Besuchern aus dem Vereinigten Königreich, dem EWR und der Schweiz zeigen
  • Nicht personalisierte Anzeigen für alle zeigen, die abgelehnt haben
  • „Datenschutz und Messaging“ von AdSense oder Ad Manager verwenden, das bereits zertifiziert ist

Nicht erlaubt

  • Remarketing-Pixel oder Anzeigen-Cookies vor dem Klick auf Akzeptieren laden
  • Die Anzeigenmessung unter die Ausnahme für Statistik fassen
  • Nur die Schaltfläche Akzeptieren auf den ersten Bildschirm setzen und die Ablehnung in einem Menü verstecken
  • Ein gewöhnliches Cookie-Plugin, das nicht auf der Liste von Google steht, für britischen Traffic verwenden
  • Weiternavigieren wie eine Einwilligung behandeln

Häufige Fehler

Wo Websites am häufigsten ausrutschen

Das sind Fehler, die bei Prüfungen von Websites mit Traffic aus dem Vereinigten Königreich häufig auftreten.

Annehmen, dass der Brexit das Vereinigte Königreich aus der Regel genommen hat

Viele konfigurieren die CMP nur für die Europäische Union. Der britische Besucher bekommt keine Meldung, und Google liefert eingeschränkte Anzeigen aus.

Die Reform von 2025 als allgemeine Freigabe lesen

Die neuen Ausnahmen gelten für Statistik, Präferenzen und Notfälle. Für Anzeigen ist weiter eine Einwilligung nötig.

Banner, der nur dekoriert

Der Banner erscheint, aber die Anzeigen-Cookies wurden schon vor der Antwort gespeichert. Für die Aufsichtsbehörde ist das so, als würde man keine Einwilligung einholen.

Ablehnen schwieriger als Akzeptieren

Mit einem Klick akzeptieren und mit fünf ablehnen ist die Art von Gestaltung, die die Aufsichtsbehörde bei großen Websites bemängelt.

Allgemeine Datenschutzerklärung

Text von einer anderen Website kopiert, ohne Google, die Werbepartner, die internationalen Übermittlungen oder den Kanal für Anfragen zu nennen.

Ausnahme ohne Ablehnungsoption

Statistik- oder Erscheinungs-Cookies ohne Einwilligung zu nutzen und keine einfache Möglichkeit zum Abschalten zu bieten, verletzt die Bedingung der Ausnahme selbst.

In ConsentMode

Was die Prüfung für das Vereinigte Königreich kontrolliert

  • Öffnet die Website als Besucher aus dem Vereinigten Königreich und von außerhalb und hält fest, wo der Banner erscheint und welche Schaltflächen er bietet.
  • Erkennt die CMP am Seitencode und sagt, ob sie auf der Liste der zertifizierten CMPs von Google steht.
  • Liest den TC string und die Signale des Consent Mode und vergleicht sie mit der Auswahl des Besuchers.
  • Listet die Cookies und Netzwerkanfragen vor und nach der Zustimmung auf und weist darauf hin, was zu früh auslöst.
  • Prüft, ob die Datenschutzseite die Werbepartner, die Rechtsgrundlagen, die Rechte und einen Kontaktkanal nennt.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Meine Website ist brasilianisch und hat kein Unternehmen im Vereinigten Königreich. Gilt das Gesetz für mich?

Es gilt für die Besucher, die im Vereinigten Königreich sind, wenn die Website ihr Verhalten beobachtet, wie es bei Cookies für personalisierte Anzeigen der Fall ist. Und auch unabhängig vom Gesetz verlangt Google eine zertifizierte CMP, um diesem Publikum personalisierte Anzeigen zu zeigen.

Brauchen Cookies von Google Analytics weiter eine Einwilligung?

Das hängt von der Nutzung ab. Die Ausnahme für Statistik gilt, wenn die Daten nur dazu dienen, die eigene Website zu messen und zu verbessern, mit klarem Hinweis und einfacher Ablehnungsoption. Nutzt das Tool die Daten für Anzeigen oder für Zwecke des Anbieters selbst, gilt die Ausnahme nicht.

Gibt es das ICO nicht mehr? Wer kontrolliert jetzt?

Seit dem 30. September 2026 sind die Aufgaben des ICO auf die Information Commission übergegangen. Rolle und Befugnisse der Aufsichtsbehörde haben sich nicht geändert, und die tägliche Arbeit geht weiter; geändert hat sich das Leitungsmodell, das jetzt kollegial ist.

Hat die Reform von 2025 das Vereinigte Königreich flexibler gemacht als die Europäische Union?

In manchen Punkten ja, etwa bei den neuen Ausnahmen für Statistik und Präferenzen. Für personalisierte Anzeigen ist das praktische Ergebnis gleich: Einwilligung, bevor etwas auf dem Gerät gespeichert oder gelesen wird.

Kann ich eine CMP nur für das Vereinigte Königreich und eine andere für Europa nutzen?

Sie können, aber es lohnt sich selten. Die meisten zertifizierten CMPs decken EWR, Vereinigtes Königreich und Schweiz mit derselben Konfiguration ab, pro Region.

Was passiert mit dem Umsatz, wenn der Besucher ablehnt?

Google kann dieser Person weiterhin nicht personalisierte oder eingeschränkte Anzeigen zeigen. Der Umsatz pro Besuch ist meist niedriger, aber die Website verdient weiter Geld, ohne die Regel zu verletzen.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie, wie Ihre Website für einen britischen Besucher aussieht

Die Prüfung öffnet die Website aus dem Vereinigten Königreich, hält Banner und Cookies fest und zeigt, was zu beheben ist, ohne etwas zu verändern.

Audit starten