Die Einwilligung in Tracking ist jederzeit widerrufbar, und zwar so einfach, wie sie erteilt wurde. Das steht in Art. 7 Abs. 3 DSGVO und ist eine der wenigen Anforderungen an Cookie-Banner, über die niemand streitet. Erteilt wird die Einwilligung mit einem Klick. Widerrufen lässt sie sich auf der großen Mehrheit der geprüften Websites überhaupt nicht.
10.644 auswertbare Banner
7.575 auswertbare Banner
8.481 auswertbare Banner
Anteil der Cookie-Banner, auf deren Website wir keinen erreichbaren Weg gefunden haben, eine erteilte Einwilligung zurückzunehmen.
Wie wir den Widerruf geprüft haben
Wir laden die Website in einem frischen Browser, stimmen dem Banner zu und suchen anschließend seitenweit nach einem Weg zurück: ein Widerrufs-Element des Consent-Managers, ein wieder aufrufbares Banner, ein entsprechender Link im Fußbereich oder ein schwebendes Symbol. Findet der Scanner keinen dieser Wege, zählt die Prüfung als nicht bestanden. Geprüft wurden 10.644 Banner in Deutschland, 8.209 in Österreich, 7.575 in den Niederlanden und 8.481 in Frankreich, jeweils nur Seiten mit erkanntem Consent-Manager und auswertbarem Ergebnis.
Die am häufigsten verletzte Anforderung
Von allen Banner-Prüfungen, die wir durchführen, fällt diese am häufigsten durch, in jedem der vier Länder. In Deutschland 53,0 %, in Österreich 57,2 %, in den Niederlanden 73,9 % und in Frankreich 78,2 %. Zum Vergleich: Eine fehlende Ablehnen-Möglichkeit auf der ersten Ebene finden wir bei 31,4 % (Deutschland) bis 44,0 % (Niederlande), also deutlich seltener.
Sechs Banner-Anforderungen im Ländervergleich. Der fehlende Widerruf führt überall, die Vorauswahl ist überall das kleinere Problem.
Was als Widerrufsweg zählt
Die Anforderung klingt abstrakt, hat aber eine sehr konkrete technische Entsprechung. Als bestanden werten wir vier Umsetzungen:
- Ein schwebendes Symbol, meist unten links oder rechts, das das Banner erneut öffnet. Alle verbreiteten Consent-Manager bringen das mit, oft ist es nur abgeschaltet.
- Ein Link im Fußbereich, der das Banner erneut aufruft, typischerweise beschriftet mit „Cookie-Einstellungen" oder „Privatsphäre-Einstellungen".
- Ein Element in der Datenschutzerklärung, das den Dialog öffnet. Ein beschreibender Text allein genügt nicht, der Schalter muss dort sein.
- Ein erneut erscheinendes Banner nach dem Löschen der Einwilligung, sofern es ohne Umwege erreichbar ist.
Nicht als Widerrufsweg zählen wir eine E-Mail-Adresse, an die man sich wenden kann, einen Hinweis, man möge die Cookies im Browser löschen, oder eine Beschreibung ohne bedienbares Element. Man kann diese Einordnung streng finden. Der Maßstab des Gesetzes ist aber nicht, ob ein Widerruf theoretisch möglich ist, sondern ob er so einfach ist wie die Zustimmung, und die erfolgte mit einem Klick auf einen Knopf, der sich von selbst aufgedrängt hat.
Es liegt nicht am Werkzeug
Die naheliegende Vermutung wäre, dass bestimmte Consent-Manager den Widerruf schlicht nicht anbieten. Das trifft auf keines der verbreiteten Produkte zu. Alle können es, und bei den meisten ist es eine einzelne Einstellung.
Wie sehr das Ergebnis an der Einrichtung hängt und nicht am Produkt, zeigt eine verwandte Messung aus derselben Erhebung: Von den Seiten, die das WordPress-Plugin Complianz einsetzen, laden in Deutschland 21,5 % trotzdem Tracking vor der Einwilligung, in den Niederlanden 53,0 %. Gleiche Software, mehr als die doppelte Quote. Für den Widerruf gilt derselbe Mechanismus: Wer das Werkzeug einrichtet, schaltet ihn ein, wer es nur installiert, nicht. Am deutlichsten wird das bei den reichweitenstärksten Seiten: Sie haben häufiger ein Banner und trotzdem häufiger Tracking davor als der Durchschnitt.
Der Widerruf hat einen stillen Zwilling
Eine zweite Anforderung fällt fast ebenso häufig durch und hängt eng mit dem Widerruf zusammen: die Cookie-Laufzeit. CNIL und die deutschen Aufsichtsbehörden halten Einwilligungs-Cookies von mehr als dreizehn Monaten für zu lang, weil eine Einwilligung nicht unbegrenzt fortwirkt. Zu lange Laufzeiten finden wir bei 34,3 % der deutschen, 47,2 % der österreichischen, 54,8 % der französischen und 61,1 % der niederländischen Banner.
Beide Mängel haben dieselbe Ursache: Sie betreffen den Zeitraum nach dem Klick. Wer ein Banner ausschließlich daran misst, ob es die Zustimmung einholt, hat keinen Anlass, über das Danach nachzudenken. Zusammen genommen heißt das für einen großen Teil der geprüften Seiten: Die Einwilligung gilt praktisch unbegrenzt, und zurücknehmen lässt sie sich nicht.
Warum gerade diese Anforderung so oft fehlt
Weil sie nach dem Klick liegt. Ein Banner wird gebaut, um die Zustimmung einzuholen, und daran wird es gemessen, intern wie im Verkaufsgespräch. Was danach passiert, sieht niemand mehr, auch der Betreiber nicht. Alle gängigen Consent-Manager können den Widerruf, oft mit einem Schalter in der Konfiguration oder einem kurzen Link im Fußbereich. Es ist in aller Regel kein Programmier-, sondern ein Aufmerksamkeitsproblem.
Das macht diese Zeile zur dankbarsten in jedem Prüfbericht: hohe Trefferquote, unstrittige Rechtslage, kleiner Aufwand.
Grenzen dieser Auswertung
- Was wir grundsätzlich nicht messen können, steht gesammelt in einem eigenen Artikel.
- Wir prüfen Erreichbarkeit, nicht Wirksamkeit. Ob ein gefundener Widerrufsweg die gesetzten Cookies tatsächlich entfernt, ist eine andere Frage, die wir hier nicht beantworten.
- Ein Widerruf, der nur in der Datenschutzerklärung beschrieben wird, ohne bedienbares Element, zählt bei uns als nicht vorhanden. Man kann das strenger finden als nötig; wir halten einen Text ohne Schalter für keinen gleich einfachen Weg.
- Nur Seiten mit erkanntem Consent-Manager gehen in diese Quote ein. Seiten ohne Banner haben keinen Widerruf, brauchen aber je nach Tracking auch keine Einwilligung.
- Momentaufnahme aus dem Audit-Lauf Anfang Oktober 2026.
Für Agenturen: die günstigste Zeile im Bericht
Wenn Sie einen Bestand übernehmen, ist das der erste Griff. Der Widerruf betrifft mehr als die Hälfte der Seiten, die Rechtsgrundlage ist nicht auslegungsbedürftig, und die Behebung ist in den meisten Fällen ein Konfigurationsschalter plus ein Link im Fußbereich.
Praktisch sieht die Abarbeitung so aus: Im Consent-Manager das Widerrufs-Element aktivieren, es an einer Stelle platzieren, die auf jeder Unterseite erreichbar ist, und anschließend prüfen, ob der Dialog nach einem erneuten Aufruf tatsächlich den gespeicherten Zustand zeigt und nicht einfach bei null beginnt. Der letzte Punkt wird oft übersehen: Ein Banner, das beim Widerruf so tut, als habe es nie eine Entscheidung gegeben, verliert die Information darüber, was der Nutzer ursprünglich erlaubt hat.
Im selben Durchgang lässt sich die Cookie-Laufzeit auf zwölf Monate setzen, weil es dieselbe Konfigurationsmaske ist. Zwei Einstellungen, zwei der vier häufigsten Mängel erledigt. Danach kommen die Kategorien, dann die Frage, was überhaupt vor der Einwilligung lädt, und das ist dann die Arbeit, die wirklich an den Code geht.
Häufige Fragen
Muss man eine Cookie-Einwilligung widerrufen können?
Ja. Art. 7 Abs. 3 DSGVO verlangt, dass die Einwilligung jederzeit und so einfach widerrufen werden kann, wie sie erteilt wurde. Da die Erteilung in einem Klick erfolgt, muss auch der Widerruf in vergleichbarer Weise erreichbar sein, etwa über ein wieder aufrufbares Banner, einen Link im Fußbereich oder ein schwebendes Symbol.
Wie viele Cookie-Banner bieten keinen Widerruf?
In unserer Prüfung von 34.909 Bannern: 53,0 % in Deutschland, 57,2 % in Österreich, 73,9 % in den Niederlanden und 78,2 % in Frankreich. Es ist die am häufigsten verletzte Anforderung an Cookie-Banner.
Reicht ein Hinweis in der Datenschutzerklärung als Widerruf?
In unserer Prüfung nicht. Wir zählen nur bedienbare Elemente als Widerrufsweg, also ein wieder aufrufbares Banner, einen funktionierenden Link oder ein Widerrufs-Symbol. Ein beschreibender Text ohne Schalter ist kein Weg, der so einfach ist wie der Klick auf Zustimmen. Diese Einordnung ist strenger als die Praxis mancher Anbieter.
Wie behebt man einen fehlenden Widerrufsweg?
In der Regel über die Konfiguration des eingesetzten Consent-Managers. Alle verbreiteten Werkzeuge bieten entweder ein schwebendes Widerrufs-Symbol oder einen Link, der das Banner erneut öffnet. Zusätzlich gehört ein entsprechender Link in den Fußbereich, damit er auf jeder Unterseite erreichbar ist.