Vier Länder, ein Scanner: 44,3 % der niederländischen und 43,1 % der französischen Websites tracken vor der Einwilligung, in Deutschland 21,0 %

Über Datenschutz im Netz wird meist national gesprochen, obwohl die Regel europäisch ist. Die DSGVO gilt in Amsterdam wie in Aachen, die Einwilligungspflicht für Tracking steht in derselben Richtlinie. Wir haben deshalb denselben Scanner auf vier Länder gelassen und dieselbe Frage gestellt: Was lädt eine Website, bevor der Besucher irgendetwas angeklickt hat? Das Ergebnis streut so weit, dass die gemeinsame Rechtslage als Erklärung ausfällt. Eine Warnung vorweg: Deutschland hat in dieser Auswertung den niedrigsten Wert. Ein guter Wert ist es nicht.

Der niedrigste Wert ist kein guter Wert

Weil dieser Artikel vier Länder nebeneinanderstellt, lädt er zu einem Fehlschluss ein: dass in Deutschland alles in Ordnung sei. Das ist nicht der Fall. 21,0 % heißt, dass rund 424.000 deutsche Websites Analyse- oder Werbedienste laden, bevor jemand zugestimmt hat. Jede fünfte Seite. Dass die Niederlande doppelt so schlecht sind, ändert an keiner einzigen davon etwas.

Die übrigen deutschen Werte sind ebenfalls keine Entwarnung: 52,4 % zeigen überhaupt keinen Consent-Manager, das sind rund 1.057.000 Seiten. Von denen mit Banner laden 24,0 % trotzdem vor der Zustimmung. 24,9 % holen ihre Schriften weiterhin extern, und bei 53,0 % der geprüften Banner fehlt der Widerrufsweg, den Art. 7 Abs. 3 DSGVO verlangt.

Der Ländervergleich beantwortet die Frage, wo der Anpassungsdruck gewirkt hat. Er beantwortet nicht die Frage, ob ein Bestand sauber ist. Für die zweite Frage ist der Maßstab nicht das Nachbarland, sondern die Rechtslage, und gemessen daran liegt in allen vier Ländern sehr viel im Argen.

Wie wir gemessen haben

Für jedes Land haben wir denselben Scanner auf einen eigenen Bestand von Websites gelassen: 2.017.353 in Deutschland, 349.849 in Österreich, 1.185.746 in den Niederlanden und 1.063.612 in Frankreich, jeweils erfolgreich geprüfte Seiten. Die Adressen stammen aus derselben öffentlichen Webgraph-Quelle, damit wir Länder vergleichen und nicht Stichprobenverfahren.

Jede Seite wird in einem frischen Chromium-Browser ohne Cookies und ohne gespeicherte Daten geladen. Der Scanner protokolliert jede ausgehende Verbindung, bevor irgendetwas angeklickt wird, und ordnet sie einem Katalog von über 3.000 Signaturen zu. Erst danach sucht er den Zustimmen-Knopf des Cookie-Banners und protokolliert, was sich nach dem Klick zusätzlich lädt. Die strenge Zählung umfasst Analyse, Werbung, Retargeting, Session-Recording und A/B-Tests, also Dienste, die ohne Einwilligung nicht laufen dürfen. Die weite Zählung umfasst jeden Drittanbieter, auch Karten, Schriften und Videoeinbettungen.

Scan-Zeiträume: Deutschland 5. bis 22. August 2026, Österreich 16. bis 21. September 2026, Niederlande 18. bis 28. September 2026, Frankreich 2. bis 7. Oktober 2026.

Der Abstand ist größer als jeder Brancheneffekt

Zwischen Deutschland und den Niederlanden liegen 23,3 Prozentpunkte. Das ist mehr als der Unterschied zwischen Gastronomie und Industrie, mehr als zwischen Baukasten-Websites und selbst gebauten Seiten, und deutlich mehr als sich mit Messrauschen erklären lässt. Frankreich liegt mit 43,1 % nahe am niederländischen Wert, Österreich mit 25,7 % nahe am deutschen.

Die Reihenfolge bleibt stabil, wenn man die Achse wechselt. In der weiten Zählung, die jeden Drittanbieter mitnimmt, liegt Deutschland bei 33,6 %, Österreich bei 40,2 %, die Niederlande bei 54,5 % und Frankreich bei 56,3 %. Beim Anteil der Seiten ohne jeden Consent-Manager führen die Niederlande mit 71,7 % gegen 52,4 % in Deutschland.

Es ist fast immer derselbe Anbieter

Hinter den Quoten stecken keine hundert exotischen Werkzeuge, sondern eine sehr kurze Liste. Google Analytics 4 ist in allen vier Ländern der häufigste Dienst, der vor der Einwilligung lädt: 6,2 % in Deutschland, 7,5 % in Österreich, 21,5 % in den Niederlanden und 23,2 % in Frankreich. Zählt man alle Google-Dienste zusammen, also Analytics, Ads, DoubleClick und die übrigen, kommt man auf 14,2 % (Deutschland) bis 35,1 % (Niederlande). Meta folgt mit großem Abstand: 2,9 % bis 7,3 %.

Das heißt: Der überwiegende Teil des Problems ist ein einziger Anbieter. Wer in einem Bestand die Google-Dienste hinter die Einwilligung legt, hat den Großteil erledigt, und zwar in jedem der vier Länder.

Nach Kategorien sortiert dominiert überall die Analyse: 15,7 % in Deutschland gegen 36,3 % in den Niederlanden und 37,0 % in Frankreich. Werbung folgt mit 7,3 % bis 16,2 %, Wiederansprache mit 4,0 % bis 9,0 %. Auffällig ist, dass die Rangfolge der Kategorien in allen vier Ländern identisch ist. Was sich unterscheidet, ist nicht die Art des Trackings, sondern die Menge.

Auch die Alternativen laden zu früh

Ein Einwand liegt nahe: Nicht jedes Analysewerkzeug ist Google, und manche lassen sich so betreiben, dass sie gar keine Einwilligung brauchen. Das stimmt, und genau deshalb ist aufschlussreich, wie sie in der Praxis eingebunden sind.

Matomo, das sich selbst hosten und cookielos betreiben lässt, laden 3,6 % der deutschen und 5,5 % der französischen Seiten vor der Einwilligung. Plausible, ausdrücklich als cookiefreie Alternative beworben, erscheint in den Niederlanden auf 2,2 % der Seiten vor dem ersten Klick. Dazu kommen Cloudflare Web Analytics (1,5 % in den Niederlanden) und Microsoft Clarity (2,1 %).

Das ist kein Vorwurf an die Werkzeuge. Bei einem Teil dieser Fälle ist der Einsatz vermutlich zulässig, weil tatsächlich nichts auf dem Endgerät gespeichert wird. Aber unser Scanner kann das von außen nicht immer unterscheiden, und der Websitebetreiber in vielen Fällen auch nicht. Wer eine datenschutzfreundliche Alternative wählt und sie dann wie ein normales Skript einbindet, hat die Entscheidung getroffen, aber nicht umgesetzt. Die Werkzeugwahl ersetzt die Einrichtung nicht.

Das Banner ändert weniger als man denkt

Ein Cookie-Banner ist kein Schutz, sondern eine Behauptung. Von den Websites, die einen Consent-Manager einsetzen, laden in Deutschland 24,0 % trotzdem einwilligungspflichtige Dienste, bevor jemand zugestimmt hat. In Österreich sind es 30,7 %, in Frankreich 53,8 % und in den Niederlanden 55,9 %. In zwei der vier Länder ist das Banner also bei jeder zweiten Seite, die eines hat, reine Dekoration.

Das ist der wichtigste praktische Befund dieser Reihe: Wer prüfen will, ob eine Website einwilligungskonform arbeitet, kommt mit dem Blick auf das Banner nicht weit. Entscheidend ist, was zwischen Seitenaufruf und erstem Klick über die Leitung geht.

Dasselbe Plugin, die doppelte Quote

Die naheliegende Erklärung für den Länderunterschied wäre: andere Werkzeuge. Sie trägt nicht. Complianz, ein verbreitetes WordPress-Plugin, ist in allen vier Ländern unter den meistgenutzten Consent-Managern und erlaubt damit den saubersten Vergleich, den diese Studie hergibt: gleiche Software, gleiche Konfigurationsmöglichkeiten, vier Länder.

Von den deutschen Complianz-Seiten laden 21,5 % trotzdem einwilligungspflichtige Dienste vor der Zustimmung. In Österreich sind es 24,0 %, in Frankreich 48,7 % und in den Niederlanden 53,0 %. Dasselbe Plugin, mehr als die doppelte Quote. Der Unterschied liegt nicht im Werkzeug, sondern darin, ob jemand es eingerichtet hat.

Das Muster wiederholt sich bei den anderen Anbietern. In Deutschland reichen die Quoten von 8,9 % bei Jimdos eingebautem Consent-Werkzeug über 18,0 % bei Borlabs bis 32,3 % bei Usercentrics. In Frankreich liegt Axeptio bei 74,7 % und Tarteaucitron bei 54,7 %, in den Niederlanden Cookiebot bei 64,0 % gegen 42,3 % in Österreich.

Die Spannweite innerhalb eines Landes ist damit größer als der Unterschied zwischen den Ländern. Ein Consent-Manager ist eine Möglichkeit, kein Ergebnis. Welches Produkt im Einsatz ist, sagt über die Rechtmäßigkeit einer Website erstaunlich wenig aus.

Jedes zehnte Banner besteht, in zwei Ländern jedes zwanzigste

Parallel zum Tracking haben wir die Cookie-Banner selbst geprüft, mit vierzehn Einzelprüfungen vom Ablehnen-Knopf über die Einwilligungskategorien bis zur Cookie-Laufzeit. Geprüft wurden 10.644 Banner in Deutschland, 8.209 in Österreich, 7.575 in den Niederlanden und 8.481 in Frankreich.

Alle Prüfungen bestanden haben 9,4 % der deutschen Banner, 7,5 % der österreichischen, 5,2 % der niederländischen und 5,3 % der französischen. Auch im besten Land ist ein einwandfreies Banner also die Ausnahme, nicht die Regel.

Die häufigsten Mängel sind dieselben wie beim Tracking: solche, die nach dem ersten Klick liegen und die niemand kontrolliert. Der Widerrufsweg fehlt bei 53,0 % der deutschen und 78,2 % der französischen Banner, obwohl Art. 7 Abs. 3 DSGVO ihn ausdrücklich verlangt. Cookie-Laufzeiten über dreizehn Monate, die weder CNIL noch DSK akzeptieren, finden wir bei 34,3 % (Deutschland) bis 61,1 % (Niederlande).

Eine Achse fällt aus dem Rahmen: fehlende Pflichtlinks im Banner, also der Verweis auf Datenschutzerklärung oder Impressum. In Deutschland fehlen sie bei 7,4 % der Banner, in den Niederlanden bei 71,6 %. Das ist der größte Länderunterschied einer einzelnen Prüfung in dieser Studie, Faktor zehn. Dazu passt, dass in den Niederlanden auch die Bannersprache mit 20,5 % am häufigsten nicht zur Seitensprache passt, gegen 2,1 % in Deutschland. Beides deutet auf unveränderte Standardkonfigurationen hin: Werkzeug installiert, Texte nie angefasst.

Dieselben Werkzeuge, überall

Die Consent-Manager-Landschaft ist in allen vier Ländern erstaunlich ähnlich aufgebaut, und sie ist zersplittert. Die größte Gruppe sind überall Banner ohne erkennbares Produkt, also selbst gebaute oder vom Baukasten mitgelieferte Lösungen: 23,9 % in Deutschland, 25,5 % in Österreich, 27,8 % in den Niederlanden und 22,1 % in Frankreich der Seiten mit Consent-Manager.

Darunter wird es national: In Deutschland folgen Borlabs (11,3 %) und Complianz (10,4 %), in den Niederlanden Complianz (13,3 %) und Cookiebot (12,7 %), in Frankreich Complianz (17,5 %), Tarteaucitron (11,8 %) und Axeptio (5,4 %). Tarteaucitron und Axeptio sind französische Produkte und außerhalb Frankreichs praktisch nicht anzutreffen, Borlabs ist das deutsche Gegenstück. Der Markt ist also national gewachsen, die Probleme sind es nicht.

Schriften sind die stille Mehrheit

Extern geladene Schriftarten, fast immer von Google, erscheinen vor der Einwilligung auf 24,9 % der deutschen Seiten, aber auf 60,1 % der niederländischen und 60,5 % der französischen. Der deutsche Wert ist kein Zufall: Nach dem Münchner Urteil von 2022 und der folgenden Abmahnwelle haben hier sehr viele Dienstleister die Schriften lokal eingebunden. In den beiden anderen Ländern gab es diesen Anlass nicht, und man sieht es Zeile für Zeile im Quelltext.

Warum die Länder so weit auseinanderliegen

Die naheliegende Vermutung ist die Aufsicht: strengere Behörde, bessere Praxis. Diese Vermutung hält der Prüfung nicht stand, dazu gibt es in dieser Reihe einen eigenen Artikel. Was die Zahlen stattdessen zeigen, ist der Effekt von Anpassungsdruck auf die Fläche: Wo es Abmahnwellen, Gerichtsurteile mit Breitenwirkung und einen aktiven Fachdiskurs gibt, räumen die Dienstleister auf. Wo beides fehlt, bleibt der Stand von vor fünf Jahren liegen.

Misst der Scanner über die Zeit dasselbe?

Ein Ländervergleich steht und fällt damit, dass die Messung zwischen den Ländern vergleichbar ist. Die vier Bestände wurden nicht am selben Tag geprüft, und ein Scanner, der zwischendurch besser wird, erzeugt Unterschiede, die wie Länderunterschiede aussehen.

Beim französischen Bestand konnten wir das erstmals sauber prüfen, weil dieselben Seiten zweimal gescannt wurden. 491.150 Websites liegen in beiden Fenstern vor, einmal Ende September und einmal Anfang Oktober. Das Ergebnis: Tracking vor Consent 43,4 % gegen 43,2 %, also eine Abweichung von gut zwei Zehntel Prozentpunkten. Als Kontrolle dienten die extern geladenen Schriften, eine Achse, die sich durch Erkennungsverbesserungen kaum verschieben sollte: 60,0 % gegen 59,9 %.

Zwischen diesen beiden Messungen hat sich an der Erkennung also praktisch nichts geändert. Für den Abstand zum deutschen Bestand, der sechs Wochen früher geprüft wurde, gilt diese Sicherheit nicht im selben Maß; dort schätzen wir die Verschiebung auf etwa 3,1 Prozentpunkte. Die Länderabstände von zwanzig und mehr Punkten bleiben davon unberührt, die Reihenfolge erst recht.

Grenzen dieser Auswertung

• Jede Seite wurde einmal geprüft. Eine Website, die heute sauber lädt und morgen ein Pixel nachrüstet, erscheint hier mit dem Stand des Scan-Tages.
• Nur die Startseite. Unterseiten mit Formularen oder eingebetteten Videos können mehr laden als die Startseite.
• Wir messen, was technisch passiert, und bewerten nicht rechtlich. Ob ein einzelner Dienst im Einzelfall auf eine andere Rechtsgrundlage gestützt werden kann, sagt unser Scanner nicht. Dieser Artikel ist keine Rechtsberatung.
• Der deutsche Bestand ist vorgefiltert (nicht erreichbare Adressen wurden vorab entfernt), die drei anderen nicht. Deshalb liegt der Anteil tot aufgelöster Adressen in Deutschland bei 0,8 % und in Frankreich bei 22,8 %. Für die Quoten in diesem Artikel zählen nur Seiten, die tatsächlich geladen haben.
• Vier Länder sind keine Rangliste Europas. Wir haben vier Bestände geprüft, nicht den Kontinent.

Was Agenturen daraus mitnehmen

Für Agenturen mit Kunden in mehreren Ländern heißt das zunächst: Der Prüfaufwand ist nicht überall gleich. Ein niederländischer oder französischer Bestand startet im Schnitt von einem deutlich schlechteren Ausgangspunkt, und zwar nicht bei exotischen Spezialfällen, sondern bei den Grundlagen.

Aus den Zahlen ergibt sich eine Reihenfolge, die in allen vier Ländern funktioniert, weil sie nach Trefferquote je Aufwand sortiert ist:

1. Google hinter die Einwilligung legen. Analytics, Ads und DoubleClick machen den Großteil des Problems aus, 14,2 % bis 35,1 % der Seiten laden mindestens einen dieser Dienste vorher. Ein korrekt eingerichteter Consent-Manager erledigt das, ohne dass eine Zeile Analysecode verschwindet.
2. Widerrufsweg einbauen. Fehlt bei 53,0 % bis 78,2 % der Banner, ist rechtlich unstrittig und meist ein Konfigurationsschalter plus ein Link im Fußbereich.
3. Schriften lokal einbinden. Betrifft 24,9 % der deutschen und 60,1 % der niederländischen Seiten. Einmalige Arbeit, danach dauerhaft erledigt.
4. Cookie-Laufzeiten kappen. Über dreizehn Monate bei 34,3 % bis 61,1 %, fast immer eine Voreinstellung, die niemand angefasst hat.
5. Erst dann über das Banner selbst reden. Kategorien, Knopffarben, Reihenfolge. Das ist der sichtbarste und der am wenigsten wirksame Teil.

Was sich aus den Daten dagegen nicht ableiten lässt, ist eine Produktempfehlung. Die Leak-Raten zeigen bei jedem verbreiteten Consent-Manager eine große Spannweite, und sie unterscheiden sich zwischen Ländern stärker als zwischen Herstellern. Wer einen Bestand übernimmt, sollte deshalb nicht fragen, welches Werkzeug installiert ist, sondern messen, was die Seite vor dem ersten Klick lädt. Beides zusammen, Produkt und Verhalten, ergibt erst ein Bild.

Häufige Fragen