Cui bono im Cookie-Dschungel — eine Bestandsaufnahme
Ein Consent-Banner poppt auf, man klickt "Alle akzeptieren", und die Seite lädt. So banal dieser Reflex geworden ist, so viel Geld hängt daran — nur nicht dort, wo man es zuerst vermuten würde.
Die Windschutzscheibe zeigt: Die DSGVO schützt Bürgerinnen und Bürger vor unkontrollierter Datensammlung. Das stimmt, und es war 2018 überfällig. Aber hinter der Windschutzscheibe hat sich in den Jahren seither eine eigene Ökonomie gebildet — und die Akteure, die an ihr verdienen, sind nicht die, für die das Gesetz gemacht wurde.
📊 FACTBOX — Wer zahlt wie viel für Einfluss in Brüssel
Die gesamte Digitalbranche gibt laut Auswertung von LobbyControl und Corporate Europe Observatory (Stand 2025/2026, Daten überwiegend 2024) mindestens rund 151 Mio. € jährlich für EU-Lobbyarbeit aus.
Meta: mind. 10 Mio. € · Apple: mind. 8–10 Mio. € · Amazon: mind. 7–9 Mio. € · Microsoft: mind. 7 Mio. € · Google: mind. 4,5 Mio. €
Alle Zahlen sind Mindestwerte aus dem EU-Transparenzregister — die Kategorien sind Spannen, echte Ausgaben dürften höher liegen. Das Register ist zudem nicht rechtsverbindlich; Falschangaben bleiben sanktionslos.
IAB Europe, der Dachverband der digitalen Werbeindustrie, betreibt seit Jahren aktive Lobbyarbeit für eine Lockerung der Cookie-Regeln. Der Verband drängt darauf, blanket consent durch breitere "berechtigte Interessen"-Abwägungen zu ersetzen — Unternehmen sollen selbst begründen dürfen, warum Tracking ohne Einwilligung zulässig ist. Die Kommission hat im September 2025 dazu eine Fokusgruppe einberufen, an der IAB Europe beteiligt war.
⚠ DANGERBOX — Der Bock als Gärtner
Die belgische Datenschutzbehörde erklärte im Februar 2022 das von IAB Europe selbst entwickelte Consent-Framework (TCF) für rechtswidrig und verhängte eine Geldbuße von 250.000 €. Der Europäische Gerichtshof bestätigte am 7. März 2024 (Rs. C-604/22): Der sogenannte TC-String — das technische Signal, das speichert, welcher Nutzer wem zugestimmt hat — ist selbst ein personenbezogenes Datum. Der Verband, der die Cookie-Regeln lockern will, wurde also wegen seines eigenen Consent-Mechanismus verurteilt.
Zwischen Nutzer und Werbenetzwerk hat sich eine eigene Software-Branche etabliert: Consent Management Platforms (CMPs) wie Usercentrics, OneTrust oder Cookiebot verkaufen die Banner, die die Einwilligung einholen, verwalten und dokumentieren sollen. Ihr Geschäftsmodell ist bemerkenswert unabhängig vom Ausgang der politischen Debatte: Werden die Regeln strenger, brauchen Unternehmen komplexere CMPs. Werden sie gelockert (wie es der "Digital Omnibus" vorschlägt), verkaufen dieselben Anbieter die Umstellung auf das neue System. Diese Branche hat also strukturell kein Interesse an einer einfachen, dauerhaften Lösung — nur an der nächsten Anpassung.
"Ohne funktionierendes CMP im Hintergrund läuft das Skript weiter, egal was der Nutzer angeklickt hat — ein Zustand, der in keiner EU-Jurisdiktion die Vorgaben erfüllt." — aus einer Branchenanalyse zu Consent-Infrastruktur, 2026
Am 19. November 2025 legte die EU-Kommission ihr "Digital Omnibus"-Paket vor. Kernpunkte für die DSGVO: Die Definition von "personenbezogenen Daten" in Art. 4 soll enger gefasst werden, orientiert an einem EuGH-Urteil vom September 2025. Die Verarbeitung personenbezogener Daten für KI-Training soll ausdrücklich auf "berechtigtes Interesse" gestützt werden können — ohne Einwilligung. Und die Cookie-Regel aus der ePrivacy-Richtlinie soll als neuer Art. 88a direkt in die DSGVO wandern, mit einer Pflicht zu einer echten Ein-Klick-Ablehnung.
Parallel dazu hatte die Kommission im Februar 2025 den seit 2017 verhandelten Entwurf einer eigenständigen ePrivacy-Verordnung offiziell zurückgezogen — nach acht Jahren ergebnisloser Verhandlungen. Die Konsultation zum Digital Omnibus lief bis zum 4. März 2026.
🕐 TIMELINE
2018 — DSGVO wird EU-weit anwendbar
Feb 2022 — Belgische Datenschutzbehörde erklärt IAB Europes TCF für rechtswidrig, Bußgeld 250.000 €
Mai 2023 — TCF v2.2 als Reaktion auf das Verfahren
7. März 2024 — EuGH bestätigt: TC-String ist personenbezogenes Datum (Rs. C-604/22)
11. Februar 2025 — Kommission zieht ePrivacy-Verordnungsentwurf offiziell zurück
April 2025 — TCF v2.3 veröffentlicht
19. November 2025 — "Digital Omnibus" vorgestellt: DSGVO-Änderungen, Cookie-Regeln wandern in Art. 88a DSGVO
4. März 2026 — Ende der öffentlichen Konsultation zum Digital Omnibus
28. Februar 2026 — Frist für TCF-Teilnehmer zur Umstellung auf v2.3
Getrennt von der Brüsseler Lobbyarbeit gibt es in Deutschland ein eigenes Profiteur-Phänomen: spezialisierte Kanzleien, die massenhaft Abmahnungen wegen kleinerer DSGVO-Verstöße verschicken — bekanntestes Beispiel die Google-Fonts-Abmahnwelle nach dem LG-München-Urteil 2022. Diese Kanzleien lobbyieren nicht in Brüssel, profitieren aber strukturell von derselben Rechtsunsicherheit, die die Cookie-Debatte insgesamt kennzeichnet. Zwei verschiedene Mechanismen, ein gemeinsamer Nenner: Komplexität ist ein Geschäftsmodell.
⚖ FAIRNESSBOX
Lobbying ist in der EU legal, transparent registriert und kein Beleg für Verschwörung — es ist Teil des demokratischen Interessenausgleichs, den auch Verbraucherschutz- und Digitalrechte-Organisationen wie EDRi (European Digital Rights) nutzen, wenn auch mit deutlich kleinerem Budget. Dass Branchen, die von einer Regel betroffen sind, sich zu Wort melden, ist normal und in praktisch jedem Rechtsgebiet zu beobachten — von der Lebensmittelsicherheit bis zum Steuerrecht. Kritisch ist nicht die Existenz von Lobbying, sondern die Schieflage: Laut LobbyControl/Corporate Europe Observatory gaben allein die zehn größten Tech-Konzerne 2024 rund 49 Mio. € aus — ein Vielfaches dessen, was zivilgesellschaftliche Gegenstimmen aufbringen können. Und: Nicht jede Forderung nach Vereinfachung ist automatisch eine Forderung nach weniger Schutz — die Kommission selbst betont, der Digital Omnibus solle "die Wirksamkeit und Integrität" der DSGVO wahren, nicht schwächen. Ob das in der finalen Fassung so bleibt, ist zum jetzigen Stand offen.
Die DSGVO wurde geschrieben, um eine Machtasymmetrie zwischen Konzernen und Nutzern zu korrigieren. Acht Jahre später zeigt sich: Um das Gesetz herum ist eine zweite Machtasymmetrie entstanden — zwischen den Konzernen, die für ihre Lockerung Millionen investieren, und den Nutzern, in deren Namen das alles verhandelt wird, aber die selbst keinen Sitz am Tisch haben. Der Cookie-Banner, den man täglich wegklickt, ist am Ende nur die sichtbarste Oberfläche eines sehr viel größeren, sehr viel weniger sichtbaren Interessengeflechts.
Quellen: LobbyControl / Corporate Europe Observatory (EU-Lobbyausgaben-Auswertungen 2025/2026, lobbyfacts.eu) · Europäische Kommission, Digital Omnibus COM(2025) 837 final · EuGH, Rs. C-604/22 (7. März 2024) · Belgische Datenschutzbehörde (APD), Entscheidung IAB Europe (Februar 2022) · IAB Europe, TCF-Dokumentation · EDRi, Stellungnahmen zur Cookie-Reform