Für die Studie untersuchte E-Dialog 165 namhafte Websites aus Deutschland, Österreich und der Schweiz nach den wichtigsten Kriterien in Bezug auf Consent-Management. Untersucht wurden hierbei etwa die Präsenzen von der Deutschen Telekom, Rewe, Otto, TUI Deutschland oder der Commerzbank. Für die Analyse wurden die sechs Kriterien herangezogen, die in den letzten Jahren von Aufsichtsbehörden und EuGH zweifelsfrei als rechtswidrig deklariert wurden und auch in der Vergangenheit finanzielle Rechtsfolgen nach sich zogen. Die Agentur nahm also folgende Punkte unter die Lupe: kein impliziter Consent, kein Cookie-Setzen vor dem Consent, Ablehnen auf erster Ebene, gleichwertige Gestaltung von “alle annehmen” und “alle ablehnen”, granulare Ansicht sowie Widerruf jederzeit möglich. Bei diesen Kriterien handelt es sich um Hauptrisiken für die Unternehmen bei einer mangelhaften Implementierung des Consent-Managements. Diese sechs Kriterien wurden dann jeweils mit einem Punkt bewertet, womit ein Unternehmen eine Gesamtpunktzahl von sechs erreichen konnten.

Insgesamt zeigt die Studie, dass 76 Prozent der untersuchten Websites eine mangelhafte Implementierung aufweisen. “Ein alarmierendes Ergebnis”, wie Siegfried Stepke, Gründer und Geschäftsführer von E-Dialog, die Studienergebnisse kommentiert. “Denn zwei Jahre nach Einführung der DSGVO und immer stärkeren Aktivitäten der Kontrollbehörden, Bußgeldern und privaten Klagen kann eine mangelhafte Umsetzung teuer zu stehen kommen.”

Nur ein Unternehmen macht alles richtig und erreicht die Höchstpunktzahl von sechs Punkten. 20 Prozent der Unternehmen sind recht gut aufgestellt, weisen aber einen Verbesserungsbedarf auf. 39 Unternehmen erhalten null Punkte, 45 einen Punkt.

Bei den untersuchten Websites zeigt sich, dass beim Thema “kein impliziter Consent” 42 Prozent die Vorgaben erfüllen und keine Abmahnung riskieren. In Deutschland liegt der Wert mit 35 Prozent unter dem DACH-Durchschnitt. Mehr als die Hälfte der Unternehmen setzt immerhin keinen Cookie vor dem Consent.

Lediglich 28 Prozent der Websites bieten die Möglichkeit der Ablehnung auf der ersten Ebene. Somit laufen hier mehr als 70 Prozent der Unternehmen Gefahr, eine Strafe zu erhalten. Das gleiche gilt für die Kategorie “granulare Ansicht”. Bei dieser Kategorie geht darum, ob die Unternehmen den Usern einzeln die Zwecke der Datenerhebung auflisten und ihnen die Möglichkeit geben, auch einzeln zu widersprechen.

Wirklich akuter Nachholbedarf besteht laut E-Dialog bei den Themen “gleichwertige Gestaltung” und “Widerruf jederzeit möglich”. Nur 5 Prozent aller untersuchten Websites in der DACH-Region (auch in Deutschland) designen die Buttons für “ablehnen” und “akzeptieren” gleichwertig, obwohl der Aufwand der Realisierung hier gering ist. Auch der Widerruf und die Änderung der Consent-Einstellungen ist bei den meisten untersuchten Webseiten nicht ohne weiteres möglich. Unter den geprüften Unternehmen boten lediglich 9 Prozent die Möglichkeit, den Consent jederzeit zu widerrufen. Dies ist somit das zweitschlechteste Ergebnis der Analyse.

Von der Evaluierung ausgeschlossen waren die Kriterien, ob die Datenschutzerklärung vollständig war und ob die ausgespielten Technologien mit den Erklärtexten in der Datenschutzerklärung übereinstimmten.

Knapp 8 Prozent der Untersuchten setzen gar keine Consent-Management-Plattform (CMP) ein und circa 16 Prozent führen eine Eigenentwicklung ins Feld. Usercentrics, Cookiebot und One Trust sind hingegen die CMP-Tools, die am häufigsten zu finden sind. Ein größerer Teil der Websites verwendet zudem kleine CMP-Tools. Unter den deutschen Webseiten greifen circa 8 Prozent auf Usercentrics als CMP zurück und 4,5 Prozent auf eine Eigenentwicklung.

Takeaways