DSGVO Cookie-Consent: Wie sich französische Unternehmen konform verhalten (2026)

Die DSGVO 8 Jahre später: Eine Bestandsaufnahme der Compliance

Die Datenschutz-Grundverordnung (DSGVO) trat im Mai 2018 in Kraft. Acht Jahre später sind Cookie-Consent-Banner zu einem vertrauten Bestandteil der europäischen Web-Erfahrung geworden — oder doch nicht? Während große Unternehmen und hochfrequentierte Websites weitgehend Consent-Management-Plattformen eingeführt haben, zeichnet die Realität für das breitere Unternehmens-Web in Frankreich ein völlig anderes Bild.

IBLead hat 1.877.252 französische Unternehmenswebsites mit erkennbaren Technologien analysiert, um eine einfache Frage zu beantworten: Wie viele zeigen tatsächlich ein Cookie-Consent-Banner? Die Antwort ist ernüchternd. Nur 23,0 % dieser Websites zeigen irgendeine Form eines Consent-Mechanismus. Die verbleibenden 77,0 % — über 1,4 Millionen Websites — scheinen ohne sichtbares Consent-Tool zu arbeiten.

Diese Studie geht über die einfache Banner-Erkennung hinaus. Wir haben die Consent-Präsenz mit Analytics-Trackern und Werbe-Pixeln abgeglichen, um das wahre Ausmaß der Compliance-Lücke in Frankreich aufzudecken. Die Ergebnisse haben schwerwiegende Auswirkungen für Unternehmen, Agenturen und die CNIL, Frankreichs Datenschutzbehörde.

Die Consent-Lücke: Nur 23,0 % zeigen ein Banner

Von den 1.877.252 Websites in unserer Stichprobe mit erkennbaren Technologien zeigen 431.361 (23,0 %) ein Cookie-Consent-Banner, das von einer der acht großen Consent-Management-Plattformen (CMPs) betrieben wird. Die verbleibenden 1.445.891 Websites (77,0 %) zeigen keinen erkennbaren Consent-Mechanismus.

Um dies einzuordnen: Mehr als drei von vier französischen Unternehmenswebsites arbeiten ohne ein sichtbares Tool zur Erfassung oder Verwaltung der Nutzereinwilligung für Cookies und Tracker. Während einige dieser Websites möglicherweise tatsächlich keine einwilligungspflichtigen Cookies verwenden (z. B. rein statische Websites ohne Analytics), erzählt die Kreuzanalyse mit Tracking-Tools eine weitaus besorgniserregendere Geschichte.

Es ist zu beachten, dass unsere Erkennung die am weitesten verbreiteten CMPs abdeckt. Eine kleine Anzahl von Websites verwendet möglicherweise individuelle oder weniger bekannte Consent-Lösungen, die unser Scanner nicht erkennt. Die acht Plattformen, die wir verfolgen, repräsentieren jedoch die überwältigende Mehrheit des Consent-Marktes, was dieses Bild der französischen Compliance-Landschaft zuverlässig macht.

Consent-Tool-Markt: Complianz vs Tarteaucitron — zwei Führer

Unter den 431.361 Websites, die ein Consent-Banner zeigen, wird der Markt von zwei Lösungen angeführt, die zusammen fast die Hälfte aller Implementierungen ausmachen:

Tool	Websites	Marktanteil
Complianz	109.416	25,4 %
Tarteaucitron	106.396	24,7 %
OneTrust	58.365	13,5 %
Axeptio	50.617	11,7 %
Didomi	45.247	10,5 %
Cookiebot	37.002	8,6 %
CookieYes	31.104	7,2 %
Iubenda	4.205	1,0 %

Complianz führt mit 25,4 % des Consent-Marktes (109.416 Websites). Dies ist ein WordPress-Plugin, und seine Dominanz spiegelt direkt die überwältigende Präsenz von WordPress auf dem französischen CMS-Markt wider — wie unsere Studie zu CMS-Marktanteilen zeigte, betreibt WordPress 68,5 % der französischen Unternehmenswebsites. Für WordPress-Betreiber bietet Complianz einen unkomplizierten, Plugin-basierten Weg zur Cookie-Compliance.

Tarteaucitron folgt mit 24,7 % (106.396 Websites) knapp dahinter. Diese französische Open-Source-Lösung, entwickelt von Amaury Balmer, nimmt einen besonderen Platz im Consent-Ökosystem ein. Sie ist kostenlos, schlank und speziell für die Einhaltung der CNIL-Richtlinien konzipiert. Ihr starkes Abschneiden spiegelt die Vorliebe vieler französischer Entwickler und Agenturen für eine lokale, transparente Lösung wider.

Zusammen betreiben diese beiden Tools 50,1 % aller Consent-Banner in Frankreich — ein bemerkenswertes Duopol an der Spitze des Marktes.

Französische vs internationale Tools: Ein starkes lokales Ökosystem

Eines der bemerkenswertesten Ergebnisse dieser Studie ist die Stärke französischer Consent-Lösungen. Drei der acht großen CMPs in unserem Datensatz sind französische Unternehmen:

• Tarteaucitron (24,7 %) — Open Source, in Frankreich entwickelt, speziell für CNIL-Compliance gebaut. Sein Name, eine spielerische Anspielung auf das französische Wort für „Zitronentarte“, spiegelt seine lokalen Ursprünge wider.
• Axeptio (11,7 %) — Eine französische SaaS-Plattform, bekannt für ihre benutzerfreundliche, visuell ansprechende Consent-Oberfläche. Von 50.617 Websites genutzt.
• Didomi (10,5 %) — Eine französische Consent- und Präferenzmanagement-Plattform, die sich zu einem bedeutenden Akteur im Enterprise-Segment entwickelt hat. Auf 45.247 Websites präsent.

Zusammen repräsentieren diese drei französischen Lösungen 46,9 % des Consent-Marktes — fast die Hälfte. Dies ist ein seltener Fall, in dem lokale Tools internationale Giganten in einer Technologiekategorie übertreffen. Zum Vergleich die führenden internationalen Plattformen:

• Complianz (25,4 %) — WordPress-Plugin niederländischen Ursprungs (technisch nicht französisch, aber tief in das WordPress-Ökosystem integriert)
• OneTrust (13,5 %) — US-amerikanische Enterprise-Compliance-Plattform
• Cookiebot (8,6 %) — Dänische Consent-Management-Lösung
• CookieYes (7,2 %) — Britische CMP
• Iubenda (1,0 %) — Italienische Compliance-Plattform

Die Dominanz französischer Tools legt nahe, dass die CNIL-spezifischen Compliance-Anforderungen einen deutlichen Marktvorteil für lokale Lösungen geschaffen haben, die die regulatorischen Nuancen verstehen. Unternehmen, die Compliance anstreben, wählen Tools, die explizit CNIL-Konformität bewerben.

Die Compliance-Krise: 52,6 % nutzen Analytics ohne Einwilligung

Die Banner-Adoptionsrate allein erfasst nicht das vollständige Bild. Um das tatsächliche Compliance-Risiko zu verstehen, haben wir die Consent-Banner-Präsenz mit der Analytics-Tracker-Erkennung abgeglichen:

• 1.276.749 Websites (68,0 %) verwenden mindestens ein Analytics-Tool (Google Analytics 4, Matomo, Plausible usw.)
• Davon zeigen nur 297.637 (23,2 %) auch ein Consent-Banner
• Die verbleibenden 986.661 (76,8 %) nutzen Analytics ohne sichtbaren Consent-Mechanismus

Das bedeutet, dass 986.661 Websites — 52,6 % aller Websites mit erkennbaren Technologien — Analytics-Daten ohne erkennbare Nutzereinwilligung sammeln. Gemäß DSGVO und der französischen ePrivacy-Richtlinie (wie von der CNIL durchgesetzt) erfordern die meisten Analytics-Tools, die Cookies verwenden, eine vorherige Nutzereinwilligung vor der Aktivierung.

Es ist wichtig zu beachten, dass einige Analytics-Lösungen ohne Cookies konfiguriert werden können (z. B. Matomo im Cookie-losen Modus oder Plausible Analytics, das von Natur aus cookie-frei ist). Die überwältigende Mehrheit der Analytics-Installationen in Frankreich verwendet jedoch Google Analytics 4, das auf Cookies angewiesen ist und gemäß CNIL-Richtlinien eine Einwilligung erfordert. Das schiere Volumen — über 986.000 Websites — macht deutlich, dass die Compliance-Lücke nicht allein durch cookie-loses Analytics erklärt werden kann.

Dieses Ergebnis stellt eine der größten Compliance-Herausforderungen in der französischen Digitallandschaft dar. Jede dieser Websites verstößt potenziell gegen CNIL-Richtlinien und ist Durchsetzungsmaßnahmen ausgesetzt.

Werbung ohne Einwilligung: 72,6 % der Websites mit Werbe-Pixeln haben kein Banner

Wenn die Analytics-Compliance-Lücke besorgniserregend ist, ist die Werbesituation noch alarmierender. Werbe-Pixel gehören zu den datenschutzinvasivsten Technologien im Web und verfolgen Nutzer über Websites hinweg für zielgerichtete Werbung. Die DSGVO ist eindeutig: Diese erfordern eine ausdrückliche, informierte Einwilligung vor dem Einsatz.

Unsere Daten zeigen:

• 256.151 Websites (13,6 %) verwenden mindestens ein Werbe-Pixel
• Nur 70.612 (27,4 %) davon zeigen auch ein Consent-Banner
• 186.651 Websites (72,6 %) setzen Werbe-Tracking-Pixel ohne sichtbaren Consent-Mechanismus ein

Die Werbe-Pixel-Landschaft setzt sich wie folgt zusammen:

Werbe-Pixel	Websites
Facebook Pixel (Meta)	182.799
Google Ads	111.155
Microsoft Ads (Bing)	19.373
TikTok Pixel	9.803

Das Facebook Pixel allein ist auf fast 160.000 französischen Unternehmenswebsites präsent. Dieser Tracker sendet detaillierte Nutzerverhaltens-Daten an Meta zu Werbezwecken — ohne Nutzereinwilligung auf der Mehrheit dieser Websites. Google Ads Conversion-Tracking erscheint auf fast 99.000 Websites, und sowohl TikTok als auch Microsoft Ads fügen Tausende weitere hinzu.

Die Nicht-Compliance-Rate von 72,6 % für Werbe-Pixel ist besonders bedeutsam, da diese Technologien den eindeutigsten Fall für Einwilligungspflichten darstellen. Anders als Analytics, das in einigen Fällen ohne Cookies eingesetzt werden kann, sammeln Werbe-Pixel per Definition personenbezogene Daten für websiteübergreifendes Tracking und Profiling. Unter der DSGVO gibt es hier keine Grauzone.

CNIL-Durchsetzungskontext und Risiken

Die CNIL hat seit 2020 ihre Durchsetzung der Cookie-Consent-Regeln deutlich verstärkt. Wichtige Meilensteine:

• Oktober 2020: Aktualisierte CNIL-Richtlinien zu Cookies und Trackern mit der Pflicht zur ausdrücklichen Einwilligung vor dem Setzen nicht-essenzieller Cookies
• März 2021: Ende der Übergangsfrist — alle Websites müssen die neuen Cookie-Regeln einhalten
• Dezember 2021: Rekordbußgelder von 150 Millionen Euro für Google und 60 Millionen Euro für Facebook, weil die Cookie-Ablehnung schwieriger als die Annahme war
• 2022–2025: Fortgesetzte Durchsetzung mit Bußgeldern gegen TikTok (5 Millionen Euro), Microsoft (60 Millionen Euro) und Dutzende kleinerer Unternehmen
• 2025–2026: Verstärkter Fokus auf KMU und kleinere Websites, wobei die CNIL gezielte Kampagnen für Branchen wie E-Commerce, Gesundheitswesen und Immobilien angekündigt hat

Die Risiken für nicht konforme Websites sind real und wachsend:

• Finanzielle Strafen: Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes gemäß DSGVO
• Formelle Abmahnungen der CNIL: Die CNIL erteilt regelmäßig formelle Abmahnungen (mises en demeure), die Unternehmen eine Frist zur Einhaltung setzen, einschließlich Veröffentlichung des Unternehmensnamens
• Reputationsschäden: Öffentliche Sanktionen werden auf der CNIL-Website veröffentlicht und verursachen dauerhaften Reputationsschaden
• Zivilrechtliche Haftung: Nutzer können Einzel- oder Sammelklagen wegen Datenschutzverletzungen einreichen

Während die CNIL ihre Durchsetzung traditionell auf große Unternehmen und hochfrequentierte Websites konzentriert hat, hat die Behörde ausdrücklich eine Verlagerung hin zu breiterer Durchsetzung signalisiert. Mit über 986.000 Websites, die Analytics ohne Einwilligung nutzen, und 186.000, die Werbe-Pixel ohne Banner einsetzen, ist das potenzielle Ausmaß der Durchsetzungsmaßnahmen enorm.

Fazit: Eine massive Compliance-Lücke, eine klare Chance

Acht Jahre nach Inkrafttreten der DSGVO bleibt das französische Unternehmens-Web überwältigend nicht konform mit Cookie-Consent-Anforderungen. Die Zahlen sind deutlich:

• 77,0 % der Websites mit erkennbaren Technologien zeigen kein Consent-Banner
• 52,6 % aller Websites mit erkennbaren Technologien nutzen Analytics ohne Consent-Mechanismus
• 72,6 % der Websites mit Werbe-Pixeln arbeiten ohne Consent-Banner
• Über 986.000 Websites verstoßen potenziell gegen CNIL-Cookie-Richtlinien

Für Unternehmen, die derzeit ohne Consent-Management arbeiten, ist die Botschaft klar: Die Compliance-Lücke schließt sich. Die Durchsetzungskapazität der CNIL wächst, die Bußgelder steigen, und das Risiko, erwischt zu werden, ist nicht mehr auf die größten Akteure beschränkt.

Für Webagenturen, Rechtsberater und Anbieter von Consent-Management-Plattformen repräsentieren diese Zahlen eine enorme Marktchance. Mit über 1,4 Millionen französischen Unternehmenswebsites ohne Consent-Lösung ist der adressierbare Markt für CMP-Tools riesig und weitgehend unerschlossen.

Der Consent-Tool-Markt selbst ist dynamisch, mit einem starken französischen Ökosystem (Tarteaucitron, Axeptio, Didomi), das effektiv mit internationalen Plattformen konkurriert. Dies zeigt, dass Unternehmen auf der Suche nach Compliance-Lösungen Qualitätsoptionen in jeder Preisklasse finden — von kostenlosen Open-Source-Tools bis hin zu Enterprise-SaaS-Plattformen.

Die Frage ist nicht mehr, ob französische Unternehmen die Cookie-Consent-Regeln einhalten müssen — sondern wie schnell sie handeln werden. Unsere Daten legen nahe, dass für die große Mehrheit dieses Handeln längst überfällig ist.