Website-Compliance in Finnland: Cookies, DSGVO und Barrierefreiheit

Finnland wendet dieselben EU-Regeln an wie der Rest der Union, DSGVO für personenbezogene Daten, ePrivacy für Cookies und Speicher und der European Accessibility Act für Barrierefreiheit, aber die Umsetzung hat zwei Besonderheiten: Die Cookie-Aufsicht ist auf zwei Behörden aufgeteilt, und Finnland gab die „Einwilligung" per Browser-Einstellung als eines der letzten EU-Länder auf. Dieser Leitfaden ordnet die drei Rahmen so, wie sie 2026 für eine finnische Website gelten.

Die drei geltenden Rahmen

• DSGVO + Tietosuojalaki. Die DSGVO gilt direkt, ergänzt durch das finnische Datenschutzgesetz (Tietosuojalaki, 1050/2018). Behörde ist das Office of the Data Protection Ombudsman (Tietosuojavaltuutettu).
• ePrivacy über den Act on Electronic Communications Services. Die Cookie-Speicherregel ist §205 des Gesetzes 917/2014, beaufsichtigt von Traficom.
• EAA über den Act on the Provision of Digital Services. Der European Accessibility Act wurde durch Änderungen bestehender Gesetze umgesetzt, u. a. des Gesetzes 306/2019, im Anwendungsbereich ab dem 28. Juni 2025.

Cookies: §205 und aktive Einwilligung

Nach §205 des Act on Electronic Communications Services erfordert das Speichern oder Auslesen von Informationen auf dem Endgerät eine Einwilligung, sofern die Speicherung nicht strikt notwendig ist, um den angeforderten Dienst bereitzustellen. Analyse-Cookies wie _ga oder _pk_id sind nicht strikt notwendig und brauchen daher eine vorherige Opt-in-Einwilligung.

Finnland kam spät zu dieser Position. Traficom akzeptierte Browser-Einstellungen als Ausdruck der Einwilligung selbst nach dem EuGH-Urteil Planet49 (C-673/17) vom 1. Oktober 2019 — damit war Finnland einer der letzten Nachzügler in der EU. Den Ausschlag gab die Entscheidung des stellvertretenden Datenschutz-Ombudsmanns vom 14. Mai 2020, wonach der Verweis auf Browser-Datenschutzeinstellungen keine hinreichend aktive und ausdrückliche Einwilligung ist; Traficom und das Office of the Data Protection Ombudsman gaben daraufhin am 13. September 2021 gemeinsam eine überarbeitete Cookie-Leitlinie heraus. Die Kernpunkte:

• Einwilligung muss eine aktive, bestätigende Handlung sein, keine vorausgewählten Kästchen, keine konkludente Einwilligung.
• Nicht-essentielle Cookies dürfen nicht vor dieser Einwilligung gesetzt werden.
• Ablehnen muss so einfach sein wie Akzeptieren.
• „Einwilligung" per Browser-Einstellung ist nicht mehr zulässig.

Finnische Gerichte haben die Durchsetzung der Cookie-Gesetzgebung seither bekräftigt , diese Leitlinie lässt sich also nicht gefahrlos ignorieren. Sie deckt sich mit dem EU-weiten Konsens zur Reject-all-Parität und dazu, welcher Rahmen Cookies regelt.

Zwei Behörden, zwei Fragen

Finnlands geteiltes Modell ist wichtig, denn es ändert, wem Sie gegenüberstehen:

• Traficom (über ihr Cyber Security Centre) beaufsichtigt die Speicher-Regel, die §205-Frage, ob Informationen überhaupt auf dem Gerät gesetzt oder gelesen werden dürfen.
• Das Office of the Data Protection Ombudsman beaufsichtigt die Verarbeitung, die DSGVO-Frage, ob die per Cookie erhobenen Daten rechtmäßig verarbeitet werden, mit gültiger Einwilligung und den erforderlichen Informationen.

Eine finnische Site braucht beides korrekt: eine gültige Speicher-Einwilligung nach §205 und eine gültige DSGVO-Grundlage samt Hinweis für das Weitere.

Barrierefreiheit: Gesetz 306/2019 und der EAA

Der Act on the Provision of Digital Services (306/2019) verlangt seit 2019 Barrierefreiheit vom öffentlichen Sektor und bestimmten öffentlich finanzierten und wesentlichen Diensten, gemessen an EN 301 549, praktisch WCAG 2.1 Stufe A und AA. Der European Accessibility Act weitete die Pflichten ab dem 28. Juni 2025 auf viele verbrauchergerichtete private Produkte und Dienste aus. Bemerkenswert: Finnland setzte den EAA weitgehend durch Änderung bestehender Gesetze (einschließlich des Gesetzes 306/2019) um, dazu kam mit dem Gesetz 102/2023 über die Barrierefreiheitsanforderungen bestimmter Produkte ein eigenes Produktgesetz — statt eines einzigen konsolidierten Gesetzes.

Wenden Sie sich damit nicht an eine Regional State Administrative Agency. Die Aufsicht über die digitale Barrierefreiheit ging am 1. Januar 2025 von Etelä-Suomen aluehallintovirasto auf Traficom über, und die Regional State Administrative Agencies wurden Ende 2025 vollständig abgeschafft. Damit hat Traficom bei einer finnischen Website drei Rollen: Cookie-Speicherung nach §205, digitale Barrierefreiheit nach Gesetz 306/2019 und Marktüberwachung für Produkte nach Gesetz 102/2023. Durchsetzen kann die Behörde u. a. mit Zwangsgeldern nach dem Gesetz über Zwangsgelder (uhkasakkolaki, 1113/1990).

Praktische Checkliste für eine finnische Site

1. Kein nicht-essentielles Cookie, Pixel oder Storage-Write feuert vor der aktiven Einwilligung.
2. Einwilligung erfolgt durch bestätigende Handlung, nicht über Browser-Einstellungen, keine vorausgewählten Kästchen.
3. Ablehnen ist so einfach und prominent wie Akzeptieren.
4. Eine Datenschutzerklärung benennt die Tracker und die DSGVO-Rechtsgrundlage der Verarbeitung.
5. Die Site erfüllt WCAG 2.1 AA (EN 301 549) für verbrauchergerichtete Inhalte.

Wie Veracly eine finnische Website prüft

Veracly bewertet eine finnische URL in einem Scan gegen alle drei Rahmen. Das Cookie-Modul erfasst die Drittanbieter-Anfragen, Cookies und Speichervorgänge, die vorliegen, bevor das Banner berührt wird — und wir berühren das Banner nie, denn ein Klick wäre selbst eine Einwilligungshandlung und würde die Messung vor der Einwilligung verfälschen. Gemeldet werden nicht-essentielle Speichervorgänge vor der Einwilligung, ein fehlendes Banner, ein fehlender oder ungleichwertiger Ablehnen-Weg und vorausgewählte Einwilligung. Zwei Grenzen, klar benannt: Ein Verlass auf Browser-Einstellungen lässt sich nicht erkennen, denn das ist eine Aussage in Ihrem Banner-Text und kein beobachtbares Laufzeitverhalten — das muss ein Mensch lesen. Und erfasst werden nur Anfragen an andere Hosts: Ein selbst gehostetes Matomo, das _pk_id von Ihrer eigenen Domain setzt, taucht im Anfrage-Log nicht auf. Die Ablehnen-Parität wird aus dem gerenderten Banner gelesen — Button-Art, Sichtbarkeit, visuelles Gewicht — nicht durch Klick auf Ablehnen getestet. Das Barrierefreiheits-Modul lässt axe-core gegen das gerenderte DOM für WCAG 2.1 AA laufen; Tracker-Befunde kommen mit einem DevTools-Rezept, das Sie selbst nachvollziehen können.

Siehe auch: Website-Compliance in den Niederlanden · Eine Site über mehrere Jurisdiktionen prüfen · Der EAA für kleine und mittlere Unternehmen