Website-Compliance in den Niederlanden: Cookies, DSGVO und Barrierefreiheit

Die Niederlande sind EU-Mitglied, daher gelten dieselben Leitregeln wie im gesamten Binnenmarkt: die DSGVO für personenbezogene Daten, die ePrivacy-Richtlinie für Cookies und Speicher und der European Accessibility Act für digitale Barrierefreiheit. Tücke ist, dass jede dieser Regeln eine niederländische Website über ein anderes nationales Gesetz und eine andere Behörde erreicht. Dieser Leitfaden ordnet die drei Rahmen so, wie sie 2026 in den Niederlanden tatsächlich gelten.

Die drei geltenden Rahmen

• DSGVO + UAVG. Die DSGVO gilt direkt; die niederländische Uitvoeringswet AVG (UAVG) ergänzt nationale Details. Aufsicht ist die Autoriteit Persoonsgegevens (AP).
• ePrivacy über die Telecommunicatiewet. Die Cookie-Einwilligungsregel ist Artikel 11.7a der Telecommunicatiewet, in Kraft seit 2012. Diese Regel verlangt das Banner, nicht die DSGVO.
• EAA über die Implementatiewet. Der European Accessibility Act wird durch die Implementatiewet toegankelijkheidsvoorschriften producten en diensten umgesetzt und gilt ab dem 28. Juni 2025 für in den Anwendungsbereich fallende Verbraucherprodukte und -dienste.

Cookies: Artikel 11.7a Telecommunicatiewet

Artikel 11.7a verlangt, dass eine Website vor dem Speichern oder Auslesen von Informationen auf dem Endgerät klar und vollständig über die Zwecke informiert und eine Einwilligung einholt. Es gelten drei Ausnahmen — eine mehr als in den meisten Mitgliedstaaten. Die ersten beiden sind die bekannten: ein Cookie, das strikt notwendig ist, um die Kommunikation zu übertragen, und ein Cookie, das strikt notwendig ist, um einen ausdrücklich angeforderten Dienst bereitzustellen (etwa ein Sitzungs- oder Warenkorb-Cookie).

Die dritte macht den Unterschied. Artikel 11.7a Absatz 3, eingefügt durch das Gesetz vom 4. Juni 2014 (Gesetzentwurf 33902), streicht das Einwilligungserfordernis für Cookies, die Informationen über de kwaliteit of effectiviteit eines erbrachten Dienstes gewinnen, sofern sie geen of geringe gevolgen voor de persoonlijke levenssfeer haben, also keine oder nur geringe Auswirkungen auf die Privatsphäre. Das ist eine Analytik-Sonderregel, und sie hat in der deutschen oder französischen Umsetzung keine Entsprechung.

Werbe-Pixel, Social-Embeds, A/B-Tests und Session-Recording brauchen also weiterhin eine vorherige Opt-in-Einwilligung. Die Analytik ist die niederländische Ausnahme, und zwar eine enge: Die veröffentlichte Leitlinie der AP akzeptiert, dass ein streng nach ihren datenschutzfreundlichen Vorgaben konfiguriertes Google Analytics derzeit keine Einwilligung braucht. Jede einzelne Einstellung muss stimmen, und sobald die Daten für Werbung weiterverwendet oder weitergegeben werden, greift die Sonderregel nicht mehr. Wie im übrigen EU-Raum ist die Regel technologieneutral: Ein Cookie durch localStorage oder ein Tracking-Pixel zu ersetzen, umgeht sie nicht.

Das Cookie-Vorgehen der AP

2025 machte die Autoriteit Persoonsgegevens Cookie-Banner zur erklärten Durchsetzungspriorität. Mehrere Organisationen erhielten einen „Cookie-Brief" mit der Aufforderung, unzulässige Banner zu korrigieren, und die AP prüfte Google-Analytics-4-Einbindungen. Sie handelt dabei auf der AVG-Seite: Artikel 15.1 Absatz 3 Telecommunicatiewet legt die Aufsicht über Art. 11.7a selbst bei der Autoriteit Consument en Markt, weshalb die AP im März 2025 beim Minister beantragte, stattdessen selbst benannt zu werden. Die Haltung der AP zum Banner-Design ist konkret:

• Gibt es auf der ersten Ebene „Alle akzeptieren", muss dort auch „Alle ablehnen" stehen, gleich prominent.
• Ein Link „Einstellungen" oder „Verwalten" zählt nicht als Ablehnen, Ablehnen muss so einfach sein wie Akzeptieren.
• Vor der aktiven Einwilligung dürfen keine nicht-essentiellen Cookies oder Tracker feuern.

Das entspricht dem breiteren EU-Konsens (siehe unseren Beitrag zur Reject-all-Parität) und ist der mit Abstand häufigste reproduzierbare Mangel, den Veracly auf niederländischen Sites findet.

Barrierefreiheit: der EAA im niederländischen Recht

Der European Accessibility Act gilt EU-weit ab dem 28. Juni 2025. In den Niederlanden wird er durch die Implementatiewet toegankelijkheidsvoorschriften producten en diensten umgesetzt, die mehrere bestehende Gesetze ändert, darunter die Warenwet, die Telecommunicatiewet und das Bürgerliche Gesetzbuch. Für digitale Dienste müssen verbrauchergerichtete Websites, Apps und Webshops barrierefrei sein, praktisch gemessen an WCAG 2.1 AA über den harmonisierten Standard EN 301 549.

Die Durchsetzung ist je nach Produkt oder Dienst auf mehrere Aufsichten verteilt; die Autoriteit Consument en Markt (ACM) beaufsichtigt den E-Commerce. Eine Kleinstunternehmen-Erleichterung gilt für Dienste (weniger als 10 Beschäftigte und Umsatz bzw. Bilanzsumme bis 2 Mio. €), ist aber eng und gilt nicht für Produkte. Der öffentliche Sektor war bereits gesondert über die Web-Accessibility-Richtlinie erfasst.

Praktische Checkliste für eine niederländische Site

1. Kein nicht-essentielles Cookie, Pixel oder Storage-Write feuert vor der Einwilligung.
2. Das Banner bietet „Alle ablehnen" auf der ersten Ebene, so prominent wie Akzeptieren.
3. Eine Datenschutzerklärung benennt die eingesetzten Tracker und die DSGVO/UAVG-Rechtsgrundlage.
4. Die Analytik ist entweder einwilligungsgesteuert oder streng nach den datenschutzfreundlichen Vorgaben der AP zu Art. 11.7a Abs. 3 konfiguriert; in beiden Fällen stützt sich ein US-Transfer auf einen gültigen Mechanismus nach Kapitel V.
5. Die Site erfüllt WCAG 2.1 AA (EN 301 549) für verbrauchergerichtete Inhalte.

Wie Veracly eine niederländische Website prüft

Veracly bewertet eine niederländische URL in einem Scan gegen alle drei Rahmen. Das Cookie-Audit-Modul erfasst die Drittanbieter-Anfragen, Cookies und Speichervorgänge, die vorliegen, bevor das Banner berührt wird — und wir berühren das Banner nie, denn ein Klick wäre selbst eine Einwilligungshandlung und würde die Messung vor der Einwilligung verfälschen. Anfragen an Ihren eigenen Host werden nicht erfasst, first-party-geproxytes Tracking bleibt also unsichtbar. Gemeldet werden nicht-essentielle Speichervorgänge vor der Einwilligung, ein fehlendes Banner und ein fehlender oder ungleichwertiger Ablehnen-Weg — Letzteres aus dem gerenderten Banner gelesen, nicht durch Klick auf Ablehnen getestet.

Eine Grenze, die Sie vor dem Bericht kennen sollten: Befunde werden einem Jurisdiktions-Regelpaket zugeordnet, nicht dem niederländischen Gesetzestext. Eine Telecommunicatiewet-Zuordnung gibt es im Produkt noch nicht, daher zitiert das DSGVO-Paket § 25 TDDDG, die deutsche Umsetzung desselben ePrivacy-Artikels. Für eine niederländische Site ist die Beobachtung richtig; die Fundstelle ist noch nicht lokalisiert, und die Analytik-Sonderregel des Art. 11.7a Abs. 3 ist gar nicht abgebildet. Behandeln Sie einen Analytik-Befund daher als Anlass, Ihre Konfiguration gegen die Vorgaben der AP zu prüfen, nicht als Urteil. Das Barrierefreiheits-Modul lässt axe-core gegen das gerenderte DOM für WCAG 2.1 AA laufen; Tracker-Befunde kommen mit einem DevTools-Rezept, das Sie selbst nachvollziehen können.

Siehe auch: Website-Compliance in Finnland · DSGVO vs. ePrivacy: Was regelt Cookies? · Der EAA für kleine und mittlere Unternehmen