Britische Glücksspiel Websites stehen wegen Cookie-Tracking unter Druck

Eine neue wissenschaftliche Studie hat Glücksspiel-Websites erneut in den Fokus der Datenschutzdebatte gerückt, nachdem Forscher untersucht hatten, wie in Großbritannien lizenzierte Betreiber Cookie-Einwilligungsbanner und Tracking-Technologien einsetzen. Im Rahmen der Untersuchung wurden 624 Glücksspiel-Websites bewertet, wobei weit verbreitete Probleme hinsichtlich Einwilligungsmechanismen, Datenverarbeitung und Benutzeroberflächengestaltung festgestellt wurden. Die Ergebnisse sollten nicht als behördliche Entscheidung gegen jeden in der Studie genannten Betreiber interpretiert werden. Vielmehr stellen sie die Ergebnisse einer wissenschaftlichen Überprüfung dar, bei der Praktiken identifiziert wurden, die die Forscher als unvereinbar mit den geltenden Datenschutzanforderungen erachteten.

Die Studie wurde von Forschern der Swansea University durchgeführt und im August 2026 in der Fachzeitschrift „Computers in Human Behavior Reports“ veröffentlicht. Die Autoren untersuchten, wie den Nutzern Datenschutzoptionen präsentiert wurden und ob personenbezogene Daten verarbeitet wurden, bevor eine Einwilligung eingeholt worden war. Die Untersuchung umfasste zudem ein Online-Experiment mit 615 Teilnehmern, um zu beurteilen, wie sich unterschiedliche Designs von Einwilligungsbannern auf die Entscheidungen der Nutzer auswirken könnten.

Aufgrund des Umfangs der Überprüfung sind die Ergebnisse für den gesamten Online-Glücksspielsektor von Bedeutung. Der Studie zufolge erfüllten nur 14 % der untersuchten Websites die von den Forschern festgelegten Kriterien zur Einhaltung der DSGVO, während 86 % offenbar gegen mindestens einen der bewerteten Grundsätze verstießen. Die Studie ergab zudem, dass 86 % der Einwilligungsbanner mindestens ein sogenanntes „Dark Pattern“ aufwiesen, was zeigt, dass das Datenschutzproblem über das technische Tracking hinausging und sich auch auf die Art und Weise erstreckte, wie den Nutzern Auswahlmöglichkeiten präsentiert wurden.

Die Einwilligungsoptionen waren oft schwer auszuüben

Im Mittelpunkt der Untersuchung steht das Cookie-Banner, ein bekanntes Element, das Besuchern die Wahl bezüglich Tracking und Datennutzung lässt. Auch wenn diese Hinweise routinemäßig erscheinen mögen, kann ihre Gestaltung darüber entscheiden, ob ein Besucher nicht-essentielles Tracking leicht ablehnen kann oder ob die Zustimmung zur bequemsten Option wird.

Die Studie ergab, dass 24 % der 624 Glücksspiel-Websites den Nutzern keine Möglichkeit boten, das Tracking abzulehnen. Weitere 2 % boten Berichten zufolge überhaupt keine Einwilligungsmöglichkeit an. Diese Ergebnisse werfen die Frage auf, ob den Nutzern stets eine sinnvolle Möglichkeit geboten wurde, Kontrolle über nicht wesentliche Tracking-Technologien auszuüben.

Die Forscher identifizierten zudem mehrere wiederkehrende Gestaltungstechniken, die die Entscheidungen der Nutzer beeinflussen könnten. Auf 60 % der Websites wurde die Option, die mit geringerer Privatsphäre verbunden war, visuell hervorgehoben. In 29 % der Fälle waren datenschutzunfreundliche Einstellungen standardmäßig vorausgewählt. Gleichzeitig platzierten 47 % der Banner die Ablehnungsoption Berichten zufolge hinter einer zusätzlichen Ebene, anstatt sie neben der Zustimmungsoption darzustellen.

Solche Praktiken werden gemeinhin unter dem Begriff „Dark Patterns“ diskutiert. Wichtig ist, dass das Vorhandensein eines Dark Patterns nicht automatisch bedeutet, dass eine Website gegen das Gesetz verstoßen hat. Die rechtliche Bedeutung hängt vom konkreten Design, der verwendeten Technologie, der Art der betroffenen Daten und den Umständen ab, unter denen die Einwilligung eingeholt wird.

Die Forscher kamen dennoch zu dem Schluss, dass die Verbreitung dieser Praktiken größere regulatorische Aufmerksamkeit verdiene, da sie es Einzelpersonen erschweren könnten, echte Kontrolle über ihre Daten auszuüben. Der experimentelle Teil der Studie ergab zudem, dass das gängigste Bannerformat die Zustimmung zum Tracking erhöhte, während gleichzeitig die Übereinstimmung zwischen den von den Nutzern angegebenen Präferenzen und ihren letztendlichen Entscheidungen abnahm.

Personenbezogene Daten wurden manchmal bereits vor der Einwilligung verarbeitet

Ein weiteres wichtiges Problem, das von den Forschern identifiziert wurde, betraf das Geschehen, bevor ein Nutzer mit einem Einwilligungsbanner interagierte.

Bei mehr als zwei Dritteln der untersuchten Websites, d. h. bei 67 %, wurde festgestellt, dass personenbezogene Daten verarbeitet wurden, bevor die Einwilligung gemäß den in der Studie angewandten Kriterien eingeholt wurde. Die Forscher identifizierten dauerhafte eindeutige Identifikatoren in ausgehenden Anfragen, noch bevor die Nutzer mit dem Banner interagiert hatten, und bewerteten die Übermittlung solcher Informationen an Analyse- und Marketingsysteme von Drittanbietern als besonders bedeutsam.

Es kann jedoch legitime Gründe für bestimmte Formen der Datenverarbeitung vor einer Einwilligungsentscheidung geben. Glücksspielanbieter müssen möglicherweise grundlegende technische oder regulatorische Informationen ermitteln, beispielsweise ob ein Besucher von einer zugelassenen Gerichtsbarkeit aus auf einen Dienst zugreift. Die zentrale Frage ist, ob die Verarbeitung über das Notwendige hinausgeht und ob nicht unbedingt erforderliches Tracking beginnt, bevor eine gültige Einwilligung eingeholt wurde.

Diese Unterscheidung ist in einem regulierten Glücksspielumfeld besonders wichtig. Betreiber verarbeiten routinemäßig erhebliche Datenmengen aufgrund von Altersüberprüfungen, Identitätsprüfungen, Zahlungskontrollen, Betrugsbekämpfung und Anforderungen an verantwortungsbewusstes Spielen. Nicht jede technische Anfrage, die vor der Einwilligung gestellt wird, hat daher die gleiche rechtliche Bedeutung.

Der Schwerpunkt der Studie lag auf Verarbeitungen, die für den unmittelbaren Betrieb der Website als unnötig angesehen wurden und die Analysen oder Marketingmaßnahmen durch Dritte beinhalten könnten.

Zu den genannten Beispielen gehörten große Anbieter

Die Untersuchung und die anschließende Berichterstattung bezogen sich im Zusammenhang mit verschiedenen Aspekten der Prüfung auf mehrere bekannte Glücksspielmarken. Ladbrokes und William Hill gehörten zu den Anbietern, bei denen im Rahmen der Tests der Forscher festgestellt wurde, dass Daten vor der Einwilligung verarbeitet wurden. Die Ergebnisse belegen für sich genommen nicht, dass jede von diesen Unternehmen durchgeführte Aktivität eine rechtswidrige Verarbeitung darstellt oder dass die Unternehmen von einem Gericht oder einer Aufsichtsbehörde für haftbar befunden wurden.

Ladbrokes gehört zur Gruppe der Wett- und Glücksspielmarken von Entain, während William Hill unter dem Dach von evoke plc operiert. Beide Muttergesellschaften haben daher eine direkte unternehmerische Verbindung zu den in der Untersuchung behandelten großen Glücksspielmarken. Entain hat laut der Berichterstattung im Zusammenhang mit der Studie öffentlich erklärt, dass die vor der Einwilligung auf den betreffenden Websites gesammelten Informationen nicht für Werbe- oder Marketingzwecke verwendet wurden. Evoke gab in dieser Berichterstattung keinen Kommentar ab.

Hollywoodbets und Admiral Casino wurden in der Berichterstattung über die Studie ebenfalls im Zusammenhang mit dem Fehlen einer Option zur Deaktivierung des Trackings genannt. Dafabet gehörte zu den Beispielen, die im Zusammenhang mit Websites genannt wurden, die keine Einwilligungsmöglichkeit anboten. Auch hier spiegeln diese Verweise die Tests und Berichte der Forscher zu spezifischen Website-Konfigurationen wider und stellen keine unabhängigen Feststellungen einer rechtlichen Haftung durch ein Gericht dar.

Diese Unterscheidung ist wichtig, wenn es um Datenschutzforschung geht, die identifizierbare Unternehmen betrifft. Eine Studie kann ein offensichtliches Compliance-Problem aufzeigen, ohne die endgültige rechtliche Lage zu bestimmen. Aufsichtsbehörden oder Gerichte können nach Prüfung der genauen technischen Umsetzung, der Rechtsgrundlage für die Verarbeitung und anderer relevanter Beweise zu anderen Schlussfolgerungen gelangen.

Der Fall Sky Bet stellt einen separaten regulatorischen Präzedenzfall dar

Die breitere Diskussion lenkt die Aufmerksamkeit auch auf frühere regulatorische Maßnahmen im Zusammenhang mit Sky Betting and Gaming.

Im September 2024 erteilte das Information Commissioner’s Office (ICO) der Firma Bonne Terre Limited, die unter dem Namen Sky Betting and Gaming firmiert, eine Rüge, nachdem es zu dem Schluss gekommen war, dass Werbe-Cookies verwendet worden waren, um personenbezogene Daten während eines bestimmten Zeitraums im Jahr 2023 ohne Einwilligung zu verarbeiten. Das ICO stellte fest, dass Informationen an Unternehmen für Werbetechnologie weitergegeben wurden, bevor die Nutzer die Möglichkeit hatten, Werbe-Cookies zu akzeptieren oder abzulehnen.

Die Aufsichtsbehörde erklärte zudem, dass ihre Untersuchung keine Hinweise auf einen vorsätzlichen Missbrauch zugunsten schutzbedürftiger Glücksspieler ergeben habe. Das Unternehmen hatte bereits im März 2023, noch bevor die spätere Rüge ausgesprochen wurde, Änderungen an seinen Praktiken vorgenommen. Dieser Fall ist daher ein anschauliches Beispiel dafür, wie Praktiken im Zusammenhang mit Cookies und Werbetechnologie zu einem formellen Datenschutzproblem werden können, ohne dass dies bedeutet, dass jeder anderswo festgestellte Datenschutzbedenken bereits dasselbe Durchsetzungsstadium erreicht hat.

Sky Bet wird in der neuen Swansea-Studie nicht als einer der Betreiber genannt, denen Verstöße vorgeworfen werden. Es ist wichtig, diese beiden Sachverhalte voneinander zu trennen, da es sich bei der Regulierungsmaßnahme von 2024 um eine konkrete Durchsetzungsentscheidung handelte, während die Studie von 2026 eine akademische Untersuchung mit eigener Methodik und eigenem Umfang darstellt.

Laut ICO hat sich die Einhaltung der Cookie-Vorschriften verbessert

Die Studie erscheint zudem zu einem Zeitpunkt, an dem das ICO über erhebliche Fortschritte im gesamten britischen Internet berichtet.

Im Dezember 2025 teilte die Aufsichtsbehörde mit, dass 979 der 1.000 meistbesuchten Websites Großbritanniens zum Zeitpunkt der letzten Überprüfung die Anforderungen an die Cookie-Konformität erfüllten. Die ICO erklärte, ihr Programm habe sich darauf konzentriert, ob nicht wesentliche Werbe-Cookies gesetzt wurden, bevor Nutzer eine Entscheidung treffen konnten, ob die Ablehnung ebenso einfach war wie die Zustimmung und ob Cookies ohne Einwilligung gespeichert wurden.

Die Aufsichtsbehörde erklärte daraufhin im April 2026, dass 99 % der 1.000 meistbesuchten Websites Großbritanniens nach ihrer gezielten Zusammenarbeit mit der Branche die Compliance-Standards für Cookie-Banner erfüllten. Sie veröffentlichte zudem endgültige Leitlinien zu Speicher- und Zugriffstechnologien, die Cookies, Tracking-Pixel und Geräte-Fingerprinting abdecken und dabei die durch den „Data (Use and Access) Act“ eingeführten Änderungen berücksichtigen.

Der Kontrast zu den Ergebnissen aus Swansea ist auffällig, auch wenn die beiden Untersuchungen nicht direkt vergleichbar sind. Das Programm der ICO betrifft die meistbesuchten Websites Großbritanniens branchenübergreifend, während sich die Swansea-Studie speziell auf in Großbritannien lizenzierte Glücksspiel-Websites konzentriert. Aufgrund unterschiedlicher Stichproben und Methodiken sollten die Ergebnisse nicht als direkter statistischer Vergleich gewertet werden.

Warum Datenschutz im Glücksspielbereich eine besondere Rolle spielt

Datenschutzbedenken können im Glücksspielsektor eine zusätzliche Dimension annehmen, da Verhaltensdaten möglicherweise mehr preisgeben als gewöhnliche Surfgewohnheiten.

Online-Glücksspielplattformen können Muster hinsichtlich Häufigkeit, Zeitpunkt und Engagement beobachten. Diese Signale können für legitime betriebliche Zwecke wertvoll sein, darunter Betrugsprävention und Maßnahmen für verantwortungsbewusstes Spielen. Gleichzeitig können Verhaltensdaten Bedenken aufwerfen, wenn sie ohne angemessene Rechtsgrundlage oder sinnvolle Wahlmöglichkeit für den Nutzer für Werbe- oder andere kommerzielle Zwecke verwendet werden.

Die Forscher hinter der Swansea-Studie hoben diese Überschneidung zwischen kommerziell wertvollem Glücksspielverhalten und Verhaltensweisen hervor, die auch mit Glücksspielschäden in Verbindung stehen können. Die Studie konnte in ihrem Experiment keinen Zusammenhang zwischen Entscheidungen bezüglich Werbebannern und dem selbst berichteten Schweregrad von Glücksspielschäden nachweisen, was eine wichtige Einschränkung darstellt, die nicht übersehen werden sollte.

Diese Erkenntnis unterstreicht die Notwendigkeit einer sorgfältigen Wortwahl in dieser Frage. Datenschutzforschung sollte nicht dazu verwendet werden, zu behaupten, dass bestimmte Betreiber gezielt auf schutzbedürftige Personen abzielen, es sei denn, Beweise belegen dieses Verhalten konkret. Die besser zu vertretende Schlussfolgerung lautet, dass Glücksspieldaten ungewöhnlich sensibel sein können und daher eine klare Regulierung, transparente Einwilligungsverfahren und angemessene Einschränkungen bei der nachgelagerten Nutzung erfordern.

Rechtliche und Compliance-Fragen bleiben von großer Bedeutung

Für Betreiber reichen die Auswirkungen über das bloße Erscheinen eines Cookie-Banners hinaus. Eine wirksame Compliance erfordert, dass technische Systeme sich konsistent so verhalten, wie es den Nutzern zum Zeitpunkt der Einwilligung mitgeteilt wird.

Ein Banner mag den Anschein erwecken, den Vorschriften zu entsprechen, während Tracking-Skripte bereits mit der Übermittlung von Informationen beginnen, bevor eine Entscheidung registriert wurde. Umgekehrt kann eine Website begrenzte Informationen für einen legitimen betrieblichen Zweck verarbeiten und gleichzeitig Werbe- oder Analyseaktivitäten so lange einschränken, bis die Einwilligung erteilt wird.

Dies stellt Compliance-Teams vor eine praktische Herausforderung. Sie müssen den gesamten Datenfluss bewerten, anstatt sich ausschließlich auf den Wortlaut zu verlassen, der den Kunden angezeigt wird.

Auch das aktuelle regulatorische Umfeld im Vereinigten Königreich entwickelt sich weiter. Die aktualisierten Leitlinien der ICO zu Speicher- und Zugriffstechnologien spiegeln gesetzliche Änderungen wider und zielen darauf ab, mehr Klarheit in Bezug auf Tracking-Technologien zu schaffen. Für Glücksspielunternehmen wird es im Rahmen des Risikomanagements weiterhin von zentraler Bedeutung sein, klar zu dokumentieren, welche Technologien eingesetzt werden, welche Daten verarbeitet werden und welche Rechtsgrundlage dafür gilt.

Was die Ergebnisse für Glücksspielanbieter bedeuten könnten

Die Studie aus Swansea dürfte den Druck auf Glücksspielunternehmen erhöhen, ihre Cookie-Banner, Einwilligungsmanagement-Plattformen und die Integration von Tracking-Tools von Drittanbietern zu überprüfen.

Die dringlichste Frage im Hinblick auf die Einhaltung der Vorschriften ist, ob nicht unbedingt notwendiges Tracking technisch verhindert wird, bis eine gültige Entscheidung erfasst wurde. Betreiber müssen möglicherweise auch überprüfen, ob die Ablehnungsoption tatsächlich zugänglich ist, ob die Standardeinstellungen die Datenschutzentscheidungen respektieren und ob personenbezogene Daten vor der Einwilligung an Dritte übermittelt werden.

Die Studie könnte zudem zu einer genaueren Überprüfung der Beziehungen zu Anbietern anregen. Analyse- und Werbeanbieter können außerhalb der eigenen Unternehmensstruktur des Betreibers angesiedelt sein und dennoch Informationen über Website-Skripte und Tags erhalten. Für eine effektive Datenverwaltung ist es daher unerlässlich, genau zu verstehen, wohin die Informationen fließen.

Fazit

Die aktuelle Untersuchung belegt nicht, dass jeder im Zusammenhang mit der Studie genannte Betreiber nachweislich gegen geltendes Recht verstoßen hat. Sie liefert jedoch eine solide Faktengrundlage für die Untersuchung, wie Glücksspiel-Websites mit Einwilligungen, Tracking und Nutzerdaten umgehen. Angesichts der Tatsache, dass von 624 in Großbritannien lizenzierten Websites nur 14 % die in der Studie festgelegten Kriterien zur Einhaltung der DSGVO erfüllten, deuten die Ergebnisse auf ein branchenweites Problem hin, das sorgfältige Aufmerksamkeit seitens der Regulierungsbehörden und der Unternehmen verdient.

Für Verbraucher ist die zentrale Frage klar: Ein Einwilligungsbanner ist nur dann sinnvoll, wenn eine Person die Wahlmöglichkeit versteht und diese ohne unnötige Hindernisse ausüben kann. Für Betreiber ist die Verantwortung umfassender, da die Einhaltung der Vorschriften nicht nur auf dem Bildschirm, sondern auch in den technischen Systemen gewährleistet sein muss, die Informationen nach dem Laden der Seite verarbeiten.

Die Datenschutzverpflichtungen der Glücksspielbranche werden daher zunehmend vom Inhalt der Einwilligung abhängen und weniger vom bloßen Anschein der Einhaltung der Vorschriften. Da die Regulierungsbehörden ihre Leitlinien weiter verfeinern und Forscher untersuchen, wie sich digitales Design auf das Verhalten auswirkt, haben Glücksspielunternehmen einen klaren Anreiz, Datenschutzkontrollen transparent, technisch zuverlässig und nachweislich auf die den Kunden angebotenen Wahlmöglichkeiten abgestimmt zu gestalten.

Häufig gestellte Fragen

Was wurde in der Swansea-Studie untersucht?
Die Studie überprüfte 624 in Großbritannien lizenzierte Glücksspiel-Websites, um Einwilligungsbanner, Tracking-Praktiken und potenzielle Verstöße gegen die DSGVO zu untersuchen. Zudem wurde ein Online-Experiment mit 615 Teilnehmern durchgeführt, um zu bewerten, wie unterschiedliche Designs von Einwilligungsbannern die Entscheidungen der Nutzer beeinflussten.

Bei wie vielen Glücksspiel-Websites stellten die Forscher potenzielle DSGVO-Probleme fest?
Die Studie ergab, dass 86 % der Websites offenbar gegen mindestens einen der von den Forschern bewerteten DSGVO-Grundsätze verstießen. Die Autoren berichteten, dass nur 14 % nach ihren Kriterien konform waren.

Was sind „Dark Patterns“ in Cookie-Bannern?
„Dark Patterns“ sind Interface-Designs, die Nutzer zu bestimmten Entscheidungen lenken können. In der Studie wurden als Beispiele die visuelle Hervorhebung der Zustimmung, die Vorauswahl weniger datenschutzfreundlicher Einstellungen und die Platzierung von Ablehnungsoptionen hinter zusätzlichen Schritten genannt.

Wie viel Prozent der Websites verarbeiteten personenbezogene Daten vor der Einwilligung?
Die Studie ergab, dass 67 % der untersuchten Websites personenbezogene Daten verarbeiteten, bevor sie gemäß den von den Forschern angewandten Kriterien eine Einwilligung eingeholt hatten.

Hat jede Website in der Studie gegen das Gesetz verstoßen?
Nein. Die Untersuchung identifizierte auf der Grundlage ihrer Methodik und Kriterien offensichtliche Verstöße gegen die DSGVO. Sie sollte nicht als Gerichtsurteil oder individuelle behördliche Entscheidung gegen jeden namentlich genannten Betreiber angesehen werden.

Welche Glücksspielmarken wurden in der Berichterstattung über die Ergebnisse erwähnt?
In der Berichterstattung wurden Ladbrokes, William Hill, Hollywoodbets, Admiral Casino und Dafabet im Zusammenhang mit verschiedenen Aspekten der Tests der Forscher genannt. Diese Nennungen begründen für sich genommen keine rechtliche Haftung.

War Sky Bet Teil der angeblichen Verstöße der Swansea-Studie?
Nein. Sky Bet wurde separat behandelt, da die ICO im Jahr 2024 gegen Bonne Terre Limited, firmierend als Sky Betting and Gaming, wegen der unrechtmäßigen Verwendung von Werbe-Cookies ohne Einwilligung während eines bestimmten Zeitraums im Jahr 2023 eine Rüge aussprach.

Was sagt die ICO zur Einhaltung der Cookie-Vorschriften im Vereinigten Königreich?
Die ICO berichtete von erheblichen Verbesserungen bei den meistbesuchten Websites im Vereinigten Königreich. Sie gab an, dass 979 der 1.000 meistbesuchten Websites im Dezember 2025 ihre Cookie-Konformitätsprüfungen bestanden hätten, und meldete im April 2026 nach ihrer fortlaufenden Arbeit eine Konformitätsrate von 99 %.

Warum ist der Datenschutz für Glücksspiel-Websites besonders wichtig?
Glücksspiel-Websites können detaillierte Verhaltens- und Transaktionsdaten verarbeiten. Einige dieser Daten können für regulatorische Zwecke oder im Rahmen des verantwortungsvollen Glücksspiels nützlich sein, bergen jedoch auch erhöhte Datenschutzrisiken, wenn sie ohne angemessene Rechtsgrundlage für Marketing- oder andere Zwecke verwendet werden.

Was sollten Glücksspielanbieter im Anschluss an die Studie überprüfen?
Anbieter sollten die Gestaltung von Cookie-Bannern, Systeme zur Einwilligungsverwaltung, das Tracking vor der Einwilligung, die Integration von Analysetools von Drittanbietern sowie die technischen Kontrollen überprüfen, die eine Verarbeitung nicht wesentlicher Daten verhindern, bevor eine gültige Entscheidung erfasst wird.