Cookie-Banner müssen Nutzer nicht nur zur Zustimmung, sondern auch klar zur Ablehnung einladen. Das hat das VG Hannover entschieden. Eine „Alles ablehnen“-Schaltfläche auf erster Ebene ist Pflicht, wenn auch ein „Alle akzeptieren“-Button vorhanden ist. Auch der Einsatz des Google Tag Manager ist nur mit ausdrücklicher Zustimmung zulässig. Ein Urteil mit Signalwirkung für alle Webseitenbetreiber – und mehr Klarheit für Internetnutzer.

Fehler bei Cookie-Bannern vermeiden: So geht’s richtig – DSGVO einfach erklärt 

Webseiten müssen bei der Cookie-Abfrage eine gleichwertige Ablehnungsoption anbieten. Das hat das Verwaltungsgericht (VG) Hannover entschieden und damit eine wichtige Weichenstellung im Datenschutzrecht vorgenommen. Der Einsatz des Google Tag Manager darf zudem nur mit ausdrücklicher Einwilligung erfolgen. Geklagt hatte ein Medienhaus gegen eine Anordnung des Landesdatenschutzbeauftragten Niedersachsen. Das VG wies die Klage nun jedoch ab (VG Hannover, Urteil vom 19. März 2025, Az. 10 A 5385/22).

Ein Medienhaus aus Niedersachsen hatte auf seiner Internetseite ein Cookie-Banner verwendet, das lediglich zwei Optionen auf der ersten Ebene anbot: „Alle akzeptieren“ und „Einstellungen„. Wer auf „Einstellungen“ klickte, gelangte auf eine zweite Ebene, auf der Nutzer einzelne Cookie-Kategorien auswählen oder abwählen konnten. Eine direkte Möglichkeit, alle Cookies abzulehnen, gab es auf der ersten Ebene nicht. Zudem kam auf der Seite der Google Tag Manager zum Einsatz, ohne dass dafür eine ausdrückliche Einwilligung eingeholt wurde. Gegen diese Praxis ging der Landesbeauftragte für den Datenschutz Niedersachsen vor und ordnete eine Umgestaltung des Cookie-Banners an.


Neu für Unternehmen 🔥

Rundum-Datenschutz im Abo

Vermeiden Sie hohe Datenschutz-Bußgelder & Abmahnungen.
Mit unseren Datenschutz-Paketen ab 711 € mtl.

✓ Rechtssicherheit
✓ Abmahnschutz
✓ Persönliche Betreuung im Ernstfall

Die Anforderungen an den Datenschutz wechseln ständig: Hochautomatisierte Abmahnkanzleien spüren bestehende Datenschutzlücken in Sekunden auf und strafen Sie mit saftigen Bußgeldern ab! Bleiben Sie mit dem wöchentlichen Datenschutz-Update unserer Datenschutzpakete immer einen Schritt voraus. Mit dem Abmahnkostenschutz bieten wir Ihnen nicht nur Sicherheit, sondern auch die Gewissheit, dass Sie im Falle einer Abmahnung nicht allein sind.

Pakete entdecken →

Das betroffene Medienhaus hielt die behördliche Anordnung jedoch für rechtswidrig. Es argumentierte, dass keine personenbezogenen Daten verarbeitet würden und dass der Google Tag Manager lediglich technische Funktionen erfülle. Außerdem bezweifelte das Unternehmen die Zuständigkeit der Datenschutzaufsicht für die Kontrolle von Einwilligungsbannern. Deshalb klagte es gegen die Anordnung.

Nutzer müssen echte Wahlmöglichkeit haben

Das VG Hannover sah dies allerdings anders. Es bestätigte die Zuständigkeit der Datenschutzbehörde. Diese dürfe die Einhaltung des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) überwachen. Dabei handele es sich um eine „andere datenschutzrechtliche Bestimmung“ im Sinne des niedersächsischen Datenschutzgesetzes. Die einheitliche Kontrolle durch eine Behörde sei auch im Interesse der Nutzer, um deren Daten umfassend zu schützen.

Das VG rügte die Ausgestaltung des Cookie-Banners mit deutlichen Worten. Eine echte Wahlmöglichkeit sei nur gegeben, wenn Nutzer ebenso leicht ablehnen könnten wie sie zustimmen. Die Platzierung der Ablehnungsoption erst auf der zweiten Ebene sei unzumutbar. Viele Nutzer würden den Banner schnell wegklicken wollen, ohne sich mit den Details zu befassen. Wer auf „Alle akzeptieren“ klickt, ermögliche die umfassende Verarbeitung seiner Daten. Ein vergleichbares Angebot zum Ablehnen fehle aber. Das sei nicht transparent und manipuliere Nutzer zur Zustimmung.

Zudem sei der Cookie-Banner in mehrfacher Hinsicht irreführend. Die Formulierung „akzeptieren und schließen“ suggeriere eine neutrale Option, obwohl tatsächlich eine Einwilligung erteilt werde. Der Begriff „Einwilligung“ tauche im Banner gar nicht auf. Auch die Zahl der eingebundenen Partner war nicht ersichtlich, Hinweise auf das Widerrufsrecht oder eine Datenverarbeitung in Drittstaaten wurden nur beim Scrollen sichtbar. All das spreche gegen eine informierte, freiwillige und eindeutige Zustimmung im Sinne der Datenschutz-Grundverordnung (DSGVO).

Die wiederholte Anzeige des Banners bei Nichtzustimmung erhöhe laut VG zusätzlich den Druck auf die Nutzer. Die Gestaltung diene dem Ziel, möglichst viele Zustimmungen zu generieren und sei damit manipulierend. Einwilligungen, die unter solchen Bedingungen abgegeben werden, seien unwirksam. Nutzer müssten vielmehr eine echte Wahl haben, so das VG.

Auch Einsatz des Google Tag Manager rechtswidrig

Auch der Einsatz des Google Tag Manager ohne Einwilligung sei rechtswidrig. Der Dienst greife auf Endgeräte zu und speichere personenbezogene Informationen wie IP-Adressen oder Gerätedaten. Das setze nach dem TDDDG eine ausdrückliche Einwilligung voraus. Die Richter betonten, dass der Google Tag Manager keine für den Nutzer notwendige Funktion erfülle. Er erleichtere lediglich dem Websitebetreiber die Einbindung anderer Dienste. Das allein rechtfertige keine Ausnahme von der Einwilligungspflicht. Zudem ließe sich diese Funktion auch anders, etwa über eigene Skripte, umsetzen.

Das Gericht widersprach auch der Argumentation des Medienhauses, wonach der Google Tag Manager für das Einholen von Einwilligungen erforderlich sei. Tatsächlich nutzte das Unternehmen ein separates Consent-Management-Tool eines Drittanbieters. Der Google Tag Manager komme erst nach erteilter Zustimmung zum Einsatz, um Tracking-Dienste zu laden. Dies könne jedoch technisch auch ohne den Google-Dienst erfolgen.

das Urteil des VG sendet nun ein deutliches Signal an viele Anbieter, ihre Cookie-Banner rechtskonform zu gestalten. Bereits die Datenschutzkonferenz der Länder hatte 2021 klargestellt, dass Cookie-Banner ohne echte Ablehnungsoption unzulässig sind. Die Entscheidung aus Hannover bestätigt nun diese Linie erstmals gerichtlich.

Wenn Sie als Webseitenbetreiber Fragen zur datenschutzkonformen Gestaltung von Cookie-Bannern haben oder eine Abmahnung oder Anordnung der Datenschutzbehörde erhalten haben, stehen wir Ihnen gern zur Seite. WBS.LEGAL hat sich auf das Datenschutzrecht spezialisiert. Unsere Anwälte unterstützen Sie schnell und kompetent dabei, Ihre Website rechtssicher zu gestalten und Bußgelder zu vermeiden. Nehmen Sie jederzeit unter 0221 / 951 563 0 (Beratung bundesweit) Kontakt mit uns auf! Wir helfen Ihnen gerne weiter.

tsp