Cookie-Banner sind allgegenwärtig und bei Nutzern ebenso unbeliebt wie für Webseitenbetreiber juristisch uneindeutig. Nun macht der Landesbeauftragte für den Datenschutz in (LfD) Niedersachsen in einer Mitteilung vom 20.05.2025 auf ein Urteil des Verwaltungsgerichts (VG) Hannover (10 A 5385/22) aufmerksam, laut dem die Verfügbarkeit eines Buttons mit „alles ablehnen“ Pflicht für Cookie-Banner werden soll. Einwilligungen, die über manipulativ gestaltete Banner eingeholt werden, seien unwirksam. Webseiten, die eine „alle akzeptieren“-Schaltfläche bereitstellen, müssen also künftig nach dem VG Hannover auf derselben Ebene auch eine ebenso sichtbare Ablehnfunktion anbieten.
Das Problem mit den Cookies
Viele Unternehmen haben mit Einführung der Datenschutzgrundverordnung (DSGVO) auch Einwilligungsbanner in ihre Webseiten integriert, um den gesetzlichen Vorgaben bezüglich des Einsatzes von Cookies gerecht zu werde. In der Praxis hat dies jedoch zu mit Cookie-Bannern überfluteten Nutzeroberflächen sowie Nutzern, die diese ohne echte Auseinandersetzung aufgrund von Überforderung akzeptieren, geführt.
Je nach Aufbau des Cookie-Banners kann dies eine unüberlegte Entscheidung noch begünstigen. Regelmäßig gestalten Webseitenbetreiber ihre Cookie-Banners nämlich so, dass es lediglich einen Knopf zum Akzeptieren aller Cookies gibt und daneben einen Button mit dem man die Cookie-Einstellungen ändern kann. Dieser bringt Nutzer dann auf eine zweite Seite und erst hier besteht die Möglichkeit zum Abwählen des Einsatzes sämtlicher Cookies. Das bedeutet, dass Nutzer frühestens mit zwei Klicks zur Ablehnung kommen, während die Bestätigung bereits auf der ersten Seite möglich ist.
Zugrundeliegende behördliche Anordnung
Ausgangspunkt des Rechtsstreits vor dem VG Hannover war eine Anordnung des LfD Niedersachsen gegen ein Medienunternehmen. Die Aufsichtsbehörde monierte, dass die eingesetzte Bannerlösung keine echte Wahl zuließ. Zwar konnten Nutzer, genau wie zuvor beschrieben, alle Cookies mit einem Klick akzeptieren, mussten für eine Ablehnung jedoch mehrere Schritte durchlaufen. Im Übrigen kritisierte der LfD Niedersachsen, dass durch Formulierung und Gestaltung Nutzer gezielt in Richtung Zustimmung gelenkt würden.
Gerichtliche Bestätigung
Das VG Hannover bestätigte diese Einschätzung nun mit Urteil vom 19.03.2025. Die Gestaltung des Banners verstoße gegen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und die DSGVO, weil keine wirksame Einwilligung vorliege.
Die Entscheidung benennt eine Reihe von Gestaltungsmerkmalen, die aus Sicht des Gerichts zu einer unzulässigen Beeinflussung der Nutzer führen. So sei etwa das Ablehnen von Cookies deutlich aufwändiger als das Akzeptieren. Zudem hätte eine wiederholte Konfrontation mit dem Banner die Nutzer zur Einwilligung verleitet. Irreführende Begriffe wie „optimales Nutzungserlebnis“ oder „akzeptieren und schließen“ auf dem vermeintlichen Schließen-Button hätten ebenfalls zu einer Irreführung geführt. Außerdem sei weder die Zahl der eingebundenen Drittanbieter klar erkennbar noch der Begriff „Einwilligung“ überhaupt verwendet worden. Hinweise auf die Übermittlung in Drittstaaten und auf das Widerrufsrecht seien zudem erst nach zusätzlichem Scrollen auffindbar gewesen.
Deshalb sei eine freiwillige Einwilligung im Sinne von Art. 7 Abs. 4 DSGVO nicht möglich gewesen. Vielmehr habe hier ein gezieltes Verleiten zur Einwilligung stattgefunden. Laut dem VG Hannover sei ein „alles ablehnen“ Button deshalb Pflicht für Cookie-Banner.
Relevanz für Unternehmen
Denis Lehmkemper, der LfD Niedersachsen, bewertet das Urteil in einer Pressemitteilung. Trotz der Umstände, die Cookie-Banner mit sich bringen können, weist er auf die bedeutende Funktion dieser für den Datenschutz selbst hin. Gerade deshalb „setzen sich die Datenschutz-Aufsichtsbehörden für eine echte Wahlmöglichkeit bei der Gestaltung der Banner ein“. Er wünscht sich, dass das Urteil eine Signalwirkung an Unternehmen sendet, „datenschutzkonforme Einwilligungslösungen umzusetzen“.
Gerade in Niedersachsen ist insofern in Zukunft eine strengere Durchsetzung genau dieser Vorgaben zu erwarten. Webseitenbetreiber, sollten deshalb deren Webseiteneinstellungen bezüglich Cookie-Bannern kritisch prüfen. In vielen Fällen könnte eine Anpassung erforderlich sein, um den Anforderungen der Entscheidung zu genügen. In diesem Zusammenhang gibt es auch mittlerweile eine Verordnung, die durch Intermediäre eine anwenderfreundliche Alternative zu Cookie-Bannern schaffen soll.
Fazit
Zwar handelt es sich um ein Urteil eines Verwaltungsgerichts und damit nicht um höchstrichterliche Rechtsprechung. Doch die Begründung orientiert sich eng an den Vorgaben der DSGVO sowie der Rechtsprechung des EuGH zu informierter Einwilligung. Hinzu kommt, dass auch andere Aufsichtsbehörden inhaltlich vergleichbare Anforderungen an Banner stellen. Für Unternehmen bietet sich jetzt die Chance, ihre Consent-Banner rechtssicher und nutzerfreundlich zu gestalten und so auch die Zufriedenheit und das Vertrauen ihrer Nutzer zu sichern.
