Über eine Urteilszusammenfassung der RDV 5/2025, Seite 258ff. bin ich auf die Entscheidung des VG Hannover (my hood) (19.03.2025 – 10 A 5385/22) aufmerksam geworden.
Zu dem Urteil gibt es eine Pressemitteilung vom Landesbeauftragten für den Datenschutz Niedersachsen, also der Datenschutzaufsichtsbehörde in Niedersachsen (ich finde, dass mit den Beauftragtenbezeichnungen könnte man mal lassen).
Der Landesbeauftragte für den Datenschutz in Niedersachsen setzt sich nach eigenem Bekunden seit vielen Jahren gegen manipulativ gestaltete Einwilligungsbanner und für wirksame – insbesondere informierte und freiwillige – Einwilligungen ein. Hintergrund des beschriebenen Verfahrens war eine Anordnung der Behörde gegenüber einem niedersächsischen Medienhaus. Dieses hatte Cookie-Einwilligungen mittels eines Banners eingeholt – ohne Nutzerinnen und Nutzern eine echte Wahlmöglichkeit zu bieten.
Das Verwaltungsgericht kritisierte die Aufmachung und Gestaltung des Cookie-Banners in mehrerer Hinsicht, wie die Aufsichtsbehörde es zusammenfasst:
- das Ablehnen von Cookies war deutlich umständlicher als das Akzeptieren,
- Nutzerinnen und Nutzer wurden durch ständige Banner-Wiederholungen zur Einwilligung gedrängt,
- die Überschrift „optimales Nutzungserlebnis“ und die Beschriftung „akzeptieren und schließen“ auf dem Schließen-Button waren irreführend,
- der Begriff der „Einwilligung“ fehlte vollständig,
- die Zahl der eingebundenen Partner und Drittdienste war nicht ersichtlich und
- Hinweise auf das Recht zum Widerruf der Einwilligung und eine Datenverarbeitung in Drittstaaten, außerhalb der EU waren erst nach Scrollen sichtbar.
Anbei von mir noch mehr Einzelheiten von zu dem Urteil im Folgenden:
Das Urteil des VG Hannover behandelt die Rechtmäßigkeit von behördlichen Anordnungen gegen einen Webseitenbetreiber bezüglich der Gestaltung seines Cookie-Banners. Das Gericht hat die Klage des Verlags gegen die datenschutzrechtlichen Vorgaben abgewiesen und die Auffassung der Datenschutzbehörde bestätigt.
Kernpunkte des Urteils
Sachverhalt:
Ein Verlag, der eine Zeitung mit Online-Angebot betreibt, hatte nach behördlicher Beanstandung mehrfach sein Cookie-Banner angepasst. Die Datenschutzbehörde monierte weiterhin, dass beim Besuch der Website ohne explizite Einwilligung Nutzerdaten (u. a. durch Google Tag Manager) verarbeitet wurden und dass das Einwilligungsbanner nicht ausreiche, um wirksame, freiwillige und informierte Einwilligungen nach DSGVO und TTDSG (Anmerkung: Das TTDSG wurde am 13.5.2024 zum TDDDG) sicherzustellen. Insbesondere gab es keine klar erkennbare Ablehnoption auf erster Ebene des Banners, die Informationslage war unzureichend, und das Ablehnen der Einwilligung war erheblich umständlicher als das Akzeptieren.
Entscheidung:
Das Gericht hält die Anforderung der Datenschutzbehörde für rechtmäßig.
- Einwilligungen müssen freiwillig und informiert sein und auf jeder Ebene klar und einfach ausgestaltet werden (Art. 4 Nr. 11, Art. 7 DSGVO).
- Ein „Alles Ablehnen“-Button bzw. eine gleichwertige Ablehnoption muss auf der ersten Ebene des Cookie-Banners vorhanden und ohne Mehraufwand zugänglich sein.
- Die Information – z. B. Anzahl und Identität der Drittdienstleister, Verarbeitungszwecke und Übermittlungen in Drittländer – muss zentral, leicht verständlich und vor Einwilligung zugänglich gemacht werden.
- Gestaltungen, die Nutzer durch komplexe Klickwege, Wiederholung der Banner und farbliche Hervorhebung zum Akzeptieren drängen, entsprechen nicht der Freiwilligkeit der Einwilligung.
- Die Behörde ist für die Kontrolle des TTDSG und der DSGVO zuständig; eine Trennung dieser Aufsicht würde zu unsinnigen Ergebnissen führen.
Folgen für Webseitenbetreiber mit Cookie-Banner
Pflicht zur informierten und freiwilligen Einwilligung:
- Ein Cookie-Banner muss auf der ersten Ebene (dem ersten Fenster/Overlay) eine eindeutig erkennbare Ablehnoption für alle nicht notwendigen Cookies enthalten („Alles ablehnen“, „Ablehnen“ o. ä.), die genauso leicht erreichbar und auffällig ist wie die Zustimmung („Alle akzeptieren“).
- Nutzern dürfen keine spürbaren Nachteile entstehen, wenn sie die Einwilligung verweigern, etwa wiederkehrende Banner oder erschwerter Zugang zu Inhalten.
- Alle relevanten Informationen (Zwecke, Empfänger, Drittlandtransfer, Anzahl der Partner) sind übersichtlich und in klarer Sprache direkt im Banner bereitzustellen. Versteckte Hinweise oder verschachtelte Informationsdarstellung reichen nicht aus.
Gestaltung des Cookie-Banners:
- Die farbliche und optische Gestaltung von Akzept- und Ablehnbuttons muss gleichwertig erfolgen, sodass die Ablehnung keine „zweitrangige“ Option ist.
- Das Banner darf Nutzer nicht dazu drängen, Einwilligung zu erteilen – z. B. durch Mehraufwand bei der Ablehnung, wiederholtes Anzeigen oder die sog. Cookie Wall, bei der die Website ohne Zustimmung nicht nutzbar wäre.
Technische Maßnahmen:
- Kein Cookie, kein Tracking, kein Drittdienst darf vor Einwilligung technisch aktiviert oder Daten übermitteln (einschließlich Google Tag Manager).
- Die Einbindung von Drittdiensten und das Setzen von Cookies sind ohne Einwilligung rechtswidrig, sofern sie nicht unbedingt erforderlich für den Betrieb der Seite sind.
Rechtsaufsicht und Sanktionsrisiko:
- Die Landesdatenschutzbehörde ist zuständig und kann bei fehlerhafter Implementierung Anordnungen und ggf. Bußgelder verhängen.
Fazit
Webseitenbetreiber müssen Cookie-Banner so gestalten, dass die Ablehnung aller Tracking- und Third-Party-Cookies direkt und ohne Mehraufwand möglich ist. Einwilligungen müssen umfassend informiert sowie eindeutig freiwillig erfolgen; optische und funktionale Gleichwertigkeit von Akzeptieren und Ablehnen sind Pflicht. Sonst drohen Webseitenbertreibern behördliche Anordnungen und Sanktionen.
