Das Verwaltungsgericht Hannover entschied mit Urteil vom 19.03.2025, dass bei dem Einsatz von Cookie-Bannern auf Webseiten diese eine „Alles ablehnen“-Schaltfläche haben muss. Diese Schaltfläche muss zudem gleichwertig mit den anderen Wahlmöglichkeiten zur Zustimmung zur Setzung von Cookies gestaltet sein. Ebenfalls entschied das Gericht, dass der Einsatz von Google Tag Manager einer Einwilligung gem. § 25 TDDDG, Art. 6 Abs. 1 lit. a) DSGVO bedarf.
Hintergrund der Entscheidung war der Einsatz eines Cookie-Banners auf einer Webseite durch ein Unternehmen, der auf erster Ebene lediglich die Optionen „Alle akzeptieren“ oder „Einstellungen“ aufwies. Bei Betätigen des „Einstellungen“-Buttons gelangte der Seitenbesucher auf die zweite Ebene des Cookie-Banners und hatte dort die Möglichkeit zwischen den Schaltflächen „Alle akzeptieren“ und „Auswahl speichern“. Auf der Webseite wurde zudem der Dienst Google Tag Manager eingesetzt.
Die Niedersächsische Datenschutzaufsichtsbehörde beanstandete die Gestaltung des Cookie-Banners sowie den Einsatz von Google Tag Manager ohne ausreichende Einwilligung. Das Unternehmen wehrte sich gegen die Maßnahmen der Aufsichtsbehörde. Das VG Hannover stufte jedoch die Maßnahmen der Aufsichtsbehörde als rechtmäßig ein.
In dem Urteil führte das Gericht wie folgt aus:
Es wurde festgestellt, dass die Verwendung von Cookies (und anderen Technologien) auf der Webseite des Unternehmens sowohl gegen § 25 TDDDG als auch gegen Art. 6 Abs. 1 DSGVO verstoße. Grund hierfür sei, dass § 25 TDDDG vorschreibt, dass das Speichern von Informationen in der Endeinrichtung es Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind (bspw. also das Setzen von Cookies) nur zulässig ist, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat, es sei denn, der alleinige Zweck ist die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz oder die Speicherung oder der Zugriff sind unbedingt erforderlich, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.
Das Unternehmen hatte Cookies auf der eigenen Webseite gesetzt, darunter auch technisch nicht notwendige Cookies. Für das Setzen der technisch nicht notwendigen Cookies sei daher nach § 25 TDDDG das Einholen einer Einwilligung zwingend erforderlich. Typischerweise wird eine solche Einwilligung mithilfe eines Cookie-Banners eingeholt. Nach Ansicht des Gerichts war dieser jedoch auf der Webseite des Unternehmens unzulässig gestaltet, so dass keine wirksame Einwilligung in das Setzten der verschiedenen (technisch nicht notwendigen) Cookies möglich war.
Zum einen fehlte nach Ansicht des Gerichts auf der ersten Ebene des Cookie-Banners die Angabe der über Anzahl der über hundert Drittdienstleister der Klägerin. Dies sei wichtig bei der Entscheidung des Seitenbesuchers, ob dieser die Schaltfläche „Alle akzeptieren“ betätigen möchte.
Auch seien betätigte Einwilligungen durch den Cookie-Banner nicht freiwillig. Als freiwillig werde die Einwilligung nur betrachtet, wenn die betroffene Person tatsächlich eine Wahlmöglichkeit hat, also ohne Nachteile auf die Erteilung der Einwilligung verzichten kann. Dazu müsse die Einwilligung aufgeklärt erfolgen. In jedem Fall ist der Betroffene darauf hinzuweisen, dass er seine Einwilligung verweigern kann. Er müsse die Möglichkeit haben, den Inhalt der von ihm erwarteten Erklärung in zumutbarer Weise zur Kenntnis zu nehmen. Ein Cookie-Banner dürfe jedenfalls nicht so gestaltet sein, dass es den Nutzer gezielt zur Abgabe der Einwilligung hinlenkt und von der Ablehnung der Cookies abhält.
Aus der Sicht des Gerichts erfolgte vorliegend jedoch genau eine solche Hinlenkung zur Erteilung der Einwilligung und damit eine Beeinflussung des Wahlrechts.
Insbesondere bestünde für Nutzer ein erheblicher Mehraufwand, wenn sie die Einwilligung nicht erteilen möchten. Während die umfassende Einwilligung auf erster Ebene gleich durch zwei Buttons ("Alle akzeptieren" sowie "Akzeptieren & schließen x") erteilt werden konnte, musste für eine Ablehnung zunächst auf erster Ebene der Button "Einstellungen" ausgewählt werden.
Weiter stellte das Gericht fest, dass das Unternehmen den Dienste Google Tag Manager auf der eigenen Webseite nicht ohne vorherige Einwilligung der Seitenbesucher nutzen darf. Es liege ein Verstoß gegen § 25 TDDDG vor, da durch Google Tag Manager Informationen in der Endeinrichtung des Endnutzers gespeichert würden oder auf Informationen zugegriffen würde, die bereits in der Endeinrichtung gespeichert sind. Eine Ausnahme nach § 25 Abs. 2 TDDDG greife vorliegend auch nicht, so dass zwingend eine Einwilligung notwendig sei.
Quelle: VG Hannover, Urt. v. 19.03.2025, Az. 10 A 5385/22