Die Gestaltung von Cookie-Bannern ist rechtlich bedeutsam. Das Datenschutzrecht schreibt für wirksame Einwilligungen bestimmte Voraussetzungen vor. Dennoch sind viele Cookie-Banner manipulativ gestaltet und lenken Nutzer zur Zustimmung, kritisiert der Landesbeauftragte für den Datenschutz Niedersachsen. In einem aktuellen Verfahren hat die Aufsichtsbehörde durchgesetzt: Wer einen gut sichtbaren „Alle akzeptieren“-Button anbietet, muss auch einen gleichwertigen Button für „Alles ablehnen“ bereitstellen.
Streit um Cookie-Banner landet vor Verwaltungsgericht
In dem entschiedenen Fall ging es um das Cookie-Banner eines großen niedersächsischen Medienhauses. Die niedersächsische Datenschutzaufsichtsbehörde (Der Landesbeauftragte für den Datenschutz Niedersachsen, LfD) hatte dem Unternehmen per Anordnung aufgegeben, sein Banner umzugestalten. Grund war, dass das bestehende Banner den Nutzern keine echte Wahlmöglichkeit zwischen Cookie-Einsatz und -Verzicht bot. Die Behörde monierte, dass vor dem Setzen nicht notwendiger Cookies keine informierte und freiwillige Einwilligung der Nutzer eingeholt werde.
Das Medienhaus hielt dem entgegen, ihre Cookie-Einwilligungen würden wirksam eingeholt. Ferner bestritt das Unternehmen, überhaupt personenbezogene Daten zu verarbeiten. Zudem zog es die Zuständigkeit der Datenschutzbehörde für Cookie-Fragen in Zweifel.
Das Unternehmen wehrte sich gegen diese Anordnung und zog vor Gericht. Somit musste das Verwaltungsgericht (Az. 10 A 5385/22) über die Rechtmäßigkeit des behördlichen Einschreitens entscheiden.
Juristische Bewertung des VG Hannover
Das Verwaltungsgericht Hannover wies die Klage ab und bestätigte damit die behördliche Anordnung. Die Richter stellten fest, dass die Gestaltung des Cookie-Banners in der vorliegenden Form mehrfach gegen geltendes Recht verstieß. Insbesondere seien die auf diese Weise erlangten Einwilligungen der Nutzer unwirksam gewesen. Darin liege ein Verstoß gegen § 25 TTDSG sowie gegen die Datenschutz-Grundverordnung (DSGVO).
Die Kammer kam zu dem Schluss, dass die Nutzer keine informierte, freiwillige und eindeutige Einwilligung im Sinne der DSGVO gegeben hatten. Entsprechend erfolgte der Einsatz nicht notwendiger Cookies ohne rechtmäßige Grundlage. Auch der Einwand mangelnder Zuständigkeit der Datenschutzbehörde drang nicht durch.
Quelle: Urteil des VG Hannover vom 19.03.2025 (10 A 5385/22)
Anforderungen an wirksame Einwilligungen für Cookie-Banner
Das Urteil unterstreicht die allgemeinen rechtlichen Anforderungen an wirksame Einwilligungen. Nach der DSGVO muss eine Einwilligung freiwillig, informiert, spezifisch und eindeutig sein.
Die wichtigsten Kriterien lassen sich wie folgt zusammenfassen:
- Freiwillig: Eine Einwilligung muss ohne Zwang erfolgen. Der Nutzer muss eine echte Wahlfreiheit haben, Cookies abzulehnen oder zu akzeptieren. „Ablehnen“ muss genauso einfach möglich sein wie „Akzeptieren“.
- Informiert: Der Nutzer muss klar und vollständig über die Datenverarbeitung informiert werden. Das umfasst Hinweise zu verwendeten Cookies und deren Zweck. Auch über alle eingebundenen Drittanbieter, mögliche Datenübermittlungen in Drittstaaten und das Widerrufsrecht ist aufzuklären.
- Spezifisch: Eine Einwilligung muss sich auf konkrete Verarbeitungszwecke beziehen. Nutzer sollten idealerweise die Möglichkeit haben, einzelnen Cookie-Kategorien oder -Zwecken separat zuzustimmen.
- Eindeutig: Die Zustimmung muss durch eine klare, unmissverständliche Handlung des Nutzers erfolgen. Ein aktiver Klick auf einen eindeutig beschrifteten Zustimm-Button ist erforderlich. Vorangekreuzte Kästchen oder bloßes Weiternavigieren genügen nicht.
Lese-Tipp: Annahme oder Ablehnung von Cookies muss gleichwertig möglich sein
Nutzer werden zur Einwilligung gedrängt
Das Gericht beanstandete im konkreten Fall insbesondere folgende Punkte:
- Erschwerte Ablehnung: Das Ablehnen von Cookies war deutlich komplizierter als das Akzeptieren.
- Einwilligungsdruck: Nutzer wurden durch ständige erneute Banner-Einblendungen zur Einwilligung gedrängt.
- Irreführende Beschriftungen: Die Überschrift „optimales Nutzungserlebnis“ und der Button-Text „akzeptieren und schließen“ waren irreführend.
- Kein Hinweis auf Einwilligung: Im Banner fehlte der Begriff „Einwilligung“ vollständig.
- Intransparente Partnerliste: Die Anzahl der eingebundenen Partner und Drittanbieter war nicht erkennbar.
- Versteckte Hinweise: Hinweise auf das Widerrufsrecht und auf Datenverarbeitungen in Drittstaaten waren erst nach Scrollen sichtbar.
All diese Mängel führten dazu, dass die eingeholten Einwilligungen als unwirksam anzusehen waren.
„Ablehnen“-Schaltfläche gehört in Cookie-Banner
In der Praxis enthalten viele Banner bisher einen gut sichtbaren „Alle akzeptieren“-Button, jedoch kein gleichwertiges Angebot zur Ablehnung. Dadurch werden Nutzer tendenziell zur Zustimmung gelenkt, was als „Nudging“ bezeichnet wird.
Das Verwaltungsgericht stellt klar: Ein Einwilligungsbanner darf nicht gezielt auf die Zustimmung ausgerichtet sein. Es darf Nutzer auch nicht von der Ablehnung der Cookies abhalten.
Diese Vorgabe entspricht den Grundsätzen der Aufsichtsbehörden. Bereits 2021 stellte die Datenschutzkonferenz klar, dass ein Banner mit nur den Optionen „Alle akzeptieren” und „Einstellungen” nicht rechtskonform ist. Auch das OLG Köln urteilte 2024, dass die Option „Ablehnen“ genauso leicht zugänglich sein muss wie „Akzeptieren“.
Bezug zu DSGVO, § 25 TTDSG und Google Tag Manager
Das VG Hannover hat außerdem die Rechtsauffassung des LfD Niedersachsen bestätigt, dass der Einsatz des Google Tag Managers einer Einwilligung gemäß Art. 25. Abs. 1 TDDSG sowie Art. 6 Abs. 1 lit. a DSGVO bedürfe.
Der Google Tag Manager dient dazu, Tracking-Codes und Skripte insbesondere von Werbedienstleistern auf der Webseite einzubinden.
Dies sei weder ein Dienst, welcher vom Nutzer der Webseite ausdrücklich gewünscht ist, noch bietet er einen Mehrwert für den Nutzer der Webseite, erklärt der LfD Niedersachsen.
Ein häufiger Fehler ist, dass GTM-Skripte bereits beim Seitenaufruf – also noch vor erteilter Einwilligung – geladen werden. Dadurch können bereits vor einer Zustimmung Daten an Google oder andere Drittanbieter fließen. Entscheidend ist daher eine korrekte Konfiguration: Alle Tracking-Tags müssen bis zur Zustimmung blockiert sein. Der alleinige Einsatz einer Consent Management Platform (CMP) führt nicht automatisch zu rechtswirksamen Zustimmungen.
Implikationen für Webseitenbetreiber
Für Webseitenbetreiber liefert das Urteil klare Hinweise zur Gestaltung von Consent-Bannern. Wer einen Cookie-Banner auf seiner Seite einsetzt, sollte dessen Rechtskonformität nun kritisch überprüfen und bei Bedarf nachbessern.
Folgende Grundsätze lassen sich aus der Entscheidung ableiten:
- Eine gut sichtbare „Alles ablehnen“-Schaltfläche auf der ersten Banner-Ebene einbauen.
- Ablehnen genauso einfach wie Akzeptieren gestalten.
- Keine ständigen Banner-Wiederholungen, falls der Nutzer nicht einwilligt.
- Klarer, wahrheitsgemäßer Wortlaut: keine irreführenden Überschriften oder Button-Texte.
- Volle Transparenz zu Partnern, Drittstaatenübermittlungen und Widerrufsrecht.
- Keine Tracking-Tags oder Cookies ohne vorherige Zustimmung – auch nicht via GTM.
Fazit: Webseiten-Nutzer müssen bei Einwilligung echte Wahl haben
Das Urteil des VG Hannover setzt ein klares Zeichen für datenschutzkonforme Cookie Banner. Betreiber müssen Nutzern eine echte Wahl lassen. Manipulative Einwilligungsdialoge sind zu vermeiden.
Sie möchten Ihre Cookie Banner rechtssicher gestalten?
Mit dem Urteil des VG Hannover steigt der Druck auf Webseitenbetreiber, Einwilligungen datenschutzkonform einzuholen. Unser spezialisiertes Team von 2B Advice unterstützt Sie bei der rechtssicheren Umsetzung Ihres Consent Managements – effizient, pragmatisch und abgestimmt auf Ihr Geschäftsmodell.
✔ Rechtssichere Banner-Gestaltung
✔ Umsetzung aktueller DSGVO- und TTDSG-Anforderungen
✔ Integration in Ihre bestehende Website-Infrastruktur
✔ Optional: Zertifizierung mit dem CookieProof®-Siegel
Jetzt unverbindlich beraten lassen:
www.2b-advice.com/de/cookieproof
Sichern Sie Ihre Website ab – wir helfen Ihnen, Abmahnungen und Bußgelder zu vermeiden.
German 
English 
Italian 
French