„Alles ablehnen“-Button in Cookie-Bannern ist Pflicht

Auf nahezu jeder Webseite tauchen Cookie-Banner auf. Oft gibt es darin einen hervorgehobenen Button „Alle akzeptieren“, den viele Nutzer anklicken, um schnell zum Inhalt zu gelangen. Das Verwaltungsgericht Hannover hat mit einem Urteil vom 19. März 2025 klargestellt, dass in solchen Fällen auch die gegenteilige Option deutlich angeboten werden muss. Konkret müssen Webseitenbetreiber auf der ersten Ebene des Einwilligungsbanners einen gut sichtbaren „Alles ablehnen“-Knopf bereitstellen, sofern ein „Alle akzeptieren“-Knopf vorhanden ist. Andernfalls gilt eine durch das Banner eingeholte Zustimmung nicht als wirksame Einwilligung – mit der Folge, dass ein Verstoß gegen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) sowie die Datenschutz-Grundverordnung (DSGVO) vorliegt.

Hintergrund: Eine Anordnung gegen manipulative Cookie-Banner

Ausgangspunkt des Verfahrens war eine Anordnung des Landesdatenschutzbeauftragten Niedersachsen gegen ein niedersächsisches Medienhaus. Dieses hatte Cookie-Einwilligungen mittels eines Banners eingeholt – ohne den Nutzern dabei eine echte Wahlmöglichkeit zu bieten.

Das Cookie-Banner der Neuen Osnabrücker Zeitung (NOZ) war entsprechend einseitig gestaltet: Eine große, einladende Schaltfläche ermöglichte das sofortige Akzeptieren aller Cookies, während die Option zum Ablehnen nur über mehrere Klicks erreichbar war oder kaum auffiel. Gegen die behördliche Anordnung, das Banner datenschutzkonform umzugestalten, zog das Medienhaus vor Gericht. Es argumentierte, die Einwilligungen seien wirksam eingeholt worden und es würden gar keine personenbezogenen Daten verarbeitet.

Zentrale Inhalte des Urteils und rechtliche Begründung

Das Verwaltungsgericht Hannover stellte sich klar auf die Seite der Datenschutzaufsicht. In seinem Urteil bestätigte das Gericht die Auffassung der Behörde und rügte mehrere Gestaltungsaspekte des Cookie-Banners als rechtswidrig:

• Erschwerte Ablehnung: Das Ablehnen von Cookies war deutlich umständlicher gestaltet als das Akzeptieren.

• Aufdringliche Wiederholung: Wer nicht einwilligte, bekam das Banner ständig erneut angezeigt und wurde so zur Zustimmung gedrängt.

• Irreführende Bezeichnungen: Überschriften und Buttons waren missverständlich formuliert – etwa mit „optimales Nutzungserlebnis“ oder einem Schließen-Button, der als „akzeptieren und schließen“ beschriftet war.

• Kein „Einwilligung“-Begriff: Der Begriff „Einwilligung“ fehlte im Bannertext vollständig.

• Intransparenz bei Partnern: Die Anzahl der eingebundenen Drittanbieter war für Nutzer nicht ersichtlich.

• Versteckte Informationen: Wichtige Hinweise – etwa zum Widerrufsrecht der Einwilligung oder zu Datenübermittlungen in Drittstaaten außerhalb der EU – waren erst nach zusätzlichem Scrollen sichtbar.

All diese Mängel führten nach Auffassung des Gerichts dazu, dass keine informierte, freiwillige und eindeutige Einwilligung der Nutzer vorlag, wie sie die DSGVO verlangt. Eine auf diese Weise erschlichene Zustimmung gilt nicht als gültige Einwilligung im Sinne der Datenschutzgesetze. Folglich verstößt das Setzen von nicht technisch notwendigen Cookies ohne echte vorherige Einwilligung gegen das TTDSG sowie gegen die DSGVO.

Bekanntwerden des Urteils und erste Reaktionen

Obwohl das Urteil bereits Mitte März gefällt wurde, wurde es erst im Mai 2025 einer breiteren Öffentlichkeit bekannt. Die Landesdatenschutzbehörde Niedersachsen erläuterte ausführlich die Entscheidung und begrüßte sie ausdrücklich als wichtigen Erfolg im Kampf gegen manipulativ gestaltete Cookie-Banner.

Datenschützer und IT-Rechts-Experten bezeichnen das Urteil als klares Signal an die Branche. Webseitenbetreiber sollten nun kritisch prüfen, ob ihre Consent-Banner rechtskonform gestaltet sind.

Auswirkungen für Webseitenbetreiber

Die Entscheidung hat faktisch eine Signalwirkung für alle Betreiber von Webseiten in Deutschland. Webseitenbetreiber sollten ihre Cookie-Banner nun anpassen:

• Ein „Alles ablehnen“-Button auf der ersten Banner-Ebene ist verpflichtend, sofern es einen „Alle akzeptieren“-Button gibt.

• Die Gestaltung des Banners darf Nutzer nicht zur Zustimmung drängen, sondern muss neutral sein.

• Informationen über die Datenverarbeitung müssen sofort einsehbar sein.

• Jede Einwilligung muss eindeutig als solche bezeichnet sein und jederzeit widerrufbar bleiben.

Webseiten, die diese Vorgaben bislang ignorieren, riskieren Sanktionen und empfindliche Bußgelder.

Fazit: Neue Zeiten für Cookie-Banner

Das Urteil des Verwaltungsgerichts Hannover markiert einen wichtigen Meilenstein für den Datenschutz im Web. Erstmals hat ein deutsches Gericht verbindlich ausgesprochen, dass Einwilligungen nicht durch Design-Tricks erzwungen werden dürfen. Webseitenbetreiber müssen nun Cookie-Banner benutzerfreundlich und datenschutzkonform gestalten – im Interesse der Nutzer und zur Vermeidung rechtlicher Konsequenzen.