"Alles Ablehnen"-Button bei Cookie-Bannern Pflicht

Der Cookie-Banner ist zur digitalen Eingangstür moderner Websites geworden – und mit ihm auch die rechtlichen Fallstricke. Die Entscheidung des Verwaltungsgerichts Hannover vom 19.03.2025 (Az.: 10 A 5385/22) sorgt jetzt für Klarheit – und Aufregung zugleich: Website-Betreiber müssen auf der ersten Ebene eines Banners eine gleichwertige „Alles ablehnen“-Option bieten. Und: Auch der Einsatz des Google Tag Managers (GTM) ist einwilligungspflichtig.

Diese Entscheidung könnte den Alltag vieler Webseitenbetreiber und IT-Dienstleister grundlegend verändern. Denn sie räumt mit oft genutzten „Dark Patterns“ und der scheinbar praktischen GTM-Nutzung ohne explizite Zustimmung auf.

Worum ging es im konkreten Fall?

Die Neue Osnabrücker Zeitung hatte auf ihrer Website einen Cookie-Banner eingesetzt, der in der ersten Ebene nur die Auswahl „Alle akzeptieren“ und „Einstellungen“ ermöglichte. Die Möglichkeit, alle Cookies direkt abzulehnen, fehlte.

Auch der Einsatz des Google Tag Managers, mit dem Drittdienste wie Werbetracker eingebunden wurden, erfolgte ohne vorherige Einwilligung.

Der Niedersächsische Landesbeauftragte für Datenschutz (LfD) beanstandete das Vorgehen – und die Zeitung klagte gegen den entsprechenden Bescheid. Das VG Hannover wies die Klage ab.

Behördenzuständigkeit: Wer kontrolliert § 25 TTDSG?

Ein zentrales Thema war zunächst die Zuständigkeit der Datenschutzbehörde für Verstöße gegen § 25 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz).

Das Gericht stellte klar:

„Die Datenschutzbehörde ist sehr wohl zuständig für die Überwachung und Durchsetzung des § 25 TTDSG.“

Diese Vorschrift regelt den Zugriff auf Informationen in Endeinrichtungen – also z. B. das Setzen von Cookies oder anderen Tracking-Technologien. Das VG Hannover erklärte, dass § 20 Abs. 1 NDSG als Auffangregelung fungiere und § 25 TTDSG unter den Begriff der „anderen datenschutzrechtlichen Vorschriften“ falle.

Praxis-Tipp: Websitebetreiber sollten nicht mehr darauf vertrauen, dass sich Datenschutzbehörden bei TTDSG-Verstößen für unzuständig erklären.

Cookie-Banner: Pflicht zur "Alles-Ablehnen"-Option

Die wohl folgenreichste Aussage des Urteils betrifft die Gestaltung von Cookie-Bannern.

Das Problem: Irreführung durch Design

Die Richter warfen dem Verlag vor, dass Nutzer auf der ersten Ebene des Cookie-Banners nicht eindeutig erkennen konnten, dass sie die Verarbeitung ihrer Daten auch komplett ablehnen können. Stattdessen:

• Bot die erste Ebene nur „Alle akzeptieren“ und „Einstellungen“.
• Die Ablehnung war erst in der zweiten Ebene unter „Einstellungen“ möglich.
• Ein Hinweis auf die Ablehnungsoption fehlte auf der ersten Ebene.

Das Gericht dazu:

„Die Gestaltung ist irreführend. Es entsteht der Eindruck, dass eine Ablehnung nicht möglich ist.“

Diese Gestaltung wurde als sogenannter Dark Pattern eingestuft: Der Nutzer wird durch Gestaltung, Farben und Platzierung der Buttons psychologisch zur Zustimmung gedrängt.

Kernaussage des Gerichts:

„Eine Ablehnungsoption muss auf der ersten Ebene des Cookie-Banners genauso leicht zugänglich und sichtbar sein wie die Option 'Alle akzeptieren'.“

Praxis-Tipp: Ein „Alles ablehnen“-Button auf derselben Ebene und in derselben Gewichtung wie „Alle akzeptieren“ ist Pflicht. Alles andere ist rechtswidrig.

Google Tag Manager: Einwilligung zwingend notwendig

Ein weiteres zentrales Element des Urteils betrifft den Google Tag Manager (GTM). Dieser wird häufig eingesetzt, um z. B. Google Analytics, Facebook Pixel oder Werbenetzwerke effizient einzubinden – ohne für jedes Tool ein eigenes Skript schreiben zu müssen.

Das Problem: Der GTM selbst greift aktiv auf Endgeräte zu, indem er Skripte lädt und Cookies setzen kann. Dabei werden personenbezogene Daten wie IP-Adressen, Gerätedaten oder Nutzerverhalten verarbeitet.

Keine technische Notwendigkeit – keine Ausnahme

Das Gericht war deutlich:

„Der Google Tag Manager dient ausschließlich dem Interesse des Webseitenbetreibers an einer einfacheren Integration von Drittdiensten – nicht dem Nutzerinteresse.“

Selbst für das Nachladen einwilligungspflichtiger Tools sei der GTM nicht erforderlich, so das Gericht. Betreiber könnten stattdessen eigene Skripte schreiben oder alternative Lösungen verwenden.

Einwilligungspflicht für den GTM

Der Google Tag Manager unterliegt also nicht der Ausnahme des § 25 Abs. 2 Nr. 2 TTDSG (technisch unbedingt erforderlich), sondern fällt unter die Einwilligungspflicht des § 25 Abs. 1 TTDSG.

Praxis-Tipp: Auch wenn der GTM selbst keine Analyse durchführt – er ist ein datenverarbeitendes Tool und braucht deshalb die vorherige Zustimmung des Nutzers.

Auswirkungen für die Praxis: Was Website-Betreiber jetzt ändern müssen

✅ Sofortige Maßnahmen:

• Erste Ebene des Cookie-Banners überarbeiten: „Alles ablehnen“ muss gleichwertig neben „Alle akzeptieren“ erscheinen.
• Einwilligung für GTM einholen: GTM darf erst nach Zustimmung geladen werden.
• Transparenz herstellen: Bereits auf der ersten Ebene klarstellen, welche Wahlmöglichkeiten bestehen.

❌ Vermeiden Sie:

• Einseitige Gestaltung mit hervorgehobener Akzeptanz-Schaltfläche.
• Verstecken der Ablehnung hinter weiteren Klicks oder „Einstellungen“.
• Einsatz von GTM ohne klare, dokumentierte Nutzerzustimmung.

Fazit: Das VG Hannover macht ernst mit Datenschutztransparenz

Das Urteil des VG Hannover ist ein Weckruf für alle Websitebetreiber. Wer sich bislang auf gestalterische Schlupflöcher oder pauschale Hinweise berufen hat, wird nun zum Umdenken gezwungen.

Die Pflicht zur gleichwertigen Ablehnung von Cookies auf erster Ebene und die Einwilligungspflicht für den Google Tag Manager sind klare Wegweiser, wohin sich Datenschutz im Web entwickelt: hin zu echter Nutzersouveränität.

Auch wenn es sich „nur“ um ein erstinstanzliches Urteil handelt, dürfte der Beschluss bundesweite Signalwirkung entfalten. Denn die zugrunde liegende Rechtslage ist – trotz Interpretationsspielraum – eindeutig. Wer sich nicht an diese Vorgaben hält, riskiert Bußgelder und Abmahnungen.

Noch ein Hinweis aus anwaltlicher Sicht:

Für viele Unternehmen ist die Nutzung von Tracking- und Analyse-Tools betriebswirtschaftlich notwendig. Doch genau deshalb sollten Rechtskonformität und Transparenz nicht vernachlässigt, sondern proaktiv und professionell umgesetzt werden.

Ein rechtssicherer Cookie-Banner und ein datenschutzkonformer Einsatz von Tools wie GTM sind keine Hürde, sondern ein Vertrauensvorsprung – und damit ein echter Wettbewerbsvorteil.

Wenn Sie Unterstützung bei der rechtssicheren Gestaltung Ihres Cookie-Banners oder beim Einsatz von Tracking-Technologien benötigen, beraten wir Sie gern – kompetent, verständlich und auf Ihre Branche zugeschnitten.