Wer einen Cookie-Banner auf seiner Webseite einsetzt, muss diesen so ausgestalten, dass die Option “Alles Ablehnen” gleichwertig mit den anderen Wahlmöglichkeiten vorhanden ist. Zudem bedarf der Einsatz des Google Tag Managers (GTM) einer Einwilligung (VG Hannover, Urt. v. 19.03.2025 - Az.: 10 A 5385/22).
Gegenstand des Verfahrens war der Einsatz des Cookie-Banners der Neuen Osnabrücker Zeitung auf ihrer Homepage.
Auf der ersten Ebene des Banners gab es nur die Button-Möglichkeiten „Alle akzeptieren“ oder „Einstellungen“. Klickte der Nutzer auf „Einstellungen“, öffnete sich die zweite Ebene, auf der unterschiedliche Cookie-Bereiche genannt wurden. Dort gab es die Schaltflächen „Alle akzeptieren“ und „Auswahl speichern“. Zudem setzte das Verlagshaus den Google Tag Manager (GTM) ein.
Der Niedersächsische Datenschutzbeauftragte beanstandete sowohl die Ausgestaltung des Cookie-Banners als auch den Einsatz des GTM ohne ausreichende Einwilligung.
Gegen die behördliche Maßnahme wehrte sich das Unternehmen und klagte.
Das VG Hannover stufte den Bescheid der Datenschutzbehörde als rechtmäßig ein.
1. Datenschutzbehörde zuständig für Einhaltung des § 25 TDDDG:
Zunächst beschäftigten sich die Richter mit der stark umstrittenen Frage, ob eine Datenschutzbehörde für die Überwachung und Einhaltung von § 25 TDDDG überhaupt zuständig ist.
Das VG Hannover hat diese Frage bejaht. Es bestätigte, dass der Datenschutzbeauftragte befugt war, die Einhaltung des § 25 TDDDG zu überwachen. Es handele sich um eine „andere datenschutzrechtliche Bestimmung“.
"Andere datenschutzrechtliche Bestimmungen“ im Sinne des § 20 Abs. 1 NDSG ist daher als Auffangregelung zu verstehen, die auch § 25 TTDSG umfasst.
Dies entspricht insbesondere dem Sinn und Zweck, einer einheitlichen Behörde Befugnisse und Zuständigkeiten für alles, was mit dem Umgang mit Daten eines Endverbrauchers in Verbindung steht, zuzuweisen."
2. Cookie-Banner rechtswidrig, weil Option “Alles Ablehnen” fehlt:
Die Gestaltung des Cookie-Banners sei zu Recht durch die Datenschützer beanstandet worden. Insbesondere fehle es an der notwendigen Wahlmöglichkeit eines “Alles ablehnen”-Buttons.
"Insbesondere vor dem Hintergrund, dass Nutzer sich des Umfangs der erteilten Einwilligung möglicherweise nicht bewusst sind, da die Hinweise auf die Datenverarbeitung in Drittländern oder die Anzahl der eingebundenen Drittdienstleister nicht wahrgenommen werden, werden sie regelmäßig durch Interaktion mit dem Banner auf erster Ebene versuchen, dieses verschwinden zu lassen und die dahinterliegende Website lesen zu können.
Deshalb werden sie eine Auswahl auf erster Ebene treffen, die dies möglich macht im Rahmen der Bannergestaltung der Klägerin folglich die Erteilung einer umfassenden Einwilligung, da eine Ablehnungsoption auf erster Ebene nicht besteht. Darüber hinaus findet sich auf erster Ebene des Banners kein Hinweis darauf, dass beim Klick auf “Einstellungen” die Einwilligung verweigert werden kann. Nutzer sind sich deshalb auf erster Ebene nicht im Klaren darüber, dass sie mehrere Wahlmöglichkeiten haben.
Lediglich beim Scrollen innerhalb des Banners auf erster Ebene findet sich die Formulierung „es besteht keine Verpflichtung, der Verarbeitung Ihrer Daten zuzustimmen, um dieses Angebot zu nutzen“. Dass eine Ablehnungsoption auf nächster Ebene folgt, ergibt sich jedoch selbst aus diesem Hinweis nicht. Insofern ist die Gestaltung des Einwilligungsbanners irreführend. Bei den verschiedenen Auswahlmöglichkeiten auf erster Ebene („Alle akzeptieren“, „Akzeptieren & schließen x“, „Einstellungen“) kann vielmehr der Eindruck entstehen, dass eine Ablehnungsmöglichkeit gar nicht besteht."
Zudem würden Usern durch die Gestaltung, Farbe und Wiederholung des Banners zum Zustimmen gedrängt. Auch dies sei rechtswidrig.
3. Einsatz von Google Tag Manager bedarf Zustimmung:
Der Einsatz des GTM bedürfe einer ausdrücklichen Einwilligung, da dieser Dienst nicht notwendig sei und insbesondere auch nicht durch die berechtigten Interessen gerechtfertigt sei.
Die über GTML übermittelten und gespeicherten Informationen (z. B. IP-Adresse, Gerätedaten) seien personenbezogen. Der Dienst greife auf Endgeräte zu, indem er Skripte und Cookies setze, was eine ausdrückliche Zustimmung notwendig mache.
Der Zweck des Dienstes sei allein, andere Dienste leichter einzubinden. Dies sei jedoch nur ein Vorteil für den Websitebetreiber, nicht aber für den Nutzer.
Da es an einer Zustimmung fehle, sei der GTM-Einsatz rechtswidrig:
“Die durch den Google Tag Manager erbrachte Funktion, Tracking-Codes und Skripte insbesondere von Werbedienstleistern zu laden, ist weder ein Dienst, welcher von Nutzern der Website der Klägerin ausdrücklich gewünscht ist, noch bietet er einen Mehrwert oder eine Funktion für die Nutzung der Website. Das Laden von Skripten von Werbedienstleistern dient vielmehr den Interessen der Klägerin an der Finanzierung des Internetangebots durch den Verkauf von Werbeflächen, nicht denen der Nutzer.”
Und weiter:
"Anders als von der Klägerin vorgetragen ist der Google Tag Manager auch nicht für die Einholung der Einwilligungen der Nutzer nach § 25 Abs. 1 TTDSG erforderlich.
Dafür nutzt die Klägerin ausweislich ihres eigenen Vortrags die CMP von Sourcepoint. Der Google Tag Manager dient lediglich dazu, nach Erteilung der Einwilligung einwilligungspflichtige Tools und Codes zu laden. Auch hierfür ist jedoch der Dienst Google Tag Manager nicht technisch erforderlich. Vielmehr kann der Ladevorgang dieser Marketing-Tools und -Cookies auch ohne den Google Tag Manager bewerkstelligt werden, indem beispielsweise ein eigenes Skript programmiert wird. Dies hat der Beklagte in der mündlichen Verhandlung zur Überzeugung des Gerichts vorgetragen.
Im Internet werden dazu ebenfalls verschiedene Alternativen vorgeschlagen (…). Die Nutzung des bereits existierenden und funktionsfähigen Dienstes Google Tag Manager erweist sich lediglich als einfacher für Betreiber von Websites."
Anmerkung von RA Dr. Bahr:
Die Entscheidung hat eine enorme Bedeutung für die alltägliche Praxis, auch wenn es sich „nur“ um ein erstinstanzliches Urteil handelt.
Neben der Frage, welche Buttons auf der ersten Ebene eines Cookie-Banners stehen müssen, sind hier vor allem die Ausführungen zum GTM hervorzuheben.