Das Verwaltungsgericht Hannover hat mit Urteil vom 19. März 2025 entschieden, dass Cookie-Banner auf Webseiten zwingend eine gleichwertige „Alles ablehnen“-Option enthalten müssen und der Einsatz des Google Tag Managers (GTM) einer vorherigen ausdrücklichen Einwilligung der Nutzer bedarf.
Gegenstand des Verfahrens war der Cookie-Banner der Neuen Osnabrücker Zeitung. Auf der ersten Ebene bot dieser lediglich die Optionen „Alle akzeptieren“ oder „Einstellungen“. Erst auf einer zweiten Ebene war es möglich, bestimmte Cookies abzuwählen. Darüber hinaus setzte die Webseite den Google Tag Manager ein, ohne eine gesonderte Einwilligung einzuholen.
Die Niedersächsische Datenschutzbehörde beanstandete sowohl die Gestaltung des Cookie-Banners als auch den Einsatz des GTM und erließ einen entsprechenden Bescheid. Gegen diese Maßnahme klagte das Verlagshaus ohne Erfolg.
Das Gericht stufte den Cookie-Banner der Klägerin als rechtswidrig ein. Die Gestaltung sei irreführend und führe dazu, dass Nutzer faktisch zur Zustimmung gedrängt würden. Insbesondere fehle ein klar erkennbarer Ablehnungsbutton auf der ersten Ebene. Durch Farbe, Wortwahl („Akzeptieren & schließen“) und Aufbau werde eine gleichwertige Entscheidungsfreiheit nicht gewahrt. Nutzer könnten fälschlich annehmen, dass eine Ablehnung gar nicht möglich sei.
Auch der Einsatz des Google Tag Managers wurde als unzulässig bewertet. Das Gericht stellte klar, dass der GTM einer Einwilligung bedarf, da über ihn personenbezogene Daten wie IP-Adresse und Gerätedaten übermittelt und Cookies gesetzt werden. Es handele sich nicht um einen für den Betrieb der Webseite technisch notwendigen Dienst. Die Funktion des GTM, das Nachladen von Drittanbieter-Tools, diene allein den Interessen des Websitebetreibers und nicht denen der Nutzer.
Fazit:
Das Urteil des VG Hannover verdeutlicht die strengen Anforderungen an die Gestaltung von Cookie-Bannern. Eine echte Wahlmöglichkeit muss bereits auf der ersten Ebene bestehen inklusive eines „Alles ablehnen“-Buttons. Zudem dürfen Tools wie der Google Tag Manager nur mit ausdrücklicher Einwilligung eingesetzt werden. Unternehmen, die auf datenschutzkonforme Webseitengestaltung angewiesen sind, sollten ihre Einwilligungsprozesse dringend überprüfen.
