Verwaltungsgericht: Cookie-Banner muss "Alles ablehnen"-Button enthalten

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Der niedersächsische Datenschutzbeauftragte Denis Lehmkemper kann einen juristischen Sieg in seinem langjährigen Kampf gegen manipulativ gestaltete Cookie-Banner melden. Das Verwaltungsgericht Hannover hat mit einem erst jetzt publik gemachten Urteil vom 19. März seine Rechtsauffassung bestätigt: Webseitenbetreiber müssen demnach bei Cookie-Einwilligungsabfragen einen gut sichtbaren "Alles ablehnen"-Button auf der ersten Ebene im entsprechenden Banner anbieten, wenn es dort auch die häufig zu findende "Alle akzeptieren"-Option gibt. Cookie-Banner dürfen demnach nicht gezielt auf das Abklicken einer Einwilligung ausgerichtet sein und Nutzer nicht von einer Ablehnung der umstrittenen Browser-Dateien abhalten.

Andernfalls seien die trickreich eingeholten Einwilligungen unwirksam, erklärt die niedersächsische Aufsichtsbehörde unter Verweis auf die Urteilsbegründung. Damit einher gehe ein Verstoß gegen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) sowie die Datenschutz-Grundverordnung (DSGVO).

In dem Fall hatte die Neue Osnabrücker Zeitung (NOZ) gegen eine Anordnung Lehmkempers geklagt (Az.: 10 A 5385/22). Der Kontrolleur verlangte darin eine Umgestaltung des Cookie-Banners des niedersächsischen Medienhauses, da dieses vor dem Setzen der Browser-Dateien und der anschließenden Verarbeitung persönlicher Informationen keine wirksamen, insbesondere keine informierten und freiwilligen Einwilligungen einhole. Die NOZ vertrat dagegen die Ansicht, dass die Einwilligungen wirksam eingeholt würden. Personenbezogene Daten verarbeite sie nicht. Für die Kontrolle der Einhaltung der Rechtsvorschriften zum Setzen von Cookies sei die Datenschutzbehörde zudem gar nicht zuständig gewesen.

Viele Rechtsverstöße beim NOZ-Banner

Die 10. Kammer des Verwaltungsgerichts entschied nun, dass das Ablehnen von Cookies bei dem umstrittenen Banner deutlich umständlicher gewesen sei als das Akzeptieren. Nutzer seien durch ständig neue Aufforderungen zur Einwilligung gedrängt worden. Die Überschrift "optimales Nutzungserlebnis" und die Beschriftung "akzeptieren und schließen" seien irreführend gewesen, konstatierten die Richter. Der Begriff der "Einwilligung" habe vollständig gefehlt.

Auch die Zahl der eingebundenen Partner und Drittdienste sei nicht ersichtlich gewesen, monierte die Kammer. Hinweise auf das Recht zum Widerruf der Einwilligung und eine Datenverarbeitung in Drittstaaten seien erst nach Scrollen sichtbar gewesen. Insgesamt hätten Nutzer so keine informierte, freiwillige und eindeutige Einwilligung im Sinne der DSGVO gegeben.

Datenschützer hofft auf Signalwirkung

Lehmkemper sieht mit dem Urteil die Rechte der User gestärkt. "Die allermeisten Menschen sind vermutlich von Cookie-Bannern genervt", sagt der Datenschützer. Diese erfüllten aber eine wichtige Funktion für die Aufrechterhaltung der Privatsphäre im Internet. Genau deshalb setzten sich die Aufsichtsbehörden "für eine echte Wahlmöglichkeit bei der Gestaltung der Banner ein". Er hofft, "das Urteil sendet ein Signal an möglichst viele Anbieter und trägt so dazu bei, datenschutzkonforme Einwilligungslösungen umzusetzen".

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) erklärte Ende 2021 in einer Orientierungshilfe: Würden dem Nutzer bei Cookie-Bannern nur eine Schaltfläche "Alles Akzeptieren" und zusätzliche Optionen wie "Einstellungen" oder "weitere Informationen" angeboten, sei dies nicht rechtskonform. Denn der "Kommunikationseffekt" der beiden Ansätze sei nicht gleichwertig. Auch ließen sich allein durch den Einsatz einer Consent-Management-Plattform (CMP) nicht automatisch Zustimmungen im Sinne des Gesetzes einholen. Das Bayerische Landesamt für Datenschutzaufsicht führte unlängst im Rahmen einer anlasslosen, automatisierten Überprüfung Webseiten-Betreibern auf den Zahn und stieß vielfach auf nicht rechtskonforme Lösungen.

(mki)