„Alles ablehnen"-Button im Cookie-Banner & Google Tag Manager: Urteil stärkt Nutzerrechte

Ein Medienhaus hatte auf seiner Webseite ein Cookie-Einwilligungsbanner eingerichtet, das auf der ersten Ebene lediglich zwei Optionen bot: „Alle akzeptieren" sowie „Einstellungen". Eine direkt sichtbare Möglichkeit, alle Cookies abzulehnen, war nicht gegeben.
Zudem wurde beim Aufruf der Webseite bereits das Google Tag Manager-Skript geladen – vor der Einholung einer Nutzereinwilligung – und damit Tracking initialisiert.

Die zuständige Datenschutzaufsichtsbehörde beanstandete diese Gestaltung eines Cookie-Banners sowie den Einsatz des Tag Managers ohne wirksame Einwilligung. Gegen die behördliche Anordnung wurde Klage erhoben – das Verwaltungsgericht wies sie ab.

1. Zuständigkeit
   Das Gericht bejahte die Zuständigkeit der Datenschutzaufsichtsbehörde zur Kontrolle des Einwilligungsprozesses nach den datenschutzrechtlichen Bestimmungen.
2. Bannergestaltung – Pflicht zur AblehnSchaltfläche
   Das Banner war rechtswidrig, weil auf der ersten Ebene keine klar sichtbare und gleichwertige Möglichkeit bestand, alle nicht-notwendigen Cookies abzulehnen.
   • Der Button „Alle akzeptieren" war prominent auf der ersten Ebene vorhanden, aber ein „Alles ablehnen" nicht.
   • Hinweis zur Möglichkeit zur Ablehnung war versteckt oder nur durch Scrollen zugänglich – das genügte nicht.
   • Die Gestaltung lenkte Nutzerinnen und Nutzer zur Zustimmung und erschwerte die Ablehnung.
   • Dies widersprach der Pflicht zur freiwilligen Einwilligung: Nutzer dürfen nicht unter Druck stehen, müssen frei wählen können.
3. Google Tag Manager – Einwilligung erforderlich
   Der Einsatz des Tag Managers sei nicht durch berechtigte Interessen oder technische Notwendigkeit gedeckt.
   • Bereits beim Seitenaufruf wurden Daten (z. B. IP-Adresse, Gerätedaten) verarbeitet, bevor eine Einwilligung vorlag.
   • Der Tag Manager diene lediglich der Erleichterung von Tracking- und Werbefunktionen – nicht einem vom Nutzer ausdrücklich gewollten Dienst.
   • Damit war der Einsatz ohne Einwilligung rechtswidrig.

• Cookie-Banner müssen so gestaltet sein, dass Ablehnen genauso einfach ist wie Akzeptieren.
• Eine „Alles ablehnen"-Schaltfläche auf der ersten Banner-Ebene ist Pflicht, wenn eine „Alle akzeptieren"-Option vorhanden ist.
• Voreinstellungen, die zur Zustimmung lenken („Dark Patterns") sind unzulässig.
• Tracking-Tools wie der Google Tag Manager dürfen erst nach wirksamer Einwilligung geladen werden – nicht bereits beim Seitenaufruf.
• Zudem müssen Nutzerinnen und Nutzer informiert werden über Zweck, Umfang, Empfänger der Verarbeitung, Drittstaatenübermittlung und Widerrufsrechte – und das in transparenter Form.
• Verstöße können zur Unwirksamkeit eingeholter Einwilligungen führen – was datenschutz- und wettbewerbsrechtliche Risiken mit sich bringt.

• Überprüfen Sie Ihre Consent-Banner: Ist eine gleichwertige Ablehnmöglichkeit auf der ersten Ebene vorhanden?
• Stellen Sie sicher, dass keine Tracking-Skripts geladen werden, bevor eine Einwilligung vorliegt.
• Vermeiden Sie eine Gestaltung, die Nutzerinnen und Nutzer zur Zustimmung drängt.
• Dokumentieren Sie den gesamten Einwilligungsprozess und die technische Umsetzung.
• Schulen Sie Ihr Team hinsichtlich der Anforderungen an freiwillige, informierte und eindeutige Einwilligungen.

Das Urteil des Verwaltungsgerichts Hannover sendet ein deutliches Signal: Nutzerrechte im Bereich Einwilligung und Tracking werden gestärkt. Wer ein Cookie-Banner anbietet, muss Nutzenden eine echte Wahl lassen – inklusive der einfachen Möglichkeit zur Ablehnung – und darf Tracking-Tools wie den Google Tag Manager nicht ohne vorherige Einwilligung einsetzen.

Für Betreiberinnen und Betreiber von Webseiten heißt das: Jetzt gestalten, prüfen und dokumentieren – damit die Einwilligungen rechtssicher sind.

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz