Landesdatenschutzbeauftragte

Cookie-Banner müssen fair sein: Verwaltungsgericht Hannover stärkt Datenschutz durch Pflicht zur „Alles ablehnen“-Schaltfläche

Wolfgang Riegger

Nahezu jede Webseite konfrontiert Nutzerinnen und Nutzer heute mit einem sogenannten Cookie-Banner. Oft dominieren diese durch die prominente Platzierung einer „Alle akzeptieren“-Schaltfläche, während eine Option zur Ablehnung nur versteckt oder gar nicht angeboten wird. Dass dies nicht dem geltenden Datenschutzrecht entspricht, stellte das Verwaltungsgericht Hannover nun klar.

Hintergrund des Verfahrens

Gegenstand des Urteils war eine Anordnung des Landesbeauftragten für den Datenschutz Niedersachsen (LfD) gegenüber einem Medienhaus, das mittels eines Cookie-Banners Einwilligungen einholte – jedoch ohne echte Wahlmöglichkeit. Der LfD beanstandete dies als Verstoß gegen § 25 TDDDG (ehemals TTDSG) sowie Art. 4 Nr. 11 und Art. 7 DSGVO.

Die Entscheidung des Gerichts

Das Verwaltungsgericht Hannover bestätigte die Sichtweise der Aufsichtsbehörde. Webseitenbetreiber, so das Gericht, müssen bei Einwilligungsbannern eine gleichwertig sichtbare „Alles ablehnen“-Schaltfläche auf derselben Ebene wie die „Alle akzeptieren“-Option anbieten.

Zudem erkannte das Gericht mehrere Verstöße:

  • Das Ablehnen war umständlicher als das Akzeptieren.
  • Wiederholende Banner zwangen zur Einwilligung.
  • Irreführende Begriffe wie „optimales Nutzungserlebnis“ und „akzeptieren und schließen“.
  • Fehlender Begriff der „Einwilligung“.
  • Unklare Anzahl an Drittanbietern.
  • Wesentliche Informationen (z. B. Widerrufsrecht, Datenübertragung in Drittstaaten) nur nach Scrollen sichtbar.

Diese Ausgestaltung führte dazu, dass keine informierte, freiwillige und eindeutige Einwilligung im Sinne der DSGVO vorlag – und die Nutzung personenbezogener Daten somit rechtswidrig war.

Bedeutung für Webseitenbetreiber

Das Urteil hat weitreichende Bedeutung für alle Betreiber von Webseiten, die auf Nutzertracking oder Online-Werbung setzen. Es macht deutlich, dass manipulative Gestaltung von Cookie-Bannern nicht zulässig ist. Eine echte Wahlmöglichkeit – insbesondere durch eine gleichwertige „Alles ablehnen“-Schaltfläche – ist zwingend.

Fazit

Die Entscheidung stärkt die Rechte der Nutzerinnen und Nutzer im digitalen Raum und gibt den Datenschutzaufsichtsbehörden Rückenwind bei der Durchsetzung datenschutzkonformer Gestaltung von Einwilligungsprozessen. Für Unternehmen bedeutet dies: Cookie-Banner müssen neu gedacht werden – klar, transparent und fair.

Gericht: Verwaltungsgericht Hannover
Datum der Entscheidung: 19. März 2025
Aktenzeichen: 10 A 5385/22

Aktuell liegt die Entscheidung im Volltext noch nicht vor, nur die Pressemitteilung des Gerichts.

Unzulässige Datenerhebungen von Onlineshops

Wolfgang Riegger

Laut einer Pressemitteilung des Verwaltungsgerichts Hannover vom 09.11.2021 hat das Verwaltungsgericht mit Urteil vom 09.11.2021 die Klage einer Online-Versandapotheke gegen einen Bescheid des Landesdatenschutzbeauftragten von Niedersachsen abgewiesen.

Der Landesdatenschutzbeauftragte beanstandete zweierlei:

Zum einen die Abfrage der Online-Apotheke nach dem Geburtsdatum des Kunden. Zum anderen die Angabe einer Anrede, weil lediglich die Auswahlmöglichkeiten „Herr/Frau“ zur Verfügung standen.

Das Verwaltungsgericht gab dem Landesdatenschutzbeauftragten Recht:

Da es nicht ersichtlich sei, dass das Geburtsdatum für die Abwicklung einer Bestellung notwendig sei, weil diese nicht eine altersspezifische Beratung erforderten, verstoße die Erhebung des Geburtsdatums gegen das in der DSGVO normierte Prinzip der Datenminimierung. Demzufolge bedürfe es einer expliziten Einwilligung des Kunden in die Erhebung und Verarbeitung des Geburtsdatums, die nicht eingeholt worden sei.

Bezüglich der geschlechterspezifischen Anrede „Herr/Frau“ verständigten sich die Parteien darauf, dass der Onlineshop die zusätzliche Auswahloption „ohne Angabe“ einfügen müsse, woraufhin über diesen Punkt nicht mehr entschieden werden musste.

Auch das Landgericht Frankfurt/Main hatte sich in einem Verfahren wegen Persönlichkeitsrechtsverletzung bereits mit der Frage der gendergerechten Ansprache eines Kunden zu befassen (LG Frankfurt/Main, Urteil vom 03.12.2020, Az.: 2-13 O 131/20, openJur 2020, 79049).

In dem vom Landgericht Frankfurt entschiedenen Fall hatte eine (so in den Urteilsgründen bezeichnete) „klagende Person“ einen Anspruch auf Unterlassung und Zahlung einer Geldentschädigung wegen Persönlichkeitsrechtverletzung gegen einen Onlineshop geltend gemacht. Wer dort bestellen wollte, musste bei dem Bestellformular ebenfalls die Anrede auswählen, wobei auch hier lediglich die Auswahlmöglichkeiten „Herr“ oder „Frau“ zur Verfügung gestanden hatten. Da die in diesem Verfahren „klagende Person“ eine „nicht binäre Geschlechtsidentität“ besaß, sah sie sich in ihrem Persönlichkeitsrecht verletzt und klagte auf Unterlassung, Zahlung einer Geldentschädigung und Erstattung von Abmahnkosten.

Das Landgericht bejahte zwar eine Persönlichkeitsrechtsverletzung, war jedoch der Auffassung, dass darin keine schwere Persönlichkeitsrechtsverletzung liege, die einen Anspruch auf Ersatz eines immateriellen Schadens gewähre, egal, ob dieser Anspruch auf das Allgemeine Gleichbehandlungsgesetz (AGG) oder auf Persönlichkeitsrechtsverletzung gestützt werde. Gleichwohl musste der Onlineshop zumindest einen Teil der Abmahnkosten erstatten.

Onlineshops sollten daher dringend prüfen, ob sie im Rahmen des Bestellprozesses

– > unnötige Daten, wie z.B. das Geburtsdatum, eines Bestellers erheben, obwohl das Geburtsdatum für die Bestellung nicht erforderlich ist

und

-> entweder komplett auf die Auswahl einer Anredemöglichkeit verzichten oder zumindest eine dritte Möglichkeit z.B. „ohne Angabe“ oder „Neutral“ einfügen.

Beide oben genannten Fälle zeigen, dass dies sowohl Ansprüche von potentiellen Kunden wie aber auch vor allem ein Vorgehen von Landesdatenschutzbeauftragten auslösen können.