VG Hannover Urteil: „Alle ablehnen“-Schaltfläche für Cookies Pflicht

Viele Internetnutzer klicken beim Anblick von Cookie-Bannern reflexartig auf „Alle akzeptieren“ und geben ihre Zustimmung zu einer Vielzahl von Cookies und Tracking. Damit ist jetzt Schluss: Das Verwaltungsgericht Hannover hat geurteilt, dass Webseiten einen ebenso sichtbaren „Alle ablehnen“-Button anbieten müssen, wenn ein „Alle akzeptieren“-Button vorhanden ist.

Webseiten, die manipulativ gestaltete Cookie-Banner verwenden, verstoßen laut Gericht gegen die europäische Datenschutz-Grundverordnung (DSGVO) sowie gegen deutsches Datenschutzrecht.

„Webseitenbetreiber müssen demnach bei Cookie-Einwilligungsabfragen einen gut sichtbaren "Alles ablehnen"-Button auf der ersten Ebene des Banners anbieten, wenn es dort auch die "Alle akzeptieren"-Option gibt“, erklärte der Landesbeauftragte für Datenschutz in Niedersachsen gegenüber heise.de.

"Cookie-Banner dürfen demnach nicht gezielt auf das Anklicken einer Einwilligung ausgerichtet sein", betonte das Gericht weiter.

Laut dem IT-Magazin ist das Urteil ein juristischer Erfolg in einem langjährigen Streit um intransparente Cookie-Banner.

Der Datenschutzbeauftragte Denis Lehmkemper hatte sich im vorliegenden Fall erfolgreich gegen die Neue Osnabrücker Zeitung (NOZ) durchgesetzt, ein großes Medienhaus in Niedersachsen, das sich gegen seine Anordnung zur Neugestaltung ihres Cookie-Banners gewehrt hatte.

„Das Unternehmen hatte über ein Cookie-Banner eine Einwilligung eingeholt, ohne den Nutzern eine echte Wahl zu lassen“, ließ der Datenschutzbeauftragte verlauten.

Das Urteil stärkt die Datenschutzrechte von Internetnutzern und könnte Auswirkungen auf alle Website-Betreiber in Europa haben, die keine wirksame Einwilligung einholen, bevor sie Cookies setzen oder personenbezogene Daten verarbeiten.

Das Gericht erkannte mehrere Banner-Designs als rechtswidrig an, darunter:

• Ablehnen ist deutlich komplizierter als Akzeptieren
• Wiederholte Banner-Einblendungen setzen Nutzer unter Druck
• Irreführende Texte wie „optimale Nutzererfahrung“ oder Schaltflächen mit „Akzeptieren und schließen“
• Keine klare Angabe über die Anzahl beteiligter Drittanbieter
• Versteckte Informationen zur Datenverarbeitung durch Dritte oder zum Widerruf der Einwilligung

„Viele Webseitenbetreiber haben diese Auswahlmöglichkeit noch immer nicht umgesetzt. Ich hoffe, dieses Urteil sendet ein deutliches Signal und trägt zur Einführung datenschutzkonformer Einwilligungslösungen bei“, warnt Lehmkemper.

Auch andere europäische Datenschutzbehörden gehen mittlerweile gegen manipulative Cookie-Praktiken vor.

Die niederländische Datenschutzbehörde etwa hat kürzlich fünf Organisationen beanstandet, die Einwilligungen falsch oder irreführend eingeholt haben. Auch in Großbritannien hat eine Aufsichtsbehörde Webseiten eine Frist von 30 Tagen gesetzt, um sicherzustellen, dass Cookies ebenso leicht ablehnt wie akzeptiert werden können.