Nicht, dass es nicht ohnehin klar war, aber in einem Urteil des Verwaltungsgerichts Hannover vom 19. März 2025, über das ich neuerdings gestolpert bin, stehen ein paar Dinge drinnen, die man als Betreiber der einen oder anderen Website noch einmal eindringlich studieren sollte. Hier meine stümperhaft zusammengetragenen, mir jedoch als wesentlich erscheinenden fünf Informationshäppchen.
- Cookie-Banner dürfen die Möglichkeit, alle Cookies abzulehnen, nicht (in Unterebenen) verstecken. Das Symbol „Fenster schließen“ eines solchen Cookie-Banners darf sich nicht auf das Speichern von Cookies auswirken, da es keine Einwilligung darstellt.
Die Gestaltung eines Cookie-Einwilligungsbanners mit zwei Ebenen, bei welchem auf erster Ebene nur die Auswahlmöglichkeiten „Alle akzeptieren“, „Akzeptieren & schließen x“ und „Einstellungen“ bestehen, die zweite Ebene neben verschiedenen Drop Down Menus die Optionen „Alle akzeptieren“ und „Auswahl speichern“ enthält […] lenkt die Nutzer der Website in der Gesamtschau gezielt zur Abgabe der Einwilligung hin. Die Einwilligung ist daher nicht freiwillig […] Die Gestaltung eines Cookie-Einwilligungsbanners mit dem Button „Akzeptieren & schließen x“ in der rechten oberen Ecke führt zur Unwirksamkeit der Einwilligung, weil es sich weder um eine unmissverständlich abgegebene noch um eine freiwillige Erklärung […] handelt.
Verwaltungsgericht Hannover, Urt. v. 19.03.2025, Az.: 10 A 5385/22
- Der Google Tag-Manager darf nicht vor der Einwilligung zur Datenübermittlung geladen werden.
Der Einsatz des Dienstes Google Tag Manager bedarf einer Einwilligung. [Er] sei weder vom Nutzer ausdrücklich gewünscht noch für die Erbringung einer gesetzlichen Verpflichtung […] unbedingt erforderlich. [Er ist] ein Dienst, der dem Betreiber der Website die Einbindung von anderen Drittdiensten erleichtere. Er biete Nutzern keine darüberhinausgehende Funktion und wirke sich auch nicht anderweitig auf die Funktionsfähigkeit der Website aus, sodass ein Nutzerinteresse an der Einbindung des Google Tag Managers nicht bestehe.
Verwaltungsgericht Hannover, Urt. v. 19.03.2025, Az.: 10 A 5385/22
- Es muss klar sein, worauf sich „Alle akzeptieren“ bezieht.
Auf erster Ebene des Banners sei bereits der Titel irreführend, wenn von einem „optimalen Nutzererlebnis“ die Rede sei. Dass mit dem Klick auf „Alle akzeptieren“ bzw. „Akzeptieren & schließen x“ eine Einwilligung abgegeben werde, sei […] wörtlich nicht erwähnt. Insofern könne bei vielen Nutzern schon das Verständnis fehlen, dass eine rechtserhebliche Erklärung abgegeben werde. […] Der Umfang der erteilten Einwilligung mit dem Klick auf die Schaltfläche „Alle akzeptieren“ sei zudem intransparent: Es sei nicht deutlich, dass mehrere rechtsverbindliche Einwilligungen in Bezug auf drei verschiedene Rechtsgrundlagen […] abgegeben werden.
Verwaltungsgericht Hannover, Urt. v. 19.03.2025, Az.: 10 A 5385/22
- Speicherdauer von Akzeptanz und Ablehnung sollen sich in ihrer Gültigkeitsdauer nicht unterscheiden.
Sofern der Nutzer die Einwilligung verweigere, werde er bei jedem Öffnen der Website erneut mit dem Einwilligungsbanner konfrontiert und erst beim Auswählen der Schaltfläche „Alle akzeptieren“ werde die Entscheidung langfristig akzeptiert. Spätestens beim zweiten Mal werde sich ein Nutzer die Mühe des Durchklickens aufgrund der nicht transparenten Auswirkungen deshalb nicht mehr machen.
Verwaltungsgericht Hannover, Urt. v. 19.03.2025, Az.: 10 A 5385/22
- Endlich im Klartext: der „Alle akzeptieren“-Button darf nicht anders gestaltet sein als der „Alle ablehnen“-Button. (Hierzu auch noch, und sorry, dass ich sie jetzt alle in einen Topf werfe, meine Erfahrung: Ich habe bislang mit keiner einzigen (!) Agentur keine Diskussion darüber geführt, wenn die Order kam, doch bitte den „Alle akzeptieren“-Button anders zu gestalten. Ganz im Gegenteil: Dieser Wunsch wurde von allen Agenturen explizit ausgesprochen, bei jeder Gelegenheit immer und immer wieder über den Status der Umsetzung nachgefragt, und den Kunden gegenüber dann mit dem Beisatz, der Erfolg ihrer Arbeit hänge mit erfolgreichen Anpassung des Buttons zusammen, argumentiert.)
Auch die Farbgestaltung der Schaltfläche „Alle akzeptieren“ auf der ersten und zweiten Ebene führe dazu, dass die Nutzer angeregt werden, diese Schaltflächen zu klicken. Denn allein dieser Button sei in Blau mit weißer Schrift gehalten, während die Buttons „Einstellungen“ auf erster Ebene bzw. „Auswahl speichern“ auf zweiter Ebene in schwarzem Schriftzug auf dem insgesamt weißen Hintergrund des Einwilligungsbanners und ohne Umrandung nur bedingt als Schaltfläche erkennbar seien.
Verwaltungsgericht Hannover, Urt. v. 19.03.2025, Az.: 10 A 5385/22
In anderen Worten und gewissermaßen zusammenfassend: Alles, was wir uns ohnehin alle immer gedacht haben, ist genau so, wie wir es uns gedacht haben. Alles, was sich immer schon ein bisschen nach „am Limit“ angefühlt hat, ist meist nicht nur am Limit, sondern sogar darüber hinaus. Den Tag Manager ohne Einwilligung laden geht nicht. Den einen Button bunt machen, den anderen aber nicht, geht nicht. „Alle Ablehnen“ irgendwo in ein Untermenü packen, geht auch nicht. Und jetzt kommt der entscheidende Schlusssatz: …auch wenn es alle so tun.
Das Konzept der informierten Entscheidung in Bezug auf Cookies, Tracking und Datenschutz ist und bleibt in meinen Augen eine Farce, weil die Sache mittlerweile ein Komplexitätsniveau erreicht hat, das nicht mehr verständlich sein kann. Somit ist es weltfremd, vor allem aber nicht alltagstauglich. Ja, ich weiß, und unterstütze es ja auch, dass ein Niveau geschaffen werden sollte, in dem die ganze Sache beide Kriterien nicht mehr erfüllt und somit auf der einen Seite verständlich und auf der anderen nicht weltfremd ist. Wenn aber bislang etliche Jahre an Regulierung das faktische Datenschutzniveau nicht um einen Millimeter angehoben, uns dafür aber Wirtschaftsleistung gekostet haben, dann sollte man die Sache in ihrer gegenwärtigen Ausformung infrage stellen dürfen. Und wenn es auch ChatGPT ist, das wir fragen, während wir in Gmail unsere Mails checken, auf TikTok ein Video läuft und uns unsere Liebsten per WhatsApp Nachrichten zukommen lassen.
Nutzerinnen und Nutzer haben keine Ahnung und tun es sich ganz sicher nicht an, die teilweise tausenden Zeilen, die studiert werden müssten, um eine „informierte Entscheidung“ treffen zu können, zu lesen. Eher noch kopieren sie sie – und hier beginnt genau der Bereich, warum ich die Sache als Farce ansehe – in ChatGPT oder sonst eine KI und lassen sich dann davon beraten. Die paar wenigen, die Ahnung haben, verstehen, was warum und wie genutzt wird oder verfügen über genügend andere Möglichkeiten, Cookies und Tracking weitgehend zu vermeiden und sich so ein Level des Datenschutzes aufrecht zu erhalten, das ihnen lieb ist. Ich persönlich nutze, obwohl ich die Art und Weise, es zu tun, nicht ausstehen kann, einen Cookie-Banner auf meinem Blog, weil ich niemanden dazu nötigen möchte, Verbindungen zu Drittanbietern herstellen zu müssen, nur weil sie oder er auf einem Blogbeitrag landet, auf dem ein YouTube-, Vimeo- oder Tiktok-Video oder sonst irgendetwas eingebettet ist. Analytics nutze ich gegenwärtig und seit Jahren schon nicht.
Aber gut. Es tut sich ja was. Egal, wie man nun dazu steht.