Verpflichtend: Ablehnfunktion in Cookie-Tool und Consent für Google Tag Manager

Zunehmende Cookie-Abmahnungen fördern Gerichtsurteile über rechtliche Anforderungen beim Cookie-Consent. Wir zeigen, was nach dem VG Hannover in Bezug auf Schaltflächen im Consent-Tool und Google Tag Manager zu beachten ist.

Der Sachverhalt

Der Niedersächsische Datenschutzbeauftragte beanstandete die Ausgestaltung des Cookie-Banners der Neuen Osnabrücker Zeitung auf ihrer Website.

Auf der ersten Ebene des Banners standen den Nutzern lediglich die Schaltflächen „Alle akzeptieren“ und „Einstellungen“ zur Verfügung.

Wurde „Einstellungen“ ausgewählt, gelangte man zur zweiten Ebene, auf der verschiedene Kategorien von Cookies aufgeführt waren. Dort konnte der Nutzer zwischen „Alle akzeptieren“ und „Auswahl speichern“ wählen.
Ein Button, mit dem sich alle nicht erforderlichen Cookies ablehnen ließen, war weder auf der ersten noch auf der Einstellungs-Ebene vorhanden.

Darüber hinaus nutzte das Verlagshaus den Google Tag Manager, ohne dessen Einsatz aber über das verwendete Consent-Tool von der vorherigen Nutzereinwilligung abhängig zu machen.

Auf Basis seiner Feststellungen erließ der Niedersächsische Datenschutzbeauftragte einen Untersagungsbescheid, der dem Verlag verbot,

• die Cookie-Consent-Oberfläche ohne einen „Ablehnen“-Button auf erster Ebene zu betreiben und
• Google Tag Manager ohne Cookie-Einwilligung zu nutzen.

Das Verlagshaus wehrte sich gegen den Bescheid mit einer Anfechtungsklage zum VG Hannover.

Die Entscheidung

Mit Urteil vom 19.03.2025 (Az: 10 A 5385/22) stellte das VG Hannover die Rechtmäßigkeit des Bescheids fest und wies die Klage ab.

1.) Cookie-Banner ohne Ablehn-Option unzulässig

Die Gestaltung eines Cookie-Banners ohne Funktion, alle nicht zwingend notwendigen Cookies bereits auf erster Ebene, also im Hauptdialogfeld des Consent-Banners, ablehnen zu können, sei unzulässig.

Das Consent-Interface dürfe nicht so gestaltet sein, dass es den Nutzer gezielt zur Abgabe von Einwilligungen hinlenke und von der Ablehnung nicht notwendiger Cookies abhalte.

Nutzern sei daran gelegen, sich mit den Consent-Einstellungen nur situativ auseinanderzusetzen und das maßgebliche Cookie-Verhalten direkt im primären Consent-Interface zu definieren, um auf die hinter dem Banner liegenden Inhalte schnellstmöglich zugreifen zu können.

Sie seien also intrinsisch motiviert, mit möglichst wenigen Klicks das Consent-Interface zu schließen.

Werde Ihnen auf der primären Bedienebene nur eine „Alle akzeptieren“ und eine „Einstellungs“-Schaltlfäche bereitgestellt, würden Nutzer also dazu verleitet, Cookies insgesamt zuzustimmen, um sich mit dem Interface nicht weiter auseinandersetzen zu müssen.

Dieses erwartbare Nutzerverhalten mache sich das Verlagshaus insofern durch Vorenthalten eines Ablehnen-Buttons zu Nutze, um Seitenbesuchern eine vollumfängliche Cookie-Einwilligung abzuringen.
Rechtlich beruhten die so eingeholten Einwilligungen nicht auf einer freiwilligen Entscheidung der Nutzer.

Als freiwillig werde eine Einwilligung nur betrachtet, wenn die betroffene Person tatsächlich eine Wahlmöglichkeit habe, also ohne Nachteile auf die Erteilung der Einwilligung verzichten könne.
Dazu müsse aber gerade die Möglichkeit bestehen, die Einwilligung mit derselben Leichtigkeit zu verweigern wie sie zu erteilen.

Dies setzte wiederum voraus, dass auf der primären Bedienebene eine genau so wahrnehmbare und bedienbare Schaltfläche vorhanden sei, mit der sich alle nicht erforderlichen Cookies pauschal ablehnen ließen.

2.) Google Tag Manager unterliegt Einwilligungspflicht nach § 25 TDDDG

Das Verlagshaus habe ferner gegen die Cookie-Einwilligungspflicht für den Google Tag Manager aus § 25 Abs. 1 TDDDG verstoßen.

Der Google Tag Manager, ein Google-Dienst zur Integration von Website-Anwendungen, speichere mithilfe von Cookies Informationen auf Nutzerendgeräten und greife ferner via Skript auf Endgeräteinformationen zu.

Da sein Einsatz für den Betrieb einer Website oder die Bereitstellung wesentlicher Seitenfunktionen nicht technisch notwendig sei (§ 25 Abs. 2 Nr. 2 TDDDG), sei er gemäß § 25 Abs. 1 TDDDG einwilligungspflichtig.

Die durch den Google Tag Manager erbrachte Funktion, Tracking-Codes und Skripte insbesondere von Werbedienstleistern zu laden, werde von Nutzern weder ausdrücklich gewünscht, noch biete sie einen Mehrwert für die Nutzung der Website. Das Laden von Skripten von Werbedienstleistern diene vielmehr den Interessen der Klägerin an der Finanzierung des Internetangebots durch den Verkauf von Werbeflächen, nicht denen der Nutzer.

Das Argument des Verlagshauses, der Google Tag Manager diene gerade dazu, die rechtskonforme Einwilligungseinholung für cookie-basierte Anwendungen sicherzustellen, verfing nicht.

Es sei zwar möglich, Cookie-Consent-Anwendungen in den Tag Manager zu integrieren und so Codes und Skripte über den Tag Manager erst bei Nutzereinwilligung zu laden.

Technisch notwendig sei dies aber gerade nicht. Vielmehr lasse sich das Cookie-Einwilligungsmanagement auch durch die originäre Einbindung entsprechender Consent-Anwendungen außerhalb des Tag Managers rechtskonform steuern.

Dass der Google Tag Manager gerade im Einflussbereich von Google-Diensten ein seitenbetreiberfreundliches Cookie-Management erlaube und den Integrationsaufwand einwilligungsbasierter Freigaben vereinfache, mache den Dienst nicht zu einem zwingenden technischen Erfordernis für den Seitenbetrieb, sondern allenfalls nur zu einer bedingt nützlichen Erweiterung.

Da der Google Tag Manager ohne technische Notwendigkeit selbst und eigenständig auf Endgeräteinformationen zugreife, sei er eigenständig Cookie-einwilligungspflichtig.

Learnings für Seitenbetreiber

Nicht nur aus dem aktuellen Urteil des VG Hannover, sondern auch aus vergleichbarer Rechtsprechung (BVerwG Österreich, Urteil vom 31.07.2024 (Az: W108 2284491-1/15E)); OLG Köln, Urteil vom 19.01.2024 (Az.: 6 U 80/23)) ergeben sich die folgenden rechtlichen Anforderungen für die Gestaltung von Consent-Tools:

• 1.) Auf der zentralen Bedienebene müssen drei gleichgroße, gleich sichtbare und gleichermaßen unschwer erkennbare Buttons mit den folgenden Funktionen und eindeutiger Beschriftung vorhanden sein: „Alle Cookies akzeptieren“, „Nur erforderliche Cookies akzeptieren“ bzw. „Nicht erforderliche Cookies ablehnen“ und „individuelle Cookie-Einstellungen“
• 2.) Wird auf einer Seite der „Google Tag Manager“ genutzt, muss dieser zwingend so in das verwendete Consent-Tool integriert sein, dass sein Einsatz von einer vorherigen Einwilligung abhängig gemacht wird.

Rechtskonformes Cookie-Management mit dem Cookie-Tool der IT-Recht Kanzlei

Sie möchten sich über die rechtskonforme Ausgestaltung Ihres Consent-Tools keine Gedanken machen müssen und wünschen sich eine innovative Plug- und Play-Lösung für Ihren rechtskonformen Cookie-Consent?

Dann ist unser Cookie-Tool für Mandanten sicherlich interessant für Sie!

Basierend auf Technologien des renommierten CMP-Anbieters „UserCentrics“ ermöglicht unser Cookie-Tool dank integriertem rechtlichen Scan-Service in nur wenigen Schritten eine präzise Erfassung aller auf Ihrer Website eingesetzten Cookies und deren automatische Integration in die Consent-Verwaltung.

Um einwilligungspflichtige Cookies auf Ihrer Website rechtskonform bis zur Nutzereinwilligung zu blockieren, genügen die einmalige Scan-Erkennung und die anschließende Einbindung des Tools – ganz ohne händisches Anpassen von Code-Skripten oder Quelldaten.

Das Tool bietet eine rechtskonforme Bedienoberfläche mit den gemäß aktueller Rechtsprechung notwendigen Schaltlfächen und sorgt unter anderem auch für eine datenschutzkonforme Einwilligungsintegration für den Google Tag Manager.

Mandanten können das Cookie-Tool ab sofort für nur 2,90€ zzgl. USt im Monat buchen.

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .