VG Hannover zum „Alles Ablehnen“-Button im Consent-Banner und dem Google Tag Manager

Das Verwaltungsgericht Hannover (VG Hannover) hat sich nach einer Klage eines Verlagshauses gegen eine Anordnung des Landesbeauftragten für den Datenschutz Niedersachsen (LfD Niedersachsen) zu der Gestaltung von Einwilligungsbannern sowie den Anforderungen bei einem Einsatz des Google Tag Managers – einem Dienst zur Implementierung und Steuerung von Tools auf Websites – geäußert (VG Hannover, Urt. v. 19.03.2025 – 10 A 5385/22).

Worum ging es im Einzelnen?

Nach bereits einigen Jahres des Austauschs mit dem Verlagshaus zu dessen Website – insbesondere zum Einsatz von Drittdiensten – und einer letztlich nicht wie gefordert angepassten Websitedarstellung –, ordnete die Aufsichtsbehörde im November 2022 an, dass

1. die Anforderungen an eine wirksame Einwilligung gemäß den Vorgaben der DSGVO für einwilligungserforderliche Vorgänge umzusetzen sind. Das Einwilligungsbanner (Consent-Banner) auf der Website des Verlagshauses erfüllte diese Anforderungen nach Ansicht der Behörde nicht. Insbesondere fehlte es ihrer Auffassung nach an einer Informiertheit und Freiwilligkeit der zu erteilenden Einwilligung(en), da die Informationen im Banner im konkreten Fall nicht transparent seien und eine Einwilligung nicht ohne Mehraufwand verweigert werden könne. Kritisiert wurde u. a., dass kein Button zur Ablehnung auf der ersten Ebene des Banners vorhanden war, bei Ablehnung wiederholt Einwilligungsabfragen bei jedem erneuten Besuch der Website über das Banner erfolgten und die farbliche Gestaltung der Buttons für die Zustimmung ebenfalls dazu anrege, Einwilligungen abzugeben (sog. Nudging).

2. für den Einsatz des Dienstes Google Tag Manager eine wirksame Einwilligung einzuholen oder der Dienst zu entfernen sei. Die Einwilligung sei erforderlich, da neben einer Übertragung von Nutzungsdaten auch ein Skript im Endgerät gespeichert Die Ausnahmeregelung in § 25 Abs. 2 Nr. 2 TTDSG (nun TDDDG) vom grundsätzlichen Einwilligungserfordernis bei der Speicherung von Informationen im Endgerät könne dabei nicht herangezogen werden.

Die Entscheidung des Gerichts

Das VG Hannover stellt zunächst die vom Verlagshaus bestrittene Zuständigkeit des LfD Niedersachsen fest. Entgegen der Annahme des Verlagshauses, § 25 TTDSG sei keine „andere datenschutzrechtliche Bestimmung“ im Sinne des § 19 Abs. 1 Niedersächsisches Datenschutzgesetz (NDSG), machte das VG Hannover deutlich:

„Wenn der Beklagte […] die Einhaltung der Vorschriften des TTDSG rügt, so ergibt sich die Rechtsgrundlage für die Verfügung aus § 20 Abs. 1 NDSG in Verbindung mit Art. 58 Abs. 2 lit. d DSGVO.“

Und weiter:

„„Andere datenschutzrechtliche Bestimmungen“ im Sinne des § 20 Abs. 1 NDSG ist […] als Auffangregelung zu verstehen, die auch § 25 TTDSG umfasst. Dies entspricht insbesondere dem Sinn und Zweck, einer einheitlichen Behörde Befugnisse und Zuständigkeiten für alles, was mit dem Umgang mit Daten eines Endverbrauchers in Verbindung steht, zuzuweisen.“

Im Hinblick auf das vom LfD Niedersachsen gerügte Einwilligungsbanner führt das VG Hannover aus:

Weder in der DSGVO (Art. 4 Nr. 11, Art. 7 DSGVO) noch im TTDSG (§ 25 Abs. 1 TTDSG) komme es zu einer Konkretisierung der Anforderungen an eine hinreichende Informiertheit einer zu erteilenden Einwilligung. Das Gericht verweist diesbezüglich hauptsächlich auf die Rechtsprechung des Europäischen Gerichtshofs (EuGH, Urt. v. 01.10.2019, C-673/17), wonach zumindest über die Funktionsdauer von Cookies sowie die Empfänger der darin enthaltenen Informationen aufzuklären sei. Zudem heißt es:

„Die zu erteilenden klaren und umfassenden Informationen müssen den Nutzer in die Lage versetzen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Sie müssen klar verständlich und detailliert genug sein, um es dem Nutzer zu ermöglichen, die Funktionsweise der verwendeten Cookies zu verstehen (EuGH, ebd., Rn. 74). Nach Ansicht des Bundesgerichtshofs ist insoweit maßgeblich, von welchen Informationen der Nutzer aufgrund der Gestaltung der Einwilligungserklärung „regelmäßig“ Kenntnis nehmen wird (BGH, Urteil vom 28. Mai 2020 – I ZR 7/16 –, juris Rn. 33).“

Das VG Hannover beanstandet die fehlende Aufklärung über die Anzahl der (über 100) eingesetzten Drittdienstleister auf der ersten Ebene des vom Verlagshaus implementierten Einwilligungsbanners und hebt die Notwendigkeit hervor, den Einwilligungstext im Banner zu scrollen. Nur so könnten alle für eine Entscheidung relevanten Inhalte wahrgenommen werden.

Im Hinblick auf die Freiwilligkeit der eingeholten Einwilligungen führt das Gericht insbesondere aus,

„[…] dass die Möglichkeit zur Ablehnung von Cookies in gleicher Weise wie die Einwilligung in das Setzen von Cookies gestaltet sein muss, […] durch die Rechtsprechung noch keiner abschließenden Klärung zugeführt worden (vgl. Sesing, MMR 2021, S. 544 (547) m.w.N.; OLG Köln, Urteil vom 3. November 2023 – I-6 U 58/23 –, juris Rn. 50)“ ist. Jedenfalls darf aber das Cookie-Banner nicht so gestaltet sein, dass es den Nutzer gezielt zur Abgabe der Einwilligung hinlenkt und von der Ablehnung der Cookies abhält (LG Köln, Urteil vom 4. Mai 2023 – 33 O 311/22; ähnlich BGH, Urteil vom 28. Mai 2020 – I ZR 7/16 –, juris Rn. 32).“ (Fettung nicht im Original)

Kritisiert wurden u. a. folgende Methoden des Verlagshauses bei der Gestaltung des Einwilligungsbanners auf dessen Website:

• die Generierung eines erheblichen Mehraufwandes zur Ablehnung der Einwilligung (so mussten mehrere Klicks für eine Ablehnung getätigt werden, da es an einer Ablehnungsmöglichkeit auf der ersten Ebene des Banners fehlte),
• die erneute Einblendung des Einwilligungsbanners bei jedem Aufruf der Website, sofern die Einwilligung nicht erteilt wird,
• der fehlende Hinweis auf der ersten Ebene, wie genau die Einwilligung abgelehnt werden kann,
• die Funktion des „Alle akzeptieren“-Buttons auf der zweite Ebene des Banners (da dieser so verstanden werden könnte, das nur auf der zweiten Ebene ausgewählte Dienste dadurch akzeptiert werden und der Button zudem farblich hervorgehoben wurde),
• die Verwendung eines Buttons „Akzeptieren & schließen x“ oben rechts auf der ersten Ebene des Banners (da ein „x“ üblicherweise nur als Symbol zur Schließung eines Fensters verstanden wird und der Button daher eine überraschende, unübliche und unbewusste Wirkung hat; die Abgabe einer bewussten Einwilligung könne so nicht mehr angenommen werden).

Den Einsatz des Google Tag Managers ohne eine vorherige Einwilligung bewertet das VG Hannover zudem als Verstoß gegen § 25 Abs. 1 TTDSG (nun TDDDG) sowie Art. 6 Abs. 1 DSGVO:

Der Google Tag Manager (GTM) – so die Feststellung des Gerichts – speichert Informationen in der Endeinrichtung des Endnutzers oder greift auf bereits vorhandene Informationen in der Endeinrichtung zu. In diesem Fall sei nach § 25 Abs. 1 TTDSG (nun TDDDG) eine vorherige Einwilligung der Nutzer erforderlich. Zur Funktionalität des GTM führt das Gericht aus:

„Der Google Tag Manager ist ein Tool, welches Ersteller einer Website dabei unterstützt, weitere Bestandteile der Website, zum Beispiel Programmcode oder Dienste, bei Bedarf nachzuladen und zu verwalten (Sächsische Datenschutzbeauftragte, Tätigkeitsbericht Datenschutz 2023, S. 152 f.). Es entscheidet, wann und unter welchen Bedingungen bestimmte Programmcodes oder Dienste (Tags) geladen werden, und wird insbesondere dazu verwendet, nach Erteilung einer Einwilligung im Rahmen der Interaktion mit dem Einwilligungsbanner Tracking-Codes und Skripte auszuführen.“

Entgegen der Behauptung der Klägerin, der GTM würde keine Cookies, sondern nur die durch das Tool verwalteten Dienste setzen und auslesen, konnte der LfD Niedersachen in einem eigenen Testlabor nachweisen, dass zum Zeitpunkt des Webseitenaufrufs und vor der Interaktion mit dem Einwilligungsbanner Daten des Endgerätenutzers (IP-Adresse und Gerätedaten) an den Google-Server in den USA übermittelt werden. Gleichzeitig würde ein Java-Skript geladen, welches Nutzerdaten auslese – wofür eine Einwilligung nach § 25 Abs. 1 TTDSG erforderlich sei.

Eine Ausnahme vom Einwilligungserfordernis nach § 25 Abs. 2 Nr. 2 TTDSG für den Einsatz des GTM läge in diesem Fall ebenfalls nicht vor, da dieser für die Erbringung des gewünschten Telemediendienstes nicht unbedingt erforderlich sei:

„Die durch den Google Tag Manager erbrachte Funktion, Tracking-Codes und Skripte insbesondere von Werbedienstleistern zu laden, ist weder ein Dienst, welcher von Nutzern der Website der Klägerin ausdrücklich gewünscht ist, noch bietet er einen Mehrwert oder eine Funktion für die Nutzung der Website. Das Laden von Skripten von Werbedienstleistern dient vielmehr den Interessen der Klägerin an der Finanzierung des Internetangebots durch den Verkauf von Werbeflächen, nicht denen der Nutzer.“

Zudem sei die Verwendung des GTM nach Überzeugung des Gerichts auch nicht erforderlich, da die hier von dem Verlagshaus in der Website eingebundenen Marketing-Tools und -Cookies auch ohne den GTM geladen werden könnten. Das Gericht weist darauf hin, dass der GTM nicht alternativlos sei. Die Steuerung und Verwaltung der Abfolge und Verwendung von Programmcode könne auch mit anderen Werkzeugen, z.B. Eigenentwicklungen, offener Software oder anderen Einwilligungsmanagement-Tools erfolgen und verweist auf den Tätigkeitsbericht der Sächsischen Datenschutzbeauftragten aus dem Jahr 2023.

„Die Übermittlung personenbezogener Daten insbesondere an Google als einen der weitverbreitetsten Akteure im Internet, dessen Geschäftsmodell es u.a. ist, Daten zur wirtschaftlichen Eigennutzung zu sammeln, kann im Hinblick auf die betroffenen Grundrechte nicht lediglich aus Gründen der Einfachheit gerechtfertigt werden.“

Fazit

Auch wenn es sich bei dem Urteil des VG Hannover um keine höchstrichterliche Rechtsprechung handelt, sollte das Urteil von Websitebetreibern Beachtung finden.

Im Hinblick auf das Einwilligungsbanner wurde einerseits klargestellt, dass ein Erfordernis zur Verwendung eines „Alles Ablehnen“-Buttons auf der ersten Ebene des Einwilligungsbanner in der Rechtsprechung noch nicht abschließend geklärt sei. Andererseits wurde jedoch auch deutlich gemacht, dass bestimmte Methoden zur Beeinflussung von Websitebesucher*innen zu einer Unfreiwilligkeit und damit einer Unwirksamkeit der erteilten Einwilligung führen können. Letztlich kann daraus u. E. ein indirektes Erfordernis eines „Alles Ablehnen“-Buttons auf der ersten Ebene eines Einwilligungsbanners hergeleitet werden.

Im Hinblick auf den GTM dürfte dessen Einsatzmöglichkeit im Geltungsbereich der DSGVO und des TDDDG – folgt man der Auffassung des VG Hannover – erheblich eingeschränkt werden. Höchstinstanzliche Urteile dazu bleiben abzuwarten, jedoch ist die Argumentation des Gerichts im Hinblick auf das Einwilligungserfordernis und die Alternativen zum GTM im konkreten Fall durchaus nachvollziehbar und auch aufsichtsbehördlich untermauert (s. o.). Websitebetreiber sollten die Einbindung des GTM kritisch – vor allem im Hinblick auf den Einsatz eines Skriptes – prüfen und hinterfragen, da auch eine datenschutzkonforme Einbindung nicht die gewünschten Ergebnisse erzielen dürfte, wenn Websitebesucher*innen den Einsatz berechtigterweise ablehnen.