Fast jede Website hat eines: ein Cookie-Banner, das beim ersten Besuch erscheint, meist mit einem großen, farbig hervorgehobenen Button „Alle akzeptieren“ und irgendwo daneben, kleiner, grauer, manchmal erst nach einem zweiten Klick erreichbar, die Möglichkeit abzulehnen. Diese Gestaltung ist kein Zufall, sie folgt einem bekannten Muster aus der Verhaltensökonomie: Nudging, das gezielte Schubsen einer Entscheidung in eine bestimmte Richtung durch Design statt durch Zwang. Das Verwaltungsgericht Hannover hat sich genau diese Praxis vorgenommen und ihr eine klare rechtliche Grenze gesetzt. Als erstinstanzliches Urteil ist die Entscheidung kein höchstrichterliches letztes Wort und Rechtsmittel sind grundsätzlich möglich, sie setzt aber ein deutliches Signal für die Praxis.
Was das Gericht entschieden hat
Das VG Hannover urteilte am 19. März 2025 (Az. 10 A 5385/22), dass ein manipulativ gestaltetes Cookie-Banner keine wirksame, freiwillige Einwilligung begründet, wenn „Alle akzeptieren“ visuell hervorgehoben ist, während die Ablehnoption versteckt oder erschwert zugänglich gestaltet wurde. Maßgeblich ist nach dieser Entscheidung, dass eine gleichwertige, unmittelbar sichtbare Ablehnoption vorhanden sein muss, also auf derselben Ebene, in vergleichbarer Größe und ohne zusätzlichen Klickaufwand gegenüber der Zustimmungsoption. Rechtlich gestützt wird das auf § 25 TTDSG (das Einwilligungserfordernis für den Zugriff auf Endgeräte-Informationen wie Cookies) in Verbindung mit Art. 4, 6 und 7 DSGVO, die definieren, was eine Einwilligung überhaupt ist und wann sie wirksam erteilt wurde.
Klartext für Geschäftsführer: Ein Cookie-Banner zu haben reicht nicht. Wenn „Zustimmen“ groß, bunt und einen Klick entfernt ist, während „Ablehnen“ grau, klein oder über ein Untermenü versteckt ist, ist die dadurch eingeholte Einwilligung nach dieser Entscheidung unwirksam. Das betrifft nicht nur besonders aggressiv gestaltete Banner, sondern jede spürbare Asymmetrie zwischen den beiden Optionen.
Was „gleichwertig“ konkret heißt
Das Urteil liefert keine ausformulierte Pixel-für-Pixel-Checkliste, aber die Stoßrichtung ist eindeutig und deckt sich mit der Linie, die Aufsichtsbehörden und Rechtsprechung zu manipulativen Bannern seit Jahren verfolgen: Zustimmen und Ablehnen müssen auf derselben Interaktionsebene angeboten werden, ohne dass eine Option einen zusätzlichen Klick, ein Untermenü oder eine Scroll-Aktion erfordert, die die andere nicht braucht. Farbe, Kontrast und Button-Größe dürfen die Zustimmung nicht optisch bevorzugen, ein knalliges „Akzeptieren“ neben einem unauffälligen Textlink „Einstellungen“ oder „Ablehnen“ ist genau das Muster, das die Entscheidung adressiert. Eine Vorauswahl einzelner Cookie-Kategorien als bereits aktiviert („Alle Cookies“ oder auch nur „Marketing-Cookies“ vorab angehakt) unterläuft dieselbe Anforderung an eine informierte, freiwillige, aktive Erklärung und ist mit einer wirksamen Einwilligung im Sinne von Art. 4 Nr. 11, Art. 7 DSGVO nicht vereinbar.
Klartext für Techniker: Drei Punkte konkret prüfen. Erstens, Button-Parität: „Ablehnen“ (oder „Alle ablehnen“) muss auf der ersten Ebene des Banners erscheinen, nicht erst nach Klick auf „Einstellungen“ oder „Details“. Zweitens, visuelle Gleichwertigkeit: keine auffällig andersfarbige oder größere Gestaltung für „Akzeptieren“ gegenüber „Ablehnen“, CSS-Klassen und Kontrastwerte der beiden Buttons direkt vergleichen. Drittens, keine vorangehakten Kästchen bei optionalen Kategorien, der Ausgangszustand jeder nicht technisch notwendigen Kategorie muss deaktiviert sein.
Der Namenswechsel: TTDSG hieß damals so, heute TDDDG
Die Vorschrift wurde bereits zum 14. Mai 2024 von TTDSG in TDDDG umbenannt (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals Telekommunikation-Telemedien- Datenschutz-Gesetz). Inhaltlich ist § 25 TDDDG dieselbe Norm; das Urteil vom 19. März 2025 verwendet mit § 25 TTDSG die zum Urteilszeitpunkt bereits veraltete, aber inhaltlich unveränderte frühere Bezeichnung. Korrekt zitiert man den Fall daher als „§ 25 TTDSG (heute § 25 TDDDG)“, statt die Bezeichnungen unkommentiert zu vermischen oder rückwirkend zu „korrigieren“.
Warum das praktisch jede Website betrifft
Anders als viele der Urteile in dieser Serie, die einzelne Tools oder Plattformen betreffen, geht es hier um die Grundausstattung fast jeder deutschen Unternehmenswebsite: das Cookie-Banner selbst. Viele Banner-Lösungen kommen als Standard-Konfiguration eines CMP-Anbieters (Consent-Management- Plattform) und werden beim Website-Launch einmal eingerichtet, oft mit werkseitig voreingestelltem Design, das genau das Muster zeigt, das dieses Urteil für unwirksam erklärt: prominentes „Akzeptieren“, unauffälliges „Ablehnen“. Ist die dadurch eingeholte Einwilligung unwirksam, fehlt für jedes darauf aufbauende Tracking, jeden Analytics-Aufruf, jedes Marketing-Pixel die Rechtsgrundlage, mit denselben Folgen wie in den anderen Artikeln dieser Serie beschrieben: Auskunfts-, Löschungs- und potenziell Schadensersatzansprüche der betroffenen Nutzer.
Was für die Geschäftsführung zählt: Ein Cookie-Banner, das „Ablehnen“ gegenüber „Akzeptieren“ sichtbar benachteiligt, erzeugt nach dieser Entscheidung keine wirksame Einwilligung, egal wie professionell das Banner sonst aussieht. Das eigene Banner sollte konkret angeschaut werden, nicht nur, ob es vorhanden ist, sondern ob beide Optionen wirklich gleich leicht zu finden und zu klicken sind.
Was für die Technik zählt: Banner-Konfiguration im CMP-Tool gegenprüfen: Button-Parität auf der ersten Ebene (kein Untermenü-Vorteil für „Ablehnen“), keine Farb-/Größen-Asymmetrie zwischen den beiden Haupt-Buttons, keine vorangehakten optionalen Kategorien. Viele CMP-Anbieter bieten dafür inzwischen ein eigenes „Ablehnen-Button“-Feature auf der Startebene, das oft nicht standardmäßig aktiviert ist und manuell zugeschaltet werden muss.
Diese Entscheidung ist keine Ausnahmeentscheidung zu einem exotischen Einzelfall, sie trifft eine Gestaltungspraxis, die auf einem erheblichen Teil deutscher Websites bis heute Standard ist. Wer das eigene Banner zuletzt bei der Ersteinrichtung geprüft und seither nur „irgendwie funktioniert“ laufen lassen hat, sollte jetzt einen zweiten, genaueren Blick riskieren.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 19.07.2026.