Cookie-Banner ohne Ablehnen-Button: Warum das teuer werden kann

Fast jede Website hat ein Cookie-Banner. Viele davon erfüllen ihren Zweck nicht — weil dort zwar groß „Alle akzeptieren“ steht, aber kein gleichwertiges Ablehnen. Aus Sicht der Aufsichtsbehörden ist die so eingeholte Einwilligung unwirksam. Und ohne wirksame Einwilligung ist jedes Tracking-Cookie ein Verstoß.

Worum es rechtlich geht

Seit dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) gilt: Wer Informationen auf dem Gerät eines Besuchers speichert oder ausliest, braucht dessen Einwilligung — vorher. Das ist § 25 Abs. 1 TDDDG, und es gilt unabhängig davon, ob personenbezogene Daten im Spiel sind. Ausgenommen sind nur Cookies, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 TDDDG).

Was eine wirksame Einwilligung ist, steht in der DSGVO: freiwillig, für den bestimmten Fall, informiert und unmissverständlich (Art. 4 Nr. 11). Am Wort freiwillig entscheidet sich die Sache mit dem Ablehnen-Button.

Warum ein fehlendes Ablehnen die Freiwilligkeit zerstört

Ein Banner, das nur „Alle akzeptieren“ anbietet und das Ablehnen hinter „Einstellungen“ versteckt, stellt Zustimmen und Ablehnen ungleich schwer. Wer es eilig hat — und das sind fast alle — klickt auf den Knopf, der ihn weiterbringen. Die Aufsichtsbehörden werten das als Drängen zur Zustimmung.

Die Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses hat das 2023 in einem gemeinsamen Bericht festgehalten: Fehlt auf der ersten Ebene eine Ablehnungsmöglichkeit, ist die Einwilligung nicht freiwillig. Die deutschen Aufsichtsbehörden sehen das ebenso.

Seit 2025 gibt es dazu ein Urteil

Am 19. März 2025 hat das Verwaltungsgericht Hannover entschieden (Az. 10 A 5385/22): Wer „Alle akzeptieren“ anbietet, muss „Alle ablehnen“ genauso sichtbar anbieten. Geklagt hatte die niedersächsische Datenschutzaufsicht gegen ein großes Medienunternehmen, dessen Banner nur „Alle akzeptieren“ und „Einstellungen“ zeigte. Das Gericht wertete diese Gestaltung als unzulässiges „Dark Pattern“ — als Technik also, die Nutzer zur Zustimmung drängt.

Einordnung: Das ist ein erstinstanzliches Urteil, keine höchstrichterliche Klärung. Die Richtung ist damit aber deutlich: Was vorher nur Auffassung der Aufsichtsbehörden war, hat jetzt ein Gericht bestätigt. Wer weiter ohne gleichwertige Ablehnung arbeitet, argumentiert gegen Behörde und Rechtsprechung zugleich.

Drei Fehler, die immer wieder vorkommen

1. Cookies werden gesetzt, bevor jemand geklickt hat

Das ist der häufigste und zugleich klarste Verstoß. Viele Analyse-Werkzeuge starten, sobald die Seite lädt — das Banner erscheint dann zwar, kommt aber zu spät. Prüfen lässt sich das nur mit einem echten Browser: Seite öffnen, nichts anklicken, nachsehen, was schon gespeichert wurde.

2. Das Kreuz statt einer Ablehnung

Ein Schließen-Kreuz beendet das Banner, trifft aber keine Entscheidung. Läuft danach Tracking, gibt es dafür überhaupt keine Rechtsgrundlage. Das ist schlechter als ein fehlender Ablehnen-Knopf, nicht besser.

3. Voreingestellte Häkchen

Schon 2019 hat der Europäische Gerichtshof im Fall Planet49 entschieden, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung ist. Der Besucher muss aktiv tätig werden. Wer heute noch mit Voreinstellungen arbeitet, bewegt sich gegen eine seit Jahren geklärte Rechtslage.

Wie ein tragfähiges Banner aussieht

• Zwei gleichwertige Knöpfe auf der ersten Ebene — „Alle akzeptieren“ und „Alle ablehnen“ beziehungsweise „Nur notwendige“. Gleiche Größe, gleiche Erreichbarkeit.
• Nichts läuft vor der Entscheidung — Analyse, Werbung und eingebettete Dienste starten erst nach der Zustimmung.
• Keine Voreinstellungen außer bei technisch notwendigen Cookies.
• Widerruf jederzeit möglich und genauso leicht wie die Erteilung (Art. 7 Abs. 3 DSGVO) — üblicherweise über einen kleinen Dauer-Link im Fußbereich.
• Verständlich benannt, welche Dienste eingesetzt werden — und dieselben Dienste müssen auch in der Datenschutzerklärung stehen.

Selbst prüfen

Für einen ersten Eindruck genügen zwei Minuten: Öffne deine Seite in einem privaten Fenster, klicke nichts an und sieh in den Entwicklerwerkzeugen unter „Anwendung → Cookies“ nach, was bereits gespeichert wurde. Steht dort mehr als eine Sitzungskennung, läuft etwas zu früh.

Den zweiten Teil — ob das Banner eine gleichwertige Ablehnung anbietet — siehst du mit bloßem Auge. Wenn du beide Punkte automatisch geprüft haben möchtest, macht das der kostenlose Scan von Apexly: Er öffnet die Seite in einem echten Browser, protokolliert die vor jeder Entscheidung gesetzten Cookies und sieht nach, welche Knöpfe auf der ersten Ebene angeboten werden.

Kein Rechtsrat. Dieser Text beschreibt die technische Seite und den Stand der Aufsichtspraxis. Ob im Einzelfall ein Verstoß vorliegt, beurteilt eine Anwältin oder ein Anwalt — ein Scan-Bericht ist eine gute Grundlage für dieses Gespräch, aber kein Ersatz dafür.

Häufige Fragen

Muss der Ablehnen-Button auf der ersten Ebene stehen?

Die deutschen Aufsichtsbehörden und die Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses sagen ja: Ablehnen muss genauso leicht sein wie Zustimmen. Wer sich das Ablehnen erst über „Einstellungen“ suchen muss, wird faktisch zur Zustimmung gedrängt — und dann ist sie nicht mehr freiwillig im Sinne von Art. 4 Nr. 11 DSGVO. Das Verwaltungsgericht Hannover hat das am 19.03.2025 bestätigt (Az. 10 A 5385/22) — ein erstinstanzliches Urteil, aber eine klare Richtung.

Reicht ein X zum Wegklicken?

Nein. Ein Schließen-Kreuz ist keine Ablehnung, sondern gar keine Entscheidung. Werden danach trotzdem Cookies gesetzt, fehlt die Einwilligung nach § 25 Abs. 1 TDDDG vollständig.

Dürfen die Buttons unterschiedlich aussehen?

Unterschiedliche Farben allein sind nicht automatisch unzulässig. Kritisch wird es, wenn der Unterschied so groß ist, dass die Ablehnung praktisch übersehen wird — etwa ein leuchtender Zustimmen-Button neben grauer Schrift ohne Rahmen. Die Aufsichtsbehörden sprechen hier von „Dark Patterns“.

Was ist mit Cookies, die technisch nötig sind?

Für die braucht es keine Einwilligung (§ 25 Abs. 2 TDDDG) — der Warenkorb im Shop oder die Sitzungskennung nach dem Login zum Beispiel. Ein Banner ist dafür nicht erforderlich. Die Einwilligung betrifft alles darüber hinaus: Analyse, Werbung, eingebettete Dienste.

Wie finde ich heraus, ob mein Banner das erfüllt?

Der kostenlose Scan von Apexly öffnet die Seite in einem echten Browser und sieht nach, ob auf der ersten Ebene neben dem Zustimmen auch eine Ablehnung angeboten wird — und ob schon vor jeder Entscheidung Cookies gesetzt werden.

Stand: 1. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.