Ist Ihre Website tatsächlich rechtskonform – oder bestehen unerkannte Risiken für Bußgelder und Abmahnungen?

Viele datenschutzrechtliche Probleme entstehen nicht durch die sichtbaren Inhalte einer Website, sondern durch das, was technisch im Hintergrund geschieht. YouTube-Videos, externe Schriftarten, Social-Media-Inhalte, Analyse- und Tracking-Dienste oder andere externe Quellen können bereits beim Aufruf einer Website Verbindungen zu Drittanbietern herstellen und dabei personenbezogene Daten auch rechtwiedirg übermitteln.

Doch wann wurde Ihre Website erstellt – und wann wurde sie zuletzt umfassend darauf geprüft, welche Dienste und Technologien tatsächlich eingesetzt werden und ob deren Nutzung noch den aktuellen rechtlichen Anforderungen entspricht?
Eine Website ist kein statisches Produkt. Inhalte, Plugins, externe Dienste und technische Funktionen werden regelmäßig ergänzt oder verändert. Dadurch können neue datenschutzrechtliche Risiken entstehen, auch wenn die Website auf den ersten Blick unverändert erscheint.

Eine besondere Bedeutung kommt dabei dem Cookie-Banner zu. Es soll sicherstellen, dass Nutzer vor dem Einsatz einwilligungsbedürftiger Dienste eine echte und informierte Entscheidung treffen können. Entscheidend ist deshalb nicht nur, ob ein Cookie-Banner vorhanden ist, sondern auch, wie es gestaltet ist, welche Cookies und Dienste tatsächlich dahinterstehen und was bereits vor einer Einwilligung technisch passiert.

Genau diese Punkte wurden im Rahmen der vorliegenden Prüfung näher betrachtet.
Das Ergebnis: Cookie-Banner: „Ablehnen“ muss so leicht sein wie „Akzeptieren“
Viele Websites zeigen auf dem Cookie-Banner prominent „Alle akzeptieren“, daneben „Einstellungen“ und allenfalls „nur notwendige Cookies“. Ablehnen steckt oft hinter einem zweiten Klick. Genau das halten deutsche Gerichte und Aufsichtsbehörden inzwischen für unzulässig.

Zwei Entscheidungen prägen die Auslegung: Das OLG Köln (19.01.2024, Az. 6 U 80/23) und das VG Hannover (19.03.2025, Az. 10 A 5385/22). Beide knüpfen an § 25 TDDDG und Art. 4 Nr. 11 DSGVO an: Eine Einwilligung muss freiwillig, informiert und eindeutig sein.
Wer auf der ersten Ebene „Alle akzeptieren“ anbietet, muss dort eine gleichwertige Möglichkeit schaffen, alle nicht notwendigen Cookies abzulehnen. Mehr Aufwand, versteckte Optionen, irreführende Texte wie „Akzeptieren & schließen“ oder ständiges erneutes Einblenden nach einer Ablehnung gelten als unzulässiges Nudging. Solche Einwilligungen sind unwirksam; das OLG Köln sieht darin zusätzlich einen Wettbewerbsverstoß.

Für die Praxis heißt das…

Auf Ebene 1 gehören drei klar benannte Wege:

• alle akzeptieren
• alles Optionale ablehnen
• einzeln auswählen

„Nur technisch notwendige“ ersetzt „Alles ablehnen“ nur, wenn der Button ebenso sichtbar und mit einem Klick erreichbar ist.
Zudem ist darauf zu achten, dass sich hinter der Option „Nur technisch notwendige Cookies“ tatsächlich ausschließlich solche Cookies und Mechanismen befinden, die für die Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes unbedingt erforderlich sind und daher keiner aktiven Einwilligung bedürfen.

Werden darüber hinaus weitere Cookies oder vergleichbare Mechanismen gesetzt oder eingesetzt, obwohl keine wirksame Einwilligung vorliegt, stellt dies in der Regel einen Verstoß gegen § 25 TDDDG sowie gegen die Vorgaben der DSGVO zur Rechtmäßigkeit der Verarbeitung dar.

Resümee

Wer Tracking, Maps, Fonts oder Tag Manager erst nach Zustimmung des Nutzers lädt und die Wahl nur für begrenzte und angemessene Zeit speichert, erfüllt die rechtlichen Vorgaben und die Linie von DSK, OLG Köln und VG Hannover. Wer „Ablehnen“ versteckt, riskiert unwirksame Einwilligungen mit allen Folgen sowie aufsichtsrechtliche Bußgelder und Abmahnungen.

Wir empfehlen Unternehmen, die eigene Webseite regelmäßig zu überprüfen und gut zu überlegen, welche Mechanismen tatsächlich erforderlich sind. Oft werden Trackingdienste eingerichtet, aber mit den gewonnenen Zahlen wird nie gearbeitet. Ohne Tracking entfallen jedoch bereits viele rechtliche Fragen.

 

Unser Angebot für Sie:

• Datenschutz- und IT-Sicherheitsanalysen (z.B. Website-Compliance)
• Umsetzung von DSGVO, BDSG und ISO 27001 Anforderungen
• Unterstützung bei Audits, Prüfungen und Sicherheitsvorfällen
• Sachverständigengutachten zu Datenschutz, IT-Sicherheit und EDV-Systemen
• Schulungen und Sensibilisierung zu Datenschutz und Informationssicherheit

 

Kontaktieren Sie uns noch heute!
Für ein unverbindliches Erstgespräch – wir beraten Sie
zu DSGVO, BDSG und ISO 27001.

Verwaltungsgericht Hannover zur Einwilligungsbanner für Cookies
https://www.verwaltungsgericht-hannover.niedersachsen.de/aktuelles/pressemitteilungen/wie-muss-ein-einwilligungsbanner-fur-cookies-auf-einer-website-ausgestaltet-sein-240392.html

Datenschutzkonforme Webseiten für Unternehmen
https://www.tec4net.com/web/website-compliance/

Der Landesbeauftragte für den Datenschutz Niedersachsen zu manipulativem Cookie-Banner
https://www.lfd.niedersachsen.de/startseite/infothek/presseinformationen/urteil-zu-manipulativem-cookie-banner-alles-ablehnen-schaltflache-ist-ein-muss-241960.html

Datenschutz-Check: Testen Sie jetzt kostenlos Ihr Datenschutzniveau!
https://www.datenschutz-muenchen.com/

Orientierungshilfe der Datenschutzkonferenz (DSK)
https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf

Datenschutz: DSGVO rechtssicher und praxisnah umsetzen mit tec4net
https://www.tec4net.com/web/datenschutz/