Ein aktuelles Urteil des österreichischen Bundesverwaltungsgerichts verdeutlicht, dass die farbliche Gestaltung von Cookie-Bannern entscheidend für deren Rechtmäßigkeit sein kann. In diesem Beitrag werden die wesentlichen Inhalte der Entscheidung sowie die Anforderungen an Cookie-Banner erläutert, damit die Einwilligung tatsächlich freiwillig und somit rechtsgültig erfolgt.
Der Inhalt im Überblick
Akzeptieren als geringster Widerstand
Im April 2026 entschied das österreichische Bundesverwaltungsgericht (BVwG) in einem ursprünglich von der Organisation noyb angestoßenen Verfahren, dass das Cookie-Banner auf der Webseite des Österreichischen Rundfunks nicht den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht. Der Button „Alle Cookies akzeptieren“ war in Weiß auf Blau gehalten und stach damit deutlich hervor, während die Optionen „Cookie-Präferenzen“ und „Nur notwendige Cookies“ lediglich blaue Schrift auf weißem Grund zeigten und somit visuell in den Hintergrund traten.
Das BVwG stellt fest, dass die Gestaltung des Buttons „Alle Cookies akzeptieren“ dazu verleitet, das Cookie-Banner vorschnell zu bestätigen und dadurch den Hinweis auf das Setzen von Cookies auszublenden. Dies werde dadurch begünstigt, dass eine Navigation auf der Webseite ohne vorherige Interaktion mit dem Banner nicht möglich ist. Hierdurch sei die erforderliche Einwilligung aber nicht mehr unmissverständlich:
„Es könne damit nicht mehr mit hinreichender Sicherheit gesagt werden, ob Nutzer tatsächlich in die Erhebung personenbezogener Daten einwilligen oder lediglich den Weg des geringsten Widerstands wählen, um die Inhalte der Webseite zu nutzen.“
Insoweit lenke das konkret verwendete Design Websitebesucher klar in Richtung der Einwilligung (auch „nudging“ genannt).
Die Lenkung zur Einwilligung
Das Phänomen hinter dieser Gestaltung wird als „nudging“ bezeichnet. Darunter versteht man Techniken, mit denen das Verhalten von Personen gezielt beeinflusst werden soll. Die oftmals subtilen Methoden begegnen uns im Alltag überall, etwa in Supermärkten, im Straßenverkehr, am Arbeitsplatz oder in der digitalen Welt. Im Zusammenhang mit Cookie-Bannern dient „nudging“ dazu, Nutzer:innen zur Abgabe ihrer Einwilligung zu „stupsen“.
Die Methoden des Nudging sind vielfältig. In Cookie-Bannern ist die Option „Zustimmen“ häufig auffälliger gestaltet als die Option „Ablehnen“, etwa durch Farbe, Schriftstil oder andere Hervorhebungen, wie auch im hier behandelten Fall. Zudem ist der Prozess des Ablehnens oft unnötig kompliziert. Während die Einwilligung meist direkt auf der ersten Ebene des Consent-Tools erteilt werden kann, fehlt eine gleichwertige Schaltfläche zum Ablehnen. Stattdessen müssen Nutzer:innen zunächst die Cookie-Einstellungen öffnen, um ihre Ablehnung zu bestätigen.
Rechtlich ist es insoweit eindeutig, als dass nach Art. 4 Nr. 11 DSGVO eine Einwilligung freiwillig erfolgen muss. Diese gilt nur dann als freiwillig, wenn sie ohne Druck oder Zwang abgegeben wird. Darüber hinaus stellt Erwägungsgrund 42 zur DSGVO klar, dass eine Einwilligung nur dann als freiwillig gilt, wenn die betroffene Person eine echte und freie Wahl hat. Wird Nudging eingesetzt, um Personen zur Zustimmung zu bewegen, kann dies gegen diese Vorgaben verstoßen.
Gerichte fordern gleichwertige Optionen
Das österreichische Urteil fügt sich in eine klare Entwicklung ein. Auch das Verwaltungsgericht Hannover (Urteil vom 19.03.2025, Az. 10 A 5385/22) hat klargestellt, dass ein Cookie-Banner, das eine „Alle akzeptieren“-Option anbietet, auch eine gleichwertige und ebenso sichtbare „Alles ablehnen“-Option auf derselben Ebene ohne zusätzlichen Aufwand für die Nutzer:innen bereithalten muss. Manipulative Gestaltungen durch visuelle Hervorhebungen, versteckte Optionen oder zusätzliche Klicks sind unzulässig.
Auch das OLG Köln (Urteil vom 19.01.2024, Az. 6 U 80/23) beanstandete ein Cookie-Banner, bei dem die Ablehnungsoption nicht gleichwertig zur Zustimmung gestaltet war. Besonders kritisch bewertete das Gericht die Kombination eines „Akzeptieren & Schließen“-Buttons mit einem „X“-Symbol in der rechten oberen Ecke. Das OLG sah das Problem, dass Personen ein „X“ üblicherweise als Schließen-Funktion verstehen, nicht jedoch als Zustimmung zur Cookie-Verarbeitung. Dadurch wird die Einwilligung nicht eindeutig erklärt.
Leitlinien der Aufsichtsbehörden
Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, hat in ihrer Orientierungshilfe für Digitale Dienste klare Leitlinien formuliert.
- Gleichwertige Darstellung:
Die Möglichkeit, keine Einwilligung zu erteilen, muss eindeutig als gleichwertige Alternative zur Zustimmung dargestellt werden. Konkret bedeutet das: Neben einem Button „Einwilligung erteilen“ sollte sich ein in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button „Weiter ohne Einwilligung“ befinden. - Unmissverständliche Beschriftung:
Eine Schaltfläche „Einstellungen oder Ablehnen“, die zu einer weiteren Ebene führt, ist nicht ausreichend. - Keine Einwilligung durch Weitersurfen:
Das Scrollen oder Weitersurfen sind typische Handlungen bei der Internetnutzung, denen kein rechtlicher Erklärungsgehalt innewohnt. Die DSGVO fordert ausdrücklich eine eindeutige bestätigende Handlung.
Die DSK stellt auch klar, dass Nudging nicht generell unzulässig ist. Es findet jedoch dort seine Grenzen, wo die Voraussetzungen an eine wirksame Einwilligung nicht mehr erfüllt sind. Wenn Nutzer aufgrund eines Informationsdefizits ihre Entscheidung nicht nach ihrem eindeutigen Willen treffen, liegt keine wirksame Einwilligung vor.
Revision zugelassen
Das BVwG hat die Revision an den Verwaltungsgerichtshof zugelassen, da bislang keine höchstgerichtliche Rechtsprechung zu dieser Frage vorliegt. Es bleibt abzuwarten, ob der VwGH die Linie bestätigt. Doch es zeigt sich eine deutliche Tendenz: Die Anforderungen an Cookie-Banner werden nicht lockerer. Wer das Cookie-Banner schon jetzt DSGVO-konform gestaltet, ist auf der sicheren Seite.
