Fast jeder ZahnArzt, jede ZahnÄrztin in eigener Praxis betreibt eine Homepage, und fast jede Praxishomepage nutzt Cookies, benötigt also aus datenschutzrechtlichen Gründen einen Cookie-Banner. Die Anforderungen an den Aufbau und die Ausgestaltung dieser Cookie-Banner waren bisher nur grob von der Rechtsprechung umrissen worden. Das Verwaltungsgericht (VG) Hannover hat mit seinem viel beachteten Urteil vom 19. März 2025 (Az.: 10 A 5385/22) nun detailliertere Vorgaben zur datenschutzkonformen Gestaltung von Cookie-Bannern gemacht.

Besonders relevant ist diese Entscheidung für Betreiberinnen und Betreiber von Arzt- und Zahnarztpraxen, deren Webseiten regelmäßig Cookies einsetzen, um verschiedene dynamische Funktionen anzubieten oder Nutzerverhalten zu analysieren – also beispielsweise bei Analyse- und Tracking-Tools, Terminbuchungsservices, Einbindung von Social-Media-Elementen und vielem mehr.

Zum Hintergrund des Urteils

Der Rechtsstreit vor dem VG Hannover entstand aus einer Anordnung des Landesbeauftragten für Datenschutz (LfD) Niedersachsen gegen ein Medienunternehmen. Die Behörde kritisierte, dass die eingesetzte Cookie-Banner-Lösung keine angemessene Entscheidungsfreiheit gewährleistete. Zwar konnten Nutzer problemlos alle Cookies mit nur einem Klick akzeptieren; jedoch erforderte die Ablehnung mehrere Schritte und war somit deutlich umständlicher gestaltet. Zusätzlich bemängelte der LfD Niedersachsen, dass die sprachliche und visuelle Gestaltung des Banners Nutzer gezielt zu einer Zustimmung beeinflusste. Das Gericht gab dem Landesbeauftragten in der Sache Recht.

Auf Beschwerden von Nutzern reagiert

Die Verwaltungsrichter reagierten mit diesem Urteil also über den LfD mittelbar auf Beschwerden von Nutzern, die sich durch manipulativ gestaltete Cookie-Banner in ihrer Entscheidungsfreiheit eingeschränkt fühlten. Hintergrund ist die Datenschutzgrundverordnung (DSGVO), die strikte Regelungen hinsichtlich der Einwilligung der Nutzer zur Verarbeitung personenbezogener Daten enthält. Die Einwilligung muss freiwillig, informiert, spezifisch und eindeutig erfolgen. Hier sah das Gericht insbesondere in der komplizierten Gestaltung der Ablehnungsmöglichkeiten ein Problem.

Kernaussagen des Urteils

Gemäß dem Verwaltungsgericht Hannover ist es zwingend erforderlich, dass Cookie-Banner eine klar erkennbare, intuitiv bedienbare Option zur Ablehnung aller nicht notwendigen Cookies enthalten. Banner, die die Ablehnung absichtlich erschweren oder verstecken, verstoßen gegen die DSGVO, da sie keine echte Wahlfreiheit gewährleisten. Verlangt wird eine Option, die gleichwertig und unmittelbar neben der Zustimmungsoption platziert sein muss – also ein Gleichlauf der Ebenen von Ablehnung und Akzeptanz der Cookies, ohne letztere tendenziös für den Nutzer zu vereinfachen.

Technischer Hintergrund: Notwendige und nicht notwendige Cookies

Cookies sind kleine Dateien, die auf dem Endgerät des Nutzers gespeichert werden. Diese enthalten mit der IP-Adresse ein personenbezogenes Datum. Dabei unterscheiden sich technisch notwendige Cookies, die für die grundlegende Funktionsweise der Webseite erforderlich sind (ohne personenbezogene Inhalte), von nicht notwendigen Cookies. Letztere werden typischerweise für Analysezwecke, Marketing oder zur Personalisierung von Inhalten eingesetzt und benötigen zwingend eine explizite Zustimmung der Nutzer.

Auswirkungen auf Praxis-Webseiten

Das Urteil fordert Webseitenbetreiber, also auch Praxisinhaberinnen und Praxisinhaber, dazu auf, sicherzustellen, dass das Ablehnen nicht notwendiger Cookies ebenso unkompliziert erfolgen kann wie die Zustimmung. Eine optimale Umsetzung besteht wohl darin, eine deutlich erkennbare und leicht bedienbare „Alles ablehnen“-Schaltfläche direkt neben dem Zustimmungsbutton anzubieten. Die Besucher der Homepage müssen also eine echte Wahl haben, die sprachlich gleichrangig zum Ablehnen der Cookies ausgestaltet ist. Zudem sollte die Information über die verwendeten Cookies klar, verständlich und vollständig dargestellt sein.

Risiken bei Nichtbeachtung

Die Nichtumsetzung der gerichtlichen Vorgaben birgt erhebliche rechtliche Risiken. Praxisinhabern drohen bei Verstößen gegen die DSGVO nicht nur Abmahnungen, sondern auch Bußgelder. Darüber hinaus können Datenschutzverstöße das Vertrauen der Patienten nachhaltig beschädigen und dem professionellen Ruf der Praxis schaden.

Urteil noch nicht rechtskräftig

In der Sache ist das letzte Wort noch nicht gesprochen: Der Prozessbevollmächtigte des Medienhauses hat für seine Mandantin einen Antrag auf Zulassung der Berufung gestellt. Die Sache ist jetzt beim Niedersächsischen Oberverwaltungsgericht (OVG) anhängig, das Urteil also noch nicht rechtskräftig. Eine Art Leitcharakter hat es dennoch bereits jetzt, da die Ausführungen vor dem Hintergrund der DSGVO überzeugend sind und das Medieninteresse an dem Urteil äußerst groß ist. Es ist auch sehr fraglich, ob das OVG in Niedersachsen die Entscheidung überhaupt zur Berufung zulässt.

Empfohlene Handlungsschritte für Praxisinhaber

Um hier im Praxisalltag auch für die Homepage die Compliance sicherzustellen, sollten Praxisbetreiber folgende Aspekte überprüfen:

• Existiert eine deutlich sichtbare, leicht zugängliche und funktionale „Alles ablehnen“-Schaltfläche (jedenfalls bei Vorliegen einer „Alle akzeptieren“-Schaltfläche)?
• Gibt es keine unterschiedliche Ebenenstruktur oder sonstige sprachliche oder technische Mittel, die das Ablehnen intuitiv schwieriger machen als das Akzeptieren der Cookie-Speicherung?
• Werden die Nutzer verständlich und umfassend über die Zwecke und Kategorien der verwendeten Cookies informiert?
• Sind die Datenschutzerklärungen und Cookie-Hinweise transparent und DSGVO-konform?
• Sind die technischen Einstellungen der Webseite geeignet, die Zustimmung oder Ablehnung der Nutzer effektiv umzusetzen und zu dokumentieren?

Eine rasche Anpassung der Webseite gemäß diesen Vorgaben ist dringend angeraten, um potenzielle rechtliche und wirtschaftliche Risiken zu vermeiden. Solche – gerade wie hier besonders viel beachteten – Urteile rufen häufig recht zügige Abmahnanwälte auf den Plan.

Sollten Sie als Praxisinhaberin oder Praxisinhaber Unterstützung bei der rechtlichen Prüfung oder Umsetzung dessen benötigen, steht unsere Kanzlei gerne mit fundiertem Wissen und praktischer Hilfestellung zur Verfügung.

RA Dr. Tobias Witte, Münster

Der Beitrag ist in Erstveröffentlichung im Blog der Kanzlei KWM LAW erschienen. Übernahme für „Quintessence News“ mit freundlicher Genehmigung der Autoren und der Kanzlei.

Dr. Tobias Witte ist Partner der Kanzlei KWM LAW in Münster. Er studierte Jura in Münster und promovierte dort über ein medizinrechtliches Thema. 2015 erhielt er die Zulassung zur Rechtsanwaltschaft und begann seine Tätigkeit zunächst als angestellter Rechtsanwalt in der Kanzlei KWM. Er ist Fachanwalt für Medizinrecht, Fachanwalt für IT-Recht und zertifizierter Datenschutzbeauftragter. Neben seiner Tätigkeit in der Kanzlei ist er auch Justiziar des Berufsverbands der niedergelassenen Kinderchirurgen Deutschlands e.V. und des ICARUS e.V. Kontakt zum Autor per E-Mail an witte@kwm-law.de.