Cookie-Banner im rechtlichen Prüfstand: „Alle Cookies akzeptieren“ darf nicht optisch bevorzugt werden

Kurz-Info:
Das Bundesverwaltungsgericht hatte sich in einer aktuellen Entscheidung mit der Gestaltung eines Cookie-Banners auf der Website www.orf.at auseinanderzusetzen. Im Mittelpunkt stand die Frage, ob eine Einwilligung in die Verarbeitung personenbezogener Daten wirksam sein kann, wenn der Button „Alle Cookies akzeptieren“ visuell deutlich hervorgehoben ist, während datenschutzfreundlichere Alternativen weniger auffällig dargestellt werden.

Die Entscheidung ist für Verantwortliche, Website-Betreiber und Datenschutzbeauftragte besonders relevant, weil sie deutlich macht: Bei Cookie-Bannern kommt es nicht nur auf den Text an.

Auch Farbe, Kontrast, Platzierung und grafische Hervorhebung können darüber entscheiden, ob eine Einwilligung tatsächlich freiwillig und wirksam erteilt wird.

 

Die Entscheidung im Überblick

Gericht: BVwG 
Datum: 23.04.2026
Geschäftszahl: W171 2303402-1/7E
Ausgangsbescheid: DSB, 28.10.2024, GZ D124.0507/24, 2024-0.633.166

Der Sachverhalt

Gegenstand des Verfahrens war der Cookie-Banner auf der Website www.orf.at. Nutzerinnen und Nutzer wurden beim Aufruf der Website mit einem Pop-up-Fenster konfrontiert, das verschiedene Auswahlmöglichkeiten enthielt. Auf der ersten Ebene des Banners standen unter anderem die Optionen „Cookie-Präferenzen“, „Nur notwendige Cookies“ und „Alle Cookies akzeptieren“ zur Verfügung.

Nach den Feststellungen des Bundesverwaltungsgerichts war der Button „Alle Cookies akzeptieren“ optisch besonders hervorgehoben. Er erschien mit weißer Schrift auf blauem Hintergrund und stach dadurch deutlich hervor. Die Alternativen „Cookie-Präferenzen“ und „Nur notwendige Cookies“ waren hingegen weniger auffällig gestaltet.

Die Datenschutzbehörde hatte dem Verantwortlichen aufgetragen, den Cookie-Banner so anzupassen, dass auf der ersten Ebene eine gleichwertige Wahlmöglichkeit zwischen der Zustimmung zu allen Cookies und der Beschränkung auf notwendige Cookies besteht. Gegen diesen Auftrag wurde Beschwerde an das Bundesverwaltungsgericht erhoben.

Die rechtliche Kernfrage

Im Zentrum der Entscheidung stand die Frage, ob eine Einwilligung nach der DSGVO noch als freiwillig, informiert und unmissverständlich angesehen werden kann, wenn die Zustimmungsoption durch die Gestaltung des Cookie-Banners optisch in den Vordergrund gerückt wird.

Nach Art. 4 Z 11 DSGVO ist eine Einwilligung nur dann wirksam, wenn sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben wird. Bei Cookie-Bannern bedeutet das, dass Nutzerinnen und Nutzer eine echte Wahl haben müssen. Diese Wahl darf nicht durch Designentscheidungen faktisch in Richtung Zustimmung gelenkt werden.

Die Begründung des Bundesverwaltungsgerichts

Das Bundesverwaltungsgericht bestätigte die Ansicht der Datenschutzbehörde. Es hielt fest, dass die konkrete visuelle Gestaltung eines Cookie-Banners für die Beurteilung der Wirksamkeit einer Einwilligung relevant ist.

Entscheidend war, dass der Button „Alle Cookies akzeptieren“ gegenüber den anderen Auswahlmöglichkeiten deutlich hervorgehoben war. Durch die farbliche Gestaltung wurde die Zustimmung optisch attraktiver und auffälliger dargestellt als die Alternativen. Dies kann dazu führen, dass Nutzerinnen und Nutzer unbedacht auf die hervorgehobene Schaltfläche klicken, anstatt eine bewusste und informierte Entscheidung zu treffen.

Das Gericht sprach in diesem Zusammenhang sinngemäß von einer Lenkung der Websitebesucher in Richtung Einwilligung. Eine solche Gestaltung kann problematisch sein, weil sie die Entscheidungsfreiheit beeinträchtigt und Zweifel daran begründet, ob die Einwilligung tatsächlich freiwillig erfolgt ist.

Gleichzeitig stellte das Bundesverwaltungsgericht klar, dass Unternehmen nicht jede einzelne Gestaltungsvorgabe vorgeschrieben wird. Es gibt keinen starren, ausschließlich zulässigen Cookie-Banner. Verantwortliche haben weiterhin Gestaltungsspielraum. Dieser Gestaltungsspielraum endet jedoch dort, wo die Nutzerführung die Zustimmung gegenüber der Ablehnung oder Einschränkung der Datenverarbeitung faktisch bevorzugt.

Kein bloß formales Problem

Die Entscheidung zeigt deutlich, dass Datenschutz-Compliance bei Cookie-Bannern nicht nur eine juristische, sondern auch eine gestalterische Frage ist. Ein Banner kann formal mehrere Optionen anbieten und dennoch problematisch sein, wenn die praktische Nutzerführung auf Zustimmung ausgerichtet ist.

Für die Praxis bedeutet das: Es reicht nicht aus, irgendwo eine Ablehnoption oder eine Option für notwendige Cookies vorzusehen. Diese Option muss für durchschnittliche Nutzerinnen und Nutzer ebenso gut wahrnehmbar und ebenso leicht auswählbar sein wie die Zustimmung zu allen Cookies.

Bedeutung für Website-Betreiber

Verantwortliche sollten ihre Cookie-Banner daher nicht nur inhaltlich, sondern auch visuell überprüfen. Von besonderer Bedeutung sind Farbe, Kontrast, Größe, Platzierung, Reihenfolge und Hervorhebung der einzelnen Buttons.

Kritisch kann insbesondere sein, wenn der Zustimmungsbutton farblich deutlich hervorsticht, während die Ablehnung nur als unauffälliger Textlink oder schwach kontrastierter Button dargestellt wird. Ebenso problematisch kann es sein, wenn die Ablehnung erst auf einer zweiten Ebene auffindbar ist, während die Zustimmung bereits auf der ersten Ebene prominent angeboten wird.

Praxistipps für Verantwortliche

Website-Betreiber sollten prüfen, ob ihre Cookie-Banner eine echte und gleichwertige Wahl ermöglichen. Zustimmung und Ablehnung sollten auf derselben Ebene verfügbar, klar bezeichnet und optisch gleichwertig gestaltet sein.

Empfehlenswert ist außerdem eine Dokumentation der eingesetzten Cookie-Banner-Versionen. Dazu gehören Screenshots, Texte, technische Einstellungen, Einwilligungsprotokolle und Nachweise darüber, welche Cookies erst nach einer wirksamen Einwilligung gesetzt werden.

Auch UX-Design, Marketing und Webentwicklung sollten in die datenschutzrechtliche Prüfung einbezogen werden. Die Entscheidung macht deutlich, dass die rechtliche Bewertung nicht bei der Datenschutzerklärung endet, sondern auch die konkrete Oberfläche betrifft, mit der Nutzerinnen und Nutzer interagieren.

Fazit

Das Bundesverwaltungsgericht bestätigt, dass Cookie-Banner keine manipulative Nutzerführung enthalten dürfen. Wird der Button „Alle Cookies akzeptieren“ visuell deutlich bevorzugt, kann dies die Wirksamkeit der Einwilligung in Frage stellen.

Für Verantwortliche bedeutet dies: Cookie-Banner müssen nicht nur technisch und textlich korrekt sein, sondern auch fair gestaltet werden. Wer personenbezogene Daten auf Grundlage einer Einwilligung verarbeitet, muss sicherstellen, dass diese Einwilligung tatsächlich frei, informiert und eindeutig erfolgt.

Die Entscheidung ist auch deshalb besonders relevant, weil das Bundesverwaltungsgericht die Revision zugelassen hat. Eine höchstgerichtliche Klärung zur zulässigen Gestaltung von Cookie-Bannern könnte daher folgen.

Schlussfolgerung

Verantwortliche sollten Cookie-Banner regelmäßig überprüfen und dabei insbesondere auf gleichwertige Auswahlmöglichkeiten achten. Eine optisch bevorzugte Zustimmung kann datenschutzrechtlich riskant sein. Datenschutzkonforme Gestaltung bedeutet daher auch: keine versteckte Ablehnung, keine überbetonte Zustimmung und keine Nutzerführung, die faktisch zur Einwilligung drängt.