Cookies ohne Einwilligung: Wer haftet – Sie oder Ihr Tool-Anbieter?

Worum es in dem Karlsruher Verfahren geht

Geklagt hat ein einzelner Nutzer gegen ein Technologie- und Analyseunternehmen. Dessen Cookies landeten beim Besuch fremder Websites auf seinen Endgeräten, ohne dass er zugestimmt hatte. Das Landgericht Frankfurt sprach ihm 1.500 Euro immateriellen Schadensersatz zu, das Oberlandesgericht Frankfurt hielt 100 Euro für angemessen – bestätigte aber den Rechtsverstoß und verurteilte das Unternehmen zur Unterlassung.

Der entscheidende Punkt für die Praxis: Nach Auffassung des Oberlandesgerichts darf sich ein Tool-Anbieter nicht einfach darauf verlassen, dass der Website-Betreiber die Einwilligung schon eingeholt hat. Er muss sicherstellen, dass ihm diese Einwilligung tatsächlich übermittelt wird, bevor er etwas auf dem Gerät speichert. Der Anbieter hält dagegen, verantwortlich sei allein der Betreiber der Seite. Genau diese Verteilung der Verantwortung klärt der Bundesgerichtshof nun.

Warum Sie das als Website-Betreiber betrifft

Auch wenn im konkreten Fall ein Dienstleister auf der Anklagebank sitzt: An Ihrer eigenen Pflichtenlage ändert das nichts. Wer Informationen auf dem Endgerät eines Nutzers speichert oder ausliest, braucht vorher dessen Einwilligung – es sei denn, es handelt sich um Technik, die für den Betrieb der Seite unbedingt erforderlich ist, etwa den Warenkorb. Das regelt in Deutschland das TDDDG, das frühere TTDSG. Die Pflicht trifft den Website-Betreiber ebenso wie den eingebundenen Dienst.

Praktisch drohen drei Arten von Ärger: Abmahnungen durch Wettbewerber oder Verbände, Prüfungen der Datenschutzaufsicht und Schadensersatzforderungen einzelner Nutzer. Die Einzelbeträge sind überschaubar, die Zahl der Fälle ist es nicht – und der Aufwand für die Verteidigung übersteigt den Streitwert regelmäßig deutlich.

Hinzu kommt ein zweiter Effekt: Stärkt der Bundesgerichtshof die Haftung der Drittanbieter, werden diese ihre Risiken vertraglich an ihre Kunden weiterreichen. Rechnen Sie damit, dass Tool-Anbieter künftig nachprüfbare technische Nachweise der Einwilligung verlangen, statt sich mit einer Zusicherung in den AGB zu begnügen.

Was Sie jetzt prüfen sollten

Vier Schritte bringen Sie in kurzer Zeit auf sicheren Stand:

Bestandsaufnahme: Lassen Sie technisch prüfen, was Ihre Website beim Aufruf tatsächlich lädt – nicht, was in der Tool-Liste des Marketings steht. Erfahrungsgemäß tauchen dabei Dienste auf, von denen im Unternehmen niemand mehr wusste: eingebundene Schriftarten, Kartendienste, Videoplayer, Werbepixel, Tag-Manager, Session-Recording.

Technische Sperre vor der Einwilligung: Ein Cookie-Banner allein genügt nicht. Entscheidend ist, dass nicht notwendige Dienste erst dann geladen werden, wenn der Nutzer zugestimmt hat. Die häufigste Schwachstelle liegt nicht im Text des Banners, sondern in seiner Verdrahtung mit den Tools.

Gestaltung des Banners: Ablehnen muss genauso einfach sein wie Zustimmen, auf derselben Ebene und mit demselben Aufwand. Vorangekreuzte Kästchen und optisch versteckte Ablehnen-Schaltflächen sind seit Jahren angreifbar.

Dokumentation und Verträge: Protokollieren Sie, wer wann in welche Fassung eingewilligt hat. Und sehen Sie in die Verträge mit Ihren Dienstleistern: Wer schuldet die Einwilligung, wer haftet, gibt es eine Freistellung? Viele Standardverträge schweigen genau dort.

Was sich auf EU-Ebene ändert – und was nicht

Die EU-Kommission hat im November 2025 vorgeschlagen, die Cookie-Regeln zu entschlacken: weniger Banner, bestimmte Zwecke ohne Einwilligung, eine Wartezeit, bevor nach einer Ablehnung erneut gefragt werden darf. Die Mitgliedstaaten haben sich im Oktober 2026 auf eine Verhandlungsposition geeinigt, das Europäische Parlament muss noch folgen.

Beschlossen ist damit nichts. Für Ihr Unternehmen gilt bis auf Weiteres die heutige Rechtslage. Wer jetzt sein Consent-Management überarbeitet, sollte es aber so aufsetzen, dass Zwecke und Fristen später ohne Neubau angepasst werden können.

Unsere Empfehlung

Behandeln Sie das Thema nicht als IT-Detail, sondern als Geschäftsrisiko mit kurzer Bearbeitungszeit: eine technische Bestandsaufnahme, eine saubere Verdrahtung des Consent-Tools, ein Blick in die Dienstleisterverträge. Das ist in der Regel in wenigen Tagen erledigt und nimmt den typischen Angriffen die Grundlage.

Wir prüfen für Sie, welche Dienste auf Ihrer Website einwilligungspflichtig sind, wie Ihr Banner rechtssicher gestaltet wird und wie Sie die Verantwortung gegenüber Ihren Dienstleistern vertraglich klar verteilen. Sprechen Sie uns an – wir ordnen Ihre Situation in einem ersten Gespräch ein.