0 
Wer im Internet unterwegs ist, kommt an Cookies kaum vorbei: Nutzerinnen und Nutzer sollen ihnen zustimmen, sie ablehnen oder den Umfang der Datenspeicherung festlegen. Immer wieder werden solche Dateien jedoch auch ohne vorherige Einwilligung auf Geräten gespeichert. Wenn diese Cookies nicht direkt vom Betreiber einer Website stammen, stellt sich die Frage, wer dafür rechtlich verantwortlich ist. Mit genau diesem Fall hat sich nun der Bundesgerichtshof (BGH) in Karlsruhe befasst.
Worum es in dem Fall geht
Ein Kläger fordert Schadenersatz von einem Technologie- und Analyseunternehmen, das nach Angaben des BGH auf Internetseiten anderer Firmen Cookies bereitstellt. Streitpunkt ist, ob das beklagte Unternehmen haftet, wenn solche Cookies ohne vorherige Zustimmung der Nutzer auf deren Endgeräten gespeichert werden.
Was Cookies sind
Cookies sind kleine Dateien, die beim Besuch einer Website auf Smartphone, Tablet oder Computer gespeichert werden. Häufig enthalten sie eindeutige Kennungen, mit denen ein Browser wiedererkannt werden kann. So lassen sich etwa Login-Daten oder die Inhalte eines Warenkorbs speichern. Besonders wichtig sind Cookies auch für personalisierte Werbung.
So haben die Vorinstanzen entschieden
In den Vorinstanzen bekam der Kläger im Kern recht. Das Landgericht Frankfurt am Main sprach ihm zunächst den vollen geforderten Schadenersatz von 1.500 Euro zu. Das Oberlandesgericht (OLG) Frankfurt reduzierte den Betrag später auf 100 Euro. Ausschlaggebend war dabei vor allem, dass der Kläger das Setzen der Cookies bewusst und gezielt herbeigeführt hatte.
Nach Auffassung des OLG stellt die Speicherung von Cookies ohne Einwilligung dennoch einen Verstoß gegen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) dar. Demnach hätte das beklagte Unternehmen sicherstellen müssen, dass der Betreiber der jeweiligen Website eine wirksame Zustimmung des Nutzers übermittelt, bevor Cookies gespeichert werden. Genau das sei unterblieben.
Der technische Hintergrund
Laut dem OLG-Urteil werden die Cookies bereits dann auf den Geräten der Nutzer gespeichert, wenn ein entsprechender Programmcode auf der besuchten Website eine Anfrage auslöst – auch ohne vorherige Einwilligung. Zudem greife das Unternehmen auf die dabei gewonnenen Informationen zu.
So argumentieren beide Seiten
Mit seiner Revision beim BGH will das Technologie- und Analyseunternehmen erreichen, dass die Klage vollständig abgewiesen wird. Der Anwalt der Beklagten argumentierte in der mündlichen Verhandlung, für das Einholen der Einwilligung seien die Betreiber der jeweiligen Websites verantwortlich. Sie gestalteten die Seiten und die Zustimmungs-Buttons. Das beklagte Unternehmen habe darauf keinen Einfluss und könne dies bei Millionen von Kundenseiten auch nicht sinnvoll kontrollieren.
Der Anwalt des Klägers hielt dagegen, das Unternehmen könne sich nicht allein auf vertragliche Zusicherungen seiner Kunden verlassen. Es müsse selbst sicherstellen, dass Cookies erst nach wirksamer Zustimmung gesetzt werden. Technisch sei das möglich; ohne Einwilligung dürften keine Cookies gespeichert werden. Der Schutz der Privatsphäre dürfe daran nicht scheitern.
Vorläufige Einschätzung des BGH
Nach einer ersten Einschätzung des ersten Zivilsenats folgt der BGH der Entscheidung des OLG in vielen Punkten. Gerade bei der Frage der Haftung äußerten die Richter jedoch Zweifel. Nach Ansicht des Senats könnte das OLG Frankfurt noch genauer prüfen müssen, inwieweit das beklagte Unternehmen tatsächlich für das Setzen der Cookies verantwortlich ist.
Der Vorsitzende Richter Thomas Koch stellte deshalb eine mögliche Zurückverweisung an das OLG in den Raum. Eine abschließende Entscheidung fiel noch nicht; der Senat will zu einem späteren Zeitpunkt entscheiden. Das Aktenzeichen lautet: I ZR 5/26.
Warum der Fall wichtig ist
Nach Einschätzung der Rechtsanwältin Laura Dereje von der Wirtschaftskanzlei CMS ist das Verfahren vor allem für Anbieter von Analyse- und Trackingdiensten von Bedeutung. Sollte der BGH die Linie des OLG Frankfurt bestätigen, würden bloße vertragliche Zusicherungen der Website-Betreiber künftig wohl nicht mehr ausreichen. Dann wären zusätzliche technische und organisatorische Vorkehrungen nötig, um zu verhindern, dass Cookies ohne Einwilligung gesetzt werden.
Ob ein solches Urteil auch mehr Klagen von Endnutzern nach sich ziehen würde, ist aus Sicht der Expertin offen. Betroffene müssten die Speicherung der Cookies und die genauen Umstände schlüssig darlegen. Im vorliegenden Fall hatte der Kläger dafür eigens ein Privatgutachten eingeholt.
Zudem ist unklar, ob bei massenhaft und automatisiert provozierten Verstößen überhaupt ein Schadenersatzanspruch besteht. Diese Frage lässt der BGH laut Dereje derzeit in einem anderen Verfahren vom Europäischen Gerichtshof klären.
Geplante politische Änderungen
Auch auf EU-Ebene könnte es Veränderungen geben. Die EU-Kommission hatte im November 2025 vorgeschlagen, die ständigen Cookie-Banner zu reduzieren. Nach dem Plan sollen Nutzer ihre Cookie-Einstellungen direkt auf dem eigenen Gerät speichern können. Diese Vorgaben würden dann automatisch an Websites übermittelt. Wer Cookies generell immer zulassen oder grundsätzlich ablehnen möchte, müsste dies damit in der Regel nur noch einmal pro Gerät festlegen.
Ob der Vorschlag kommt
Bevor die geplante Gesetzesänderung wirksam werden kann, müssen sich noch das Europäische Parlament und der Rat der EU-Staaten dazu positionieren. Zwar beraten beide Institutionen weiterhin über das umfangreiche Vorhaben, das auch andere Digitalgesetze anpassen soll. Verbraucherschützer sehen die Entwicklung jedoch skeptisch: Nach ersten Signalen aus mehreren Hauptstädten könnte es sein, dass die EU-Staaten sich gegen die neuen Regeln zum Umgang mit Cookies stellen.
Quelle: dpa/bearbeitet durch Julian Weber
