Cookie-Haftung vor dem BGH: Analyseanbieter in der Pflicht, EU kürzt Banner-Pause

Am Donnerstag hat der Erste Zivilsenat des Bundesgerichtshofs in Karlsruhe erstmals verhandelt, ob Anbieter von Analyse- und Tracking-Werkzeugen für Cookies haften, die ohne Einwilligung der Nutzer auf fremden Webseiten gesetzt werden. Im Zentrum des Verfahrens unter dem Aktenzeichen I ZR 5/26 steht die Klage eines Nutzers, der 1.500 Euro immateriellen Schadensersatz von einem nicht öffentlich benannten Analyseanbieter verlangt. Eine Entscheidung des Senats um den Vorsitzenden Richter Thomas Koch wird an einem späteren Verkündungstermin erwartet.

Vor den Instanzgerichten hatte der Kläger ein wechselhaftes Verfahren erlebt. Das Landgericht Frankfurt am Main sprach ihm zunächst die vollen 1.500 Euro zu. Das Oberlandesgericht Frankfurt reduzierte den Betrag im Berufungsverfahren auf 100 Euro, weil der Kläger das Cookie-Setzen nach Auffassung des Gerichts „bewusst und absichtlich“ ausgelöst habe. Zugleich hielt der OLG-Senat an einem für die Branche folgenreichen Rechtssatz fest: Ein Analyse-Unternehmen müsse aktiv sicherstellen, dass der Webseiten-Betreiber die Einwilligung des Nutzers tatsächlich eingeholt und übermittelt habe. Vertragliche Zusicherungen reichten nicht.

Die Beklagte argumentierte in Karlsruhe über ihre Prozessbevollmächtigten, die Verantwortung liege allein beim Seitenbetreiber. Dieser gestalte Zustimmungsmasken und binde das Analyse-Tool ein, so die Argumentation. Ein Anbieter könne nicht Millionen von Kundenwebseiten einzeln kontrollieren. Der Klägervertreter hielt dem entgegen, es sei technisch zu lösen, dass Cookies erst gesetzt würden, wenn eine Einwilligung tatsächlich vorliege; das Unternehmen müsse dies selbst sicherstellen. Vorsitzender Richter Koch deutete nach Berichten mehrerer Prozessbeobachter an, der Senat sehe die Haftungsfrage kritisch und erwäge eine Zurückverweisung zur weiteren Aufklärung.

Für die Werbeindustrie ist das Verfahren ein Lackmustest. Sollte der BGH die Linie des OLG bestätigen, würden Tracking-Anbieter nicht mehr nur vertraglich, sondern technisch in die Pflicht genommen, inklusive Dokumentations- und Prüfpflichten gegenüber jedem einzelnen Webseiten-Kunden. Laura Dereje, Anwältin bei der Kanzlei CMS, verweist in einer Analyse auf „weitaus strengere technische und organisatorische Maßnahmen“, die ein solcher Rechtssatz für Anbieter mit sich brächte.

EU-Rat verkürzt Pause nach einem Nein

Parallel zum Karlsruher Verfahren bewegt sich die Diskussion in Brüssel. Die irische Ratspräsidentschaft hat am 2. Oktober das Dokument 13886/26 vorgelegt, das für den geplanten Digital-Omnibus das Herzstück der Cookie-Regelung neu fasst. Nach einem „Nein“ sollen Webseiten den Nutzer nicht mehr sechs, sondern mindestens vier Monate in Ruhe lassen, bevor sie erneut nach einer Einwilligung fragen dürfen. Die EU-Kommission hatte im Entwurf noch sechs Monate vorgesehen. Zugleich erweitert der Ratstext die Zahl der Zwecke, für die keine Einwilligung nötig ist, von vier auf sechs, etwa für die Reichweitenmessung kontextbezogener Werbung, nicht aber für Profilbildung oder plattformübergreifendes Tracking.

Am 11. Oktober stimmten die Botschafter der Mitgliedstaaten über das Verhandlungsmandat ab. Die Bundesregierung hatte sich zuvor dafür ausgesprochen, Verarbeiter mit geringem Risiko von einer Reihe von Pflichten freizustellen, was im Rat auf Kritik stieß. Das Europäische Parlament wird seine Position erst im Februar 2027 festlegen; erst danach beginnt der Trilog. Die irische Präsidentschaft strebt eine Einigung bis zum Jahresende an.

Für Webseiten-Betreiber in Deutschland fallen die beiden Verfahren zu einem Zeitpunkt zusammen, an dem die österreichische Datenschutzbehörde bereits seit Mitte August gegen fehlerhafte Banner von Amts wegen vorgeht. Ob die Umsetzung des neuen EU-Rechts den Dialog zwischen Analyseanbieter und Webseiten-Betreiber entschärft oder, durch den vom OLG geforderten Prüfmaßstab, zusätzlich belastet, hängt am Ende auch vom Verkündungstermin des Ersten Zivilsenats ab.