Drittanbieter-Cookies ohne Einwilligung – OLG Frankfurt weitet Haftung aus

Cookie-Tracking ohne ausdrückliches „Ja“ des Nutzers bleibt riskant – nicht nur für Webseitenbetreiber, sondern nun auch für Dritte im Hintergrund. Das Oberlandesgericht Frankfurt hat mit Urteil vom 11.12.2025 (Az. 6 U 81/23) entschieden: Auch Drittanbieter haften direkt für Cookie-Setzungen ohne Einwilligung – selbst dann, wenn ihnen vertraglich zugesichert wurde, dass eine Einwilligung vorliegt.

 

Worum ging es konkret?

Ein Webseitenbesucher hatte festgestellt, dass Cookies eines Drittunternehmens – eines Analyse- und Trackingdienstleisters – auf seinem Rechner gesetzt wurden, obwohl er keine ausdrückliche Zustimmung erteilt hatte. Die Cookies sollten das Nutzerverhalten analysieren, möglicherweise auch für Werbung. Der Nutzer hatte daraufhin mit anwaltlicher Unterstützung Unterlassung und Schadenersatz gefordert.

Der Fall ging durch zwei Instanzen. Das Landgericht Frankfurt gab der Klage in weiten Teilen statt – das OLG Frankfurt hat dieses Urteil nun bestätigt, wenn auch mit einem reduzierten Schadenersatz.

 

Was ist neu an der Entscheidung?

Das OLG Frankfurt stellt klar:
Auch Drittanbieter, die im Hintergrund agieren und nicht selbst Betreiber der Webseite sind, unterliegen dem Einwilligungserfordernis aus § 25 TDDDG (ehemals TTDSG). Die Haftung trifft nicht nur den Webseitenbetreiber, sondern auch jeden, der die Setzung oder das Auslesen von Cookies technisch verursacht oder veranlasst.

„Das Verbot gilt gegenüber jedermann“, so das OLG – und das ist juristisch durchaus ein Kurswechsel.

Ein Verweis auf rein vertragliche Absprachen mit dem Seitenbetreiber („wir setzen unsere Cookies nur bei Einwilligung“) schützt den Drittanbieter nicht. Entscheidend ist, wer technisch die Speicherung veranlasst – und ob dabei die gesetzlich erforderliche Einwilligung vorlag.

Welche Ansprüche stehen dem Nutzer zu?

Das Gericht bejahte einen Unterlassungsanspruch aus §§ 1004, 823 Abs. 2 BGB i.V.m. § 25 TDDDG. Das Cookie-Setzen ohne Einwilligung greift in das Recht auf informationelle Selbstbestimmung ein – ein durch § 25 TDDDG geschütztes Rechtsgut. Damit wird der Datenschutz zivilrechtlich durchsetzbar.

Zudem wurde dem Kläger ein Schadenersatz in Höhe von 100 € zugesprochen – basierend auf Art. 82 DSGVO. Auch wenn die Daten „nur“ pseudonymisiert waren, erkannte das Gericht einen immateriellen Schaden an: das Gefühl des Überwachtwerdens.

Allerdings: Der Schaden wurde geringer angesetzt als in der Vorinstanz. Warum? Der Kläger hatte bewusst Webseiten aufgerufen und das Setzen von Cookies „provoziert“, um es zu dokumentieren. Das senkt nach Ansicht des Gerichts die Intensität des Eingriffs.

 

Wer ist nach dem Urteil haftbar?

Ein besonders wichtiger Punkt für die Praxis:
Das OLG hat ausdrücklich betont, dass nicht nur derjenige haftet, der die Cookies tatsächlich auf dem Rechner des Nutzers speichert – sondern auch der, der dies mittelbar veranlasst, etwa durch die Bereitstellung von Tracking-Skripten oder Analyse-Tools.

Dazu zählen insbesondere:

• Werbeplattformen

• Tracking- und Analyseanbieter

• Anbieter von Einwilligungsmanagement-Tools (CMPs), wenn sie selbst Cookies setzen

• Technologiedienstleister, die auf Drittseiten Tracking ermöglichen

Selbst wenn ein Dienstleister keinen Zugriff auf das Einwilligungs-Banner einer Webseite hat, bleibt er verantwortlich– er muss technisch sicherstellen, dass ohne Einwilligung keine Cookies gesetzt werden.

 

Vertragliche Zusicherungen schützen nicht

Bemerkenswert: Die Beklagte hatte argumentiert, sie habe mit dem Webseitenbetreiber vertraglich vereinbart, dass Cookies nur bei Einwilligung gesetzt würden. Das ließ das Gericht nicht gelten.

Wer sich auf vertragliche Zusicherungen verlässt, muss auch technisch sicherstellen, dass das Tracking nur bei Vorliegen einer gültigen Einwilligung erfolgt.

Technisch bedeutet das:
Serverseitiges Tracking oder serverseitige Einwilligungsprüfung muss eingebaut sein – bloße AGB-Klauseln reichen nicht aus. Auch das oft genutzte TCF-Framework (Transparency and Consent Framework) schützt nicht automatisch vor Haftung, wenn es manipulierbar ist oder technisch nicht sauber eingebunden wurde.

 

Fazit: Pflicht zur aktiven Kontrolle

Das OLG Frankfurt weitet den Anwendungsbereich des § 25 TDDDG deutlich aus – und zeigt, dass „Verantwortung“ im digitalen Raum nicht nur auf den Webseitenbetreiber beschränkt bleibt. Wer Tracking-Technologie bereitstellt, ist in der Pflicht – auch dann, wenn die Cookie-Setzung letztlich durch fremde Webseiten ausgelöst wird.

Für viele Unternehmen, die Analyse- oder Marketingdienste anbieten, bedeutet das:
Die Einwilligung muss nachvollziehbar, beweisbar und technisch kontrollierbar vorliegen – sonst drohen Unterlassungsklagen und Schadenersatzforderungen.

 

Praxistipps für Webseitenbetreiber und Dienstleister

• Prüfen Sie Ihre Tracking-Dienste und Cookie-Skripte auf technische Kontrolle der Einwilligung.

• Nutzen Sie CMPs, die eine vollständige Dokumentation der Einwilligung ermöglichen.

• Achten Sie auf serverseitige Einbindung statt rein clientseitiger Steuerung.

• Drittanbieter: Verlassen Sie sich nicht nur auf AGB-Zusicherungen.

• Dokumentieren Sie nachvollziehbar, dass nur bei Einwilligung Cookies gesetzt werden.

 

Bedeutung für die Zukunft

Das Urteil dürfte richtungsweisend sein: Erstmals wird ein Drittanbieter auf Basis des neuen § 25 TDDDG haftbar gemacht – nicht als bloßer „Störer“, sondern als Täter. Die Revision ist zugelassen – es bleibt also abzuwarten, ob der BGH diese neue Auslegung bestätigen wird.

Für Anbieter von Analyse- und Marketingtechnologien gilt schon jetzt: Die Zeiten der rechtlichen Grauzonen sind vorbei.