Die meisten Unternehmen kalkulieren Datenschutzrisiken auf ihrer Webseite als Einmalposten. Kommt heraus, dass ein Tracking-Tool ohne wirksame Einwilligung Daten an einen Dritten gesendet hat, droht im schlimmsten Fall Schadensersatz an die betroffene Person, meist ein niedriger drei- bis vierstelliger Betrag. Diese Rechnung wird nach einer Entscheidung des Bundesgerichtshofs, die auf einem EuGH-Urteil von 2025 aufbaut, deutlich unsicherer.
Worum es geht, in einfachen Worten
Der BGH hat mit Urteil vom 21. Juli 2026 entschieden, dass ein Unterlassungsanspruch nach deutschem Recht nicht deshalb ausgeschlossen ist, weil die Regeln der DSGVO insoweit abschließend seien (Az. VI ZR 144/23).
Der BGH hat das Berufungsurteil aufgehoben und die Sache an das OLG Frankfurt am Main zurückverwiesen. Ob Unterlassung verlangt werden kann, ist dort noch zu klären.
Der praktische Unterschied ist erheblich. Ein Schadensersatzanspruch ist ein Betrag, den Sie einmal zahlen. Ein Unterlassungsanspruch wirkt in die Zukunft. Wer ihn gegen sich hat, muss die beanstandete Datenübermittlung dauerhaft einstellen. Aus einem kalkulierbaren Einmalposten kann so eine Dauerverpflichtung werden, die Ihr Unternehmen bindet, auch wenn die Marketingabteilung das betreffende Tool drei Jahre später gern wieder einsetzen würde.
Was das für die Geschäftsführung bedeutet
Drei Punkte sind aus unserer Sicht entscheidend.
Erstens: Das häufigste Gegenargument wird schwächer. In Gesprächen hören wir regelmäßig den Satz, im schlimmsten Fall zahle man eben einmal ein paar hundert Euro, und das sei billiger als ein Umbau der Webseite. Diese Rechnung stimmte schon vorher nur eingeschränkt, weil Bußgelder der Aufsichtsbehörden daneben stehen. Jetzt kann daneben ein Unterlassungsanspruch treten, den die DSGVO nicht pauschal sperrt und der sich nicht durch Zahlung erledigen lässt.
Zweitens: Die Zahl der möglichen Anspruchsteller ändert sich nicht, ihr Hebel schon. Es geht weiterhin um betroffene Personen, also um Besucherinnen und Besucher Ihrer Webseite. Wer bisher nur Schadensersatz einklagen konnte, kann mit einer Unterlassungsklage nicht mehr allein am Argument scheitern, die DSGVO regle das abschließend.
Drittens: Dokumentation wird wichtiger als Nachbesserung. Wenn Sie nachweisen können, dass ein Tool zu keinem Zeitpunkt ohne Einwilligung geladen wurde, brauchen Sie über Wiederholungsgefahr nicht zu streiten. Fehlt dieser Nachweis, diskutieren Sie im Zweifel über einen Zustand, den Sie selbst nicht mehr rekonstruieren können.
Der technische Teil: Wo die Übermittlung tatsächlich passiert
Die Entscheidung betrifft jede Konstellation, in der personenbezogene Daten ohne tragfähige Rechtsgrundlage an einen Dritten fließen. Auf typischen Unternehmenswebseiten sind das erfahrungsgemäß die folgenden Stellen.
- Schriftarten und Bibliotheken aus fremden Netzen. Werden Google Fonts, Icon-Sets oder JavaScript-Bibliotheken zur Laufzeit von einem fremden Server nachgeladen, übermittelt der Browser des Besuchers dabei dessen IP-Adresse. Die Lösung ist seit Jahren dieselbe und technisch unspektakulär: lokal einbinden.
- Tag-Manager als Sammelkanal. Ein Tag-Manager lädt häufig nicht nur das, was im Consent-Banner abgefragt wurde. Entscheidend ist, was tatsächlich vor der Einwilligung feuert, nicht was in der Konfigurationsoberfläche eingetragen ist.
- Pixel und Conversion-Tools der sozialen Netzwerke. Hier liegt der Schwerpunkt der bisherigen Rechtsprechung. Die BGH-Entscheidung ergänzt diese Linie um die Rechtsfolgenseite.
- Eingebettete Inhalte. Videos, Kartendienste und Bewertungs-Widgets bauen die Verbindung zum Anbieter in der Regel schon beim Laden der Seite auf, nicht erst beim Klick auf den Abspielknopf.
- Formulare und Terminbuchungen. Läuft die Verarbeitung über einen externen Dienstleister, ist neben der Rechtsgrundlage auch der Auftragsverarbeitungsvertrag zu prüfen, bei Anbietern außerhalb der EU zusätzlich die Transfergrundlage.
Für die Prüfung heißt das konkret: Maßgeblich ist der Netzwerkverkehr vor jeder Interaktion mit dem Consent-Banner. Was in diesem Moment bereits an einen Dritten geht, lässt sich nachträglich durch keine Einwilligung heilen. Genau diesen Zustand messen wir in unseren Audits. Nach der Entscheidung des BGH kann an diesen Befund neben Schadensersatz auch ein Unterlassungsanspruch anknüpfen.
Einordnung, damit hier kein falscher Eindruck entsteht
Die Entscheidung schafft keinen neuen Anspruch aus dem Nichts. Sie räumt ein Hindernis aus dem Weg, an dem Unterlassungsklagen bisher häufig scheiterten, nämlich das Argument, das Unionsrecht regele die Rechtsfolgen abschließend. Ob im Einzelfall tatsächlich ein Unterlassungsanspruch besteht, hängt weiterhin von den üblichen Voraussetzungen ab, insbesondere von der Wiederholungsgefahr. Derselbe Senat hatte im Juni 2026 einen Unterlassungsanspruch abgelehnt (Az. VI ZR 97/22), weil das Bewerbungsverfahren abgeschlossen war und eine Wiederholung nicht drohte. Ein dauerhaft eingebundenes Tracking-Tool liegt allerdings anders als ein einmalig fehlgeleiteter Nachrichtenversand.
Was jetzt sinnvoll ist
Wenn Sie in den letzten zwölf Monaten keine technische Prüfung Ihrer Webseite hatten, ist das der naheliegende Zeitpunkt. Sinnvoll ist die Reihenfolge: zuerst messen, was vor der Einwilligung tatsächlich geladen wird, dann die Befunde nach Risiko sortieren, dann abstellen und den Zustand dokumentieren. Die reine Anpassung des Consent-Banners reicht in aller Regel nicht, weil das Problem meistens hinter dem Banner liegt und nicht in ihm.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 30.09.2026.