Kategorie: Datenschutz & Recht

Stellen Sie sich einen Brief der Aufsichtsbehörde vor. Zwei Zeilen: Bitte übersenden Sie Ihr Verzeichnis von Verarbeitungstätigkeiten. Die Geschäftsführung schaut zur Agentur, die Agentur zur IT, die IT zur Geschäftsführung. Ein Verzeichnis gibt es nicht.

Rechtlich ist das keine Kleinigkeit. Art. 30 Absatz 4 DSGVO verpflichtet Verantwortliche, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Wer keines hat, kann nichts vorlegen. Verstöße gegen Art. 30 können nach Art. 83 Absatz 4 Buchstabe a DSGVO mit einer Geldbuße von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweit erzielten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das ist der Rahmen, nicht der Normalfall.

Was Art. 30 DSGVO verlangt

Nach Art. 30 Absatz 1 Satz 1 DSGVO führt jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. Absatz 3 verlangt die schriftliche Form, ein elektronisches Format genügt. Pro Verarbeitungstätigkeit nennt Absatz 1 Satz 2 diese Angaben:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters und des Datenschutzbeauftragten (Buchstabe a)
• die Zwecke der Verarbeitung (Buchstabe b)
• die Kategorien betroffener Personen und der personenbezogenen Daten (Buchstabe c)
• die Kategorien von Empfängern, auch in Drittländern (Buchstabe d)
• gegebenenfalls Übermittlungen in Drittländer und die dafür vorgesehenen Garantien (Buchstabe e)
• wenn möglich, die vorgesehenen Fristen für die Löschung der Datenkategorien (Buchstabe f)
• wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Absatz 1 (Buchstabe g)

Das ist der Mindestkatalog des Gesetzes. Was Ihre Aufsichtsbehörde im Einzelfall darüber hinaus erwartet, steht nicht im Gesetzestext. Wer als Dienstleister im Auftrag Daten verarbeitet, hat nach Absatz 2 ein eigenes, kürzeres Verzeichnis zu führen.

Für eine übliche Firmenwebseite kommen oft mehrere Einträge zusammen (Erfahrungswert, keine gesetzliche Zahl): Kontaktformular, Newsletter, Webanalyse, Einwilligungsverwaltung für Cookies, Hosting, gegebenenfalls Bewerbungen oder ein Kundenkonto.

Die Ausnahme in Absatz 5: seltener, als man denkt

„Wir haben nur sieben Mitarbeiter, das betrifft uns nicht.“ Der Satz hält sich hartnäckig. Art. 30 Absatz 5 DSGVO sagt es genauer. Die Pflichten aus den Absätzen 1 und 2 gelten danach nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen. Die Ausnahme fällt aber weg, sobald eine von drei Bedingungen erfüllt ist:

1. Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.

1. Die Verarbeitung erfolgt nicht nur gelegentlich.
2. Es werden besondere Kategorien personenbezogener Daten nach Art. 9 Absatz 1 DSGVO (zum Beispiel Gesundheitsdaten) oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet.

Befreit ist also nur, wer unter 250 Beschäftigten bleibt und alle drei Fälle ausschließen kann. Der zweite Fall ist der entscheidende. Ein Kontaktformular, über das jede Woche Anfragen eingehen, ist dauerhaft eingerichtet und läuft laufend. Nach unserer Einschätzung ist das nicht „nur gelegentlich“. Die Datenschutzkonferenz nennt in ihrem Kurzpapier Nr. 1 als Beispiel für nicht nur gelegentliche Verarbeitung die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten; ein Kontaktformular führt das Papier nicht ausdrücklich auf. Bei einem Newsletter oder einem Webanalyse-Werkzeug gilt das erst recht. Wer eine Webseite mit einem dieser Bausteine betreibt, kann sich auf die Ausnahme deshalb in aller Regel nicht berufen.

Offen bleibt, wo genau „gelegentlich“ endet. Art. 4 DSGVO definiert den Begriff nicht.

Wozu das Verzeichnis nützt, wenn kein Brief kommt

Die Arbeit am Verzeichnis zeigt Lücken. Sie sehen, welche Dienstleister Zugriff auf welche Daten haben und ob für jeden ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt. Sie sehen, ob die technischen und organisatorischen Maßnahmen zum Risiko der jeweiligen Verarbeitung passen. Und wenn eine Datenschutzverletzung passiert, wissen Sie schneller, welche Systeme welche Daten enthalten. Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Datenschutzbeauftragter: Ein Hinweis, der oft vermischt wird

Das Verzeichnis und der Datenschutzbeauftragte sind zwei getrennte Pflichten. Ob Sie einen Datenschutzbeauftragten benennen müssen, regeln Art. 37 DSGVO und § 38 BDSG. Nach § 38 Absatz 1 BDSG ist er zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl besteht die Pflicht, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder wenn Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Die Mitarbeiterzahl allein entscheidet also nicht. Ist ein Datenschutzbeauftragter benannt, gehören sein Name und seine Kontaktdaten ins Verzeichnis (Art. 30 Absatz 1 Satz 2 Buchstabe a).

Checkliste für den Einstieg

1. Alle Stellen auflisten, an denen die Webseite Daten erhebt: Formulare, Tracking, Cookies, Login-Bereiche, eingebundene Dienste.

1. Je Verarbeitungstätigkeit die Angaben aus Art. 30 Absatz 1 Satz 2 festhalten (Zwecke, Kategorien, Empfänger, Löschfristen, Maßnahmen).
2. Prüfen, ob für jeden externen Dienstleister ein Auftragsverarbeitungsvertrag vorliegt.
3. Bei Empfängern außerhalb der EU die Übermittlung und ihre Garantien eintragen.
4. Prüfen, ob § 38 BDSG oder Art. 37 DSGVO eine Benennung verlangt, und das Ergebnis dokumentieren.
5. Jemanden mit Namen für die Pflege zuständig machen und bei jeder neuen Verarbeitung aktualisieren, sonst mindestens einmal im Jahr.

Diese Liste ist ein Einstieg. Sie ersetzt weder die Prüfung der Rechtsgrundlagen je Verarbeitung noch die Beratung zu Ihrem Einzelfall.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 4, 9, 10, 28, 30, 33, 35, 37 und 83, ABl. L 119 vom 4.5.2016:
  
• Datenschutzkonferenz, Kurzpapier Nr. 1 „Verzeichnis von Verarbeitungstätigkeiten“ (Stand 17.12.2018):
  
• Bundesdatenschutzgesetz (BDSG), § 38 Datenschutzbeauftragte nichtöffentlicher Stellen:
  

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 16.10.2026.

„Wir versenden klimaneutral.“ Der Satz steht im Footer, auf Produktseiten und im Checkout von vielen Webshops. Seit Sonntag, dem 27. September 2026, kann er gegenüber Verbrauchern eine Abmahnung auslösen, wenn er sich auf Kompensation gründet. Dann kommt es bei Webseiten nicht mehr darauf an, ob er im Einzelfall wirklich täuscht. Nicht jede Umweltaussage ist damit verboten. Aber mehrere Muster stehen jetzt auf der schwarzen Liste des Gesetzes gegen den unlauteren Wettbewerb (UWG), und zwei weitere Irreführungstatbestände sind neu dazugekommen.

Was am 27. September 2026 in Kraft getreten ist

Das Dritte Gesetz zur Änderung des Gesetzes gegen den unlauteren Wettbewerb wurde am 12. Februar 2026 ausgefertigt und am 19. Februar 2026 im Bundesgesetzblatt verkündet (BGBl. 2026 I Nr. 43). Nach Artikel 2 Absatz 1 tritt es am 27. September 2026 in Kraft. Es setzt die Richtlinie (EU) 2024/825 um, in der Praxis meist „EmpCo“ genannt. Die Richtlinie verpflichtete die Mitgliedstaaten, ihre Vorschriften bis zum 27. März 2026 zu erlassen; angewandt werden sie seit dem 27. September 2026 (Artikel 4 Absatz 1). Eine Übergangsfrist für vorhandene Werbemittel sieht das Gesetz nicht vor. Für Lagerware gilt zusätzlich eine Sonderregel, § 15b UWG, verkündet am 27. Oktober 2026 (nächster Absatz).

Sonderregel für Lagerware: § 15b UWG, verkündet am 27. Oktober 2026. Das Gesetz zur Modernisierung des Designrechts und zur Änderung des Gesetzes gegen den unlauteren Wettbewerb wurde am 22. Oktober 2026 ausgefertigt und am 27. Oktober 2026 im Bundesgesetzblatt verkündet (BGBl. 2026 I Nr. 322). Artikel 5 fügt § 15b in das UWG ein, Artikel 7 Absatz 2 setzt ihn „mit Wirkung vom 27. September 2026“ in Kraft. Nach Artikel 6 wird § 15b am 27. September 2028 wieder gestrichen.

Der Paragraf regelt, wie Ansprüche nach § 8 Absatz 1 geltend gemacht werden. Er betrifft Verstöße gegen § 5 Absatz 2 Nummer 1 (ökologische oder soziale Merkmale, Haltbarkeit, Reparierbarkeit, Recyclingfähigkeit), § 5 Absatz 3 Nummer 3 und 4, § 5b Absatz 3a sowie die Nummern 2a, 4a, 4b, 4c, 10a und 23d des Anhangs, soweit es um vor dem 27. September 2026 in Verkehr gebrachte Waren geht. Dann gilt: Der Anspruch wird „nach Treu und Glauben unter Berücksichtigung des Grundsatzes der Verhältnismäßigkeit“ geltend gemacht. Abzuwägen sind die Schwere des Verstoßes, die Anstrengungen des Unternehmers zur Beseitigung, die Beseitigungskosten und die dabei entstehenden Umweltbelastungen.

Das ist eine Schranke für die Geltendmachung, keine Erlaubnis. Der Verstoß bleibt stets unzulässig. Der Wortlaut spricht von „Waren“ und erwähnt Webseiten und Online-Werbung nicht. Die Kanzlei Heuking hat ihn vor der Verkündung, zum Gesetzesbeschluss, so gelesen, dass Webseiten und Online-Werbung nicht erfasst sind. Ob ein Shop-Text zu Lagerware darunter fällt, ist ungeklärt. Rechnen Sie damit, dass der Text auf Ihrer Seite seit dem 27. September 2026 stimmen muss, auch wenn die Ware im Lager älter ist. Zu Schadensersatz sagt § 15b nichts, er nennt nur Ansprüche nach § 8 Absatz 1.

Ein einziger Teil galt früher: Artikel 1 Nummer 2 Buchstabe c trat bereits am 19. Juni 2026 in Kraft. Er betrifft einen neuen § 5 Absatz 6 UWG mit Bezug auf § 312d BGB, nicht die Umweltwerbung.

Für die Geschäftsführung: Was ist das Risiko?

Zuerst die Reichweite. § 3 Absatz 3 UWG erklärt die Fälle im Anhang „gegenüber Verbrauchern“ für stets unzulässig. Wer ausschließlich an Unternehmen verkauft, fällt nicht unter die schwarze Liste. Ganz frei ist er trotzdem nicht: § 5 UWG schützt ausdrücklich auch „sonstige Marktteilnehmer“, und § 5 Absatz 2 Nummer 1 nennt seit der Novelle „ökologische oder soziale Merkmale“ als Gegenstand einer möglichen Irreführung. Im B2B-Geschäft bleibt es also bei der Einzelfallprüfung. Sobald Ihre Webseite auch Privatkunden erreicht, gilt die strenge Fassung.

„Stets unzulässig“ heißt: Das Gericht prüft nicht mehr, ob die Aussage im Einzelfall täuscht, und ein Sternchen im Kleingedruckten rettet sie nicht. Abgemildert ist nur die Durchsetzung bei Lagerware: § 15b UWG (siehe oben) verlangt dort eine Abwägung nach Treu und Glauben. Für Webseiten und Online-Werbung sollten Sie mit der strengen Fassung rechnen. Die Rechtsfolgen sind die üblichen des UWG.

1. Unterlassung und Beseitigung. Wer eine nach § 3 unzulässige Handlung vornimmt, kann auf Beseitigung und bei Wiederholungsgefahr auf Unterlassung in Anspruch genommen werden (§ 8 Absatz 1).
2. Wer abmahnen darf. Mitbewerber, qualifizierte Wirtschaftsverbände, qualifizierte Verbraucherverbände sowie Industrie- und Handelskammern und Handwerksorganisationen (§ 8 Absatz 3).
3. Kosten. Die Berechtigten sollen vorher abmahnen und Gelegenheit zu einer Unterlassungsverpflichtung mit angemessener Vertragsstrafe geben (§ 13 Absatz 1). Ist die Abmahnung berechtigt und formal in Ordnung, kann der Abmahnende die erforderlichen Aufwendungen ersetzt verlangen (§ 13 Absatz 3).
4. Schadensersatz. Wer vorsätzlich oder fahrlässig unzulässig handelt und Verbraucher dadurch zu einer Entscheidung veranlasst, die sie sonst nicht getroffen hätten, haftet ihnen auf Schadensersatz (§ 9 Absatz 2 Satz 1). Mitbewerbern gegenüber gilt § 9 Absatz 1.
5. Bußgeld. Hier lohnt der genaue Blick. § 19 UWG knüpft an § 5c an und damit an „weitverbreitete Verstöße“ nach der EU-Verordnung 2017/2394. Nach § 19 Absatz 5 kann die Ordnungswidrigkeit nur im Rahmen einer koordinierten Durchsetzungsmaßnahme geahndet werden. Die Höchstgrenze liegt bei 50.000 Euro, bei Unternehmen mit mehr als 1,25 Millionen Euro Jahresumsatz bei bis zu 4 Prozent des Jahresumsatzes. Für einen rein national tätigen Betrieb ist nach diesem Wortlaut die Abmahnung der wahrscheinlichere Weg, nicht der Bußgeldbescheid. Bei Lieferungen in mehrere EU-Staaten kann das anders aussehen. Das ist eine Einschätzung, keine Zusicherung.

Ein Beispiel aus der bisherigen Rechtsprechung zeigt, wer solche Verfahren führt. Im Verfahren I ZR 98/23 klagte die Zentrale zur Bekämpfung unlauteren Wettbewerbs (Wettbewerbszentrale) gegen einen Fruchtgummi- und Lakritzhersteller, der in einer Fachzeitung der Lebensmittelbranche mit „Seit 2021 produziert [der Hersteller] alle Produkte klimaneutral“ geworben hatte, dazu ein Logo, das auf die Internetseite eines Klimadienstleisters verwies. Der Bundesgerichtshof verbot die Werbung am 27. Juni 2024 als irreführend. Bei einem mehrdeutigen umweltbezogenen Begriff wie „klimaneutral“ müsse regelmäßig schon in der Werbung selbst erläutert werden, was gemeint ist (Pressemitteilung Nr. 138/2024). Das Urteil ist unter altem Recht ergangen und stützt sich auf die allgemeine Irreführung. Ob dieselbe Aussage heute zusätzlich unter Nummer 4c fiele, hängt davon ab, worauf sich die behauptete Neutralität gründet.

Zu den neuen Nummern 2a, 4a, 4b und 4c des Anhangs haben wir bis zum 28. Oktober 2026 keine Gerichtsentscheidung gefunden, eine Vollständigkeitsgarantie gibt es nicht. Wenn Ihnen jemand ein Urteil dazu nennt, bitten Sie um das Aktenzeichen.

Die Muster im Einzelnen, mit Prüffrage für Ihre Webseite

Kompensation (Anhang Nr. 4c). Unzulässig ist „das Treffen einer Aussage, die sich auf die Kompensation von Treibhausgasemissionen gründet und nach der ein Produkt hinsichtlich der Treibhausgasemissionen neutrale, verringerte oder positive Auswirkungen auf die Umwelt hat“. Die Richtlinie nennt in Erwägungsgrund 12 als Beispiele „klimaneutral“, „zertifiziert CO2-neutral“, „CO2-positiv“, „mit Klimaausgleich“, „klimaschonend“ und „mit reduziertem CO2-Fußabdruck“. Erwägungsgründe sind Auslegungshilfe und kein Gesetzestext, aber sie zeigen, wie der Gesetzgeber gedacht hat. Dort steht auch, dass solche Aussagen nur zulässig sein sollen, wenn sie auf den tatsächlichen Auswirkungen im Lebenszyklus des Produkts beruhen, und dass Unternehmen weiterhin für ihre Investitionen in Umweltinitiativen werben dürfen, sofern die Information nicht irreführend ist. Die Prüffrage lautet also: Behaupten wir eine Wirkung des Produkts, oder berichten wir, was wir zusätzlich finanzieren?

Allgemeine Umweltaussagen (Anhang Nr. 4a). Verboten ist eine allgemeine Umweltaussage, wenn der Unternehmer „keine ihr zugrunde liegende anerkannte hervorragende Umweltleistung nachweisen kann“. „Allgemein“ ist eine Aussage nach § 2 Absatz 2 Nummer 1, wenn sie nicht auf einem Nachhaltigkeitssiegel steht und die Spezifizierung nicht „klar und in hervorgehobener Weise auf demselben Medium“ angegeben ist. Erwägungsgrund 9 nennt „umweltfreundlich“, „umweltschonend“, „grün“, „naturfreundlich“, „ökologisch“, „umweltgerecht“, „klimafreundlich“, „umweltverträglich“, „CO2-freundlich“, „energieeffizient“, „biologisch abbaubar“ und „biobasiert“. Nach Erwägungsgrund 10 sollen allgemeine Aussagen wie „bewusst“, „nachhaltig“ oder „verantwortungsbewusst“ nicht ausschließlich auf einer anerkannten hervorragenden Umweltleistung gestützt werden, weil sie neben der Umwelt auch andere Merkmale wie soziale betreffen. Als anerkannt gilt die Leistung nach § 2 Absatz 2 Nummer 2 etwa im Einklang mit dem EU-Umweltzeichen (Verordnung (EG) Nr. 66/2010), mit amtlich anerkannten Umweltkennzeichenregelungen nach ISO 14024 Typ I oder mit Höchstleistungen nach sonstigem Unionsrecht. Erwägungsgrund 10 nennt als Beispiel „energieeffizient“ auf Grundlage der Klasse A nach der Energieverbrauchskennzeichnung.

Die Ausnahme über die Spezifizierung ist der Punkt, an dem es für Webseiten interessant wird. Erwägungsgrund 9 zählt die Online-Verkaufsoberfläche als Beispiel für „dasselbe Medium“ auf und stellt „klimafreundliche Verpackungen“ (allgemein) neben „100 % der für die Herstellung dieser Verpackungen verwendeten Energie stammen aus erneuerbaren Quellen“ (spezifisch). Ob ein Link auf eine andere Unterseite noch „dasselbe Medium“ ist, lässt sich dem Gesetzestext nicht entnehmen, und unseres Wissens hat es noch kein Gericht entschieden. Ein Hinweis aus dem BGH-Fall „klimaneutral“ (I ZR 98/23, oben): Der Bundesgerichtshof hielt Hinweise außerhalb der Werbung nicht für ausreichend, der Verweis auf die Internetseite des Klimadienstleisters genügte also nicht (Pressemitteilung Nr. 138/2024). Das Urteil betraf altes Recht. Unsere Einschätzung: Verlassen Sie sich nicht darauf, dass ein Link die Spezifizierung ersetzt.

Reichweite (Anhang Nr. 4b). Unzulässig ist eine Umweltaussage zum gesamten Produkt oder zur gesamten Geschäftstätigkeit, „wenn sich die Umweltaussage nur auf einen bestimmten Aspekt des Produkts oder nur auf eine bestimmte Aktivität der Geschäftstätigkeit des Unternehmers bezieht“. Erwägungsgrund 11 bringt das Beispiel „mit Recyclingmaterial hergestellt“, wenn nur die Verpackung aus Recyclingmaterial besteht. Prüffrage: Steht die Aussage neben dem ganzen Produkt oder dem ganzen Betrieb, obwohl sie nur für einen Teil stimmt?

Siegel (Anhang Nr. 2a). Unzulässig ist das Anbringen eines Nachhaltigkeitssiegels, „das weder auf einem Zertifizierungssystem beruht noch von staatlichen Stellen festgesetzt wurde“. Ein Zertifizierungssystem ist nach § 2 Absatz 2 Nummer 6 ein System der Überprüfung durch Dritte mit öffentlich einsehbaren Bedingungen. Es muss unter anderem allen Unternehmern unter transparenten, lauteren und diskriminierungsfreien Bedingungen offenstehen, Verfahren für Verstöße mit Entzug des Siegels vorsehen und von einem Dritten überwacht werden, dessen Kompetenz und Unabhängigkeit sowohl vom Systeminhaber als auch vom Unternehmer auf Normen und Verfahren beruht. Das selbst gestaltete Blatt-Logo mit dem Schriftzug „Grüner Betrieb“ ist damit ein Prüfkandidat. Prüffrage: Wer hat geprüft, und wo kann ein Kunde die Kriterien nachlesen?

Zukunftsversprechen (§ 5 Absatz 3 Nummer 4). „Klimaneutral bis 2030“ steht nicht im Anhang, sondern ist ein neuer Irreführungstatbestand. Irreführend ist gegenüber Verbrauchern eine Umweltaussage über die künftige Umweltleistung „ohne klare, objektive, öffentlich einsehbare und überprüfbare Verpflichtungen“, die in einem detaillierten und realistischen Umsetzungsplan festgelegt sind. Der Plan muss messbare und zeitgebundene Ziele samt Ressourcenzuweisung enthalten und regelmäßig von einem unabhängigen externen Sachverständigen überprüft werden, dessen Erkenntnisse Verbrauchern zur Verfügung stehen. Anders als bei den Anhang-Fällen bleibt § 5 Absatz 1 anwendbar, der verlangt, dass die Handlung geeignet ist, zu einer Entscheidung zu veranlassen, die der Verbraucher sonst nicht getroffen hätte.

Zwei Randfälle gehören auf dieselbe Liste. Nummer 10a des Anhangs verbietet, Anforderungen als Besonderheit des eigenen Angebots darzustellen, die kraft Gesetzes für alle Produkte der Kategorie auf dem Unionsmarkt gelten. Und § 5 Absatz 3 Nummer 3 erfasst die Werbung mit Vorteilen für Verbraucher, die irrelevant sind und sich nicht aus einem Merkmal der Ware, der Dienstleistung oder der Geschäftstätigkeit ergeben.

Was zählt überhaupt als Umweltaussage?

Der Begriff ist weit gefasst. § 2 Absatz 2 Nummer 5 spricht von „jede Aussage oder Darstellung im Kontext einer geschäftlichen Handlung, einschließlich Darstellungen durch Text, Bilder, grafische Elemente oder Symbole wie beispielsweise Etiketten, Markennamen, Firmennamen oder Produktbezeichnungen“, die rechtlich nicht verpflichtend ist und ausdrücklich oder stillschweigend angibt, dass ein Produkt, eine Marke oder ein Unternehmer eine positive oder keine Auswirkung auf die Umwelt hat oder weniger schädlich ist als andere. Auch die Aussage, die Auswirkung sei im Laufe der Zeit verbessert worden, zählt. Auch ein Firmenname, ein Produktname oder ein Icon kann eine Umweltaussage sein, wenn er eine solche Botschaft transportiert. Pflichtkennzeichnungen wie ein gesetzlich vorgeschriebenes Energielabel nicht, denn die Umweltaussage muss „rechtlich nicht verpflichtend“ sein.

Für die Person, die die Webseite pflegt: eine Prüfreihenfolge

1. Inventar anlegen. Suchen Sie im gesamten Auftritt nach: klimaneutral, CO2-neutral, klimapositiv, klimafreundlich, klimaschonend, umweltfreundlich, umweltschonend, nachhaltig, ökologisch, grün, natürlich, plastikfrei, kompensiert, Klimaausgleich, Klimaschutzprojekt. Berücksichtigen Sie Footer, Produkt- und Kategorieseiten, Checkout, Versandinformationen, Newsletter-Vorlagen, Meta-Titel und Meta-Descriptions, Bild-Dateinamen und Alt-Texte, Downloads und Produktnamen.
2. Siegel und Logos einzeln auflisten. Zu jedem: Aussteller, Prüfer, wo die Kriterien öffentlich stehen, ob Sie berechtigt sind, das Zeichen zu führen.
3. Je Fundstelle vier Fragen stellen. Richtet sie sich an Verbraucher? Ist sie allgemein oder spezifisch, und steht die Spezifizierung klar und hervorgehoben auf demselben Medium? Bezieht sie sich auf das ganze Produkt oder nur auf einen Teil? Gründet sie sich auf Kompensation?
4. Belege sammeln. Für spezifische Aussagen: Messwert, Zeitraum, Quelle. Für Zukunftsaussagen: Umsetzungsplan, Ziele mit Datum, Prüfbericht des externen Sachverständigen. Wenn ein Beleg fehlt, muss die Aussage geändert oder entfernt werden.
5. Aussagen ändern, nicht nur verstecken. Ein Text, der nur ausgeblendet ist, aber im Quelltext, im Suchmaschinen-Snippet oder in einer PDF-Datei weiterlebt, bleibt eine Umweltaussage.
6. Stand dokumentieren. Datum, alte und neue Formulierung, wer entschieden hat. Diese Liste brauchen Sie, falls eine Abmahnung kommt.
7. Unterlassungserklärung nicht unterschreiben, bevor sie anwaltlich geprüft ist. Sie enthält eine Vertragsstrafe und bindet Sie über den Einzelfall hinaus.

Quellen

• Drittes Gesetz zur Änderung des Gesetzes gegen den unlauteren Wettbewerb vom 12. Februar 2026, BGBl. 2026 I Nr. 43 vom 19.02.2026 (Artikel 1 Nummern 1, 2, 4, 5, 6, 7 sowie Artikel 2 Inkrafttreten): https://www.recht.bund.de/bgbl/1/2026/43/VO.html, Regelungstext als PDF: https://www.recht.bund.de/bgbl/1/2026/43/regelungstext.pdf
• Gesetz zur Modernisierung des Designrechts und zur Änderung des Gesetzes gegen den unlauteren Wettbewerb, ausgefertigt am 22. Oktober 2026, BGBl. 2026 I Nr. 322 vom 27.10.2026 (Artikel 5 bis 7, § 15b UWG): https://www.recht.bund.de/bgbl/1/2026/322/VO.html
• Gesetz gegen den unlauteren Wettbewerb, § 2, § 3, § 5, § 5c, § 8, § 9, § 13, § 19 und Anhang zu § 3 Absatz 3 (Fassung nach der Novelle): https://www.gesetze-im-internet.de/uwg_2004/, § 15b: https://www.gesetze-im-internet.de/uwg_2004/__15b.html
• Richtlinie (EU) 2024/825 vom 28. Februar 2024, ABl. L vom 6.3.2024 (Artikel 1, Artikel 4, Erwägungsgründe 9 bis 12, Anhang): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202400825
• Heuking, „EmpCo: Einführung von § 15b UWG, Last-Minute-Korrektur mit Fragezeichen“, Fachbeitrag vom 25.09.2026 (Einordnung zum Gesetzesbeschluss vor der Verkündung: Webseiten und Online-Werbung nicht privilegiert): https://www.heuking.de/de/news-events/newsletter-fachbeitraege/artikel/empco-einfuehrung-von-15b-uwg-last-minute-korrektur-mit-fragezeichen.html
• Bundesgerichtshof, Urteil vom 27.06.2024, I ZR 98/23, Pressemitteilung Nr. 138/2024: https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2024/2024138.html

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 28.10.2026.

Die meisten Unternehmen kalkulieren Datenschutzrisiken auf ihrer Webseite als Einmalposten. Kommt heraus, dass ein Tracking-Tool ohne wirksame Einwilligung Daten an einen Dritten gesendet hat, droht im schlimmsten Fall Schadensersatz an die betroffene Person, meist ein niedriger drei- bis vierstelliger Betrag. Diese Rechnung wird nach einer Entscheidung des Bundesgerichtshofs, die auf einem EuGH-Urteil von 2025 aufbaut, deutlich unsicherer.

Worum es geht, in einfachen Worten

Der BGH hat mit Urteil vom 21. Juli 2026 entschieden, dass ein Unterlassungsanspruch nach deutschem Recht nicht deshalb ausgeschlossen ist, weil die Regeln der DSGVO insoweit abschließend seien (Az. VI ZR 144/23).

Der BGH hat das Berufungsurteil aufgehoben und die Sache an das OLG Frankfurt am Main zurückverwiesen. Ob Unterlassung verlangt werden kann, ist dort noch zu klären.

Der praktische Unterschied ist erheblich. Ein Schadensersatzanspruch ist ein Betrag, den Sie einmal zahlen. Ein Unterlassungsanspruch wirkt in die Zukunft. Wer ihn gegen sich hat, muss die beanstandete Datenübermittlung dauerhaft einstellen. Aus einem kalkulierbaren Einmalposten kann so eine Dauerverpflichtung werden, die Ihr Unternehmen bindet, auch wenn die Marketingabteilung das betreffende Tool drei Jahre später gern wieder einsetzen würde.

Was das für die Geschäftsführung bedeutet

Drei Punkte sind aus unserer Sicht entscheidend.

Erstens: Das häufigste Gegenargument wird schwächer. In Gesprächen hören wir regelmäßig den Satz, im schlimmsten Fall zahle man eben einmal ein paar hundert Euro, und das sei billiger als ein Umbau der Webseite. Diese Rechnung stimmte schon vorher nur eingeschränkt, weil Bußgelder der Aufsichtsbehörden daneben stehen. Jetzt kann daneben ein Unterlassungsanspruch treten, den die DSGVO nicht pauschal sperrt und der sich nicht durch Zahlung erledigen lässt.

Zweitens: Die Zahl der möglichen Anspruchsteller ändert sich nicht, ihr Hebel schon. Es geht weiterhin um betroffene Personen, also um Besucherinnen und Besucher Ihrer Webseite. Wer bisher nur Schadensersatz einklagen konnte, kann mit einer Unterlassungsklage nicht mehr allein am Argument scheitern, die DSGVO regle das abschließend.

Drittens: Dokumentation wird wichtiger als Nachbesserung. Wenn Sie nachweisen können, dass ein Tool zu keinem Zeitpunkt ohne Einwilligung geladen wurde, brauchen Sie über Wiederholungsgefahr nicht zu streiten. Fehlt dieser Nachweis, diskutieren Sie im Zweifel über einen Zustand, den Sie selbst nicht mehr rekonstruieren können.

Der technische Teil: Wo die Übermittlung tatsächlich passiert

Die Entscheidung betrifft jede Konstellation, in der personenbezogene Daten ohne tragfähige Rechtsgrundlage an einen Dritten fließen. Auf typischen Unternehmenswebseiten sind das erfahrungsgemäß die folgenden Stellen.

• Schriftarten und Bibliotheken aus fremden Netzen. Werden Google Fonts, Icon-Sets oder JavaScript-Bibliotheken zur Laufzeit von einem fremden Server nachgeladen, übermittelt der Browser des Besuchers dabei dessen IP-Adresse. Die Lösung ist seit Jahren dieselbe und technisch unspektakulär: lokal einbinden.
• Tag-Manager als Sammelkanal. Ein Tag-Manager lädt häufig nicht nur das, was im Consent-Banner abgefragt wurde. Entscheidend ist, was tatsächlich vor der Einwilligung feuert, nicht was in der Konfigurationsoberfläche eingetragen ist.
• Pixel und Conversion-Tools der sozialen Netzwerke. Hier liegt der Schwerpunkt der bisherigen Rechtsprechung. Die BGH-Entscheidung ergänzt diese Linie um die Rechtsfolgenseite.
• Eingebettete Inhalte. Videos, Kartendienste und Bewertungs-Widgets bauen die Verbindung zum Anbieter in der Regel schon beim Laden der Seite auf, nicht erst beim Klick auf den Abspielknopf.
• Formulare und Terminbuchungen. Läuft die Verarbeitung über einen externen Dienstleister, ist neben der Rechtsgrundlage auch der Auftragsverarbeitungsvertrag zu prüfen, bei Anbietern außerhalb der EU zusätzlich die Transfergrundlage.

Für die Prüfung heißt das konkret: Maßgeblich ist der Netzwerkverkehr vor jeder Interaktion mit dem Consent-Banner. Was in diesem Moment bereits an einen Dritten geht, lässt sich nachträglich durch keine Einwilligung heilen. Genau diesen Zustand messen wir in unseren Audits. Nach der Entscheidung des BGH kann an diesen Befund neben Schadensersatz auch ein Unterlassungsanspruch anknüpfen.

Einordnung, damit hier kein falscher Eindruck entsteht

Die Entscheidung schafft keinen neuen Anspruch aus dem Nichts. Sie räumt ein Hindernis aus dem Weg, an dem Unterlassungsklagen bisher häufig scheiterten, nämlich das Argument, das Unionsrecht regele die Rechtsfolgen abschließend. Ob im Einzelfall tatsächlich ein Unterlassungsanspruch besteht, hängt weiterhin von den üblichen Voraussetzungen ab, insbesondere von der Wiederholungsgefahr. Derselbe Senat hatte im Juni 2026 einen Unterlassungsanspruch abgelehnt (Az. VI ZR 97/22), weil das Bewerbungsverfahren abgeschlossen war und eine Wiederholung nicht drohte. Ein dauerhaft eingebundenes Tracking-Tool liegt allerdings anders als ein einmalig fehlgeleiteter Nachrichtenversand.

Was jetzt sinnvoll ist

Wenn Sie in den letzten zwölf Monaten keine technische Prüfung Ihrer Webseite hatten, ist das der naheliegende Zeitpunkt. Sinnvoll ist die Reihenfolge: zuerst messen, was vor der Einwilligung tatsächlich geladen wird, dann die Befunde nach Risiko sortieren, dann abstellen und den Zustand dokumentieren. Die reine Anpassung des Consent-Banners reicht in aller Regel nicht, weil das Problem meistens hinter dem Banner liegt und nicht in ihm.

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 30.09.2026.

Der Kern in drei Sätzen

Der Bundesgerichtshof hat am 17. September 2026 entschieden, dass die Farbe Orange für eine Baumarktkette nicht als Marke schutzfähig ist (Beschluss vom 17.09.2026, Az. I ZB 58/25, Pressemitteilung Nr. 170/2026). Einer abstrakten Farbe fehlt in aller Regel die Unterscheidungskraft, weil Kunden aus einer Farbe nicht auf ein bestimmtes Unternehmen schließen, und die Markeninhaberin konnte nicht sicher nachweisen, dass sich ihr Orange trotzdem im Verkehr als Herkunftshinweis durchgesetzt hat. Wer sein Corporate Design absichern will, sichert also nicht den Farbton, sondern das, was ihn trägt.

Für die Geschäftsführung: was das praktisch heißt

Viele Unternehmen halten ihre Hausfarbe für geschütztes Eigentum. Sie steht im Styleguide, sie steht auf jedem Fahrzeug, sie ist über Jahre teuer aufgebaut worden, und deshalb entsteht das Gefühl, niemand dürfe sie benutzen. Dieses Gefühl trägt rechtlich nicht.

Eine Farbe allein ist kein Herkunftshinweis. Der BGH formuliert das nüchtern: Der Verkehr schließt aus einer Farbe regelmäßig nicht auf die Herkunft einer Ware oder Dienstleistung aus einem bestimmten Unternehmen. Genau diese Herkunftsfunktion ist aber das, was eine Marke ausmacht. Fehlt sie, fehlt die Unterscheidungskraft nach § 8 Abs. 2 Nr. 1 MarkenG, und die Eintragung fällt.

Es gibt einen Ausweg, aber er ist schmal. § 8 Abs. 3 MarkenG lässt die Eintragung zu, wenn sich das Zeichen im Verkehr durchgesetzt hat, also wenn ein erheblicher Teil des angesprochenen Publikums die Farbe tatsächlich einem Unternehmen zuordnet. Das ist kein Gefühl, das ist ein Nachweis: Marktforschung, Verkehrsbefragung, belastbare Zahlen über einen langen Zeitraum.

Zwei Konsequenzen ergeben sich daraus.

Erstens: Verlassen Sie sich im Schutzkonzept nicht auf die Farbe. Was sich wirklich schützen lässt, ist der Name als Wortmarke, das Logo als Bild- oder Wort-Bild-Marke und die konkrete Gestaltungskombination aus Form, Typografie und Farbe. Diese Kombination kann Schutz genießen, auch wenn der Farbton für sich genommen frei bleibt.

Zweitens: Eine eingetragene Farbmarke gilt, bis sie gelöscht ist. Die Entscheidung zeigt aber, wie angreifbar solche Marken sind. Wer ein Schreiben bekommt, in dem ihm die Nutzung eines Farbtons untersagt werden soll, gibt es deshalb in fachliche Prüfung, nicht in die Ablage.

Für die Detailebene: was genau entschieden wurde

Das Verfahren betraf ein Löschungsverfahren gegen eine eingetragene abstrakte Farbmarke. Der Weg führte über das Deutsche Patent- und Markenamt und das Bundespatentgericht, dessen Beschluss vom 5. Juni 2025 (29 W (pat) 24/18) Gegenstand der Rechtsbeschwerde war. Der I. Zivilsenat des BGH hat am 17. September 2026 entschieden.

Maßgeblich sind § 8 Abs. 2 Nr. 1 MarkenG (fehlende Unterscheidungskraft als absolutes Schutzhindernis), § 8 Abs. 3 MarkenG (Verkehrsdurchsetzung als Ausnahme) sowie § 50 MarkenG zur Löschung. Weil sich die Fassung des § 50 MarkenG zum 14. Januar 2019 geändert hat, spielt in solchen Verfahren zusätzlich eine Rolle, welche Fassung auf den jeweiligen Zeitpunkt anzuwenden ist.

Der Leitgedanke ist nicht neu, sondern die konsequente Fortschreibung einer langen Linie: Abstrakte Farbmarken sind die Ausnahme, nicht die Regel.

Gestritten wurde vor allem um den Nachweis der Verkehrsdurchsetzung. Die Marke war 2010 angemeldet und auf der Grundlage eines demoskopischen Gutachtens als verkehrsdurchgesetzte Marke eingetragen worden. Das Gutachten von 2012 ergab einen Zuordnungsgrad von 45,6 Prozent in der Gesamtbevölkerung, das Gutachten der Markeninhaberin von 2020 einen von 49,6 Prozent. Beides reichte nicht aus. Die Antragstellerinnen, ebenfalls Baumarktketten, legten ein Gegengutachten von 2021 mit einem Zuordnungsgrad von 30 Prozent vor. Die Zweifel, die das Gegengutachten weckte, konnte die Markeninhaberin nicht ausräumen.

Was wir Kunden konkret empfehlen

Prüfen Sie Ihr Schutzportfolio auf drei Fragen. Ist der Unternehmensname als Wortmarke eingetragen, und zwar in den Klassen, in denen Sie tatsächlich tätig sind? Ist das Logo in seiner aktuellen Fassung geschützt, oder liegt der Schutz noch auf einer Version von vor dem letzten Redesign? Und ist dokumentiert, seit wann Sie Ihre Gestaltung in dieser Form verwenden? Diese Dokumentation ist die Grundlage jeder späteren Verteidigung.

Was Sie sich sparen können, ist der Versuch, den Farbton selbst zu monopolisieren. Das Geld ist in einer sauberen Wort-Bild-Marke besser angelegt.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 30.09.2026.

Der Satz, den fast jeder schon einmal angeklickt hat

„Ich bin damit einverstanden, dass meine Daten an ausgewählte Partner zu Werbezwecken weitergegeben werden.“ Diese Formulierung oder eine ihrer Varianten steht in unzähligen Newsletter-Anmeldungen, Gewinnspiel-Formularen und Kontaktstrecken. Sie ist bequem, weil sie nichts festlegt. Genau das könnte ihr jetzt zum Verhängnis werden.

Am 17. September 2026 hat der Generalanwalt am Gerichtshof der Europäischen Union seine Schlussanträge in der Rechtssache C-317/25 (Groupe Canal +) vorgelegt. Seine Position ist deutlich: Eine Einwilligung in Direktwerbung, die sich auf abstrakt benannte „Partner“ eines Unternehmens bezieht, ist nur wirksam, wenn die Identität dieser Partner bekannt ist. „Partner“ allein ist dafür zu vage.

Was daraus für die Praxis folgt

Daraus folgen zwei Punkte. Der erste stammt aus den Schlussanträgen selbst, der zweite ist unsere Einschätzung.

Erstens: Nach Ansicht des Generalanwalts muss vor der Direktwerbung eine neue Einwilligung eingeholt werden, wenn die Identität des werbenden Partners bei der Erhebung nicht bekannt war. Eine Abmeldemöglichkeit in der ersten Werbenachricht heilt das nicht.

Zweitens: Das Risiko liegt nicht nur bei der Datenschutzaufsicht. Wer Werbung ohne wirksame Einwilligung versendet, ist auch wettbewerbsrechtlich angreifbar, und dort mahnen Mitbewerber und Verbände ab. Das ist der schnellere und teurere Weg.

Was noch nicht entschieden ist

Es handelt sich um Schlussanträge, nicht um ein Urteil. Der Gerichtshof folgt seinem Generalanwalt oft, aber nicht immer, und eine Entscheidung steht noch aus. Wer daraus eine neue Pflicht ab morgen konstruiert, übertreibt.

Der Technik- und Umsetzungsteil

Konkret prüfen lässt sich das an vier Stellen, und zwar ohne juristische Vorbildung.

Die Einwilligungstexte selbst. Jedes Formular, das Daten an Dritte weitergibt: Newsletter, Gewinnspiel, Katalogbestellung, Kontaktformular mit Partnerangebot. Steht dort eine Sammelbezeichnung wie „Partner“, „ausgewählte Unternehmen“, „Kooperationspartner“? Dann ist es ein Kandidat.

Die Abrufbarkeit der Liste. Falls es eine Partnerliste gibt: Ist sie im Moment der Einwilligung tatsächlich einsehbar, oder liegt sie hinter einem Link, den man erst suchen muss? Eine Liste, die man zum Zeitpunkt der Entscheidung nicht sieht, informiert niemanden. Eine Liste, die sich jederzeit still erweitern lässt, übrigens auch nicht.

Die Consent-Banner. Viele Banner bündeln unter „Marketing“ oder „Personalisierung“ eine Reihe von Empfängern, die man nur über mehrere Klicks in den Detaileinstellungen sieht. Das ist technisch sauber gelöst und inhaltlich trotzdem angreifbar, wenn die Empfänger dort nur als Kategorie erscheinen. Ein technisch einwandfreies Banner rettet eine inhaltlich zu unbestimmte Einwilligung nicht.

Die Dokumentation. Wer wann worin eingewilligt hat, muss nachweisbar sein, und zwar mit dem Wortlaut, der damals galt. Wird der Einwilligungstext geändert, sind die alten Einwilligungen damit nicht automatisch auf den neuen Stand gehoben.

Was wir Kunden empfehlen

Ersetzen Sie Sammelbezeichnungen durch Namen. Wenn die Liste zu lang oder zu volatil ist, um sie zu nennen, ist das ein Hinweis darauf, dass die Einwilligung in dieser Form ohnehin nicht trägt. In diesem Fall ist der saubere Weg, die Weitergabe aus dem Formular herauszunehmen und die Empfänger einzeln zu fragen.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 30.09.2026. Die hier besprochenen Schlussanträge sind noch kein Urteil des Gerichtshofs.

Quelle: CURIA, Pressemitteilung Nr. 130/2026 vom 17. September 2026 zu den Schlussanträgen des Generalanwalts in der Rechtssache C-317/25 (Groupe Canal +). https://curia.europa.eu/site/upload/docs/application/pdf/2026-09/cp260130de.pdf

Eine Kamera, ein Chatverlauf, und eine Frage, die seit acht Jahren nicht sauber beantwortet ist: Ab wann ist etwas so privat, dass die Datenschutz-Grundverordnung gar nicht erst greift?

Der Bundesgerichtshof hat am 17. September 2026 zwei Verfahren ausgesetzt und sie dem Gerichtshof der Europäischen Union vorgelegt (Pressemitteilung Nr. 169/2026, Aktenzeichen I ZR 256/25 und I ZR 289/25). Damit ist die Sache zunächst offen. Es gibt kein Urteil, es gibt Fragen. Wer heute liest, der BGH habe etwas entschieden, liest falsch.

Worum es in den beiden Fällen geht

Im ersten Verfahren tauschten sich zwei befreundete Personen vertraulich über die Verhältnisse in einer Arztpraxis aus. Nach einem Streit leitete eine von ihnen die Korrespondenz an die Office-Managerin weiter. Die andere verlor ihre Stelle. Vorinstanzen waren das Landgericht Frankfurt am Main (27 O 75/24) und das Oberlandesgericht Frankfurt am Main (6 U 361/24).

Im zweiten Verfahren überwachten die Beklagten ihre eigene Wohnküche, die die Klägerin betreten durfte, mit einer Kamera. Im Zusammenhang mit einer Strafanzeige gegen die Klägerin gab eine der Beklagten Aufnahmen an die Polizei weiter. Hier kam die Sache vom Landgericht Hildesheim (3 O 224/24) über das Oberlandesgericht Celle (5 U 331/24) zum BGH.

Beides klingt nach Nachbarschaftsstreit. Der juristische Kern ist es nicht.

Die Haushaltsausnahme, kurz erklärt

Artikel 2 Absatz 2 Buchstabe c der DSGVO nimmt natürliche Personen aus, soweit sie Daten „zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ verarbeiten. Das ist die Haushaltsausnahme. Sie ist der Grund, warum Ihr Adressbuch im Telefon kein Verarbeitungsverzeichnis braucht und Ihre Urlaubsfotos keine Rechtsgrundlage.

Greift sie, ist die Verordnung nicht anwendbar. Punkt. Keine Informationspflicht, kein Auskunftsanspruch, kein Schadensersatz nach Artikel 82. Greift sie nicht, gilt das volle Programm. Genau deshalb ist die Grenze so wichtig, und genau deshalb streiten Gerichte darüber.

Im Kern geht es um drei Fragen. Die ersten beiden stellen sich in beiden Verfahren, die dritte nur im ersten: Wie sind „persönlich“ und „familiär“ zu verstehen? Muss bei der Formulierung „zur Ausübung“ der verfolgte Zweck berücksichtigt werden, also wozu jemand die Aufnahme oder die Nachricht am Ende benutzt, und hängt die Ausnahme von einer Grundrechtsabwägung ab? Und kann die Ausnahme noch greifen, wenn die Verarbeitung selbst keinen Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit des Verarbeitenden hat, der verfolgte Zweck aber an die berufliche Tätigkeit eines Dritten anknüpft? Im zweiten Verfahren kommen weitere Fragen hinzu, darunter die, ob die Ausnahme überhaupt einen Bezug zum Haushalt des Verarbeitenden in räumlicher oder sonstiger Hinsicht voraussetzt.

Die zweite Frage ist die interessante. Wenn es auf den Zweck ankommt, dann kann dieselbe Kamera vormittags unter die Ausnahme fallen und am Abend nicht mehr, weil die Aufnahme inzwischen an die Polizei oder an einen Arbeitgeber gegangen ist.

Für Geschäftsführer: warum Sie das betrifft, obwohl es nach Privatsache klingt

Kurzer Einschub, weil die Frage in Gesprächen regelmäßig kommt: „Wir sind doch ein Unternehmen, die Haushaltsausnahme gilt für uns ohnehin nicht.“ Das stimmt für die Firma. Unscharf wird es dort, wo Privates und Betrieb unter einem Dach liegen.

Denken Sie an die Praxis im Erdgeschoss des eigenen Wohnhauses. An das Ladenlokal mit der Wohnung darüber. An den Einzelunternehmer, dessen Büro das Arbeitszimmer ist, und dessen Kamera am Hauseingang sowohl den privaten Briefkasten als auch den Kundenzugang erfasst. In all diesen Fällen ist die entscheidende Frage nicht, ob das Hinweisschild richtig formuliert ist. Sie lautet, ob die DSGVO überhaupt gilt.

Fällt die Kamera aus der Ausnahme heraus, kommen Sie als Verantwortlicher in die Pflicht: Informationspflicht nach Artikel 13, also ein Hinweisschild mit Verantwortlichem, Zweck und Speicherdauer, dazu eine Rechtsgrundlage nach Artikel 6 Absatz 1 Buchstabe f und die Löschfristen. Erfasst die Kamera auch den Kundenzugang, spricht wenig dafür, dass sie in der Ausnahme bleibt.

Praktisch heißt das: Wer eine Kamera in einem gemischt genutzten Objekt betreibt, sollte nicht auf die EuGH-Antwort warten. Die dokumentierte Zweckbestimmung, ein Hinweisschild und eine kurze Notiz, wer wann Zugriff auf die Aufnahmen hat, kosten wenig und wirken in beide Richtungen.

Für die Technik- und Compliance-Seite

Interessant an der Vorlage ist, dass der BGH die Anwendbarkeitsfrage nicht mit der Rechtmäßigkeitsfrage vermengt. Er nennt in der Mitteilung ausdrücklich auch Artikel 6 Absatz 1 Buchstabe f, Artikel 13 und Artikel 82 Absatz 1. Das sind die Normen, die erst greifen, wenn die Ausnahme verneint ist.

Der EuGH hatte am 11. Dezember 2014 in der Rechtssache Ryneš (C-212/13) entschieden, dass eine Kamera, die auch den öffentlichen Gehweg und das gegenüberliegende Haus erfasst, keine ausschließlich persönliche Tätigkeit mehr ist. Das erging noch zur Vorgängerregelung in Artikel 3 Absatz 2 der Richtlinie 95/46/EG. Diese Linie ist bekannt. Was sie nicht beantwortet, ist der Fall, in dem räumlich alles privat bleibt, die Verwendung aber nach außen geht. Genau da setzt die Frage nach dem Zweck an.

Für die Praxis der nächsten Jahre bedeutet das eine Unsicherheit, die man aushalten muss.

Wer im Unternehmen Verantwortung für Videoüberwachung trägt, sollte diese Zeit anders nutzen. Drei Dinge sind unabhängig vom Ausgang richtig: Erfassungsbereich dokumentieren, also was sieht die Kamera tatsächlich, nicht was sie sehen soll. Zweckbindung schriftlich festhalten und beim Weitergeben von Aufnahmen daran messen. Und die Zugriffe protokollieren, weil im Streitfall genau das die Frage entscheidet, die der BGH dem EuGH gerade stellt.

Ob der EuGH am Ende auf den Zweck abstellt oder beim räumlichen Kriterium bleibt, ist offen. Beides lässt sich gut begründen, und beides hat unangenehme Folgen für die jeweils andere Seite.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 30.09.2026.

Ein Logo aus dem Prompt, ein Bilddatensatz für das Training, ein Chatbot, der auf Nachfrage komplette Liedtexte ausspuckt, ein soziales Netzwerk, das öffentliche Nutzerdaten fürs eigene KI-Training verwendet: Vier deutsche Gerichte haben sich innerhalb von rund neun Monaten mit vier ganz unterschiedlichen Ausschnitten derselben Grundfrage befasst. Wem gehört, was eine KI erzeugt? Und was darf man eigentlich mit fremden Inhalten trainieren? Wer im Alltag KI-Logos, KI-Bilder oder KI-Texte einsetzt, bekommt aus diesen vier Entscheidungen keine abschließende Antwort, aber vier klare Linien, an denen sich orientieren lässt.

Das Logo aus dem Prompt: Wann ist KI-generierte Arbeit überhaupt geschützt?

Am 13. Februar 2026 musste das Amtsgericht München (142 C 9786/25) eine Frage beantworten, die viele Unternehmen längst praktisch betrifft, ohne sie sich bewusst zu stellen: Ob KI-generierte Werke, im konkreten Fall Logos, überhaupt urheberrechtlichen Schutz nach § 2 UrhG genießen. Die Antwort des Gerichts für den konkreten Fall: nein. Der Schutz hängt am Ausmaß des menschlich-schöpferischen Einflusses im Promptingprozess. Rein allgemein gehaltene Anweisungen ohne einen dominierenden kreativen Beitrag reichen dafür nicht aus.

Das ist ein Amtsgerichtsurteil, die unterste Instanz der ordentlichen Gerichtsbarkeit, und bindet damit kein anderes Gericht. Ob es rechtskräftig geworden ist, ist öffentlich nicht dokumentiert. Trotzdem markiert es eine Linie, die sich mit dem allgemeinen Grundsatz des deutschen Urheberrechts deckt: Schutz entsteht durch eine menschliche schöpferische Leistung, nicht durch das bloße Ergebnis. Wer der KI nur „mach mir ein modernes Logo in Blau“ eingibt, hat wenig beigetragen. Bemerkenswert ist aber, wie weit das Gericht diese Linie zieht: Im entschiedenen Fall hatte der Kläger teils sehr umfangreiche Prompts verwendet und die Ergebnisse über mehrere Schritte hinweg nachjustiert, mit erheblichem Zeitaufwand. Das Gericht hat den Schutz dennoch verneint. Die Prompts hätten im Kern nur das gewünschte Ergebnis beschrieben, vergleichbar mit der Beauftragung eines Dritten, und die iterativen Korrekturen seien überwiegend handwerklicher Natur gewesen. Eine konkrete Prompt-Schwelle, ab der Schutz beginnt, benennt das Urteil nicht.

Was durfte ins Training? Die TDM-Schranke vor dem OLG Hamburg

Eine Ebene tiefer liegt die Frage, die nicht das KI-Ergebnis betrifft, sondern die Trainingsdaten selbst. Am 10. Dezember 2025 entschied das OLG Hamburg (5 U 104/24) im Fall LAION/Kneschke: Der Download von Bilddaten für KI-Trainingsdatensätze kann von der Text-und-Data-Mining-Schranke der §§ 44b, 60d UrhG gedeckt sein, die auf die DSM-Richtlinie (Richtlinie (EU) 2019/790) zurückgeht. Wichtig für die Einordnung: Beklagte war ein gemeinnütziger Verein, und die Gerichte haben maßgeblich auch auf § 60d UrhG abgestellt, die TDM-Schranke für wissenschaftliche Forschung. Die steht nur nichtkommerziellen Forschungseinrichtungen offen. Wer als Unternehmen kommerziell trainiert, kann sich auf sie nicht berufen und ist auf § 44b UrhG verwiesen, mitsamt dessen Opt-out-Vorbehalt.

Entscheidend wurde im konkreten Fall zusätzlich ein technisches Detail: Der klagende Fotograf hatte die Nutzung seiner Bilder für Trainingszwecke in natürlicher Sprache untersagt. Nach Auffassung des Senats hat er aber nicht ausreichend dargelegt, dass dieser Vorbehalt im maßgeblichen Jahr 2021 maschinell erkennbar war, also von Programmen automatisch gelesen und interpretiert werden konnte. Damit griff der Vorbehalt nicht.

Es handelt sich um die erste obergerichtliche Entscheidung zur TDM-Schranke in Deutschland: Sie kommt vom Oberlandesgericht, nicht vom Bundesgerichtshof, und ist damit die erste Entscheidung dieser Art auf dieser Ebene, keine höchstrichterliche Klärung. Wer beim eigenen Website- oder Bildmaterial ausschließen will, dass es in Trainingsdatensätze wandert, sollte aus diesem Urteil eine sehr konkrete Konsequenz mitnehmen: Ein Satz in der Datenschutzerklärung reicht nach dieser Linie nicht, es braucht ein maschinenlesbares Format. Ein Vorbehalt bleibt allerdings: Das Urteil ist nicht rechtskräftig. Das OLG Hamburg hat die Revision ausdrücklich zugelassen, weil unter anderem offen ist, wer die Maschinenlesbarkeit darlegen muss und was praktisch als maschinenlesbar gilt. Die Revision ist beim Bundesgerichtshof unter dem Aktenzeichen I ZR 281/25 anhängig, die mündliche Verhandlung vor dem I. Zivilsenat ist auf den 3. September 2026 terminiert.

Wenn die KI zu genau zitiert: LG München I zur Memorisierung von Liedtexten

Am 11. November 2025 verhandelte das LG München I (42 O 14139/24) einen dritten Aspekt derselben Grundfrage, dieses Mal am anderen Ende der Kette: nicht was ins Training darf, sondern was beim Trainieren im Modell hängen bleibt. Im Verfahren GEMA gegen OpenAI ging es darum, dass ein KI-Sprachmodell (ChatGPT) urheberrechtlich geschützte Liedtexte memorisiert hatte und sie auf Anfrage wortgleich ausgab. Das Gericht hat der GEMA Unterlassung, Auskunft und Schadensersatz zugesprochen: Die Speicherung geschützter Texte in den Modellparametern ist danach eine Vervielfältigung im Sinne von § 16 UrhG, und dass sie technisch als Wahrscheinlichkeitswerte über viele Parameter verteilt erfolgt, hielt das Gericht für unerheblich. Die Text-und-Data-Mining-Schranke des § 44b UrhG erlaubt nach dem Urteil die Analyse großer Datenbestände, nicht aber das dauerhafte Behalten und spätere wortgleiche Wiedergeben der Texte selbst.

Diese Entscheidung ist nicht rechtskräftig: OpenAI hat im Dezember 2025 Berufung eingelegt, das Verfahren ist beim OLG München unter dem Aktenzeichen 6 U 3662/25 e anhängig. Sie kommt außerdem vom Landgericht, also ebenfalls von der ersten Instanz. Für die Praxis trennt das Urteil zwei Dinge, die oft in einen Topf geworfen werden: Dass Trainingsdaten selbst unter die TDM-Schranke fallen können (siehe OLG Hamburg oben), heißt nach dieser Linie nicht automatisch, dass jede spätere wortgleiche Ausgabe des trainierten Modells rechtlich unbedenklich ist.

Trainingsdaten aus dem eigenen Netzwerk: OLG Köln im Eilverfahren zu Meta

Die vierte Entscheidung verlässt das Urheberrecht im engeren Sinn und betrifft die datenschutzrechtliche Seite derselben Frage: Darf ein Anbieter öffentliche Nutzerdaten aus dem eigenen Netzwerk fürs KI-Training verwenden? Am 23. Mai 2025 entschied das OLG Köln (15 UKl 2/25) im Eilverfahren gegen Meta: Im Eilverfahren war das KI-Training mit öffentlichen (Erwachsenen-)Nutzerdaten summarisch auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützbar. Die KI-Verordnung (Verordnung (EU) 2024/1689) verdrängt die DSGVO dabei nicht, der Senat verweist dafür auf Art. 2 Abs. 7 der KI-Verordnung; für Art. 5 Abs. 2 des Digital Markets Act gilt nach dem Urteil dasselbe, beide Regelungswerke gelten parallel zur DSGVO. Die Verbraucherzentrale NRW unterlag mit ihrem Antrag im Eilverfahren.

Zwei Einschränkungen sind hier wichtig: Es handelt sich um ein Eilverfahren mit nur summarischer, also vorläufiger Prüfung, nicht um eine Hauptsacheentscheidung, und es ging ausdrücklich um öffentliche Daten erwachsener Nutzer. Was das Urteil zu nicht-öffentlichen Daten sagen würde, lässt sich daraus nicht ableiten. Zu Daten Minderjähriger hat sich der Senat dagegen geäußert: Er hat gesehen, dass Erwachsene und Institutionen in öffentlichen Beiträgen auch Daten Minderjähriger posten, und den Minderjährigenschutz ebenso wie sensible Daten im Sinne von Art. 9 DSGVO in die Abwägung einbezogen, im Ergebnis, in dieser summarischen Prüfung, ohne dass die Interessen der Betroffenen überwogen hätten.

Randnotiz zu KI-Musik: Wer eine fünfte, ähnlich gelagerte Entscheidung sucht: Das LG Frankfurt a. M. hat sich mit Urteil vom 17. Dezember 2025 (2-06 O 401/25) bereits mit einem Fall befasst, in dem ein von Menschen verfasster Liedtext trotz KI-generierter Musik (SunoAI) urheberrechtlich geschützt blieb. Dazu existiert ein eigener Artikel: KI-Musik und Urheberrecht: Das SunoAI-Urteil.

Die Entscheidungen im Überblick

Datum	Gericht	Az.	Kernfrage
13.02.2026	AG München	142 C 9786/25	Ist ein KI-generiertes Logo urheberrechtlich geschützt? Im entschiedenen Fall: nein
10.12.2025	OLG Hamburg	5 U 104/24	Darf man Bilddaten für KI-Training herunterladen (TDM-Schranke)?
11.11.2025	LG München I	42 O 14139/24	Ist die Memorisierung fremder Texte durch ein LLM eine Vervielfältigung?
23.05.2025	OLG Köln	15 UKl 2/25	Darf ein Anbieter öffentliche Nutzerdaten fürs KI-Training verwenden (Eilverfahren)?

Klartext für Geschäftsführer: Wer regelmäßig KI-generierte Logos, Bilder oder Texte im eigenen Marketing einsetzt, sollte aus dem AG-München-Urteil nicht die falsche Sicherheit mitnehmen, dass „KI-generiert“ gleichbedeutend mit „urheberrechtlich unproblematisch“ wäre. Es ist eher umgekehrt: Ob ein solches Ergebnis überhaupt geschützt ist, hängt an der Frage, wie viel eigene kreative Steuerung tatsächlich in den Prompt-Prozess geflossen ist, das Gericht selbst zieht dabei keine trennscharfe Linie. Wer sich auf den exklusiven Schutz eines KI-Logos verlassen will, sollte diese Unsicherheit kennen, bevor Marke oder Wiedererkennungswert daran hängen.

Klartext für Marketing- und Content-Verantwortliche: Aus den Urteilen zu LAION (OLG Hamburg) und GEMA/OpenAI (LG München I) folgt zusammen ein Bild mit zwei Seiten. Die eine Seite: Wer eigene Bilder oder Texte nicht in fremden KI-Trainingsdatensätzen wiederfinden möchte, sollte einen maschinenlesbaren Opt-out setzen, ein Satz im Impressum oder in der Datenschutzerklärung reicht nach dem OLG-Hamburg-Urteil nicht. Die andere Seite: Wer selbst KI-Tools für Text- oder Bildproduktion einsetzt, sollte im Hinterkopf behalten, dass laut LG München I auch die reine Trainingsphase eines Modells rechtlich nicht automatisch unbedenklich ist, wenn das Modell später fremde Werke wortgleich reproduziert, unabhängig davon, wie das eigene Ergebnis erzeugt wurde.

Vier Gerichte, drei Gerichtsebenen, vier unterschiedliche Verfahrensstände: eine Amtsgerichtsentscheidung ohne Bindungswirkung für andere Gerichte, eine erste obergerichtliche Leitentscheidung, deren Revision beim Bundesgerichtshof bereits terminiert ist, ein nicht rechtskräftiges Landgerichtsurteil mit anhängiger Berufung und ein Eilverfahren mit nur summarischer Prüfung. Was daraus wird, entscheidet sich in den kommenden Monaten: Der Bundesgerichtshof verhandelt den LAION-Fall am 3. September 2026, die Berufung im Verfahren GEMA gegen OpenAI liegt beim OLG München.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 23.08.2026.

Ein vorangekreuztes Kästchen unter einem Gewinnspielformular hat 2019 den EuGH beschäftigt. Sechs Jahre später ist aus diesem einen Kästchen eine eigenständige zivilrechtliche Haftungsgrundlage geworden, die längst nicht mehr nur den Websitebetreiber selbst trifft. Fünf Entscheidungen zeichnen diesen Weg nach: von der Frage, ob eine IP-Adresse überhaupt personenbezogen ist, über das eigentliche Einwilligungserfordernis bei Cookies, bis zur aktuellen Frage, wer haftet, wenn mehrere Akteure gleichzeitig am Setzen eines Cookies mitwirken.

Der Unterbau: ist eine IP-Adresse überhaupt personenbezogen?

Bevor es um Einwilligung gehen kann, muss geklärt sein, ob Tracking-Daten überhaupt dem Datenschutzrecht unterliegen. Am 19. Oktober 2016 beantwortete der EuGH (C-582/14, ECLI:EU:C:2016:779) im Verfahren Breyer/Bundesrepublik Deutschland eine Frage, die heute selbstverständlich klingt, es damals aber nicht war: Eine dynamische IP-Adresse kann für den Websitebetreiber personenbezogen sein, wenn rechtliche Mittel zur Identifizierung bestehen, also wenn er selbst oder ein Dritter (etwa der Access-Provider) die Person mit zumutbarem Aufwand ermitteln könnte. Der bloße Umstand, dass der Websitebetreiber die IP-Adresse allein nicht direkt einer Person zuordnen kann, reicht demnach nicht, um sie aus dem Anwendungsbereich herauszunehmen.

Breyer beantwortet damit die Vorfrage, ab wann Tracking-Daten überhaupt Personenbezug haben, und damit, wann neben dem Einwilligungserfordernis für den Endgeräte-Zugriff auch die Pflichten der DSGVO greifen, bis hin zum Schadensersatz nach Art. 82 DSGVO. Das Einwilligungserfordernis für Cookies selbst gilt dagegen unabhängig vom Personenbezug, weil es an den Zugriff auf das Endgerät anknüpft, nicht an die Frage, ob die dabei verarbeiteten Daten personenbezogen sind.

Planet49: das vorangekreuzte Kästchen fällt

Drei Jahre später, am 1. Oktober 2019, entschied der EuGH (C-673/17, ECLI:EU:C:2019:801) im Fall Planet49: Ein vorangekreuztes Cookie-Kästchen stellt keine wirksame Einwilligung dar. Nutzer müssen zudem über Speicherdauer und Drittzugriff informiert werden, bevor sie einwilligen, nicht danach und nicht nur auf Nachfrage. Wer eine Zustimmung durch ein bereits gesetztes Häkchen simuliert, das der Nutzer lediglich stehen lassen oder aktiv entfernen kann, holt keine Einwilligung ein, sondern unterstellt sie.

Der BGH musste die deutsche Umsetzung dieser Linie noch selbst nachvollziehen: Am 28. Mai 2020 stellte er klar (I ZR 7/16, ECLI:DE:BGH:2020:280520UIZR7.16.0), dass ein voreingestelltes Häkchen für nicht funktionale Cookies auch nach deutschem Recht keine wirksame Einwilligung darstellt. § 15 Abs. 3 TMG a. F., die damalige Vorgängernorm zur heutigen Cookie-Regelung, war richtlinienkonform als Opt-in-Regelung auszulegen, nicht als Opt-out. Wer sich also darauf verlassen hatte, dass deutsches Recht laxer sei als die EU-Vorgabe, bekam vom eigenen Bundesgerichtshof eine klare Antwort: nein.

Klartext für Geschäftsführer: Diese beiden Urteile sind der Grund, warum es heute überhaupt Cookie-Banner mit echten „Ablehnen“-Buttons gibt. Ein Banner, das Zustimmung durch Nichtstun unterstellt, lieferte schon 2019/2020 keine wirksame Einwilligung, die Datenverarbeitung stand damit von Anfang an ohne Rechtsgrundlage da, nicht erst seit der aktuellen Generation von Bannerprüfungen.

VG Köln: Verantwortlichkeit ist nicht automatisch geteilt

Fünf Jahre nach dem BGH-Urteil stellte sich eine neue Frage: Wenn beim Setzen eines Cookies mehrere Akteure technisch mitwirken, wer trägt dann die datenschutzrechtliche Verantwortung? Am 17. Juli 2025 entschied das VG Köln (13 K 1419/23, ECLI:DE:VGK:2025:0717.13K1419.23.00): Cookie-Zugriff auf ein Endgerät kann mehrere Akteure gleichzeitig zur datenschutzrechtlichen Verantwortlichkeit verpflichten. Im konkreten Fall, einer Facebook-Fanpage des Bundespresseamts, kam das Gericht aber zu einem differenzierten Ergebnis: Mangels gemeinsamer Zweck- und Mittelbestimmung war das Bundespresseamt hier gerade nicht gemeinsam Verantwortlicher mit dem Plattformanbieter. Der entsprechende Bescheid wurde aufgehoben. Das Urteil ist nicht rechtskräftig.

Das ist bewusst kein Automatismus. Wer eine Plattform-Funktion nutzt, wird nicht allein dadurch automatisch Mitverantwortlicher für jedes Cookie, das die Plattform im Hintergrund setzt, es kommt auf die konkrete Ausgestaltung an, ob Zweck und Mittel gemeinsam festgelegt werden. Das steht nicht im Widerspruch zum bereits veröffentlichten Urteil zu den Meta Business Tools (OLG Hamm, 8 U 21/25), in dem eine gemeinsame Verantwortlichkeit gerade bejaht wurde, weil dort die konkrete Ausgestaltung anders lag. Beide Urteile im Detail: Meta Business Tools und Tracking-Haftung.

Klartext für Techniker: „Wir sind nur Nutzer der Plattform, nicht der Cookie-Betreiber“ ist keine automatische Ausrede, aber auch keine automatische Haftungsfalle. Entscheidend ist, ob die konkrete Einbindung eine gemeinsame Zweck- und Mittelbestimmung mit dem Plattformanbieter begründet. Annahme: Je enger eine Funktion in eigene Marketingzwecke eingebettet wird (etwa gezieltes Ansprechen bestimmter Nutzergruppen über Plattform-Werkzeuge), desto eher liegt eine solche gemeinsame Festlegung nahe, dieser Schluss geht über die reine Urteilsaussage hinaus.

OLG Frankfurt: § 25 TDDDG wird zum Schutzgesetz für alle Mitwirkenden

Den bislang weitreichendsten Schritt dieser Linie machte das OLG Frankfurt am 11. Dezember 2025 (6 U 81/23, ECLI:DE:OLGHE:2025:1211.6U81.23.00): § 25 TDDDG ist Schutzgesetz, gemeint ist ein Schutzgesetz im Sinne von § 823 Abs. 2 BGB, das dem Einzelnen einen eigenen zivilrechtlichen Anspruch gibt, und nicht auf den Websitebetreiber beschränkt. Jeder am Setzen von Cookies Mitwirkende, ausdrücklich auch Drittanbieter, kann unmittelbar auf Unterlassung und Schadensersatz nach Art. 82 DSGVO haften. Wer bislang dachte, nur der Websitebetreiber selbst müsse sich um die Cookie-Einwilligung sorgen und Drittanbieter könnten sich hinter dem Betreiber verstecken, muss dieses Urteil ernst nehmen.

Anmerkung zur Normbezeichnung: Das VG-Köln-Verfahren zitiert § 25 TTDSG, das OLG-Frankfurt-Verfahren § 25 TDDDG. Dahinter steht dieselbe Vorschrift: Das TTDSG wurde zum 14. Mai 2024 durch das Digitale-Dienste-Gesetz in TDDDG umbenannt, § 25 blieb inhaltlich unverändert. Ältere Entscheidungen und Muster-Datenschutzerklärungen tragen deshalb noch die alte Bezeichnung, ohne dass sich die Rechtslage geändert hätte.

Was heißt das nun für die eigene Website? Ein Websitebetreiber, der Cookies über Werbenetzwerke oder Analyse-Dienstleister setzen lässt, bleibt für die Einwilligung selbst verantwortlich, nach dem OLG Frankfurt kann der Dienstleister daneben aber unmittelbar selbst in Anspruch genommen werden. Annahme: Wie weit das auf Consent-Management-Plattformen durchschlägt, die selbst technisch Zugriff auf das Endgerät nehmen, ist damit noch nicht entschieden, dieser Schluss geht über die Urteilsaussage hinaus. Wie genau ein Banner gestaltet sein darf, ohne die Einwilligung durch Design zu verzerren, war bereits Gegenstand eines anderen, bereits veröffentlichten Urteils: Cookie-Banner-Nudging vor dem VG Hannover.

Die Urteile im Überblick

Datum	Gericht	Az.	Kernaussage
19.10.2016	EuGH	C-582/14	Dynamische IP-Adresse kann personenbezogen sein (Breyer)
01.10.2019	EuGH	C-673/17	Vorangekreuztes Kästchen ist keine wirksame Einwilligung (Planet49)
28.05.2020	BGH	I ZR 7/16	§ 15 Abs. 3 TMG a. F. richtlinienkonform als Opt-in auszulegen
17.07.2025	VG Köln	13 K 1419/23	Mehrere Akteure können gleichzeitig verantwortlich sein, aber nicht automatisch
11.12.2025	OLG Frankfurt	6 U 81/23	§ 25 TDDDG ist Schutzgesetz, gilt auch für Drittanbieter

Was für die Geschäftsführung zählt: Die Cookie-Einwilligung ist längst kein reines Consent-Banner-Thema mehr, das man einmal einrichtet und dann vergisst. Zwischen Planet49 und dem OLG-Frankfurt-Urteil liegt eine Entwicklung von „der Websitebetreiber muss richtig fragen“ zu „jeder Mitwirkende kann direkt haften“. Wer Werbenetzwerke, Tracking-Pixel oder Drittanbieter-Skripte einsetzt, sollte diese Kette kennen, weil sie das eigene Haftungsrisiko unmittelbar mitbestimmt.

Was für die Technik zählt: Aus den Urteilen selbst folgt unmittelbar nur eines: eine echte Opt-in-Logik ohne vorangekreuzte Kästchen, mit Information über Speicherdauer und Drittzugriff vor der Einwilligung. Annahme, über die Urteile hinaus: Wer die Risiken aus VG Köln und OLG Frankfurt praktisch beherrschen will, sollte zusätzlich je Drittanbieter festhalten, ob eine gemeinsame Zweck- und Mittelfestlegung im Sinne von Art. 26 DSGVO vorliegt, und ob der Anbieter selbst am Setzen von Cookies mitwirkt. Ist einer dieser Punkte offen, bleibt ein Haftungsrisiko bestehen, das nicht mehr nur beim Websitebetreiber landet.

Diese Serie endet mit diesem fünften Teil. Wer die vorherigen vier Teile noch nicht kennt, findet sie oben unter „Serien-Hinweis“ verlinkt.

---

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 23.07.2026.