Ein vorangekreuztes Kästchen unter einem Gewinnspielformular hat 2019 den EuGH beschäftigt. Sechs Jahre später ist aus diesem einen Kästchen eine eigenständige zivilrechtliche Haftungsgrundlage geworden, die längst nicht mehr nur den Websitebetreiber selbst trifft. Fünf Entscheidungen zeichnen diesen Weg nach: von der Frage, ob eine IP-Adresse überhaupt personenbezogen ist, über das eigentliche Einwilligungserfordernis bei Cookies, bis zur aktuellen Frage, wer haftet, wenn mehrere Akteure gleichzeitig am Setzen eines Cookies mitwirken.
Der Unterbau: ist eine IP-Adresse überhaupt personenbezogen?
Bevor es um Einwilligung gehen kann, muss geklärt sein, ob Tracking-Daten überhaupt dem Datenschutzrecht unterliegen. Am 19. Oktober 2016 beantwortete der EuGH (C-582/14, ECLI:EU:C:2016:779) im Verfahren Breyer/Bundesrepublik Deutschland eine Frage, die heute selbstverständlich klingt, es damals aber nicht war: Eine dynamische IP-Adresse kann für den Websitebetreiber personenbezogen sein, wenn rechtliche Mittel zur Identifizierung bestehen, also wenn er selbst oder ein Dritter (etwa der Access-Provider) die Person mit zumutbarem Aufwand ermitteln könnte. Der bloße Umstand, dass der Websitebetreiber die IP-Adresse allein nicht direkt einer Person zuordnen kann, reicht demnach nicht, um sie aus dem Anwendungsbereich herauszunehmen.
Breyer beantwortet damit die Vorfrage, ab wann Tracking-Daten überhaupt Personenbezug haben, und damit, wann neben dem Einwilligungserfordernis für den Endgeräte-Zugriff auch die Pflichten der DSGVO greifen, bis hin zum Schadensersatz nach Art. 82 DSGVO. Das Einwilligungserfordernis für Cookies selbst gilt dagegen unabhängig vom Personenbezug, weil es an den Zugriff auf das Endgerät anknüpft, nicht an die Frage, ob die dabei verarbeiteten Daten personenbezogen sind.
Planet49: das vorangekreuzte Kästchen fällt
Drei Jahre später, am 1. Oktober 2019, entschied der EuGH (C-673/17, ECLI:EU:C:2019:801) im Fall Planet49: Ein vorangekreuztes Cookie-Kästchen stellt keine wirksame Einwilligung dar. Nutzer müssen zudem über Speicherdauer und Drittzugriff informiert werden, bevor sie einwilligen, nicht danach und nicht nur auf Nachfrage. Wer eine Zustimmung durch ein bereits gesetztes Häkchen simuliert, das der Nutzer lediglich stehen lassen oder aktiv entfernen kann, holt keine Einwilligung ein, sondern unterstellt sie.
Der BGH musste die deutsche Umsetzung dieser Linie noch selbst nachvollziehen: Am 28. Mai 2020 stellte er klar (I ZR 7/16, ECLI:DE:BGH:2020:280520UIZR7.16.0), dass ein voreingestelltes Häkchen für nicht funktionale Cookies auch nach deutschem Recht keine wirksame Einwilligung darstellt. § 15 Abs. 3 TMG a. F., die damalige Vorgängernorm zur heutigen Cookie-Regelung, war richtlinienkonform als Opt-in-Regelung auszulegen, nicht als Opt-out. Wer sich also darauf verlassen hatte, dass deutsches Recht laxer sei als die EU-Vorgabe, bekam vom eigenen Bundesgerichtshof eine klare Antwort: nein.
Klartext für Geschäftsführer: Diese beiden Urteile sind der Grund, warum es heute überhaupt Cookie-Banner mit echten „Ablehnen“-Buttons gibt. Ein Banner, das Zustimmung durch Nichtstun unterstellt, lieferte schon 2019/2020 keine wirksame Einwilligung, die Datenverarbeitung stand damit von Anfang an ohne Rechtsgrundlage da, nicht erst seit der aktuellen Generation von Bannerprüfungen.
VG Köln: Verantwortlichkeit ist nicht automatisch geteilt
Fünf Jahre nach dem BGH-Urteil stellte sich eine neue Frage: Wenn beim Setzen eines Cookies mehrere Akteure technisch mitwirken, wer trägt dann die datenschutzrechtliche Verantwortung? Am 17. Juli 2025 entschied das VG Köln (13 K 1419/23, ECLI:DE:VGK:2025:0717.13K1419.23.00): Cookie-Zugriff auf ein Endgerät kann mehrere Akteure gleichzeitig zur datenschutzrechtlichen Verantwortlichkeit verpflichten. Im konkreten Fall, einer Facebook-Fanpage des Bundespresseamts, kam das Gericht aber zu einem differenzierten Ergebnis: Mangels gemeinsamer Zweck- und Mittelbestimmung war das Bundespresseamt hier gerade nicht gemeinsam Verantwortlicher mit dem Plattformanbieter. Der entsprechende Bescheid wurde aufgehoben. Das Urteil ist nicht rechtskräftig.
Das ist bewusst kein Automatismus. Wer eine Plattform-Funktion nutzt, wird nicht allein dadurch automatisch Mitverantwortlicher für jedes Cookie, das die Plattform im Hintergrund setzt, es kommt auf die konkrete Ausgestaltung an, ob Zweck und Mittel gemeinsam festgelegt werden. Das steht nicht im Widerspruch zum bereits veröffentlichten Urteil zu den Meta Business Tools (OLG Hamm, 8 U 21/25), in dem eine gemeinsame Verantwortlichkeit gerade bejaht wurde, weil dort die konkrete Ausgestaltung anders lag. Beide Urteile im Detail: Meta Business Tools und Tracking-Haftung.
Klartext für Techniker: „Wir sind nur Nutzer der Plattform, nicht der Cookie-Betreiber“ ist keine automatische Ausrede, aber auch keine automatische Haftungsfalle. Entscheidend ist, ob die konkrete Einbindung eine gemeinsame Zweck- und Mittelbestimmung mit dem Plattformanbieter begründet. Annahme: Je enger eine Funktion in eigene Marketingzwecke eingebettet wird (etwa gezieltes Ansprechen bestimmter Nutzergruppen über Plattform-Werkzeuge), desto eher liegt eine solche gemeinsame Festlegung nahe, dieser Schluss geht über die reine Urteilsaussage hinaus.
OLG Frankfurt: § 25 TDDDG wird zum Schutzgesetz für alle Mitwirkenden
Den bislang weitreichendsten Schritt dieser Linie machte das OLG Frankfurt am 11. Dezember 2025 (6 U 81/23, ECLI:DE:OLGHE:2025:1211.6U81.23.00): § 25 TDDDG ist Schutzgesetz, gemeint ist ein Schutzgesetz im Sinne von § 823 Abs. 2 BGB, das dem Einzelnen einen eigenen zivilrechtlichen Anspruch gibt, und nicht auf den Websitebetreiber beschränkt. Jeder am Setzen von Cookies Mitwirkende, ausdrücklich auch Drittanbieter, kann unmittelbar auf Unterlassung und Schadensersatz nach Art. 82 DSGVO haften. Wer bislang dachte, nur der Websitebetreiber selbst müsse sich um die Cookie-Einwilligung sorgen und Drittanbieter könnten sich hinter dem Betreiber verstecken, muss dieses Urteil ernst nehmen.
Anmerkung zur Normbezeichnung: Das VG-Köln-Verfahren zitiert § 25 TTDSG, das OLG-Frankfurt-Verfahren § 25 TDDDG. Dahinter steht dieselbe Vorschrift: Das TTDSG wurde zum 14. Mai 2024 durch das Digitale-Dienste-Gesetz in TDDDG umbenannt, § 25 blieb inhaltlich unverändert. Ältere Entscheidungen und Muster-Datenschutzerklärungen tragen deshalb noch die alte Bezeichnung, ohne dass sich die Rechtslage geändert hätte.
Was heißt das nun für die eigene Website? Ein Websitebetreiber, der Cookies über Werbenetzwerke oder Analyse-Dienstleister setzen lässt, bleibt für die Einwilligung selbst verantwortlich, nach dem OLG Frankfurt kann der Dienstleister daneben aber unmittelbar selbst in Anspruch genommen werden. Annahme: Wie weit das auf Consent-Management-Plattformen durchschlägt, die selbst technisch Zugriff auf das Endgerät nehmen, ist damit noch nicht entschieden, dieser Schluss geht über die Urteilsaussage hinaus. Wie genau ein Banner gestaltet sein darf, ohne die Einwilligung durch Design zu verzerren, war bereits Gegenstand eines anderen, bereits veröffentlichten Urteils: Cookie-Banner-Nudging vor dem VG Hannover.
Die Urteile im Überblick
| Datum | Gericht | Az. | Kernaussage |
|---|---|---|---|
| 19.10.2016 | EuGH | C-582/14 | Dynamische IP-Adresse kann personenbezogen sein (Breyer) |
| 01.10.2019 | EuGH | C-673/17 | Vorangekreuztes Kästchen ist keine wirksame Einwilligung (Planet49) |
| 28.05.2020 | BGH | I ZR 7/16 | § 15 Abs. 3 TMG a. F. richtlinienkonform als Opt-in auszulegen |
| 17.07.2025 | VG Köln | 13 K 1419/23 | Mehrere Akteure können gleichzeitig verantwortlich sein, aber nicht automatisch |
| 11.12.2025 | OLG Frankfurt | 6 U 81/23 | § 25 TDDDG ist Schutzgesetz, gilt auch für Drittanbieter |
Was für die Geschäftsführung zählt: Die Cookie-Einwilligung ist längst kein reines Consent-Banner-Thema mehr, das man einmal einrichtet und dann vergisst. Zwischen Planet49 und dem OLG-Frankfurt-Urteil liegt eine Entwicklung von „der Websitebetreiber muss richtig fragen“ zu „jeder Mitwirkende kann direkt haften“. Wer Werbenetzwerke, Tracking-Pixel oder Drittanbieter-Skripte einsetzt, sollte diese Kette kennen, weil sie das eigene Haftungsrisiko unmittelbar mitbestimmt.
Was für die Technik zählt: Aus den Urteilen selbst folgt unmittelbar nur eines: eine echte Opt-in-Logik ohne vorangekreuzte Kästchen, mit Information über Speicherdauer und Drittzugriff vor der Einwilligung. Annahme, über die Urteile hinaus: Wer die Risiken aus VG Köln und OLG Frankfurt praktisch beherrschen will, sollte zusätzlich je Drittanbieter festhalten, ob eine gemeinsame Zweck- und Mittelfestlegung im Sinne von Art. 26 DSGVO vorliegt, und ob der Anbieter selbst am Setzen von Cookies mitwirkt. Ist einer dieser Punkte offen, bleibt ein Haftungsrisiko bestehen, das nicht mehr nur beim Websitebetreiber landet.
Diese Serie endet mit diesem fünften Teil. Wer die vorherigen vier Teile noch nicht kennt, findet sie oben unter „Serien-Hinweis“ verlinkt.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 23.07.2026.