BGH zur Cookie-Haftung: Was Werbetreibende jetzt an ihrem Tracking prüfen sollten

Stand: Oktober 2026 · Lesezeit ca. 5 Minuten

Inhalt

Am 8. Oktober 2026 hat der Bundesgerichtshof eine Frage verhandelt, die jede Firma mit Google-Ads-, Meta- oder Analytics-Tags betrifft: Wer haftet, wenn Tracking-Cookies ohne Einwilligung auf dem Gerät von Besucher:innen landen? Hier lesen Sie, worum es geht, was die Verhandlung ergeben hat und was Sie jetzt prüfen sollten.

Worum es in dem Verfahren geht

Eine Privatperson hat im März 2022 mehrere Websites besucht. Ein Technologie- und Analyseunternehmen, dessen Code auf diesen Seiten eingebunden war, soll dabei Cookies auf ihrem Gerät gespeichert haben, ohne dass sie eingewilligt hatte. Sie hat nicht die Website-Betreiber verklagt, sondern das Unternehmen hinter den Cookies.

Die ersten beiden Instanzen gaben ihr im Kern recht. Das Landgericht Frankfurt sprach 1.500 € zu. Das Oberlandesgericht Frankfurt verurteilte das Unternehmen zur Unterlassung und zu 100 € Schadensersatz. Jetzt muss der BGH klären, ob ein Anbieter selbst haftet, wenn seine Cookies auf fremden Websites ohne Einwilligung gespeichert werden (Az. I ZR 5/26).

Die Grundregel steht in § 25 TDDDG: Informationen dürfen nur auf dem Gerät von Nutzer:innen gespeichert oder ausgelesen werden, wenn diese eingewilligt haben, außer es ist technisch unbedingt nötig. Werbe- und Analyse-Cookies sind das nicht.

Warum das auch Sie als Werbetreibende betrifft

Auf den ersten Blick ist das ein Streit zwischen einer Privatperson und einem Tracking-Anbieter. Für Sie als Website-Betreiberin oder Website-Betreiber ändert sich an der Pflicht selbst nichts: Sie mussten schon immer dafür sorgen, dass Ihre Tags erst nach der Einwilligung laden.

Meine Einschätzung ist, dass das Verfahren trotzdem Folgen für Sie haben kann, egal wie es ausgeht:

• Anbieter werden strenger. Wenn Tracking-Anbieter selbst haften, werden sie genauer darauf achten, dass ihre Tags nur mit Einwilligung laufen, und diese Pflicht vertraglich an ihre Kund:innen weitergeben.

• Klagen von Privatpersonen werden sichtbarer. Der Fall zeigt, dass Einzelne gegen Tracking ohne Einwilligung vorgehen und Geld zugesprochen bekommen können.

• Neue Pixel verschärfen das Problem. Jedes zusätzliche Tag ist eine weitere Stelle, an der es schiefgehen kann. Das Pixel von OpenAI für ChatGPT Ads zum Beispiel misst im Auslieferungszustand, ohne auf eine Einwilligung zu warten.

Die häufigsten Fehler, die ich in der Praxis sehe

Ein sichtbarer Cookie-Banner heißt noch nicht, dass alles in Ordnung ist. Oft laufen im Hintergrund schon Tags, bevor jemand eine Auswahl getroffen hat. Diese Fehler sehe ich in der Praxis am häufigsten:

1. Tags feuern, bevor jemand geklickt hat. Der Cookie-Banner ist da, aber Google Analytics, das Google-Ads-Tag oder das Meta-Pixel senden schon Daten, während der Banner noch offen ist.

2. Der Banner kommt zu spät. Das Consent-Tool lädt langsamer als die Tags. Für ein paar hundert Millisekunden läuft alles ungebremst.

3. Consent Mode steht auf „erlaubt“. Google Consent Mode ist eingebaut, aber der Standardwert ist auf „granted“ gesetzt. Dann bringt er nichts.

4. Ein Tag wurde am Tag Manager vorbei eingebaut. Ein Plugin, ein Shop-Modul oder ein Dienstleister hat ein Pixel direkt in den Quellcode gesetzt. Der Banner kennt es nicht und kann es nicht blockieren.

5. Nach dem Klick auf „Akzeptieren“ passiert nichts. Das ist das umgekehrte Problem: Das Setup ist so streng, dass auch mit Einwilligung keine Conversions gemessen werden. Dann steuert Google Ads Ihr Budget blind.

Der fünfte Punkt ist wichtig: Es geht nicht darum, möglichst wenig zu messen. Es geht darum, sauber zu messen. Ein gutes Setup ist rechtlich sauber und liefert trotzdem die Daten, die Ihre Kampagnen brauchen.

Drei Fragen an Ihre Agentur oder Ihren Dienstleister

Sie müssen das nicht selbst im Code nachprüfen. Diese drei Fragen reichen für den Anfang:

1. Welche Tags laufen auf unserer Website, und welche davon werden vom Cookie-Banner gesteuert? Eine gute Antwort ist eine vollständige Liste, keine allgemeine Beruhigung.

2. Wann wurde zuletzt geprüft, dass vor der Einwilligung nichts gesendet wird? Das sollte nach jeder Änderung an Website, Shop oder Tag Manager passieren.

3. Wie viele Conversions verlieren wir durch den Banner, und nutzen wir Consent Mode, um das auszugleichen? Wer diese Zahl nicht kennt, weiß nicht, wie verlässlich die Kampagnensteuerung ist.

Was die Verhandlung am 8. Oktober ergeben hat

Ein Urteil gibt es noch nicht. Der BGH will zu einem späteren Zeitpunkt entscheiden, ein Termin steht noch nicht fest.

Nach seiner vorläufigen Einschätzung folgt der I. Zivilsenat dem Oberlandesgericht Frankfurt in vielen Punkten. Offen ist vor allem, ob das Unternehmen hinter den Cookies selbst verantwortlich ist. Möglicherweise geht der Fall deshalb zurück nach Frankfurt, wo diese Frage noch einmal geprüft werden müsste.

Für Sie als Werbetreibende ist ein Argument aus der Verhandlung besonders interessant. Das beklagte Unternehmen hat vorgetragen, für die Einwilligung seien die Website-Betreiber verantwortlich, weil sie ihre Seiten und Cookie-Banner selbst gestalten. Meine Einschätzung: Egal, wie der BGH am Ende entscheidet, die Anbieter werden diese Verantwortung noch deutlicher an Sie weitergeben. Wer sein Tracking jetzt prüft, ist auf jedes Ergebnis vorbereitet.

Ich aktualisiere diesen Artikel, sobald das Urteil verkündet ist.

Stand: 8. Oktober 2026

Sie möchten wissen, was Ihre Website vor der Einwilligung sendet?

Im Cookie-Banner-Check prüfe ich, welche Tags auf Ihrer Website laufen, ob sie wirklich erst nach der Einwilligung starten und ob Ihre Conversions danach sauber gemessen werden. Sie bekommen eine schriftliche Übersicht mit den Befunden.

Cookie-Banner-Check anfragen

Häufige Fragen

• Muss ich jetzt sofort etwas ändern?

  Die Pflicht zur Einwilligung besteht schon seit Jahren. Neu ist nur die Frage, wer zusätzlich haftet, und die hat der BGH noch nicht entschieden. Wenn Ihr Tracking sauber eingerichtet ist, müssen Sie nichts ändern. Wenn Sie das nicht sicher wissen, ist jetzt ein guter Zeitpunkt für eine Prüfung.

• Betrifft das nur Google?

  Nein. Das Verfahren betrifft ein Analyseunternehmen, die Frage stellt sich aber für alle Anbieter von Tracking- und Werbe-Tags: Google, Meta, Microsoft, LinkedIn, TikTok, OpenAI und andere.

• Reicht ein Cookie-Banner?

  Nur wenn er technisch mit den Tags verbunden ist. Ein Banner, der angezeigt wird, während im Hintergrund schon Daten fließen, erfüllt seinen Zweck nicht.

• Löst serverseitiges Tracking das Problem?

  Nein. Serverseitiges Tracking verlagert, wo Daten verarbeitet werden. Eine Einwilligung braucht es trotzdem, wenn Daten für Werbung oder Analyse erhoben werden.

Dorothee Probst

Google Partner, seit 2021 selbständig für Google Ads, Meta Ads und Tracking. Ich sorge dafür, dass Werbung und Messung sauber zusammenpassen.

Mehr über mich