Haftung für den Einsatz von Tracking-Cookies ohne Einwilligung – Grundlegende Entscheidung des OLG Frankfurt a.M.
Das Oberlandesgericht Frankfurt am Main hat jüngst mit Urteil vom 29. Juli 2024 (Az. 6 U 192/23) die Frage der Verantwortlichkeit für den rechtswidrigen Einsatz von Tracking-Cookies auf Webseiten neu justiert. Die Entscheidung betrifft maßgeblich die datenschutzrechtliche Einwilligungspflicht beim Einsatz von Cookies, insbesondere im Kontext großer Digitalunternehmen. Dabei rückt die Haftung für Verstöße gegen das Telemediengesetz (nunmehr TTDSG) und die Datenschutzgrundverordnung (DSGVO) auch für Nutznießer eingebundener Tracking-Technologien wie Microsoft in den Fokus.
Hintergründe der Entscheidung
Ausgangslage: Einsatz von Analyse-Cookies ohne ausreichende Einwilligung
Nach den Feststellungen des OLG Frankfurt war Microsoft auf einer Webseite, auf der Analyse-Cookies implementiert wurden, als Anbieter von Tracking-Technologie beteiligt. Die strittigen Cookies wurden ohne die für nicht unbedingt erforderliche Datenverarbeitungen vorgeschriebene Einwilligung der betroffenen Nutzer abgelegt. Geklagt wurde von einem Wettbewerbsverband, der einen Verstoß gegen § 25 Abs. 1 TTDSG sah. Nach der Gesetzlage ist das Setzen und Auslesen von Informationen auf Endgeräten zu Zwecken der Direktwerbung oder statistischen Auswertung grundsätzlich einwilligungsbedürftig – abgesehen von technisch notwendigen Cookies.
Prozesstand: OLG-Entscheidung nach Vorinstanz
Microsoft argumentierte, nicht als Verantwortlicher im Sinne der Vorschriften zu gelten bzw. keine unmittelbare Pflichtverletzung begangen zu haben. Die Vorinstanz hatte die Klage abgewiesen. Das OLG Frankfurt hob diese Entscheidung auf und bejahte eine Haftung des Anbieters der Tracking-Software.
Zentrale Rechtsfragen der Verantwortlichkeit
Erweiterter Verantwortungsbegriff im Datenschutz- und Wettbewerbsrecht
Das Gericht legte dar, dass nicht nur der Webseitenbetreiber, sondern auch Dritte – hier der Technologieanbieter – als Verantwortlicher für datenschutzwidrige Verarbeitungsprozesse gelten können. Dies gelte insbesondere dann, wenn der Technologieanbieter tatsächlich gestaltenden Einfluss auf die Verarbeitung personenbezogener Daten nimmt. Nicht maßgeblich sei allein die technische Umsetzung oder die bloße Zurverfügungstellung der Software. Vielmehr setzte das Gericht auf eine funktional unterlegte Auslegung des Begriffs der Verantwortlichkeit.
Anforderungen an eine wirksame Einwilligung nach TTDSG und DSGVO
Im Fokus stand die Frage, ob für Analyse- und Marketing-Cookies stets eine aktive, informierte Einwilligung der Nutzer erforderlich ist. Das OLG Frankfurt betonte die unionsrechtlichen Vorgaben der DSGVO, die durch das TTDSG konkretisiert werden. Danach genügt weder eine voreingestellte Zustimmung noch ein bloßer Hinweis im Cookie-Banner. Vielmehr muss die Willenserklärung eindeutig, freiwillig und nach hinreichender Information erfolgen.
Mitverantwortung von Drittanbietern bei Einbindung von Trackern
Im zu entscheidenden Fall nahm das Gericht eine sogenannte gemeinsame Verantwortlichkeit zwischen Webseitenbetreiber und Drittanbieter an. Maßgeblich sei, ob der Drittanbieter – hier Microsoft – durch technische Vorgaben oder Steuerung des Cookie-Einsatzes an der Datenverarbeitung partizipiert und Einfluss auf Zweck und Mittel der Verarbeitung hat. Die reine Lieferung einer Software reicht hierfür grundsätzlich nicht; jedoch genügen standardisierte Einstellungen, die eine Datenverarbeitung initiieren, die ohne Einwilligung rechtswidrig wäre.
Wettbewerbsrechtlicher Unterlassungsanspruch
Anwendung des Lauterkeitsrechts im Datenschutzkontext
Ein weiterer Schwerpunkt der Entscheidung lag auf den wettbewerbsrechtlichen Implikationen. Das OLG Frankfurt stufte den Verstoss gegen das TTDSG als spürbare Wettbewerbsbeeinträchtigung gemäß § 3a UWG ein. Das bedeutet, dass Wettbewerber oder Verbände neben dem Primärrechtsschutz aus dem Datenschutz auch unmittelbar gegen unlautere Datenverarbeitungspraktiken vorgehen können.
Folgen für internationale Technologieanbieter
Die Entscheidung des OLG Frankfurt unterstreicht, dass insbesondere auch außerhalb der EU ansässige Anbieter von Tracking-Technologien wie Microsoft in die wettbewerbsrechtliche Verantwortung genommen werden können, sobald ihre Produkte auf Webseiten mit Zielrichtung deutscher Nutzer eingesetzt werden. Damit wird ein verbindlicher Rahmen für Compliance auch internationaler Akteure gesetzt. Für Unternehmen, die solche Technologien Dritten bereitstellen oder selbst einsetzen, ergibt sich ein erhöhtes Risiko einer Inanspruchnahme durch Verbände oder Mitbewerber.
Ausblick und praktische Relevanz
Bedeutung für Gestaltung und Betrieb von Internetangeboten
Das richtungsweisende Urteil hat erhebliche Auswirkungen auf den rechtskonformen Betrieb von Webseiten, die mit Analyse-Tools oder anderen Drittanbieterdiensten arbeiten. Hinzu kommt, dass mit der Haftung auch für indirekt Beteiligte die Anforderungen an Datenschutz und technische Umsetzung komplexer werden – sowohl organisatorisch als auch haftungsrechtlich. Die Einhaltung der Einwilligungsvorgaben ist von zentraler Bedeutung, und die Möglichkeit der Inanspruchnahme durch Dritte erhöht den Prüfungs- und Überwachungsaufwand erheblich.
Rechtslage im Wandel – Hinweis auf Nicht-Entscheidung des BGH
Es sei darauf hingewiesen, dass gegen das Urteil des OLG Frankfurt die Revision zum Bundesgerichtshof zugelassen wurde. Die endgültige Klärung der Fragen zum Umfang der Verantwortlichkeit und der Reichweite der Einwilligungspflichten bleibt daher einer höchstrichterlichen Kontrolle vorbehalten. Bis zu einer abschließenden Entscheidung ist weiterhin von einer Vorläufigkeit der Rechtslage auszugehen (Quellenangabe: urteile.news, Urteil OLG Frankfurt a.M. v. 29.07.2024, Az. 6 U 192/23).
Fazit
Die Entscheidung des OLG Frankfurt a.M. markiert einen bedeutenden Schritt im Zusammenspiel von Datenschutz-, IT- und Wettbewerbsrecht und verdeutlicht die erheblichen Anforderungen an den Einsatz von Tracking-Technologien auf Internetseiten. Unternehmen, die eigene oder fremde Dienste in Online-Präsenzen einbinden, sind vor die Herausforderung gestellt, ihre Compliance-Struktur kontinuierlich an die sich wandelnde Rechtslage anzupassen. Bei weitergehenden Fragen zur praktischen Umsetzung oder für eine strategische Bewertung individueller Sachverhalte kann eine fundierte Rechtsberatung im Datenschutz durch MTR Legal Rechtsanwälte zielführend sein.
