Kontrollverlust reicht: Zwei Oktober-Signale zur DSGVO-Haftung

Was tatsächlich passiert ist

Beim BGH: Nach der Pressemitteilung Nr. 118/2026 hatte der für DSGVO-Ansprüche zuständige I. Zivilsenat über die Frage zu entscheiden, ob ein Unternehmen haftet, das auf von anderen betriebenen Websites Cookies bereitstellt, wenn diese ohne vorherige Einwilligung der Nutzer auf deren Endgeräten gespeichert werden. Vorinstanz ist ein Urteil des Oberlandesgerichts Frankfurt am Main vom 11. Dezember 2025 (6 U 81/23). Danach haftet der Anbieter als Täter eines Verstoßes gegen § 25 Abs. 1 TTDSG/TDDDG, weil er das Setzen der Cookies selbst auslöst; dass Seitenbetreiber Einwilligungen ignorierten, sei ihm zurechenbar. Der immaterielle Schaden wurde mit 100 Euro bemessen. Die Beklagte verfolgte mit ihrer Revision die vollständige Klageabweisung; die Verkündung ist auf den 17. Dezember 2026 angesetzt. Zahlreiche weitere Verfahren sind nach Angaben des BGH bis zur Entscheidung des Europäischen Gerichtshofs (C-530/24) ausgesetzt.

Beim OLG Hamm: Der 22. Zivilsenat stellte in seinem Urteil vom 28. September 2026 (22 U 77/25) fest, dass die Betreiberin von Instagram gegenüber einem Nutzer gegen Art. 5 DSGVO verstoßen hat: rechtswidrige Verarbeitung, Verletzung des Transparenzgebots sowie Verstoß gegen Zweckbindung und Datenminimierung. Weiter heißt es: Jeder einzelne Verstoß gegen einen der in Art. 5 DSGVO genannten Grundsätze kann bereits eine ausreichende Grundlage für einen Schadensersatzanspruch nach Art. 82 DSGVO sein. Besteht der Anspruch nur wegen eines erlittenen Kontrollverlusts, hält der Senat 750 Euro für angemessen. Zugesprochen wurden außerdem Unterlassung und Löschung; die Feststellungsklage war zulässig. Vorgerichtliche Anwaltskosten gab es nicht: In gleichgelagerten Fällen sei offensichtlich gewesen, dass nur eine Klage Aussicht auf Erfolg hatte.

Meine Einordnung

Die 750 Euro sind die Zahl, die hängen bleibt, aber die eigentliche Nachricht ist der Maßstab dahinter. Nach dieser Auffassung genügt ein Verstoß gegen einen Art.-5-Grundsatz und ein daraus folgender Kontrollverlust — ein bezifferbarer Schaden muss nicht hinzukommen. Das ist eine niedrige Schwelle, und sie lässt sich multiplizieren: Bei einer Kundendatei mit 3.000 Datensätzen geht es nicht mehr um 750 Euro, sondern um eine Größenordnung, die einen Betrieb ernsthaft beschäftigt. Wer Datenschutz nur als Bußgeldthema versteht, übersieht die wirtschaftlich relevanteste Haftungslinie: Es sind Kunden, Bewerber und Beschäftigte, die Ansprüche stellen.

Beim Cookie-Verfahren ist der interessantere Teil nicht die Verhandlung, sondern die Konstruktion. Wenn der Anbieter, der den Programmcode liefert, als Täter haftet und sich Einwilligungen vom Seitenbetreiber übermitteln lassen muss, dann trifft es nicht nur den Betreiber der Website, sondern die Kette dahinter: Analyse-Dienste, Pixel, Werbenetzwerke, Chat-Tools. Man kann die Verantwortung also nicht an den beauftragten Webdienstleister delegieren, jedenfalls nicht so, wie viele Verträge es suggerieren. Ein Urteil steht noch aus — verkündet wird am 17. Dezember 2026. Man kann abwarten. Man kann aber nicht so tun, als sei offen, ob Einwilligungen vor dem Setzen von Cookies nachweisbar sein müssen.

Und ich widerspreche der naheliegenden Reaktion, jetzt schnell ein anderes Consent-Werkzeug zu kaufen. Das Problem ist in meiner Praxis selten das Banner, sondern die Nachweislage: Niemand kann in einem Termin sagen, welche Dienste wann geladen werden und worauf eine Einwilligung sich bezog. Wer das in einer Stunde aufschreibt und mit seinem Dienstleister durchgeht, findet meist auch zwei Dienste, die niemand bestellt hat. Ob und was im Einzelfall zulässig ist, hängt von Zweck, Rechtsgrundlage und Ausgestaltung ab — das ist keine Frage für ein Blog, sondern eine Bewertung für den konkreten Fall.

Was Sie jetzt konkret tun können

1. Cookie- und Skript-Audit machen. Liste aller Dienste, die beim Laden der Seite aktiv werden: Anbieter, Zweck, ob vor oder nach Einwilligung. Technisch prüfen, nicht aus dem Gedächtnis.

2. Reihenfolge belegen. Dokumentieren, woran Sie erkennen, dass nichts vor der Einwilligung gesetzt wird. Ein Screenshot reicht nicht; eine Konfigurationsnotiz mit Datum schon eher.

3. Rollen und Verträge klären. Wer ist Verantwortlicher, wer Auftragsverarbeiter — Website-Dienstleister, Hosting, Analyse, Marketing. Ein Dienstleistervertrag entlässt Sie nicht aus der Haftung.

4. Auskunfts- und löschfähig bleiben. Zu jeder Verarbeitung sollten Sie in wenigen Tagen sagen können, wo die Daten liegen und wie lange.

5. Bei Abmahnung oder Klage fachlich begleiten lassen. Das ist eine rechtliche Bewertung; ich liefere dazu die technische und organisatorische Faktenlage, keine Rechtsberatung.

Wann sich Unterstützung lohnt: wenn Ihr Verzeichnis der Verarbeitungstätigkeiten nicht zur Realität auf der Website passt. Wie ich solche Bestandsaufnahmen aufsetze, steht unter /datenschutz-audit/, der Überblick über meine Leistungen unter /leistungen/. Erstgespräch über /kontakt/.

Quellen

• BGH, Pressemitteilung Nr. 118/2026 „Verhandlungstermin am 8. Oktober 2026 um 9:00 Uhr in Sachen I ZR 5/26 (Haftung von Cookie-Drittanbietern)“, 30.06.2026 — https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2026/2026118.html
• BGH, Terminhinweis „Verkündungstermin am 17. Dezember 2026 in Sachen I ZR 5/26“ — https://www.bundesgerichtshof.de/SharedDocs/Termine/DE/Termine/IZR526.html
• OLG Hamm, Urteil vom 28.09.2026, Az. 22 U 77/25 (Volltext, NRWE) — https://nrwe.justiz.nrw.de/olgs/hamm/j2026/22_U_77_25_Urteil_20260928.html