Tracking ohne Einwilligung: Wer haftet, wer zahlt?

Erstveröffentlicht am 13. Oktober 2026Aktualisiert am 13. Oktober 2026Rechtsstand: 13. Oktober 2026Änderungen anzeigen

§§ 2, 25, 26, 28 TDDDG · Art. 4, 6, 7, 12, 15, 26, 28, 79, 82 DSGVO · Art. 5 Abs. 3 RL 2002/58/EG · §§ 339, 823, 830, 840, 1004 BGB · §§ 138, 144, 287, 531, 890 ZPO · OLG Frankfurt a.M., 6 U 81/23 · BGH, I ZR 5/26 · BGH, I ZR 92/26 · OLG Stuttgart, 4 U 372/24 · OLG Dresden, 4 U 292/25 · OLG Dresden, 17 U 625/25 · OLG Dresden, 4 U 1158/21 · LG Lübeck, 15 O 15/24 · OLG Naumburg, 9 U 124/24 · Thüringer OLG, 3 U 31/25 · EuGH, C-40/17 · Sofortteil ca. 8 Minuten

¶Tracking ohne Einwilligung bemerkt: So ordnen Sie Ihre Lage

Direkt zu: Betroffene lesen Schadensersatz in Abschnitt 8, Unterlassung in Abschnitt 9 und Beweis in Abschnitt 10. Website-Betreiber beginnen mit ihrem Risiko in Abschnitt 6, Anbieter von Tracking-Code mit Abschnitt 5, Geschäftsführer mit Abschnitt 7. Drei Schritte gelten für alle.

Empfehlung des Verfassers Betroffene stützen ihr Schreiben auf Netzwerkaufzeichnung und Datum, nicht auf Vermutungen über Werbezwecke. Denn das Oberlandesgericht Frankfurt a.M. ließ offen, ob ausgewertet wurde, und gab dem Antrag trotzdem statt.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. h), II. 6. c) Betreiber klären zuerst, welcher Anbieter welchen Code setzt. Was wir für Betreiber prüfen, beschreibt unsere Seite DSGVO-konforme Website.

Zurück zum Inhalt

¶Wann brauchen Cookies und Pixel eine Einwilligung?

Immer dann, wenn sie Informationen auf dem Gerät des Nutzers speichern oder dort gespeicherte Informationen auslesen. Das Gesetz knüpft an diesen Vorgang an, nicht an die Technik, den Zweck oder den Anbieter. Gerät ist jede Endeinrichtung, also PC, Laptop, Tablet oder Telefon.§ 25 Abs. 1 TDDDG OLG Frankfurt a.M., 6 U 81/23, Tenor I. 1.

Die Vorschrift setzt Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation um, die seit 2009 dasselbe verlangt.Art. 5 Abs. 3 RL 2002/58/EG Bis zum 13. Mai 2024 hieß das Gesetz TTDSG, seit dem 14. Mai 2024 heißt es TDDDG. Der Wortlaut des § 25 blieb gleich, Urteile zur alten Fassung gelten fort.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. a) BGH-Pressemitteilung 118/2026

Welche Information gespeichert wird, spielt keine Rolle. Auch eine anonymisierte IP-Adresse, eine pseudonyme Kennung oder der Zeitpunkt des Besuchs sind Informationen im Sinne des Gesetzes.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. f) (1) Wie die Einwilligung aussehen muss, folgt aus der DSGVO: freiwillig, für den bestimmten Fall, informiert und durch eine eindeutige Handlung. Ein vorausgefülltes Kästchen genügt nicht, das hat der Europäische Gerichtshof 2019 entschieden.EuGH, C-673/17, Planet49 Den Fall haben wir im Beitrag EuGH zu Planet49 besprochen.

Zurück zum Inhalt

¶Welche Cookies sind ohne Einwilligung erlaubt?

Nur zwei Gruppen: Cookies, deren alleiniger Zweck die Übertragung einer Nachricht ist, und Cookies, ohne die ein ausdrücklich gewünschter Dienst nicht funktioniert. Alles andere braucht eine Einwilligung, gleich wie nützlich es für den Betreiber ist.§ 25 Abs. 2 Nr. 1 und 2 TDDDG

Entscheidend ist der Maßstab der Nummer 2. Gemeint ist der Dienst, den der Nutzer ausdrücklich will, also der Einkauf, das Konto oder der Artikel, nicht die Analyse oder Werbung, die der Betreiber für nützlich hält. Das Oberlandesgericht Frankfurt a.M. hält die Ausnahmen für abschließend und das Argument, der Anbieter messe nur die Reichweite, für unerheblich, weil § 25 nicht nach dem Zweck unterscheidet.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. f) (4), II. 4. h)

Für Lena Brandt heißt das: Der Warenkorb-Cookie bleibt ohne Banner zulässig, beide Pixel brauchen eine Einwilligung, bevor sie speichern oder auslesen. Dass die Kommission vorgeschlagen hat, bestimmte Reichweitenmessung künftig freizustellen, ändert am geltenden Recht nichts, dazu Abschnitt 16.

Zurück zum Inhalt

¶Gerätezugriff und Datenverarbeitung prüft das Recht getrennt

Wer trackt, muss zwei Hürden nehmen. Die erste ist der Zugriff auf das Gerät nach § 25 TDDDG. Die zweite ist die Verarbeitung der Daten, die dabei anfallen, nach der DSGVO, sofern sie sich auf eine Person beziehen lassen. Beide Prüfungen laufen nebeneinander, und jede hat eigene Rechtsfolgen.§ 25 Abs. 1 TDDDG Art. 6 Abs. 1, Art. 7 Abs. 1 DSGVO

Die Trennung wird beim Schadensersatz wichtig. Art. 82 DSGVO setzt einen Verstoß gegen die Verordnung voraus, § 25 TDDDG ist aber Umsetzung der Richtlinie für elektronische Kommunikation. Das Oberlandesgericht Frankfurt a.M. hilft sich mit Erwägungsgrund 146, nach dem auch nationale Vorschriften zur Präzisierung der DSGVO zählen, und stützt den Betrag hilfsweise auf § 823 Abs. 2 BGB.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 6. a)

Lesart des Verfassers Beide Wege sind angreifbar. Erwägungsgrund 146 meint Präzisierungen von Bestimmungen der Verordnung selbst, und für immaterielle Schäden nach deutschem Deliktsrecht verlangt § 253 Abs. 1 BGB eine ausdrückliche gesetzliche Grundlage.Erwägungsgrund 146 DSGVO § 253 Abs. 1 BGB Belastbarer ist der Weg über die Verarbeitung: Werden personenbezogene Daten ohne Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO verarbeitet, weil die Einwilligung fehlt und keine andere Grundlage greift, verstößt das gegen die Verordnung. Art. 82 verlangt dann noch einen Schaden, den dieser Verstoß verursacht hat.Art. 6 Abs. 1, Art. 82 Abs. 1 DSGVO So begründet das Thüringer Oberlandesgericht im Meta-Verfahren.Thüringer OLG, 3 U 31/25, Leitsatz 3, Rn. 225, 226, 228, 230

Tim Ewald stützt sein Schreiben deshalb auf beide Regeln: § 25 TDDDG für die Unterlassung, Art. 6 und 82 DSGVO für die 1.500 Euro. Dafür muss er darlegen, dass die Kennungen der Pixel bei Lena Brandt einer Person zuzuordnen sind und welcher Schaden ihm entstand.

Zurück zum Inhalt

¶Fehlt die Einwilligung, streiten Gerichte über den Anbieter

Dass der Website-Betreiber haftet, wenn auf seiner Seite ohne Einwilligung getrackt wird, stellt keines der hier besprochenen Gerichte in Frage. Umstritten ist, ob daneben der Anbieter haftet, dessen Code den Cookie setzt, obwohl er mit dem Betreiber vereinbart hat, dass dieser die Einwilligung einholt. Das Oberlandesgericht Frankfurt a.M. bejaht das für § 25 TDDDG, das Oberlandesgericht Stuttgart verneint für die Meta Business Tools einen Anspruch, schon die Erhebung auf fremden Websites zu unterlassen.OLG Frankfurt a.M., 6 U 81/23, Leitsätze 1 und 2 OLG Stuttgart, 4 U 372/24, Rn. 140 bis 145

Oberlandesgericht Frankfurt a.M., 6 U 81/23: der Cookie-Setzer als Täter

Der Senat liest § 25 TDDDG als Verbot an jedermann. Anders als andere Pflichten des Gesetzes richtet sich die Vorschrift nicht an Anbieter, sondern beschreibt ein Verhalten: speichern und zugreifen. Adressat ist, wer die Ausführung des Codes kausal veranlasst und wem die Gefahr des Fernzugriffs zuzurechnen ist, also wer den Code ausführt oder zum Laden bereithält. Dieselbe Linie hatte das Verwaltungsgericht Köln gezogen.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. e) VG Köln, 13 K 1419/23

Hilfsweise sieht der Senat den Analyseanbieter als Anbieter im Sinne des Gesetzes, weil er durch das Setzen der Cookies an der Erbringung des fremden Dienstes mitwirkt. Der Begriff heißt heute „Anbieter von digitalen Diensten“, das Urteil zitiert noch die frühere Fassung.§ 2 Abs. 2 Nr. 1 TDDDG Dass der Europäische Gerichtshof im Leitsatz zu Planet49 von einem „Diensteanbieter“ spricht, ändert nach dem Senat nichts, weil der Gerichtshof die Frage nicht entschieden hat.EuGH, C-673/17, Planet49

Den Einwand, Betreiber hätten gegen seine Geschäftsbedingungen verstoßen, ließ der Senat nicht gelten. Die fehlende Einwilligung verwirklicht sich durch Unterlassen: Weil der Anbieter die Einwilligung beweisen muss, muss er sie sich vor dem Speichern bestätigen lassen. Dass Betreiber Code ohne Einwilligung auslösen, sei ein typisches Risiko und kein ungewöhnlicher Verlauf.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. g) (4) und (5) Dass auch der Betreiber verantwortlich sein kann, stellt das Urteil ausdrücklich nicht in Frage.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. e)

Die Gegenlinie: Oberlandesgericht Stuttgart zu den Meta Business Tools

Das Oberlandesgericht Stuttgart verurteilte Meta zwar, die von fremden Websites übermittelten Daten nicht zu speichern. Die Klage auf Unterlassung schon der Erhebung auf diesen Websites wies es aber ab und prüfte sie nach §§ 823 Abs. 1, 1004 BGB, weil die DSGVO selbst keinen Unterlassungsanspruch gebe.OLG Stuttgart, 4 U 372/24, Tenor 2.1, Rn. 122 bis 128 Die Einholung der Einwilligung dürfe der Anbieter dem Betreiber überlassen, so lese sich das Urteil des Europäischen Gerichtshofs zu Fashion ID.OLG Stuttgart, 4 U 372/24, Rn. 137 EuGH, C-40/17, Fashion ID Beweisen müsse der Anbieter die Einwilligung als Mitverantwortlicher trotzdem.OLG Stuttgart, 4 U 372/24, Rn. 139 Für die Erhebung auf fremden Websites hafte er nur als Störer mit verletzter Handlungspflicht, und eine solche Pflicht sah der Senat nicht.OLG Stuttgart, 4 U 372/24, Rn. 141 bis 145

Der Unterschied liegt in der Grundlage. Frankfurt prüft § 25 TDDDG, der den Kreis der Verpflichteten nicht begrenzt, ebenso wenig wie Art. 5 Abs. 3 der Richtlinie.Art. 5 Abs. 3 RL 2002/58/EG Stuttgart prüft für die Erhebung auf Drittseiten die Störerhaftung des Deliktsrechts. Gegen Stuttgart steht das Oberlandesgericht Dresden, das Meta als unmittelbare Störerin ansieht.OLG Dresden, 17 U 625/25, nach OLG Stuttgart Auch das Landgericht Lübeck untersagte Meta neben der Speicherung schon die Erhebung auf Drittseiten.LG Lübeck, 15 O 15/24, Rn. 84, 106, 107, Tenor 1

Für Lena Brandt heißt das: Der Pixel-Anbieter kann sich nach Frankfurt nicht hinter dem Vertrag verstecken, und sie selbst bleibt neben ihm verantwortlich.

Zurück zum Inhalt

¶Was riskiert der Website-Betreiber mit falschem Banner?

Er haftet selbst, gleich wie der Bundesgerichtshof die Frage des Anbieters entscheidet. Lädt ein Pixel vor der Entscheidung im Banner und speichert oder liest es auf dem Gerät, hat der Betreiber den Code zum Laden bereitgehalten. Wer das tut, ist nach dem Oberlandesgericht Frankfurt a.M. Adressat des § 25 TDDDG, und dass der Betreiber verantwortlich sein kann, stellt das Gericht ausdrücklich nicht in Frage.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. e) Drei Seiten können ihn in Anspruch nehmen.

Eine veröffentlichte Bußgeldentscheidung nach § 28 Abs. 1 Nr. 13 TDDDG gegen einen Website-Betreiber ist uns bis zum Rechtsstand nicht bekannt. Neben einem Bußgeld stehen Ansprüche von Betroffenen auf Unterlassung und Geld und die Kosten der Verfahren. Im Frankfurter Fall setzte das Gericht den Streitwert auf 13.000 Euro fest.OLG Frankfurt a.M., 6 U 81/23, Tenor V.

Empfehlung des Verfassers Betreiber prüfen jetzt jeden eingebundenen Anbieter, nicht erst nach dem Urteil des Bundesgerichtshofs. Denn ihre eigene Haftung hängt von ihm nicht ab. Was wir dabei prüfen, beschreibt die Seite zur Website-Prüfung zu Cookies und Tracking, vor dem Start neuer Angebote die Seite Datenschutz-Set-up. Zur gemeinsamen Verantwortung mit Anbietern siehe unseren Beitrag zur gemeinsamen Verantwortlichkeit, zu Analysewerkzeugen den Beitrag zu Google Analytics.

Zurück zum Inhalt

¶Haftet der Geschäftsführer persönlich für das Tracking?

Nicht schon, weil er Geschäftsführer ist. Nach dem Bundesgerichtshof haftet ein Geschäftsführer für Rechtsverletzungen der Gesellschaft persönlich nur, wenn er selbst daran beteiligt war oder sie aufgrund einer besonderen Pflicht hätte verhindern müssen. Die Organstellung und die allgemeine Zuständigkeit für den Betrieb genügen nicht.BGH, I ZR 242/12, Geschäftsführerhaftung Das Oberlandesgericht Frankfurt a.M. stützt seine Prüfung der Täterschaft auf dieselben Grundsätze.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. g) (1) Diese Grundsätze betreffen die deliktische Haftung nach außen, etwa auf Unterlassung, die Verantwortlichkeit nach der DSGVO ist gesondert zu prüfen.

Verantwortlicher im Sinne der DSGVO ist, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet.Art. 4 Nr. 7 DSGVO Bei einer GmbH ist das in der Regel die Gesellschaft. Das Oberlandesgericht Dresden hat aber einen Geschäftsführer neben der GmbH als Verantwortlichen angesehen, in einem Fall ohne Bezug zu Tracking, zugesprochen wurden 5.000 Euro.OLG Dresden, 4 U 1158/21, Leitsatz 1 OLG Naumburg, 9 U 124/24, Rn. 364

Ansicht des Verfassers Ein Geschäftsführer, der Tracking selbst einrichtet oder trotz Kenntnis weiterlaufen lässt, setzt sich dem Vorwurf aus, selbst über die Verarbeitung zu entscheiden. Nicht jede operative Entscheidung macht ihn aber zum Verantwortlichen, deshalb prüfen wir Außenhaftung und DSGVO getrennt. Sofortiges Abstellen verhindert weitere Verstöße, eine schon entstandene Haftung beseitigt es nicht.

Zurück zum Inhalt

¶Welcher Schadensersatz droht bei Tracking ohne Zustimmung?

In den entschiedenen Fällen zwischen null und 5.000 Euro je Kläger, eine feste Spanne für künftige Fälle ist das nicht. Die Oberlandesgerichte sprachen 100 bis 3.000 Euro zu, Landgerichte gegen Meta bis 5.000 Euro, und wo der Kläger keinen Schaden darlegte, nichts.LG Lübeck, 15 O 15/24, Rn. 139, 141 Die Beträge erklären sich aus dem Sachverhalt, nicht aus einer Tabelle: Ein einzelner, bewusst herbeigeführter Testbesuch wiegt weniger als jahrelanges Sammeln von Daten über fremde Websites. Grundlage ist Art. 82 Abs. 1 DSGVO, der auch immaterielle Schäden ersetzt.Art. 82 Abs. 1 DSGVO Als Schaden genügt nach dem Bundesgerichtshof schon der Verlust der Kontrolle über die eigenen Daten.Thüringer OLG, 3 U 31/25, Rn. 226 BGH, VI ZR 10/24, nach Thüringer OLG

Das Oberlandesgericht Frankfurt a.M. sprach 100 Euro zu, die Vorinstanz hatte 1.500 Euro gegeben. Der Senat orientierte sich an der Scraping-Rechtsprechung des Bundesgerichtshofs, die er so wiedergibt, dass ein allgemeiner Kontrollverlust in der Regel 100 Euro rechtfertigen könne. Einen Kontrollverlust sah er hier nicht, weil nur anonymisierte IP-Adressen und pseudonyme Kennungen gespeichert waren, und stellte auf das Gefühl ab, überwacht zu werden.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 6. c) Der Bundesgerichtshof nannte im Scraping-Fall 100 Euro für den dort entschiedenen Sachverhalt, das Oberlandesgericht Naumburg führt das Urteil mit 100 Euro als einen Vergleichsfall unter mehreren an.BGH, VI ZR 10/24, nach OLG Naumburg OLG Naumburg, 9 U 124/24, Rn. 364

In Frankfurt gab es wegen des Sachverhalts nicht mehr: Der Kläger hatte die Situation zu Beweiszwecken herbeigeführt und konnte die weitere Nachverfolgung durch Löschen der Cookies beenden. Ob zu Werbezwecken ausgewertet wurde, ließ das Gericht deshalb offen.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 6. c) Einschätzung des Verfassers Einen festen Betrag für jeden Kontrollverlust legt keines der Urteile fest.

Die Verfahren gegen Meta: höhere Beträge

Höher liegen die Beträge in den Verfahren gegen Meta wegen der Business Tools, mit denen Meta Daten von fremden Websites und Apps erhält. Dort geht es um jahrelanges Sammeln, Grundlage ist die DSGVO.Thüringer OLG, 3 U 31/25, Leitsatz 3, Rn. 228, 230

Das Oberlandesgericht Dresden bewertete das Gefühl dauernder Überwachung ohne weitere Darlegung mit 1.500 Euro.OLG Dresden, 4 U 292/25, Leitsatz 6 Das Oberlandesgericht Naumburg gab 1.200 Euro für mehr als fünf Jahre Kontrollverlust.OLG Naumburg, 9 U 124/24, Rn. 365 bis 367 Das Thüringer Oberlandesgericht sprach 3.000 Euro zu, weil sensible Daten nach Art. 9 DSGVO betroffen waren und das Sammeln rund sieben Jahre dauerte. Das Oberlandesgericht Stuttgart gab 500 Euro. Zum Vergleich zieht das Oberlandesgericht Naumburg Urteile zu anderen Datenschutzverstößen heran, darunter vier des Oberlandesgerichts München mit 250 bis 750 Euro.OLG Naumburg, 9 U 124/24, Rn. 364 Thüringer OLG, 3 U 31/25, Rn. 234 bis 243 OLG Stuttgart, 4 U 372/24, Rn. 248

Über den Oberlandesgerichten liegen Landgerichte. Das Landgericht Lübeck sprach gegen Meta 5.000 Euro zu, weil das gesamte Internetnutzungsverhalten über Jahre erfasst wurde und die Daten einen hohen Marktwert haben. Als Vergleichsfälle zog es das Landgericht Leipzig mit 5.000 Euro sowie die Landgerichte Mainz und Ellwangen mit je 10.000 Euro heran.LG Lübeck, 15 O 15/24, Rn. 141, 143, 144 Dieselbe Kammer hatte einen Schaden im Januar 2025 noch verneint, weil der Kläger nicht darlegen konnte, welche Daten betroffen waren, und gab diese Linie ausdrücklich auf.LG Lübeck, 15 O 15/24, Rn. 138, 139

Einschätzung des Verfassers Die Spanne reicht damit von null bis 10.000 Euro. Der obere Rand stammt von Landgerichten, die Oberlandesgerichte blieben bisher bei höchstens 3.000 Euro.

Höchstrichterlich bestätigt ist keiner dieser Beträge, der Stand der Rechtsmittel ist je Urteil verschieden, zum Lübecker Urteil ist uns kein Rechtsmittel bekannt. Gegen das Frankfurter Urteil ist die Revision beim Bundesgerichtshof anhängig.BGH-Pressemitteilung 118/2026, I ZR 5/26 Jena und Stuttgart haben die Revision zugelassen, das Thüringer Gericht ausdrücklich wegen der abweichenden Beträge bei gleichem Sachverhalt, den weiteren Stand kennen wir nicht.Thüringer OLG, 3 U 31/25, Rn. 251 OLG Stuttgart, 4 U 372/24, Tenor 6. Dresden hat die Revision nicht zugelassen, ob dagegen Beschwerde eingelegt wurde, ist uns nicht bekannt.OLG Dresden, 4 U 292/25, Tenor V. Auch Naumburg hat die Revision nicht zugelassen, nach dem Verfahrensgang der amtlichen Veröffentlichung ist beim Bundesgerichtshof aber ein Verfahren unter I ZR 92/26 anhängig.OLG Naumburg, 9 U 124/24, Rn. 393, Verfahrensgang

Die Gesichtspunkte stammen aus der Scraping-Entscheidung des Bundesgerichtshofs, die das Thüringer Oberlandesgericht ausdrücklich heranzieht. Abschreckung und das Maß des Verschuldens bleiben nach dem Europäischen Gerichtshof außer Betracht, der Schadensersatz gleicht nur aus.Thüringer OLG, 3 U 31/25, Rn. 232 f. EuGH, C-300/21, zur Abschreckung, nach Thüringer OLG Lesart des Verfassers Für die 1.500 Euro, die Tim Ewald von Lena Brandt verlangt, zählt deshalb, was er über Dauer und Umfang darlegt. Ein einzelner Besuch im Shop mit löschbaren Kennungen liegt näher an Frankfurt als an Jena.

Siehe DSGVO-Schadensersatz zur Abwehr und Durchsetzung von Forderungen nach Art. 82 DSGVO. Die Linie des Europäischen Gerichtshofs fasst unser Beitrag zum Schadensersatzanspruch nach Art. 82 DSGVO zusammen, den Meta-Pixel auf der eigenen Website unser Beitrag zum Facebook-Tracking.

Zurück zum Inhalt

¶Muss das Tracking aufhören?

Ja, gegenüber dem Betroffenen, der Unterlassung verlangt. Das Oberlandesgericht Frankfurt a.M. stützt den Anspruch auf §§ 1004, 823 Abs. 2 BGB in Verbindung mit § 25 Abs. 1 TDDDG, weil die Vorschrift den Einzelnen schützen soll. Die Gefahr weiterer Verstöße wird schon durch den ersten Verstoß vermutet.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. b) § 823 Abs. 2, § 1004 Abs. 1 BGB Die DSGVO sperrt diesen Anspruch nicht.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. d)

Der Senat greift dafür zu einem Bild: Einem Hauseigentümer könne man gegen einen Eindringling auch nicht entgegenhalten, er möge seine Fenster vergittern.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 2.

Neben der Unterlassung kann der Betroffene Auskunft über die gespeicherten Daten verlangen, unverzüglich und spätestens binnen eines Monats. Verlängerbar ist die Frist um zwei weitere Monate, wenn der Verantwortliche das im ersten Monat mit Gründen mitteilt.Art. 15 Abs. 1, Art. 12 Abs. 3 DSGVO Ob eine verspätete Auskunft einen eigenen Schaden begründet, ließ das Gericht offen.

Der Europäische Gerichtshof hat die Frage inzwischen bejaht: Auch die Verletzung des Auskunftsrechts kann einen Anspruch nach Art. 82 DSGVO begründen. Der Betroffene muss aber einen tatsächlich entstandenen Schaden und dessen Ursache im Verstoß darlegen, vermutet wird der Schaden nicht.EuGH, C-526/24, Rn. 54, 59, 60 Die Entscheidung bespricht unser Beitrag Brillen Rottler: Wann ein Auskunftsantrag exzessiv ist. Wie Verantwortliche Auskunftsverlangen beantworten, beschreibt unsere Seite zur Datenschutz-Auskunft.

Ansicht des Verfassers Lena Brandt räumt die Wiederholungsgefahr gegenüber Tim Ewald nicht schon mit dem Umbau aus. Dafür braucht es eine strafbewehrte Unterlassungserklärung, die nur so weit reicht wie der Verstoß. Verstößt die GmbH dagegen, schuldet sie die Vertragsstrafe, Ordnungsgeld droht erst aus einem gerichtlichen Titel. Ob sie die Erklärung abgibt, entscheidet sie nach dem Prüfweg in Abschnitt 12.

Zurück zum Inhalt

¶Wie beweise ich, dass ohne Einwilligung getrackt wurde?

Der Betroffene muss zeigen, dass auf seinem Gerät gespeichert oder ausgelesen wurde. Die Einwilligung muss er nicht widerlegen. Beweisen muss sie, wer den Cookie gesetzt hat. Der Kläger genügt seiner Last, wenn er den Ablauf nachvollziehbar schildert und eine Aufzeichnung des Netzwerkverkehrs vorlegt.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. f) (2) und (3) Art. 7 Abs. 1 DSGVO

Pauschales Bestreiten genügt dem Anbieter nicht. Kann der Kläger den Vorgang so darlegen, dass der Gegner ihn selbst nachprüfen kann, muss sich der Gegner vollständig dazu erklären.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. f) (2) § 138 ZPO In den Meta-Verfahren gehen die Gerichte noch weiter: Dort muss der Netzwerkbetreiber darlegen, welche Daten er erhalten hat, und der Kläger muss keine einzelnen Websites benennen.OLG Dresden, 4 U 292/25, Leitsatz 2 Thüringer OLG, 3 U 31/25, Leitsatz 2

Tim Ewald hat seine Aufzeichnung an Lena Brandt geschickt. Ihre Agentur prüft, ob die dort genannten Anfragen zur damaligen Konfiguration passen, die Lena Brandt am ersten Tag gesichert hat. Wie weit die GmbH bestreiten darf, richtet sich nach ihrer Erklärungspflicht: Sie muss sich zu den behaupteten Tatsachen erklären, mit Nichtwissen nur zu dem, was weder eigene Handlung noch eigene Wahrnehmung ist.§ 138 Abs. 2 und 4 ZPO Einschätzung des Verfassers Was die Agentur für sie eingerichtet hat, fragt sie mit zumutbarem Aufwand nach, der Export der Konfiguration ist dabei ein Beleg unter mehreren.

Zurück zum Inhalt

¶Darf man Tracking-Verstöße gezielt dokumentieren?

Ja. Wer Websites gezielt aufruft, um Tracking ohne Einwilligung festzuhalten, handelt nach dem Oberlandesgericht Frankfurt a.M. nicht rechtsmissbräuchlich. Der Senat vergleicht das mit dem Testkauf, den die Rechtsprechung seit Langem hinnimmt.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 3.

Auch dass der Kläger vier weitere Unternehmen wegen gleichartiger Verstöße in Anspruch genommen hatte, ließ keinen Schluss auf sachfremde Motive zu. Den Einwand, er verfolge nur allgemeine Ziele und solle sich an die Aufsicht wenden, wies das Gericht ebenfalls zurück.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 2. und 3.

Der Preis des Testbesuchs liegt in der Höhe. Weil der Kläger die Situation bewusst herbeigeführt hatte, mit einer Aufmerksamkeit, die ein gewöhnlicher Nutzer nicht aufbringt, und die Nachverfolgung durch Löschen beenden konnte, sah der Senat die Beeinträchtigung als sehr gering an.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 6. c) Der Unterlassungsanspruch blieb davon unberührt.

Eine Grenze zieht der Europäische Gerichtshof seit März 2026 beim Auskunftsantrag. Schon ein erster Antrag nach Art. 15 DSGVO kann exzessiv sein, wenn der Verantwortliche eindeutig nachweist, dass es dem Antragsteller nicht um seine Daten geht, sondern darum, künstlich die Voraussetzungen für Schadensersatz zu schaffen. Ersatz gibt es außerdem nicht, wenn das eigene Verhalten des Betroffenen die entscheidende Ursache des Schadens ist.EuGH, C-526/24, Rn. 35, 41, 66

Einschätzung des Verfassers Auf den Testbesuch lässt sich das nicht ohne Weiteres übertragen. Wer eine Website aufruft, erzeugt den Verstoß nicht, er dokumentiert, was der Code des Anbieters bei jedem Besucher tut, so auch das Oberlandesgericht Frankfurt a.M. Anbieter und Betreiber werden den Einwand trotzdem führen, und bei Serien aus Auskunftsantrag und Zahlungsaufforderung ohne Interesse an der Unterlassung hat er Gewicht. Die Maßstäbe des Gerichtshofs erläutert unser Beitrag Brillen Rottler: Wann ein Auskunftsantrag exzessiv ist.

Auffassung des Verfassers Für Betreiber, die Serienforderungen erhalten, heißt das: Der Hinweis auf viele gleichlautende Schreiben genügt nicht. Rechtsmissbrauch braucht Tatsachen, die zeigen, dass es dem Absender nicht um seine Daten geht, etwa ein Geschäftsmodell aus Forderungen ohne Interesse an der Unterlassung. Wie Anbieter mit diesem Einwand argumentieren, zeigt Abschnitt 13. Tim Ewald hat neben Lena Brandt auch den Pixel-Anbieter angeschrieben, das allein macht seine Forderung nicht missbräuchlich.

Zurück zum Inhalt

¶In acht Schritten zur Haftung

Die Prüfung folgt dem Aufbau des § 25 TDDDG und der Ansprüche, die an ihn anknüpfen. Die ersten drei Fragen entscheiden, ob ein Verstoß vorliegt, die nächsten drei, wer haftet, die letzten zwei, was der Betroffene verlangen kann. Bei jeder Frage steht, was bleibt, wenn sie mit Nein beantwortet wird.§ 25 Abs. 1 und 2 TDDDG

Frage 5 ist die, über die der Bundesgerichtshof in I ZR 5/26 für § 25 TDDDG entscheidet, Frage 4 hängt von ihm nicht ab. Bei den Fragen 1 bis 3 sind sich die Gerichte im Maßstab einig, gestritten wird dort über den Einzelfall.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 4. e) bis g), II. 6. OLG Stuttgart, 4 U 372/24, Rn. 140 bis 145

1. Bestand aufnehmen (Betreiber)Alle Skripte, Pixel und Anbieter mit Zweck und Ladezeitpunkt erfassen und die Konfiguration mit Datum sichern.
2. Reihenfolge korrigieren (Betreiber)Vor der Einwilligung nur, was für den gewünschten Dienst unbedingt erforderlich ist, alles andere danach, § 25 Abs. 2 Nr. 2 TDDDG. Das Gesetz knüpft an Speichern und Auslesen an, den Code bis zur Einwilligung zu blockieren ist der sichere Weg.
3. Einwilligung weitergeben und nachweisen (Betreiber und Anbieter)Das Signal erreicht jeden Anbieter, bevor er speichert, beide legen den Nachweis ab, Art. 7 Abs. 1 DSGVO.
4. Verträge ordnen (Betreiber und Anbieter)Rolle je Anbieter klären. Bei gemeinsamer Verantwortung eine Vereinbarung mit Regeln zu Einwilligung, Nachweis und Rückgriff, Art. 26 Abs. 1 DSGVO. Bei Auftragsverarbeitung ein Vertrag nach Art. 28 Abs. 3 DSGVO.
5. Forderung prüfen (Betreiber und Anbieter)Ist die Speicherung belegt, die Einwilligung beweisbar, der Schaden dargelegt? Erst dann über Unterlassungserklärung und Zahlung entscheiden.
6. Anspruch sichern (Betroffene)Netzwerkaufzeichnung in einem frischen Browserprofil, Screenshots und Datum sichern, Auskunft nach Art. 15 DSGVO verlangen, Unterlassung und Schadensersatz schriftlich fordern und die Verjährung nach § 199 Abs. 1 BGB notieren.

Zurück zum Inhalt

¶Aus Sicht der Anbieter zählt die Reichweitenmessung

Anbieter von Tracking-Code sehen sich als Lieferanten eines Werkzeugs, das erst der Betreiber einsetzt. Das Analyseunternehmen im Frankfurter Fall erhob sechs Einwände, die für Anbieter typisch sind. Der Senat hat jeden beantwortet.OLG Frankfurt a.M., 6 U 81/23, Tatbestand I., Gründe II. 2. bis 4.

Für die Meta Business Tools hat das Oberlandesgericht Stuttgart dem zweiten Einwand Gewicht gegeben: Die Einwilligung dürfe beim Betreiber liegen, die Erhebung auf fremden Websites müsse der Anbieter nur bei verletzter Handlungspflicht unterlassen.OLG Stuttgart, 4 U 372/24, Rn. 137, 144 Eine Freistellung des Anbieters ist das nicht: Stuttgart sieht Meta als mitverantwortlich, untersagt die Speicherung und spricht Schadensersatz zu.OLG Stuttgart, 4 U 372/24, Tenor 2.1, Rn. 146, 248 Vergleichen lassen sich die Urteile deshalb nur nach Anspruchsgrundlage, Verarbeitungsschritt und konkretem Antrag. Der Bundesgerichtshof entscheidet in I ZR 5/26 über § 25 TDDDG, nicht über alle Fragen der Meta-Verfahren.BGH-Pressemitteilung 118/2026, I ZR 5/26

Ansicht des Verfassers Zwei Dinge kommen in der Debatte zu kurz. Erstens bindet ein Unterlassungsurteil gegen den Anbieter nur ihn und nur gegenüber dem Kläger, der Betreiber bleibt selbst verpflichtet, und umgekehrt. Zweitens laufen neben § 25 TDDDG die Pflichten der DSGVO weiter, bei gemeinsamer Verantwortung vor allem die Vereinbarung nach Art. 26, bei Auftragsverarbeitung der Vertrag nach Art. 28.Art. 26 Abs. 1 und 3, Art. 28 Abs. 3 DSGVO

Empfehlung des Verfassers Anbieter setzen ihren Cookie erst, wenn ein Einwilligungssignal vorliegt, und protokollieren es. Das hätte den Pixel-Anbieter von Lena Brandt aus dem Streit gehalten. Wie wir Anbieter und Betreiber in solchen Verfahren vertreten, beschreibt die Seite Privacy Litigation.

Zurück zum Inhalt

¶Überzeugt die Frankfurter Linie die Fachwelt?

Die Besprechungen setzen verschieden an. Manche sehen für Anbieter ein kaum beherrschbares Risiko, andere raten Nutzern und Betreibern vor allem zur Dokumentation. Die folgende Übersicht nennt fünf Stimmen, was sie sagen, was davon trifft und wo sie zu weit gehen. Berichte anderer Kanzleien belegen keine Rechtsaussage, sie zeigen, wie das Urteil aufgenommen wurde.

Lesart des Verfassers Für § 25 TDDDG überzeugt die Frankfurter Linie. Weder die Richtlinie noch das Gesetz begrenzen den Kreis der Verpflichteten, beide regeln, wann Speicherung und Zugriff zulässig sind.Art. 5 Abs. 3 RL 2002/58/EG § 25 Abs. 1 TDDDG Stuttgart widerspricht dem nicht unmittelbar, es prüft für die Erhebung auf Drittseiten die Störerhaftung nach § 823 Abs. 1 BGB. Schwächer ist die Frankfurter Begründung beim Geld, weil sie Art. 82 DSGVO über Erwägungsgrund 146 auf das TDDDG erstreckt (Abschnitt 4). Hat der Bundesgerichtshof Zweifel an der Auslegung der Richtlinie, muss er dem Europäischen Gerichtshof vorlegen, das Oberlandesgericht sah dafür keinen Anlass.OLG Frankfurt a.M., 6 U 81/23, Gründe III. 3.

Für Lena Brandt ändert der Streit wenig: Ihre eigene Haftung als Betreiberin stellt keine der Stimmen in Frage.

Zurück zum Inhalt

¶Elf Irrtümer zur Einwilligung

Die Berichte über das Frankfurter Urteil und die Meta-Verfahren haben Annahmen in Umlauf gebracht, die einer Prüfung am Gesetz nicht standhalten. Elf davon prüfen wir hier, jede Zeile nennt, was gilt und was daraus folgt.OLG Frankfurt a.M., 6 U 81/23, Gründe II. 2. bis 6.

Die Tabelle zeigt eine gemeinsame Ursache der Irrtümer: Ein Satz aus einem Urteil wird ohne seinen Sachverhalt weitergegeben. Für Lena Brandt war die Liste ein Prüfraster: Drei der Annahmen hatte ihre Agentur vertreten, bevor die Pixel hinter die Einwilligung kamen.

Zurück zum Inhalt

¶Häufige Fragen

Zehn Fragen zu Tracking ohne Einwilligung, jede Antwort für sich lesbar.

Zurück zum Inhalt

Zitiervorschlag: Bohne, Tracking ohne Einwilligung: Wer haftet, wer zahlt?, ITMR Rechtsanwälte, 13. Oktober 2026, itmr-legal.de/blog/tracking-ohne-einwilligung-schadensersatz.

Rechtsstand: 13. Oktober 2026. Die Darstellung gibt die Rechtslage zum genannten Datum wieder und ersetzt keine Beratung im Einzelfall. Das Frankfurter Urteil ist nicht rechtskräftig, die Beträge der Oberlandesgerichte sind nicht höchstrichterlich bestätigt. Offene Fragen sind als solche gekennzeichnet.