Microsoft Advertising haftet bei fehlender Einwilligung automatisch gesetzter Cookies

Ein Drittanbieter hatte auf seinen Webseiten Microsoft Advertising eingesetzt und es versäumt, die ausdrückliche Einwilligung für die Cookies einzuholen, die der Dienst setzt. Weil Microsoft hier nicht für eigene Datenschutzverstöße, sondern für Verstöße, die Dritte bei der Nutzung seines Dienstes begehen, haftbar gemacht wird, könnte das Urteil weitreichende Folgen für die gesamte IT-Branche haben.

OLG verpflichtet Microsoft zur Unterlassung

Das Oberlandesgericht Frankfurt am Main (OLG FFM) hat mit seiner Entscheidung vom 27.6.2024 (6 U 192/23) Microsoft dazu verpflichtet, es zu unterlassen, mit seinem Dienst Microsoft Advertising ohne Einwilligung Cookies auf den Endgeräten der Klägerin zu setzen.  Der Microsoft-Dienst Microsoft Advertising sammelt Informationen über die Besucher einer Webseite und ermöglicht Webseitenbetreibern das Schalten zielgerichteter Werbeanzeigen.

Microsoft ist für die Speicherung der Cookies kausal verantwortlich

In seinem Urteil stellt das OLG FFM fest, dass der Klägerin ein Unterlassungsanspruch zusteht. Microsoft hat durch das Setzen von Cookies gegen die gesetzlichen Vorgaben verstoßen. Das Gesetz (§ 25 TDDDG) verbietet „jedermann den Zugriff auf vernetzte Endeinrichtungen ohne die Einwilligung des Endnutzers“. Es erfasst damit jeden Akteur, der eine konkrete Speicher- oder Zugriffshandlung beabsichtigt. Microsoft speichert Informationen in Form von Cookies auf den Endeinrichtungen der Nutzer, sobald die entsprechende Anforderung durch den bereit gestellten Programmcode auf der vom Nutzer besuchten Internetseite ausgelöst wird. Zudem greift es auf die hinterlegten Informationen zu, indem es sich diese von den Betreibern der Internetseiten zur Verfügung stellen lässt, nachdem diese die Informationen ausgelesen haben. Microsoft hat damit „die Speicherung der Cookies ohne Einwilligung adäquat kausal verwirklicht“.

Microsoft muss sicherstellen, dass die Einwilligung zur Speicherung vorliegt

Das OLG weist ausdrücklich darauf hin, dass Microsoft nicht dadurch entlastet wird, dass es von den jeweiligen Webseitenbetreiber verlangt, dass diese die erforderliche Einwilligung zum Setzen der Cookies einholen. Microsoft kann sich darauf nicht verlassen, sondern bleibt vielmehr darlegungs- und beweisbelastet für den Umstand, dass die Endnutzer vor der Speicherung von Cookies auf ihren Endgeräten eingewilligt haben. Wie Microsoft den Einwilligungsnachweis zu führen hat, bleibt dem Unternehmen überlassen. Microsoft muss aber sicherstellen, dass diese tatsächlich vorliegt.

Urteil nimmt Anbieter digitaler Dienste in die Pflicht

Das Urteil des OLG FFM könnte weitreichende Folgen für die gesamte IT-Branche haben, weil es die Verantwortlichkeit für datenschutzrechtliche Verstöße von den Webseitenbetreibern weg auf den Anbieter des digitalen Dienstes verlagert, mit dem die Verstöße begangen werden.  Es verschärft die Datenschutzanforderungen bei der Einbindung externer Dienste und nimmt die Dienstanbieter in die Pflicht. Um etwaige Regressansprüche zu vermeiden und sicherstellen zu können, dass sie ihre vertraglichen Verpflichtungen erfüllen, sollten aber auch Webseitenbetreiber das Urteil zum Anlass nehmen, die Nutzungsbedingungen und Verträge der Dienstanbieter zu prüfen.

(OLG Frankfurt am Main, Urteil v. 27.6.2024, 6 U 192/23)