Die Konstellation ist im E-Commerce Standard, nur redet niemand darüber:
- Ein Interessent gibt im Onlineshop seine E-Mail-Adresse ein. Von diesem Moment an wird jeder Besuch der Seite mit vollständiger URL protokolliert, jedes angesehene Produkt, jeder Warenkorb, jeder abgebrochene Checkout.
- Jede Werbe-E-Mail enthält ein unsichtbares Zählpixel. Öffnet der Empfänger die Mail, meldet das Pixel Datum und Uhrzeit auf die Sekunde. Auch beim sechzigsten Öffnen derselben Nachricht.
- Ein Marketing-Automatisierungsdienst führt beides zusammen, sortiert die Person in Segmente wie „Non_Buyers“ ein und löst automatisch „Abandon Cart“- und „Abandon Checkout“-Kampagnen aus.
Das Ergebnis: ein namentlich zugeordnetes Verhaltensprofil über Monate, an dessen Erstellung der Betroffene nie wissentlich mitgewirkt hat. Gefragt hat ihn keiner. Informiert wurde er auch nicht.
Ein aktueller Fall aus unserer Kanzlei zeigt exemplarisch, wie sich Wettbewerber gegen diese Praxis wehren können, und was passiert, wenn der Gegner das Beweismaterial selbst zu den Akten reicht. Das Landgericht Köln (LG Köln) hat auf unseren Antrag mit Beschluss vom 02.09.2026 (Az. 31 O 395/26) eine einstweilige Verfügung erlassen, nach Anhörung der Gegenseite, deren Stellungnahme der Kammer vollständig vorlag.
Das Lauterkeitsrecht ist dabei nur eine von drei Ebenen: Dasselbe Verhalten kann ein Bußgeld nach dem TDDDG auslösen und ist nach § 42 BDSG unter Umständen strafbar. Auch dazu unten.
Der Fall: 445 Ereignisse, achteinhalb Monate, ein Name
Die Gegnerin ist eine unmittelbare Wettbewerberinunserer Mandantin. Zwischen beiden laufen mehrere Verfahren; über eines davon – das Verbot von Kaufabbruch- und Referral-Mails durch das LG Köln (Az. 31 O 363/26) – haben wir im Juli berichtet. Der hier besprochene Fall ist die Fortsetzung, und er beginnt mit einer prozessualen Kuriosität.
In einem der anderen Verfahren wollte die Gegnerin belegen, dass ein Mitarbeiter unserer Mandantin ihre Werbe-E-Mails freiwillig geöffnet habe. Dazu legte sie eine „Auswertung Customer-Tracking-Daten“ vor, einen Export aus ihrem Marketing-System. Das Dokument war der Person mit Namen und E-Mail-Adresse zugeordnet und dokumentierte:
- 445 Einzelereignisse im Zeitraum vom 01.09.2025 bis zum 19.05.2026;
- jede Öffnung jeder Werbe-E-Mail mit sekundengenauem Zeitstempel, darunter mehr als 60 Öffnungen einer einzigen Mail;
- Klicks auf einzelne Links in den Mails;
- Websitebesuche einschließlich vollständiger URLs, betrachtete Produkte, Warenkorbvorgänge, ein abgebrochener Checkout;
- die Einordnung in Marketingsegmente („Non_Buyers“, „Customer without Storage“) und die Auslösung automatisierter „Abandon Site“-, „Abandon Product“-, „Abandon Cart“- und „Abandon Checkout“-Flows.
Gedacht war das als Entlastung. Gelesen haben wir es als Geständnis. Denn eine Einwilligung in dieses Tracking behauptete die Gegnerin nicht einmal. Ihr Vortrag beschränkte sich darauf, der Betroffene habe sich für ein „VIP-Programm“ angemeldet und die Mails dann eben geöffnet.
Dass es sich nicht um einen Einzelfall handelte, ergab sich aus der Auswertung selbst: Standardisierte Flows und Segmente sind nicht auf eine Person zugeschnitten. Eine der dokumentierten Mails warb im Betreff damit, dass an einer einzelnen Aktion „über 1.800 Personen“ teilgenommen hätten.
Und zu den Betroffenen zählte auch eine Rechtsanwältin unserer Kanzlei, die im Shop der Gegnerin ihre E-Mail-Adresse eingegeben und daraufhin Werbung erhalten hatte – der Vorgang, der bereits das Verfahren 31 O 363/26 ausgelöst hatte.
Aus der LHR-Praxis
Wer eine Tracking-Auswertung zu seiner Verteidigung vorlegt, sollte vorher prüfen, ob er dafür eine Einwilligung nachweisen kann. Sonst dokumentiert er den nächsten Verstoß gleich mit, und zwar in einer Form, die der Gläubiger sich selbst nie hätte beschaffen können. Genau diese Auswertung wurde zur Anlage LHR 7 und damit zum Kern des Verbotstenors. Und sie ist zugleich das Beweismittel Nr. 1 in der Strafanzeige, die der Betroffene erstattet hat.
Die Argumentation der Gegenseite: Cookie-Banner, Newsletter-Text und der Vorwurf des Rechtsmissbrauchs
Auf unsere Abmahnung vom 25.07.2026 reagierte die Gegnerin nicht. Im Verfahren dann umso ausführlicher. Vier Linien standen im Zentrum:
- Der Cookie-Banner: Die Website habe einen Banner, der über „Targeting-Cookies“ informiere; wer „Annehmen“ klicke, willige ein. Der Banner sah so aus:
„Diese Website verwendet Cookies, um Ihnen das beste Erlebnis zu bieten. Das Sammeln, Teilen und Verwenden personenbezogener Daten kann zur Personalisierung von Werbung genutzt werden.“
- Der Newsletter-Text: Wer den Newsletter abonniere, stimme zu, dass seine Daten „zur Erfolgsmessung“ genutzt würden; das decke auch das Öffnungstracking.
- Keine Marktverhaltensregel: § 25 TDDDG und die DSGVO schützten die Privatsphäre, nicht den Wettbewerb; Mitbewerber könnten Verstöße deshalb nicht über § 3a UWG verfolgen.
- Rechtsmissbrauch und fehlende Dringlichkeit: Unsere Mandantin führe zu viele Verfahren, der betroffene Mitarbeiter habe das Tracking seit September 2025 gekannt, und ohnehin sei die E-Mail-Frage schon anderweitig tituliert.
Hängen bleibt: Ein Cookie-Banner, der im August 2026 fotografiert wird, sagt nichts darüber, was ein Nutzer im September 2025 gesehen hat. Und ein Newsletter-Text hilft nur dem, der nachweisen kann, dass der Betroffene den Newsletter überhaupt bestellt hat.
Reicht ein Cookie-Banner als Einwilligung in Website- und E-Mail-Tracking?
Nein, jedenfalls nicht dieser und nicht für diesen Zeitraum. Eine Einwilligung wirkt nur für die Verarbeitung, über die der Nutzer vor seinem Klick klar und umfassend informiert wurde. Ein Banner, der von „bestem Erlebnis“ und „Personalisierung von Werbung“ spricht, informiert nicht über die fortlaufende, sekundengenaue Protokollierung des gesamten Nutzungsverhaltens und dessen Verknüpfung mit Name und E-Mail-Adresse. Und ein Banner, der erst nach dem Tracking-Zeitraum dokumentiert wird, beweist für diesen Zeitraum gar nichts.
Das LG Köln ließ die inhaltliche Prüfung des Banners deshalb ausdrücklich offen. Entscheidend war ein Satz zur Darlegungslast: Dass eine informierte Einwilligung vorliegt, hat derjenige darzulegen, der die Speicherung vornimmt. Die Gegnerin hatte für den Zeitraum vom 01.09.2025 bis zum 19.05.2026 nichts dergleichen dargelegt, nicht einmal, dass der Betroffene sich überhaupt für den Newsletter angemeldet hatte. Der eigenen Auswertung ließ sich nur entnehmen, dass er am 01.09.2025 eine Seite besucht und ab da E-Mails erhalten hatte.
Wir hatten in unserer Stellungnahme zusätzlich vorgetragen, dass der Banner auch inhaltlich nicht genügt: Er nennt weder die Funktionsdauer der Kennungen noch die Empfänger der Daten, obwohl die Gegnerin nach eigenem Vortrag einen Dienstleister mit Sitz in den USA einsetzt. Der Newsletter-Hinweis im Footer war zudem nachträglich geändert worden; die Fassung bis Juni 2026 ließ sich über archive.org belegen. Die Kammer brauchte diese Punkte nicht mehr zu entscheiden.
Rechtlicher Rahmen: § 25 TDDDG, informierte Einwilligung und der Weg über § 5a UWG
1. Tracking-Pixel und Kennungen unterliegen § 25 Abs. 1 TDDDG
Nach § 25 Abs. 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung des Nutzers und der Zugriff auf dort gespeicherte Informationen nur zulässig, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Das gilt für Cookies ebenso wie für Zählpixel in E-Mails und für Kennungen, mit denen ein Shop das Endgerät wiedererkennt. Der Europäische Datenschutzausschuss ordnet Tracking-Pixel und Tracking-Links in den Leitlinien 2/2023 ausdrücklich dem Anwendungsbereich des zugrunde liegenden Art. 5 Abs. 3 der ePrivacy-Richtlinie zu. Die Ausnahme für „unbedingt erforderliche“ Speicherungen (§ 25 Abs. 2 Nr. 2 TDDDG) greift bei Marketing-Profiling nicht: Ein Onlineshop funktioniert auch ohne Kaufabbrecher-Kampagnen.
2. Was eine informierte Einwilligung voraussetzt
Eine Einwilligung muss nach Art. 4 Nr. 11 DSGVO freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden. Der Europäische Gerichtshof (EuGH) verlangt seit Planet49 Angaben zur Funktionsdauer der eingesetzten Technologien und dazu, ob Dritte Zugriff erhalten (EuGH, Urteil v. 01.10.2019, Az. C-673/17); wir haben die Entscheidung damals im LHR-Magazin besprochen. Der Bundesgerichtshof (BGH) hat das übernommen: Der Nutzer muss wissen, worauf sich seine Erklärung bezieht und welche Verarbeitungen sie konkret erfasst (BGH, Urteil v. 28.05.2020, Az. I ZR 7/16 – Cookie-Einwilligung II). Ein Klick auf „Annehmen“ auf unzureichender Informationsgrundlage ist keine Einwilligung, sondern ein Klick.
3. Wer muss die Einwilligung darlegen – der Shop oder der Nutzer?
Der Shop. Wer Informationen auf fremden Endgeräten speichert oder ausliest, muss darlegen und im Eilverfahren glaubhaft machen, dass er dafür eine informierte Einwilligung hatte. Das LG Köln hat diesen Grundsatz in den Mittelpunkt seiner Entscheidung gestellt. Praktisch bedeutet das: Ein Screenshot des aktuellen Banners genügt nicht. Es braucht eine Dokumentation, wann welcher Nutzer auf welcher Informationsgrundlage welche Erklärung abgegeben hat – ein Consent-Log. Fehlt es, ist das Tracking ohne Einwilligung erfolgt, so lange nichts anderes belegt ist.
4. Anspruchsgrundlage: nicht § 3a, sondern § 5a Abs. 1, § 5b Abs. 4 UWG
Der Streit um die Frage, ob § 25 TDDDG und Art. 6 DSGVO Marktverhaltensregelungen im Sinne des § 3a UWG sind, beschäftigt die Instanzgerichte seit Jahren; schon 2018 hatten wir über eine bejahende Entscheidung des LG Hamburg berichtet. Der EuGH hat inzwischen bestätigt, dass Mitbewerber Datenschutzverstöße mit den Mitteln des nationalen Lauterkeitsrechts verfolgen dürfen (EuGH, Urteil v. 04.10.2024, Az. C-21/23 – Lindenapotheke); der BGH ist gefolgt (BGH, Urteil v. 27.03.2025, Az. I ZR 186/17 – App-Zentrum III).
Das LG Köln ging einen anderen, dogmatisch eleganteren Weg. Es stützte den Anspruch auf § 5a Abs. 1 UWG in Verbindung mit § 5b Abs. 4 UWG: Unlauter handelt, wer Verbrauchern eine wesentliche Information vorenthält. Als wesentlich gelten auch Informationen, die dem Verbraucher aufgrund unionsrechtlicher Vorschriften für kommerzielle Kommunikation nicht vorenthalten werden dürfen. Die klaren und umfassenden Informationen, die § 25 Abs. 1 TDDDG vor jeder Einwilligung verlangt, sind solche Informationen – und die Verfolgung des Nutzerverhaltens zu Marketingzwecken ist kommerzielle Kommunikation im Sinne der E-Commerce-Richtlinie. Der Einwand, es fehle an einer Marktverhaltensregel, ging damit ins Leere.
Ein Nebeneffekt dieser Konstruktion betrifft die Zuständigkeit. § 14 Abs. 2 S. 3 Nr. 1 UWG schließt den Gerichtsstand des Begehungsorts für Verstöße gegen Informationspflichten im elektronischen Geschäftsverkehr aus. Die Kammer hält an ihrer engen Lesart fest: Die Vorschrift erfasst nur Verstöße mit besonderem Missbrauchspotential. Ob ein Cookie-Banner hinreichend informiert, ist eine Einzelfallfrage ohne dieses Potential. Das LG Köln blieb damit zuständig.
5. Haften die Geschäftsführer persönlich?
Hier nicht. Wir hatten die beiden Geschäftsführer der Gegnerin mit in Anspruch genommen, gestützt auf die Rechtsprechung des BGH zur Haftung für Verstöße, die typischerweise auf Geschäftsführungsebene entschieden werden (BGH, Urteil v. 18.06.2014, Az. I ZR 242/12 – Geschäftsführerhaftung). Die Kammer sah es anders: Über die Belehrung von Nutzern über Tracking werde nicht typischerweise auf Geschäftsführerebene entschieden. Der Antrag gegen die Geschäftsführer wurde zurückgewiesen, unsere Mandantin trägt insoweit die Kosten. Bemerkenswert ist der Kontrast zum Verfahren 31 O 363/26, in dem dieselbe Kammer die Geschäftsführer für die E-Mail-Werbung persönlich in die Pflicht genommen hatte. Die Linie ist erkennbar: Ob und wie geworben wird, ist Chefsache; wie der Consent-Banner formuliert ist, gilt als operatives Detail.
Ist Tracking ohne Einwilligung auch strafbar?
Es kann strafbar sein. § 42 Abs. 2 Nr. 1 BDSG stellt unter Strafe, wer nicht allgemein zugängliche personenbezogene Daten ohne Berechtigung verarbeitet und dabei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen. Der Strafrahmen reicht bis zu zwei Jahren Freiheitsstrafe. Marketing-Tracking erfüllt das Merkmal der Bereicherungsabsicht praktisch von selbst: Es dient keinem anderen Zweck als dem Umsatz. Bleibt die Frage der Berechtigung. Und die ist dieselbe, die das LG Köln zivilrechtlich beantwortet hat.
1. Die Tatbestandsmerkmale im Tracking-Fall
Öffnungs-, Klick-, Website- und Warenkorbdaten, die einem Namen und einer E-Mail-Adresse zugeordnet sind, sind personenbezogene Daten nach Art. 4 Nr. 1 DSGVO. Allgemein zugänglich sind sie nicht; sie werden verdeckt aus der Sphäre des Nutzers erhoben. Ohne Berechtigung handelt, wer weder eine Einwilligung noch eine andere Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorweisen kann; ein monatelanges Verhaltensprofil zu Werbezwecken lässt sich auf berechtigte Interessen nicht stützen, und der Zugriff auf das Endgerät verstößt zusätzlich gegen § 25 Abs. 1 TDDDG. Die Bereicherungsabsicht liegt in den „Abandon Cart“- und „Abandon Checkout“-Kampagnen, deren einziges Ziel der Kaufabschluss ist. Dass die Bereicherung der eigenen Gesellschaft zugutekommen soll und nicht dem Handelnden persönlich, ändert nichts: Der Wortlaut erfasst die Absicht, „einen anderen“ zu bereichern.
Wird das Tracking gegenüber einer großen Zahl von Personen betrieben und werden die Daten Dritten zugänglich gemacht, kommt § 42 Abs. 1 BDSG mit einem Strafrahmen bis zu drei Jahren in Betracht. Ob ein US-Marketing-Dienstleister dabei bloßer Auftragsverarbeiter oder Dritter im Sinne der Norm ist und ob Gewerbsmäßigkeit vorliegt, ist eine Frage für die Ermittlungen, nicht für den Beitrag. Gleiches gilt für den Vorsatz: Ein professionell betriebenes E-Commerce-Unternehmen kennt die Einwilligungserfordernisse, und ein Marketing-System, das auf personenbezogene Auswertung konfiguriert ist, konfiguriert sich nicht von selbst. Ein Indiz, kein Beweis.
2. Antragsdelikt: Wer anzeigen kann, und wie lange
§ 42 BDSG wird nur auf Antrag verfolgt (§ 42 Abs. 3 BDSG). Antragsberechtigt sind die betroffene Person, der Verantwortliche, die Bundesbeauftragte und die Aufsichtsbehörde. Der Mitbewerber steht nicht auf der Liste. Wer als Wettbewerber ein einwilligungsloses Tracking entdeckt, kann es lauterkeitsrechtlich angreifen; die strafrechtliche Schiene läuft über die Person, deren Daten verarbeitet wurden. Für den Strafantrag gilt die Dreimonatsfrist des § 77b StGB ab Kenntnis von Tat und Täter. Im Tracking-Fall beginnt sie realistischerweise mit dem Moment, in dem der Betroffene erfährt, dass und wie er getrackt wurde. Wer die Frist verstreichen lässt, verliert die Strafverfolgung, nicht den Unterlassungsanspruch.
3. Was im konkreten Fall geschah
Der betroffene Nutzer, ein Mitarbeiter unserer Mandantin, erlangte Kenntnis von Umfang und Funktionsweise des Trackings mit dem gegnerischen Schriftsatz vom 17.07.2026. Am 23.07.2026 erstattete er durch uns Strafanzeige bei der zuständigen Staatsanwaltschaft und stellte fristwahrend Strafantrag wegen des Verdachts einer Straftat nach § 42 Abs. 2 Nr. 1 BDSG; zugleich regten wir die Prüfung des § 42 Abs. 1 BDSG an sowie, soweit nur eine Ordnungswidrigkeit vorliegen sollte, die Abgabe an die Bußgeldbehörde nach § 41 OWiG. Mehr sagen wir dazu nicht: Ob sich der Anfangsverdacht bestätigt, entscheiden die Ermittlungsbehörden. Für die Beschuldigten gilt die Unschuldsvermutung.
4. Die dritte Ebene: Bußgeld
Unabhängig vom Strafrecht ist ein Verstoß gegen § 25 Abs. 1 TDDDG eine Ordnungswidrigkeit nach § 28 TDDDG, die mit einer Geldbuße bis zu 300.000 Euro geahndet werden kann. Für die Verarbeitung ohne Rechtsgrundlage nach Art. 6 DSGVO gilt der Rahmen des Art. 83 Abs. 5 DSGVO. Zuständig ist die Landesdatenschutzbehörde am Sitz des Unternehmens; jeder Betroffene kann sie mit einer Beschwerde nach Art. 77 DSGVO befassen. Für Onlinehändler bedeutet das: Ein Unterlassungstitel des Mitbewerbers ist häufig nur der Anfang.
Strategische Vorgehensweise: Die Beweise des Gegners nutzen
1. Fremdvortrag als Glaubhaftmachung
Die Tracking-Auswertung stammte von der Gegnerin selbst. Das erspart jede Diskussion über Echtheit, Herkunft und Vollständigkeit. Sie wurde als Anlage LHR 7 zum Bezugspunkt der Unterlassungsanträge („wenn dies geschieht wie in Anlage LHR 7 ersichtlich“) – und ist heute mit dem Beschluss fest verbunden.
2. Erstbegehungsgefahr statt Wiederholungsgefahr
Für die Rechtsanwältin unserer Kanzlei lag noch keine dokumentierte Verletzungshandlung vor, wohl aber die konkrete Gefahr: Sie hatte ihre E-Mail-Adresse im Shop eingegeben und Werbung erhalten; das Tracking-System arbeitet standardisiert für alle Adressen. Das begründet eine Erstbegehungsgefahr nach § 8 Abs. 1 S. 2 UWG und zugleich den Gerichtsstand in Köln, wo sich die drohende Verletzung verwirklichen würde.
3. Abmahnung, Antrag, Stellungnahme
Kenntnis von Art und Umfang des Trackings erhielt unsere Mandantin am 17.07.2026 mit dem gegnerischen Schriftsatz. Am 25.07.2026 mahnten wir ab, Frist bis zum 29.07.2026; eine Reaktion blieb aus. Am 04.08.2026 ging der Antrag beim LG Köln ein. Auf einen Hinweis der Kammer zum Cookie-Banner und zum Newsletter-Hinweis nahmen wir am 07.08.2026 Stellung: mit Screenshots aus einer Inkognito-Sitzung, dem Impressum des US-Dienstleisters und der archivierten Footer-Fassung vom Juni 2026. Die Gegnerin äußerte sich am 30.08.2026. Drei Tage später erging der Beschluss.
4. Zweigleisig fahren, Fristen trennen
Das Eilverfahren folgt der Dringlichkeitsvermutung des § 12 Abs. 1 UWG, der Strafantrag der Dreimonatsfrist des § 77b StGB. Beide laufen ab dem 17.07.2026, aber unterschiedlich lang und für unterschiedliche Personen: Antragstellerin im Verfügungsverfahren ist die Mitbewerberin, Antragsteller im Strafverfahren der Betroffene selbst. Wer beides aus einer Hand betreibt, muss die Rollen sauber trennen. Die Strafanzeige ging sechs Tage nach Kenntnis, der Verfügungsantrag zwölf Tage danach.
Das Ergebnis: Verbot nach Anhörung der Gegenseite
Das LG Köln erließ die einstweilige Verfügung mit Beschluss vom 02.09.2026 (Az. 31 O 395/26), wegen der Dringlichkeit ohne mündliche Verhandlung, aber in Kenntnis der vollständigen Gegenstellungnahme:
- Der Gegnerin ist es untersagt, ohne vorherige Einwilligung das Nutzungsverhalten auf ihrer Website personenbezogen zu erfassen und einem Nutzerprofil zuzuordnen.
- Ebenso untersagt ist, ohne vorherige Einwilligung das Öffnen von E-Mails personenbezogen zu erfassen und einem Nutzerprofil zuzuordnen.
- Für jeden Fall der Zuwiderhandlung droht ein Ordnungsgeld von bis zu 250.000 Euro, ersatzweise Ordnungshaft.
- Der Vorwurf des Rechtsmissbrauchs nach § 8c UWG blieb ohne Erfolg: Die Kammer sah weder ein unredliches Verhalten des betroffenen Nutzers noch eine künstliche Aufspaltung des Sachverhalts. Die Speicherung auf dem Endgerät sei nicht Gegenstand der anderen Verfahren und Gegenstand eigenständiger Bestimmungen.
- Die Dringlichkeitsvermutung des § 12 Abs. 1 UWG war nicht widerlegt: Wie getrackt wurde, konnte unsere Mandantin erst aus der gegnerischen Auswertung erfahren.
- Den Antrag der Gegenseite, unsere Mandantin zur Auskunft über ihr sonstiges Abmahnverhalten zu verpflichten, wies die Kammer als unzulässig zurück.
- Zurückgewiesen wurde der Antrag gegen die Geschäftsführer persönlich. Den Verfahrenswert setzte die Kammer auf 40.000 Euro fest statt der beantragten 80.000 Euro. Die Kosten tragen die Gegnerin zu 5/7 und unsere Mandantin zu 2/7.
Die Entscheidung ist nicht rechtskräftig; der Gegnerin steht der Widerspruch offen. Auch das Berufungsverfahren gegen das Heilbronner Verfügungsurteil, in dem die Tracking-Auswertung ursprünglich vorgelegt wurde, ist weiterhin anhängig.
Dieselbe Kammer hatte der Gegnerin im Juli die Kaufabbruch- und Referral-Mails untersagt, mit denen das hier verbotene Tracking überhaupt erst arbeitet; wir haben darüber berichtet. Dass automatisierte Werbe-Mails auch in anderen Konstellationen teuer werden, zeigte der Fall der Zufriedenheitsumfrage auf ein Abschlussschreiben. Weitere von LHR erstrittene Entscheidungen finden Sie auf unserer Erfolge-Seite.
Was Onlinehändler jetzt prüfen sollten
Der Beschluss verschiebt die Perspektive. Die Frage lautet nicht mehr „Haben wir einen Cookie-Banner?“, sondern „Können wir für jeden getrackten Nutzer nachweisen, wann er worin eingewilligt hat?“. Wer die zweite Frage nicht beantworten kann, trackt ohne Einwilligung – unabhängig davon, wie der Banner heute aussieht.
Konkret heißt das: Der Banner muss benennen, was erfasst wird (Verhalten, nicht nur „eine Kennung“), wie lange die Kennungen wirken und wer die Daten erhält, also der Marketing-Dienstleister mit Namen, bei US-Anbietern mit Hinweis auf den Drittlandtransfer. Der Newsletter-Text ersetzt den Banner nicht; „Erfolgsmessung“ ist etwas anderes als ein achteinhalb Monate laufendes Verhaltensprofil. Und wer sein Tracking-System vor Gericht als Beweismittel einsetzt, sollte vorher wissen, was es über ihn selbst aussagt.
Die Frage „Haben wir für diesen Nutzer eine Einwilligung?“ ist zudem keine rein zivilrechtliche mehr. Dieselbe Antwort entscheidet darüber, ob die Datenverarbeitung „ohne Berechtigung“ im Sinne des § 42 BDSG erfolgt. Die Bereicherungsabsicht muss niemand mehr nachweisen; sie steht im Namen der Kampagne.
Für Wettbewerber gilt spiegelbildlich: Datengetriebenes Marketing ohne Einwilligung ist ein Wettbewerbsvorteil, der sich über § 5a UWG angreifen lässt, ohne den Umweg über die Marktverhaltensregel-Debatte. Das Beweismaterial liefert der Gegner manchmal selbst.
Ihr Wettbewerber trackt Kunden ohne Einwilligung – oder Sie wurden selbst wegen Ihres Trackings oder Cookie-Banners abgemahnt?
Wir prüfen, ob sich ein Verstoß gerichtsfest belegen lässt oder ob eine Abmahnung gegen Sie angreifbar ist, und sagen Ihnen innerhalb von 24 Stunden, welche Schritte sich lohnen. Von der Dokumentation über die Abmahnung bis zur einstweiligen Verfügung, oder umgekehrt zur Verteidigung.
Häufige Fragen zu Tracking ohne Einwilligung
Ist Tracking ohne Einwilligung auf einer Website ein Wettbewerbsverstoß?+
Ja, wenn dabei Informationen auf dem Endgerät des Nutzers gespeichert oder ausgelesen werden und keine informierte Einwilligung nach § 25 Abs. 1 TDDDG vorliegt. Das LG Köln stützt den Unterlassungsanspruch von Mitbewerbern auf § 5a Abs. 1, § 5b Abs. 4 UWG: Dem Verbraucher werden wesentliche Informationen vorenthalten, die ihm das Unionsrecht für kommerzielle Kommunikation garantiert. Ob § 25 TDDDG zugleich eine Marktverhaltensregel nach § 3a UWG ist, muss dafür nicht entschieden werden.
Reicht ein Cookie-Banner mit „Alle akzeptieren“ als Einwilligung in Tracking?+
Nur, wenn der Nutzer vor dem Klick klar und umfassend erfährt, welche Daten erfasst werden, wie lange die eingesetzten Kennungen wirken, zu welchem Zweck und an welche Empfänger die Daten gehen. Allgemeine Formulierungen wie „bestes Erlebnis“ oder „Personalisierung von Werbung“ decken keine fortlaufende Protokollierung des Nutzungsverhaltens mit Zuordnung zu Name und E-Mail-Adresse. Außerdem muss der Betreiber dokumentieren können, dass der konkrete Nutzer den Banner zum maßgeblichen Zeitpunkt tatsächlich bestätigt hat.
Darf ein Onlineshop das Öffnen von Newsletter-E-Mails tracken?+
Nur mit vorheriger informierter Einwilligung des Empfängers. Zählpixel greifen auf den E-Mail-Client und damit auf die Endeinrichtung zu; das fällt unter § 25 Abs. 1 TDDDG. Ein Satz im Newsletter-Formular, die Daten würden zur „Erfolgsmessung“ genutzt, informiert nicht über ein personenbezogenes Öffnungsprotokoll, das mit Website-Besuchen und Warenkörben zu einem Profil verknüpft wird. Und er hilft nur gegenüber Personen, die den Newsletter nachweislich abonniert haben.
Wer muss beweisen, dass eine Einwilligung in das Tracking vorliegt?+
Der Website- oder Shopbetreiber. Er nimmt die Speicherung vor und muss deshalb darlegen und im Eilverfahren glaubhaft machen, dass der betroffene Nutzer auf klarer und umfassender Informationsgrundlage eingewilligt hat. Ein Screenshot des aktuellen Cookie-Banners genügt dafür nicht, wenn es um Tracking in einem früheren Zeitraum geht. Praktisch braucht es ein Consent-Log mit Zeitpunkt, angezeigtem Text und Erklärung des jeweiligen Nutzers.
Können Mitbewerber Datenschutzverstöße abmahnen?+
Ja. Der EuGH hat in der Sache Lindenapotheke (Az. C-21/23) bestätigt, dass die DSGVO einer lauterkeitsrechtlichen Verfolgung durch Wettbewerber nicht entgegensteht; der BGH hat das in App-Zentrum III übernommen. Im Einzelfall ist zu prüfen, auf welche Anspruchsgrundlage sich der Verstoß stützen lässt – § 3a UWG mit der Marktverhaltensregel-Frage oder, wie beim LG Köln, § 5a Abs. 1, § 5b Abs. 4 UWG wegen vorenthaltener Informationen. Voraussetzung ist stets ein konkretes Wettbewerbsverhältnis.
Ist Tracking ohne Einwilligung strafbar?+
Es kann strafbar sein. Nach § 42 Abs. 2 Nr. 1 BDSG droht bis zu zwei Jahre Freiheitsstrafe oder Geldstrafe, wenn nicht allgemein zugängliche personenbezogene Daten ohne Berechtigung verarbeitet werden und der Handelnde dabei sich oder einen anderen bereichern will. Bei Marketing-Tracking liegt die Bereicherungsabsicht auf der Hand, weil die Profile der Umsatzsteigerung dienen. Die Tat wird nur auf Antrag verfolgt; antragsberechtigt ist unter anderem die betroffene Person, nicht der Mitbewerber. Der Antrag muss binnen drei Monaten ab Kenntnis von Tat und Täter gestellt werden (§ 77b StGB).
Weiterführende Informationen
- Verfolgung von Wettbewerbsverstößen
- Datenschutz & DSGVO
- Unerlaubte Werbung stoppen – Spam, Cold Calls & Fax
- Abmahnungen & einstweilige Verfügungen abwehren
