/TDDDG (im Folgenden nur:
) ausgegangen. a) § 25
ist Schutznorm im Sinne von § 823 II BGB. Gemäß §§ 823 Abs. 2 S. 1, 1004 BGB ist derjenige zur Unterlassung verpflichtet, welcher gegen ein den Schutz eines anderen bezweckenden Gesetzes verstößt, wobei die für den zukunftsgerichteten Unterlassungsanspruch erforderliche Wiederholungsgefahr durch den einmal erfolgten Verstoß indiziert wird. Schutzgesetz i.S.v. § § 823 Abs. 2 BGB ist eine Rechtsnorm, die nicht nach ihrer Wirkung, sondern allein nach ihrem Zweck und ihrem Inhalt zumindest auch dazu dienen soll, den Einzelnen oder einzelne Personenkreise gegen die Verletzung eines bestimmten Rechtsguts zu schützen (stRspr.: BGH NJW 2022, 3156 Rn. 9 m.w.N.). Nach §§ 25 Abs. 1, 2 Abs. 1
, 1 TMG ist es jedem Anbieter von elektronischen Informations- und Kommunikationsdiensten in Deutschland verboten, Informationen in der Endeinrichtung eines Endnutzers zu speichern oder auf diese Informationen zuzugreifen, wenn nicht der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Vorschrift stellt die Umsetzung von Art. 2 Ziff. 5 der Richtlinie 2009/136/EG, der sog. Cookie-Richtlinie. Gemäß Erwägungsgrund 66 der Richtlinie kann das Speichern von Informationen auf den Endeinrichtungen eines Nutzers von legitimen Gründen wie bei manchen Arten von Cookies bis hin zum unberechtigten Eindringen in die Privatsphäre reichen. Daher sei es von größter Wichtigkeit, dass den Nutzern klare und verständliche Informationen bereitgestellt würden, wenn sie irgendeine Tätigkeit ausführen würden, die zu einer solchen Speicherung führen könnten. Die Vorschrift des § 25 Abs. 1
dient folglich ihrem wortlautmäßigen Inhalt nach und nach ihrem Zweck nicht nur „zumindest auch“, sondern ausschließlich dem Schutz der Privatsphäre des Endnutzers und letztendlich dem Grundrecht auf informationelle Selbstbestimmung. b) Entgegen der Auffassung der Verfügungsbeklagten schließt das
einen Unterlassungsanspruch nach bürgerlichem Recht nicht aus. Der Umstand, dass im 4. Teil des
Verstöße lediglich mit Straf- und Bußgeldvorschriften sanktioniert sind und lediglich Zuständigkeiten und Befugnisse des Bundesdatenschutzbeauftragten und der Bundesnetzagentur geregelt werden, schließt privatrechtliche Ansprüche und Rechtsbehelfe nicht aus. Die Cookie-Richtlinie verlangt nämlich zu ihrer Umsetzung wirksame, verhältnismäßige und abschreckende Sanktionen einschließlich strafrechtlicher Sanktionen. Außerdem verlangt sie, dass die zuständigen nationalen Behörden und andere nationale Stellen mit ausreichenden Befugnissen ausgestattet werden, um Verstöße zu ahnden. Dies schließt anderweitige gerichtliche Rechtsbehelfe jedoch nicht aus. Soweit die Verfügungsbeklagte eine Sperrwirkung des Art. 79 DSGVO annimmt, kann dahinstehen, ob diese überhaupt existiert. Die h.M. jedenfalls lässt einen Unterlassungsanspruch aus § 1004 BGB insoweit zu (vgl. die Nachweise bei Kühling/Buchner/Bergt, 4. Aufl. 2024, DS-GVO Art. 79 Rn. 1). Eine umfassende Sperrwirkung für alle datenschutzrechtlichen Fragestellungen lässt sich hieraus nicht ablesen. Art. 95 DSGVO sorgt für eine strikte Trennung zwischen ePrivacy-RL und DSGVO, da grundsätzlich keine zusätzlichen datenschutzrechtlichen Pflichten in das
herüberschwappen. Und in umgekehrter Richtung verweist § 25 Abs. 1 S. 2
ausschließlich auf das datenschutzrechtliche Einwilligungsregime, ohne bspw. datenschutzrechtliche Rollenbilder zu übernehmen (Gierschmann/Baumgartner/Hanloser, 1. Aufl. 2023,
37) c) Die Verfügungsklägerin hat durch ihre eidesstattliche Versicherung glaubhaft gemacht, dass sie aus dem Geltungsbereich des
heraus die Seitenaufrufe getätigt hat. Das
knüpft in § 1 III hierbei alternativ an das Bestehen einer Niederlassung, die Erbringung bzw. die Mitwirkung an der Erbringung von Dienstleistungen oder die Bereitstellung von Waren auf dem Markt im Geltungsbereich des
an. Zugleich bringt die Bestimmung des Abs. 3 S. 2, wonach § 3 TMG unberührt bleibt, einen vom Gesetzgeber angestrebten Vorrang des Herkunftslandprinzips zum Ausdruck (vgl. BT-Drs. 19/27441, 34). Die Bedeutung der Anordnungen des Abs. 3 S. 1 ist in diesem Lichte zu betrachten. Die zweite und die dritte Alternative der Vorschrift sollen ausweislich der Gesetzesbegründung die Geltung des Marktortprinzips nach dem Vorbild der DS-GVO bewirken (BT-Drs. 19/27441, 34). Dieses gilt - worauf der Gesetzgeber zu Recht hinweist - für die Verarbeitung personenbezogener Daten ohnehin; da das
jedoch nicht ausschließlich Regelungen zur Verarbeitung personenbezogener Daten enthält, soll das Marktortprinzip auch im Übrigen Geltung beanspruchen. Dass die Verfügungsbeklagte auf dem deutschen Markt Dienstleistungen anbietet, ist unstreitig. Die Geltung des
wird jedoch durch das Territorialitätsprinzip begrenzt. Es kann dahinstehen, wie sich auswirken würde, wenn für die Verfügungsbeklagte bei dem Seitenaufruf durch die Verfügungsklägerin nicht erkennbar gewesen wäre, ob ein Aufruf von Deutschland aus erfolgt, etwa aufgrund der Verwendung einer VPN-Applikation mit einer ausländischen IP-Adresse. Die Verfügungsbeklagte konnte dies nämlich nicht glaubhaft machen. Während die Verfügungsklägerin grundsätzlich darlegungs- und glaubhaftmachungsbelastet für die tatbestandlichen Voraussetzungen des § 25
ist, ist die Verfügungsbeklagte als darlegungs- und glaubhaftmachungsbelastet für die Ausnahme anzusehen, dass für sie - trotz deutscher Sprachwahl - aufgrund einer ausländischen IP-Adresse nicht erkennbar gewesen sei, dass es sich um eine Nutzerin aus Deutschland gehandelt hat. Soweit der Verfügungsklägerin insoweit eine sekundäre Darlegungslast obliegen würde, ist sie dieser nachgekommen. Sie hat ausdrücklich erklärt, keine IP-Adresse verwendet zu haben. Ihr Prozessbevollmächtigter hat zudem erklärt, bei der Abfrage in der Wohnung der Verfügungsklägerin anwesend gewesen zu sein und nicht wahrgenommen zu haben, dass die Verfügungsklägerin eine VPN-Software verwendet habe. Damit hat die Verfügungsklägerin ihrer sekundären Darlegungslast genügt, so dass es nun an der Verfügungsbeklagten wäre, den Zugriff über eine VPN-Software mit ausländischer IP-Adresse zu belegen, was ihr nicht gelungen ist. Nur zur Vervollständigung sei erwähnt, dass auch der von der Verfügungsklägerin beauftragte Sachverständige im Rahmen seiner Gutachtenerstellung auf den entsprechenden Seiten eine Cookie-Setzung ohne Zustimmung nachvollzogen hat. Dass - auch - er eine VPN-Software verwendet haben soll, ist nicht erkennbar. d) Die Verfügungsbeklagte hat durch das Setzen der Cookies auf den streitgegenständlichen Seiten gegen § 25 II
verstoßen.
. Die Haftung ist nicht auf „Anbieter“ beschränkt, wie andere Verpflichtungen des
(z.B. § 19); § 25
verbietet vielmehr jedermann den Zugriff auf vernetzte Endeinrichtungen ohne die Einwilligung des Endnutzers. Der Tatbestand ist durch die Begriffe „Speicherung“ und „Zugriff“ rein verhaltensbezogen formuliert. Normadressat des Verbots aus § 25 und zugleich Einwilligungsadressat in den Fällen des Abs. 1 bzw. gesetzlich Zugriffsermächtigter in den Fällen des Abs. 2 ist der Akteur, der die konkrete Speicher- oder Zugriffshandlung beabsichtigt. Das kann der Anbieter eines Telemediendienstes sein, ebenso aber auch andere wie Zugriffsinteressierte unabhängig von ihren Motiven. Das Verbot adressiert auch und insbesondere Gefahren wie etwa eingeschleuste Spähsoftware oder Viren (Erwgr. 66 S. 1 RL (EG) 2009/136 (Cookie-RL)), die üblicherweise nicht von Telemedienangeboten ausgehen (Gierschmann/Baumgartner/Hanloser, 1. Aufl. 2023,
42; HK-
/Schneider, 1. Aufl. 2022,
17) Im Übrigen wäre die Verfügungsbeklagte auch als „Anbieterin “ im Sinne von § 2 Nr. 1
anzusehen. Danach ist „Anbieter von Telemedien“ jede natürliche oder juristische Person, die eigene oder fremde Telemedien erbringt, an der Erbringung mitwirkt - wobei der Begriff des „Mitwirkenden“ wohl alle Arten von Hilfeleistung erfassen soll (HK-
/Assion, 1. Aufl. 2022,
16-18) - oder den Zugang zur Nutzung von eigenen oder fremden Telemedien vermittelt. Abs. 2 Nr. 1 liegt ein funktionales Verständnis zugrunde, welches in der Praxis zu einem sehr weiten Anwendungsbereich des
führt (Gierschmann/Baumgartner/Baumgartner, 1. Aufl. 2023,
13), so z.B. auch der Hosting Provider. Daher ist auch die Verfügungsbeklagte als Anbieterin anzusehen, da sie an der Erbringung der Telemedien der Seitenbetreiber durch die Setzung der Cookies mitwirkt. e) Für diese Rechtsverletzung haftet die Verfügungsbeklagte auch als Täterin. Auf die Kriterien für eine Verantwortlichkeit für das Verhalten Dritter kommt es nicht an. Die Frage, ob sich jemand als Täter, Mittäter, Anstifter oder Gehilfe in einer die zivilrechtliche Haftung begründenden Weise an einer deliktischen Handlung eines Dritten beteiligt hat, beurteilt sich nach den im Strafrecht entwickelten Rechtsgrundsätzen (vgl. BGH GRUR 2011, 152, Rn. 30 - Kinderhochstühle im Internet I; GRUR 2011, 1018, Rn. 24 - Automobil-Onlinebörse; Urt. v. 18.06.2014, I ZR 242/12, Rn.13 - Geschäftsführerhaftung). Täter ist derjenige, der die Zuwiderhandlung selbst begeht (§§ 25 I StGB, 830 I 1 BGB; BGH GRUR 2004, 860 - Internet-Versteigerung I, m.w.Nachw.; GRUR 2007, 708 - Internet-Versteigerung II; GRUR 2009, 597, Rn. 14 - Halzband; GRUR 2011, 152, 154, Rn. 30 - Kinderhochstühle im Internet; Urt. v. 18.06.2014, I ZR 242/12, Rn.13 - Geschäftsführerhaftung), indem er den objektiven Tatbestand einer Zuwiderhandlung selbst, adäquat kausal verwirklicht (BGH, Urt. v. 03.03.2016, I ZR 110/15, Rn. 32 - Herstellerpreisempfehlung bei Amazon m.w.N.). Nach dem bereits erstinstanzlich unbestritten gebliebenen Vortrag der Verfügungsklägerin ist es die Verfügungsbeklagte, die die Informationen in Form von Cookies auf den Endeinrichtungen der Nutzer auch ohne deren Einwilligung speichert, sobald die entsprechende Anforderung durch den von ihr bereit gestellten Programmcode auf der vom Nutzer besuchten Internetseite ausgelöst wird. Darüber hinaus greift sie - was ebenfalls erstinstanzlich unstreitig geblieben ist - auf die hinterlegten Informationen zu, indem sie sich diese von den Betreibern der Internetseiten zur Verfügung stellen lässt, nachdem diese die Informationen über die weiteren Webseitenbesuche des Nutzers auf den Endgeräten ausgelesen haben. Die Verfügungsbeklagte kann nicht damit gehört werden, dass ihr der Umstand nicht ursächlich zugerechnet werden könne, dass Webseitenbetreiber entgegen der Allgemeinen Geschäftsbedingungen der Verfügungsbeklagten das Setzen von Cookies ohne Zustimmung des Endnut-zers haben veranlassen lassen. Die Verfügungsbeklagte hat die Speicherung der Cookies ohne Endnutzereinwilligung adäquat kausal verwirklicht. Es fehlt auch nicht an der Adäquanz. Das Kriterium der Adäquanz dient im Rahmen der Feststellung des Zurechnungszusammenhangs dem Zweck, diejenigen Kausalverläufe auszugrenzen, die dem Verletzer billigerweise nicht mehr zugerechnet werden können. Im Deliktsrecht besteht ein adäquater Zusammenhang zwischen Tatbeitrag und Taterfolg, wenn eine Tatsache im Allgemeinen und nicht nur unter besonders eigenartigen, ganz unwahrscheinlichen und nach regelmäßigem Verlauf der Dinge außer Betracht zu lassenden Umständen zur Herbeiführung eines Erfolges geeignet ist. Hieran kann es fehlen, wenn der Verletzte oder ein Dritter in völlig ungewöhnlicher und unsachgemäßer Weise in den schadensträchtigen Geschehensablauf eingreift und eine weitere Ursache setzt, die den Schaden erst endgültig herbeiführt. Bei der Ermittlung der Adäquanz ist auf eine nachträgliche Prognose abzustellen, bei der neben den dem Verletzer bekannten Umständen alle einem optimalen Betrachter zur Zeit des Eintritts des Schadensereignisses erkennbaren Gegebenheiten zu berücksichtigen sind (BGH, GRUR 2016, 961, Rnr. 34 - Herstellerpreisempfehlung bei Amazon m.w.N.). Dass es sich bei dem Setzen von Cookies ohne Einwilligung des Endnutzers auf den Webseiten Dritter keineswegs um einen besonders eigenartigen, ganz unwahrscheinlichen und nach dem regelmäßigen Verlauf der Dinge außer Betracht zu lassenden Umstand handelt, zeigt sich schon daran, dass sich die Verfügungsbeklagte damit in ihren Allgemeinen Geschäftsbedingungen ausdrücklich und eingehend befasst. Allerdings handelt es sich bei der fehlenden Einwilligung des Endnutzers, die erst den Verstoß gegen § 25 Abs. 1
begründet, um ein negatives Tatbestandsmerkmal, das sich nicht durch ein positives Tun der Verfügungsbeklagten verwirklicht, sondern allein dadurch, dass sie selbst die Einholung der Einwilligung unterlässt und sich darauf verlässt, dass die jeweiligen Webseiten-Betreiber diese Einwilligung ordnungsgemäß eingeholt haben. Besteht das dem Verletzer vorgeworfene Verhalten in einem solchen Unterlassen, ist im Rahmen der normativ-kausalen Zurechnung zu fragen, ob eine pflichtgemäße Handlung den Eintritt der Rechtsgutsverletzung verhindert hätte (vgl. BGH, GRUR 2021, 1303, Rnr. 27 - Die Filsbacher). Das ist hier der Fall. Denn nach der aus der Formulierung des § 25 Abs. 1
herzuleitenden und in Art. 7 Abs. 1 DSGVO ausdrücklich geregelten Darlegungs- und Beweislastverteilung muss die Verfügungsbeklagte nachweisen, dass der Endnutzer vor der Speicherung der Cookies auf seinem Endgerät eingewilligt hat. Wie die Verfügungsbeklagte diesen Nachweis führen möchte, ist zunächst ihre Sache. Jedenfalls aber hat die Regelung über die Verteilung der Darlegungs- und Beweislast zur Folge, dass sie sicherstellen muss, dass ihr die Einwilligung des Endnutzers vom Webseitenbetreiber übermittelt wird, bevor sie ihre Cookies auf dem Gerät des Endnutzers speichert. Dadurch dass sie dieses pflichtgemäße Handeln unterlässt, verwirklicht sie den Verstoß gegen § 25 Abs. 1
adäquat-kausal. Ob der Verfügungsbeklagten ein solches pflichtgemäßes Verhalten durch entsprechende technische Vorkehrungen möglich ist, ist für die rechtliche Beurteilung des vorliegenden Falls irrelevant. Die Verfügungsbeklagten selbst erkennt, dass die Frage des technisch Möglichen allenfalls im Rahmen der Störerhaftung eine Rolle spielen kann, auf die es hier nicht ankommt. Im Übrigen ist schon nicht nachvollziehbar, wieso es der Verfügungsbeklagten nicht möglich sein soll, ihre Cookies erst dann auf den Endgeräten von Nutzern abzuspeichern, wenn ihr dessen Einwilligung übersandt worden ist. Hinzu kommt, dass der Gesetzgeber in § 26
davon ausgeht, dass Dienste zur Einwilligungsverwaltung technisch und rechtlich möglich sind. Selbst wenn solche Dienste noch nicht existieren sollten, lässt das die Anforderungen des § 25 Abs. 1
jedoch unberührt. 3. Es fehlt auch nicht an einem Verfügungsgrund. Ihm steht insbesondere nicht entgegen, dass die Umsetzung der Unterlassungsverpflichtung für die Verfügungsbeklagte mit erheblichem Aufwand verbunden ist.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.