Cookie-Banner auf der Website: Wer haftet bei Fehlern von Drittanbietern?

Cookie-Banner werden häufig als technisches Detail behandelt: Man kauft ein Consent-Tool ein, bindet ein Skript ein, passt Farben und Texte an – und geht davon aus, dass damit die rechtlichen Anforderungen erledigt sind. Genau an dieser Stelle entstehen jedoch viele Missverständnisse. Denn ein externer Anbieter kann die technische Umsetzung erleichtern, die Verantwortung für den Einsatz auf der eigenen Website verschwindet dadurch aber nicht automatisch.

Für Website-Betreiber ist das besonders heikel, weil Fehler im Cookie-Banner oft nicht sofort auffallen. Ein Tracking-Dienst lädt schon vor der Einwilligung. Die Ablehnen-Schaltfläche ist schwerer erreichbar als die Zustimmen-Schaltfläche. Ein Widerruf ist möglich, aber nur über mehrere Umwege. Oder das Banner dokumentiert Einwilligungen nicht sauber. In solchen Fällen stellt sich schnell die Frage: Wer haftet, wenn die Ursache beim Drittanbieter liegt?

Die kurze Antwort lautet: Nach außen bleibt regelmäßig der Website-Betreiber im Fokus. Datenschutzaufsichtsbehörden, Verbraucherverbände, Wettbewerber oder betroffene Nutzer wenden sich meist an denjenigen, der die Website betreibt und die Datenverarbeitung veranlasst. Ob der Anbieter des Cookie-Banners intern für Fehler einstehen muss, ist eine zweite Frage. Sie hängt von Verträgen, Rollenverteilung, Leistungsbeschreibung, Verschulden und Nachweisbarkeit ab.

Der folgende Beitrag ordnet ein, welche Haftungsrisiken beim Einsatz von Cookie-Consent-Tools entstehen können, welche Pflichten beim Website-Betreiber verbleiben und wann ein Rückgriff gegen den Drittanbieter in Betracht kommt. Eine Rechtsberatung im Einzelfall ersetzt das nicht. Gerade bei datengetriebenen Geschäftsmodellen, umfangreichem Tracking oder international eingesetzten Marketingdiensten sollte die konkrete Konfiguration juristisch und technisch geprüft werden.

Warum Cookie-Banner rechtlich mehr sind als ein Design-Element

Ein Cookie-Banner ist nicht nur ein Hinweisfenster. Es soll eine rechtlich belastbare Entscheidung des Nutzers ermöglichen: zustimmen, ablehnen, auswählen und später widerrufen. Damit berührt es mehrere Ebenen. Zum einen geht es um den Zugriff auf Informationen im Endgerät, etwa durch Cookies, Pixel oder ähnliche Technologien. Zum anderen betrifft das Banner häufig personenbezogene Datenverarbeitungen, etwa wenn Analyse- oder Werbedienste Nutzerprofile bilden.

Rechtlich kommt es daher nicht allein darauf an, ob ein Banner sichtbar eingeblendet wird. Entscheidend ist, ob die konkrete Umsetzung eine informierte, freiwillige und nachweisbare Einwilligung ermöglicht, soweit eine solche erforderlich ist. Außerdem muss das Banner technisch verhindern, dass einwilligungsbedürftige Dienste bereits vor der Zustimmung aktiv werden. Ein schöner Banner-Text hilft wenig, wenn im Hintergrund schon Tracking-Skripte feuern.

Wer sich vertieft mit den Anforderungen an Gestaltung, Schaltflächen und aktuelle Rechtsprechung befassen möchte, findet hierzu eine ergänzende Übersicht im Beitrag Cookie-Banner rechtssicher gestalten – aktuelle Urteile & Anforderungen.

Kurz erklärt: Ein externes Consent-Tool kann Pflichten technisch unterstützen, ersetzt aber nicht die Verantwortung des Website-Betreibers für die eigene Datenverarbeitung.

Typische Fehler von Drittanbietern beim Consent-Management

Fehler entstehen nicht nur durch falsche Einstellungen des Website-Betreibers. Auch Anbieter von Cookie-Bannern oder Consent-Management-Plattformen können fehlerhafte Vorlagen, unklare Kategorien, unzureichende Skriptblockaden oder technische Updates mit unerwünschten Nebenwirkungen liefern. Besonders problematisch ist, dass viele Systeme stark automatisiert arbeiten. Wird ein Dienst falsch erkannt oder einer falschen Kategorie zugeordnet, kann die Einwilligungslogik in der Praxis scheitern.

Zu den häufigen Fehlerquellen gehören etwa unvollständige Scan-Ergebnisse, missverständliche Standardtexte, voreingestellte Einwilligungen, eine fehlerhafte Protokollierung oder ein Banner, das nicht barrierearm nutzbar ist. Auch Sprachversionen können abweichen: Die deutsche Fassung nennt Zwecke und Anbieter korrekt, während die englische Fassung veraltet ist. Bei international ausgerichteten Websites kann das schnell zu einem Compliance-Problem werden.

Wer ist nach außen verantwortlich?

Im Datenschutzrecht ist entscheidend, wer über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Bei einer Unternehmenswebsite ist das regelmäßig der Betreiber der Seite. Er wählt Analyse-, Marketing- oder Komfortdienste aus, entscheidet über deren Einsatz und verfolgt damit eigene Zwecke, etwa Reichweitenmessung, Werbung oder Nutzerkomfort. Der Anbieter des Cookie-Banners stellt in vielen Fällen nur die technische Infrastruktur bereit.

Das bedeutet: Kommt es zu einem Verstoß, wird die Verantwortung nach außen häufig beim Website-Betreiber liegen. Er kann sich gegenüber Betroffenen oder Behörden nicht schlicht darauf berufen, der Dienstleister habe eine fehlerhafte Software geliefert. Wer personenbezogene Daten verarbeitet oder verarbeiten lässt, muss die eingesetzten Systeme prüfen, angemessen konfigurieren und dokumentieren. Das gilt auch dann, wenn die technische Detailarbeit ausgelagert wurde.

Anders kann die Bewertung ausfallen, wenn der Drittanbieter eigene Zwecke verfolgt oder über wesentliche Mittel der Verarbeitung mitentscheidet. Dann kann eine eigene Verantwortlichkeit oder unter Umständen eine gemeinsame Verantwortlichkeit in Betracht kommen. Das ist jedoch keine automatische Folge des Tool-Einsatzes. Es hängt davon ab, was der Anbieter konkret tut: Speichert er nur Einwilligungsnachweise im Auftrag? Oder nutzt er Daten selbst, etwa zur Produktverbesserung, Analyse oder für eigene kommerzielle Zwecke?

Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsam verantwortlich?

Die rechtliche Rolle des Drittanbieters ist für die Haftungsfrage zentral. Viele Consent-Management-Anbieter treten als Auftragsverarbeiter auf. Dann verarbeiten sie personenbezogene Daten nur nach Weisung des Website-Betreibers, etwa zur Speicherung von Consent-IDs, Zeitstempeln oder Präferenzen. In solchen Fällen braucht es regelmäßig einen Vertrag zur Auftragsverarbeitung. Der Betreiber muss zudem prüfen, ob der Anbieter geeignete technische und organisatorische Maßnahmen bietet.

Es gibt aber Konstellationen, in denen der Anbieter nicht nur weisungsgebunden handelt. Nutzt er Daten für eigene Zwecke oder bestimmt er selbst über wesentliche Verarbeitungsschritte, kann er eigenständig verantwortlich sein. Möglich ist auch eine gemeinsame Verantwortlichkeit, wenn Betreiber und Anbieter gemeinsam über Zwecke und Mittel entscheiden. Solche Rollen müssen sauber eingeordnet werden, weil davon Informationspflichten, Vertragsgestaltung und Haftungsrisiken abhängen.

Diese Einordnung sollte nicht allein aus Marketingunterlagen übernommen werden. Maßgeblich sind die tatsächlichen Datenflüsse, die technische Architektur und die vertraglichen Regelungen. Ein Anbieter kann sich zwar als „Processor“ bezeichnen, dennoch können einzelne Funktionen anders zu bewerten sein, wenn sie über eine rein weisungsgebundene Verarbeitung hinausgehen.

Haftung gegenüber Nutzern, Behörden und Wettbewerbern

Fehlerhafte Cookie-Banner können mehrere rechtliche Folgen auslösen. Betroffene Nutzer können sich beschweren, Auskunft verlangen oder unter bestimmten Voraussetzungen Ansprüche geltend machen. Datenschutzaufsichtsbehörden können die Verarbeitung prüfen und Maßnahmen anordnen. In manchen Konstellationen kommen auch wettbewerbsrechtliche Auseinandersetzungen oder Unterlassungsforderungen in Betracht, etwa wenn ein rechtswidriger Tracking-Einsatz als Marktverhalten beanstandet wird.

Ob tatsächlich eine Geldbuße, Schadensersatzpflicht oder Unterlassungspflicht entsteht, hängt vom Einzelfall ab. Relevant sind unter anderem Art und Umfang der Verarbeitung, die Zahl der betroffenen Nutzer, die Schwere des Fehlers, die Reaktion des Betreibers und die Dokumentation der getroffenen Maßnahmen. Eine kleine technisch bedingte Fehlfunktion wird anders zu bewerten sein als ein bewusst eingesetztes Banner, das Nutzer gezielt zur Zustimmung drängt.

Wichtig ist außerdem: Ein Drittanbieterfehler entlastet den Betreiber nicht automatisch. Wer eine Website betreibt, muss angemessene organisatorische und technische Vorkehrungen treffen. Dazu gehört, dass das Banner nach Einrichtung getestet wird, dass Updates beobachtet werden und dass neue Tools nicht ohne erneute Prüfung eingebunden werden. Je stärker eine Website auf Tracking, Retargeting oder personalisierte Werbung setzt, desto sorgfältiger muss die Consent-Struktur kontrolliert werden.

Interne Haftung: Kann der Betreiber den Anbieter in Regress nehmen?

Wenn ein Drittanbieter einen Fehler verursacht, stellt sich nach der Außenhaftung die interne Frage: Kann der Website-Betreiber Ersatz verlangen? Dafür ist vor allem der Vertrag mit dem Anbieter entscheidend. Enthält er konkrete Leistungszusagen? Wurde eine bestimmte Rechtskonformität garantiert? Gibt es Service-Level, Prüfpflichten oder Haftungsbeschränkungen? Wurde der Anbieter über die konkret eingesetzten Dienste informiert?

In Betracht kommen vertragliche Ansprüche, etwa wenn der Anbieter eine geschuldete Leistung mangelhaft erbracht hat. Für allgemeine zivilrechtliche Grundlagen ist das Bürgerliche Gesetzbuch maßgeblich, insbesondere bei Fragen zu Pflichtverletzungen, Schäden und vertraglicher Haftung. Ob ein Anspruch besteht, lässt sich aber nicht pauschal beantworten. Viele Verträge begrenzen die Haftung, schließen bestimmte Folgeschäden aus oder verpflichten den Kunden zur eigenen Prüfung der Einstellungen.

Ein Regress wird außerdem nur gelingen, wenn der Fehler nachweisbar auf den Anbieter zurückgeht. Genau daran scheitert es in der Praxis häufig. Hat der Betreiber das Banner falsch konfiguriert, neue Skripte ohne Anpassung eingebunden oder Anbieterinformationen nicht aktualisiert, kann der Drittanbieter einwenden, dass der Fehler außerhalb seines Verantwortungsbereichs lag. Umgekehrt spricht mehr für eine Haftung des Anbieters, wenn ein Update nachweislich die Einwilligungslogik zerstört oder ein vertraglich zugesagtes Blocking nicht funktioniert hat.

Warum Haftungsbeschränkungen genau gelesen werden sollten

Viele Consent-Tool-Verträge enthalten Haftungsbeschränkungen. Sie können etwa die Haftung auf Vorsatz und grobe Fahrlässigkeit begrenzen, den Ersatz mittelbarer Schäden ausschließen oder die Haftung der Höhe nach auf Jahresgebühren deckeln. Ob solche Klauseln wirksam sind, hängt von der Vertragsart, den Umständen und den gesetzlichen Grenzen ab. Besonders bei Standardbedingungen sind pauschale Haftungsausschlüsse nicht beliebig möglich.

Für Website-Betreiber ist entscheidend, die wirtschaftliche Realität zu sehen: Ein günstiges Standard-Tool mit stark begrenzter Anbieterhaftung kann im Ernstfall nur wenig Schutz bieten. Wer umfangreiche Marketing-Technik einsetzt oder hohe Risiken trägt, sollte prüfen, ob ein individueller Vertrag, eine klarere Leistungsbeschreibung oder ergänzende Zusicherungen erforderlich sind.

Welche Pflichten bleiben beim Website-Betreiber?

Der Einsatz eines Drittanbieters verlagert Arbeit, aber nicht jede Verantwortung. Betreiber müssen zunächst wissen, welche Dienste auf ihrer Website laufen. Das klingt banal, ist aber bei gewachsenen Websites oft schwierig: Alte Tracking-Skripte, eingebundene Karten, Videos, Social-Media-Plugins, Chat-Tools oder A/B-Testing-Dienste können über Jahre hinzugekommen sein. Ohne vollständige Bestandsaufnahme lässt sich kein Consent-Banner korrekt konfigurieren.

Danach müssen die Dienste rechtlich und technisch eingeordnet werden. Nicht jeder Cookie ist einwilligungsbedürftig, aber viele Analyse- und Marketingdienste sind es. Das Banner muss die Kategorien verständlich beschreiben, Anbieter und Zwecke transparent machen und eine echte Wahl ermöglichen. Auch der Widerruf darf nicht versteckt werden. Wer Nutzer zur Zustimmung drängt oder Ablehnen unnötig erschwert, erhöht sein Risiko.

Zu den Betreiberpflichten gehört außerdem die laufende Kontrolle. Websites verändern sich. Plugins werden aktualisiert, neue Kampagnen starten, Agenturen binden Tools ein, Consent-Anbieter ändern ihre Oberfläche. Ein einmal eingerichtetes Banner kann deshalb nach einigen Monaten schon nicht mehr passen. Sinnvoll sind feste Prüfintervalle, etwa nach größeren Website-Updates, nach dem Einbau neuer Dienste und nach Änderungen beim Consent-Tool.

Agentur, Webdesigner oder Hosting-Anbieter: Wer trägt welches Risiko?

Neben spezialisierten Consent-Anbietern sind häufig Agenturen, Webdesigner oder Hosting-Dienstleister beteiligt. Auch hier gilt: Nach außen wird regelmäßig der Website-Betreiber angesprochen. Intern kommt es darauf an, wer welche Aufgabe übernommen hat. Hat eine Agentur nur das Design umgesetzt, haftet sie nicht automatisch für die juristische Bewertung der Cookie-Kategorien. Hat sie dagegen ausdrücklich eine datenschutzkonforme Einrichtung geschuldet, kann die Lage anders aussehen.

Besonders wichtig ist eine klare Aufgabenverteilung. Wer pflegt neue Dienste ein? Wer prüft, ob Skripte vor Einwilligung blockiert sind? Wer aktualisiert Datenschutzhinweise? Wer reagiert auf Hinweise von Nutzern oder Behörden? Je unklarer diese Zuständigkeiten sind, desto größer ist das Risiko, dass Fehler unentdeckt bleiben und sich im Streitfall niemand verantwortlich fühlen will.

Auch Parallelen zu anderen Haftungsfragen zeigen: Nach außen erscheint oft eine einfache Frage – wer haftet? Die Antwort hängt jedoch von Verantwortungsbereichen und Vertragsbeziehungen ab. Ähnlich ist es etwa bei anderen Konstellationen, in denen mehrere Beteiligte eine Rolle spielen, wie der Beitrag Paket im Hausflur verschwunden: Wer haftet – Händler, Paketdienst oder Nachbar? zeigt.

Dokumentation: Der unterschätzte Schutz im Streitfall

Wer später erklären muss, warum ein Cookie-Banner auf eine bestimmte Weise eingerichtet wurde, braucht Unterlagen. Dazu gehören die Liste der eingesetzten Dienste, die rechtliche Einordnung, Screenshots der Banner-Oberfläche, Versionen der Texte, technische Testergebnisse und Verträge mit Dienstleistern. Auch Änderungen sollten nachvollziehbar dokumentiert werden.

Diese Dokumentation verhindert keinen Fehler. Sie kann aber zeigen, dass der Betreiber seine Pflichten ernst genommen hat. Das kann bei behördlichen Prüfungen, internen Regressforderungen oder Auseinandersetzungen mit Dienstleistern hilfreich sein. Ohne Dokumentation bleibt oft nur eine nachträgliche Rekonstruktion – und die ist gerade bei dynamischen Websites schwierig.

Technische Tests: Was Betreiber selbst prüfen sollten

Rechtliche Anforderungen lassen sich nur erfüllen, wenn die Technik mitzieht. Betreiber sollten deshalb nicht allein auf die Anzeige des Banners achten, sondern auf das Verhalten der Website vor und nach der Einwilligung. Werden Marketing- und Analyse-Skripte wirklich blockiert? Ändert sich das Verhalten nach Ablehnung? Funktioniert der Widerruf? Werden Einwilligungen korrekt gespeichert und nicht unnötig lange vorgehalten?

Hilfreich sind Tests in unterschiedlichen Browsern, auf mobilen Geräten und nach dem Löschen vorhandener Cookies. Auch der Inkognito-Modus kann erste Hinweise geben. Für eine belastbare Prüfung können technische Tools oder externe Audits sinnvoll sein. Wichtig ist aber: Ein automatischer Scan ersetzt keine rechtliche Bewertung der Zwecke, Texte und Entscheidungswege.

Was tun, wenn ein Fehler entdeckt wird?

Wird ein Fehler im Cookie-Banner festgestellt, sollte der Betreiber nicht abwarten. Zunächst muss der technische Zustand gesichert werden: Welche Skripte waren betroffen? Seit wann bestand der Fehler? Welche Nutzergruppen oder Seiten waren einbezogen? Danach sollte die fehlerhafte Funktion deaktiviert oder korrigiert werden. Bei schwerwiegenden Fällen kann es erforderlich sein, weitere rechtliche Schritte zu prüfen, etwa interne Meldungen, Kommunikation mit Dienstleistern oder die Bewertung möglicher Betroffenenrechte.

Parallel sollte der Drittanbieter informiert und zur Stellungnahme aufgefordert werden. Wichtig ist, Fristen zu setzen und Belege zu sichern, etwa Protokolle, Screenshots, Versionsstände und Support-Tickets. Wer später Regress nehmen möchte, muss darlegen können, worin der Fehler bestand und warum er dem Anbieter zuzurechnen ist.

Bei erheblichen Datenschutzrisiken sollte juristischer Rat eingeholt werden. Ob eine Meldung an eine Aufsichtsbehörde erforderlich ist, hängt von der konkreten Datenverarbeitung und dem Risiko für Betroffene ab. Pauschale Aussagen wären hier unseriös, weil ein bloßer Konfigurationsfehler anders zu bewerten sein kann als ein umfangreiches, unzulässiges Tracking über längere Zeit.

Verträge mit Drittanbietern: Welche Punkte besonders wichtig sind

Der Vertrag mit dem Consent-Anbieter sollte nicht nur Preis, Laufzeit und Kündigung regeln. Für die Haftungsfrage sind konkrete Leistungsinhalte entscheidend. Dazu gehört, welche Funktionen das Tool übernimmt, welche Dienste es automatisch erkennt, ob Skripte tatsächlich blockiert werden und welche Mitwirkungspflichten beim Kunden liegen. Je klarer die Pflichten beschrieben sind, desto leichter lässt sich später beurteilen, wer einen Fehler zu verantworten hat.

Auch Datenschutzunterlagen sollten geprüft werden. Wenn der Anbieter personenbezogene Daten im Auftrag verarbeitet, braucht es eine passende Vereinbarung zur Auftragsverarbeitung. Werden Unterauftragnehmer eingesetzt, sollte transparent sein, welche Dienstleister beteiligt sind und wo Daten verarbeitet werden. Allgemeine Gesetzestexte sind über Gesetze im Internet abrufbar; für die praktische Umsetzung ersetzen sie jedoch keine Vertragsprüfung.

Sinnvoll sind außerdem Regelungen zu Support, Reaktionszeiten, Sicherheitsupdates, Benachrichtigungspflichten bei Fehlern und zur Herausgabe von Protokollen. Gerade bei einem Tool, das die Rechtmäßigkeit nachgelagerter Datenverarbeitungen absichern soll, ist schnelle Reaktion wichtig. Ein Anbieter, der erst nach Wochen auf kritische Fehler reagiert, kann für den Betreiber ein erhebliches Risiko darstellen.

Fazit: Drittanbieter entlasten technisch, aber nicht automatisch rechtlich

Ein Cookie-Consent-Tool kann Website-Betreibern viel Arbeit abnehmen. Es kann Einwilligungen strukturieren, Präferenzen speichern, Skripte blockieren und Nachweise bereitstellen. Trotzdem bleibt der Betreiber der Website regelmäßig derjenige, der nach außen erklären muss, warum bestimmte Dienste eingesetzt werden und auf welcher Grundlage Daten verarbeitet werden. Ein fehlerhaftes Drittanbieter-Tool ist daher kein Freibrief.

Die eigentliche Haftungsfrage verläuft auf zwei Ebenen. Gegenüber Nutzern, Behörden oder Anspruchstellern steht meist der Website-Betreiber im Mittelpunkt. Intern kann ein Anspruch gegen den Anbieter bestehen, wenn dieser vertragliche Pflichten verletzt oder eine zugesagte Funktion mangelhaft erbracht hat. Ob das gelingt, hängt von Vertrag, Rollenverteilung, technischen Nachweisen und den konkreten Umständen ab.

Praktisch bedeutet das: Betreiber sollten Cookie-Banner nicht nur einkaufen, sondern aktiv verwalten. Dazu gehören eine Bestandsaufnahme aller Dienste, eine saubere Konfiguration, regelmäßige technische Tests, klare Verträge und eine nachvollziehbare Dokumentation. Wer diese Punkte ernst nimmt, reduziert nicht jedes Risiko, steht im Streitfall aber deutlich besser da als jemand, der sich allein auf ein Anbieter-Versprechen verlassen hat.

FAQ: Häufige Fragen zur Haftung bei fehlerhaften Cookie-Bannern

Die folgenden Antworten geben eine allgemeine Orientierung. Ob im konkreten Fall Ansprüche, Pflichten oder Meldeerfordernisse bestehen, hängt von der tatsächlichen Website-Konfiguration und den Vertragsunterlagen ab.

Haftet immer der Website-Betreiber, wenn das Cookie-Banner falsch funktioniert?

Nicht immer in jedem denkbaren Verhältnis, aber nach außen steht der Website-Betreiber häufig im Fokus. Er entscheidet regelmäßig über den Einsatz von Tracking-, Analyse- oder Marketingdiensten. Intern kann er unter Umständen Ansprüche gegen den Drittanbieter prüfen, wenn der Fehler auf dessen Leistung zurückzuführen ist.

Kann ein Consent-Anbieter vertraglich jede Haftung ausschließen?

Ein vollständiger Haftungsausschluss ist nicht grenzenlos möglich. Viele Anbieter begrenzen ihre Haftung jedoch erheblich, etwa der Höhe nach oder für bestimmte Schadensarten. Ob eine Klausel wirksam ist, hängt von Vertrag, Kundengruppe und gesetzlichen Vorgaben ab.

Reicht es aus, ein bekanntes Cookie-Tool zu verwenden?

Nein. Auch ein verbreitetes Tool muss zur konkreten Website passen und richtig konfiguriert sein. Entscheidend ist, welche Dienste eingebunden sind, wann sie starten, wie Nutzer informiert werden und ob Zustimmung, Ablehnung und Widerruf technisch funktionieren.

Muss der Betreiber das Cookie-Banner regelmäßig prüfen?

Ja, eine regelmäßige Kontrolle ist dringend anzuraten. Websites ändern sich durch neue Plugins, Marketingkampagnen, Updates oder externe Skripte. Ein Banner, das bei Einrichtung korrekt war, kann später unvollständig oder technisch fehlerhaft sein.

Was ist der wichtigste Nachweis bei einem Streit mit dem Anbieter?

Hilfreich sind technische Protokolle, Screenshots, Support-Tickets, Versionsstände, Verträge und eine Dokumentation der Konfiguration. Ohne solche Unterlagen ist es oft schwer zu beweisen, ob der Fehler vom Anbieter, von der Agentur oder durch eigene Einstellungen verursacht wurde.