Cookie-Haftung und Datenschutz 2026: Was Praxis-Websites jetzt prüfen sollten
Ein Urteil des OLG Frankfurt (Dezember 2025) verschärft die Haftung für Cookie-Verstöße: Drittanbieter wie Google können direkt belangt werden, wenn ohne Einwilligung getrackt wird. Für Praxis-Websites ist das besonders kritisch, weil bereits der Besuch einer Gesundheitsseite als Verarbeitung von Gesundheitsdaten gilt – Google Analytics ohne Einwilligung wird damit zum konkreten Datenschutz-Risiko.
Was ist passiert?
Im Dezember 2025 hat das Oberlandesgericht Frankfurt ein Urteil gefällt, das für alle Website-Betreiber wichtig ist – und für Arztpraxen ganz besonders. Das Gericht entschied (Az. 6 U 81/23, 11. Dezember 2025): Wer auf einer Website ohne gültige Einwilligung Cookies setzt, haftet dafür direkt. Und zwar nicht nur der Praxisinhaber, sondern auch jeder technische Dienstleister, der Tracking-Tools auf der Seite betreibt.
Kurz gesagt: Ein Anbieter wie Google kann direkt haftbar gemacht werden, wenn Google Analytics auf einer Website ohne korrekte Einwilligung läuft – unabhängig davon, was im Vertrag zwischen Google und dem Website-Betreiber steht.
Was sind Cookies – und warum betrifft das meine Praxis?
Cookies sind kleine Datendateien, die im Browser Ihrer Patienten gespeichert werden, wenn diese Ihre Website besuchen. Manche sind technisch notwendig, damit die Seite überhaupt funktioniert – zum Beispiel für die Online-Terminbuchung oder eine geschützte Login-Funktion.
Andere Cookies – etwa von Google Analytics, Facebook Pixel oder eingebetteten YouTube-Videos – beobachten das Verhalten der Besucher und senden Daten an externe Server. Dazu gehören zum Beispiel:
- Welche Seiten wie lange besucht werden
- Über welche Quelle jemand auf Ihre Website gekommen ist
- Welche Endgeräte und Browser genutzt werden
Für diese nicht notwendigen Cookies braucht es eine aktive Einwilligung der Besucher – also ein Cookie-Banner, bei dem die Person bewusst Ja sagt, bevor das Tracking startet. Ein vorausgeklicktes Häkchen oder ein OK-Button, der alle Cookies auf einmal akzeptiert, reicht nicht aus.
Warum ist das für Arztpraxen besonders heikel?
Wenn jemand Ihre Website besucht – also zum Beispiel liest, welche Leistungen Sie anbieten oder Ihre Sprechstundenzeiten nachschaut – kann das als Gesundheitsdatum gelten. Das Datenschutzrecht schützt Gesundheitsdaten besonders streng, weil sie zur sensibelsten Kategorie persönlicher Daten gehören.
Das bedeutet: Wenn Google Analytics auf Ihrer Praxis-Website läuft und aufzeichnet, dass jemand Ihre Seite zu Psychotherapie, Diabetologie oder Onkologie besucht hat, verarbeitet es indirekt Gesundheitsdaten.
Datenschutzbehörden in Österreich und Frankreich haben Google Analytics aus genau diesem Grund bereits als nicht DSGVO-konform eingestuft, wenn es ohne saubere Einwilligung genutzt wird. Für Praxen in Deutschland gilt: Das Risiko ist real, und das OLG-Frankfurt-Urteil erhöht den Druck weiter.
Müssen Sie jetzt etwas tun?
Prüfen Sie kurz folgende Punkte:
- Haben Sie ein Cookie-Banner auf Ihrer Website? Falls nicht, besteht dringend Handlungsbedarf.
- Startet Google Analytics erst, nachdem jemand zugestimmt hat? Lädt es beim ersten Seitenaufruf schon automatisch, ist das ein Problem.
- Gibt es wirklich eine Wahlmöglichkeit? Ein Banner, das keine echte Ablehnen-Option zeigt, ist nicht ausreichend.
Falls Sie unsicher sind: Eine kurze technische Prüfung schafft Klarheit. Als Alternative zu Google Analytics gibt es datenschutzfreundliche Werkzeuge wie Matomo (selbst betrieben, keine Daten an Dritte) oder Plausible (europäischer Anbieter, ohne Cookies), die deutlich unkomplizierter in der DSGVO-Compliance sind.
Was kann Praxisflow konkret für Sie übernehmen?
Praxisflow prüft Ihre Praxis-Website auf Datenschutz-Konformität:
- Welche externen Dienste werden geladen?
- Ist das Cookie-Banner technisch korrekt umgesetzt?
- Lädt Google Analytics oder ein anderes Tracking-Tool erst nach aktiver Einwilligung?
Falls nicht, implementieren wir ein konformes Consent-Tool oder stellen auf eine datenschutzfreundliche Analytics-Alternative um. Das ist Teil unserer Website-Wartung und des Datenschutz-Service, den wir für Praxis-Websites anbieten – kein zusätzlicher Aufwand für Sie.
Wie geht es weiter?
Das OLG-Frankfurt-Urteil ist noch nicht rechtskräftig – ein Revisionsverfahren vor dem Bundesgerichtshof ist möglich. Dennoch zeigt es eine klare Tendenz in Rechtsprechung und Behördenpraxis: Cookie-Verstöße werden ernst genommen, auch mit Blick auf Schadensersatz.
Wer seine Praxis-Website jetzt prüft und anpasst, reduziert das Risiko von Abmahnungen und Beschwerden deutlich und ist für kommende Entscheidungen von Gerichten und Aufsichtsbehörden besser vorbereitet.
Quellen
- OLG Frankfurt, Urteil vom 11.12.2025 – 6 U 81/23 — Urteil zur direkten Haftung von Drittanbietern bei Cookie-Einsatz ohne wirksame Einwilligung; noch nicht rechtskräftig, Revision zum BGH möglich.
- Entscheidungen europäischer Datenschutzbehörden zu Google Analytics — Bewertungen der Aufsichtsbehörden in Österreich und Frankreich, wonach der Einsatz von Google Analytics ohne angemessene Schutzmaßnahmen und Einwilligung nicht DSGVO-konform ist.