Ein Schreiben wegen eines Datenschutzverstoßes sorgt schnell für Unruhe, besonders wenn eine kurze Frist und eine vorformulierte Unterlassungserklärung beigefügt sind. Ich zeige, wann eine Abmahnung wegen eines DSGVO-Verstoßes berechtigt sein kann, welche Fehler bei Websites und Smart-Home-Diensten häufig dahinterstecken und wie Betroffene sinnvoll reagieren. Dabei geht es auch um Kosten, Vertragsstrafen und die Abgrenzung zu einem Bußgeld der Datenschutzbehörde.
Die wichtigsten Schritte bei einem Datenschutzvorwurf auf einen Blick
- Frist prüfen und das Schreiben nicht einfach ignorieren.
- Unterlassungserklärung nicht ungeprüft unterschreiben, weil sie oft langfristig bindet.
- Konkreten Verstoß sichern, zum Beispiel durch Screenshots, Quelltext und Cookie-Protokolle.
- Abmahnung und Behördenverfahren unterscheiden, denn beide haben unterschiedliche Folgen.
- Website, Tracking und Formulare sofort kontrollieren, damit sich der Vorwurf nicht wiederholt.
Was eine Abmahnung wegen DSGVO-Verstoßes wirklich bedeutet
Eine Abmahnung ist zunächst ein privatrechtliches Schreiben. Der Absender behauptet, dass ein Unternehmen gegen Datenschutzrecht verstößt, und verlangt meist, die beanstandete Handlung künftig zu unterlassen. Häufig wird zusätzlich eine strafbewehrte Unterlassungserklärung gefordert.
Das ist etwas anderes als ein Bußgeld. Ein Bußgeld verhängt die zuständige Datenschutzaufsicht in einem Verwaltungsverfahren. Bei einer Abmahnung geht es dagegen meist um die Beseitigung und Wiederholungssicherheit eines konkreten Rechtsverstoßes, gegebenenfalls verbunden mit Anwaltskosten oder einer Vertragsstrafe.
| Maßnahme | Wer handelt | Mögliche Folge |
|---|---|---|
| Abmahnung | Mitbewerber, Verband oder sonstiger Anspruchsberechtigter | Unterlassung, Kostenforderung, mögliche Klage |
| Beschwerde | Betroffene Person bei der Datenschutzaufsicht | Prüfung durch die Behörde, Anordnungen oder Bußgeld |
| Schadensersatzforderung | Betroffene Person vor Gericht | Ersatz eines nachgewiesenen materiellen oder immateriellen Schadens |
Nach § 13 UWG muss eine Abmahnung unter anderem den Absender, die Anspruchsberechtigung, den konkreten Verstoß und eine mögliche Kostenforderung verständlich nennen. Fehlen diese Angaben oder bleibt der Vorwurf sehr allgemein, ist das ein wichtiger Prüfpunkt. Der Gesetzestext ist bei § 13 UWG abrufbar.
Welche Datenschutzfehler besonders häufig abgemahnt werden
In der Praxis drehen sich viele Schreiben um öffentlich erreichbare Websites. Dazu gehören eine unvollständige Datenschutzerklärung, nicht korrekt eingebundene Analysewerkzeuge oder Cookies, die bereits vor einer wirksamen Einwilligung personenbezogene Daten übertragen. Ein fehlender Hinweis allein ist dabei nicht automatisch der gesamte Rechtsverstoß, entscheidend ist die tatsächliche technische Verarbeitung.
Tracking, Cookies und externe Dienste
Google Analytics, Meta Pixel, Chat-Tools, Newsletter-Systeme, eingebettete Videos und externe Schriftarten können Daten an weitere Anbieter übertragen. Ich halte deshalb einen bloßen Blick auf das Cookie-Banner für zu wenig. Entscheidend ist, ob die technische Konfiguration zum Banner passt und ob eine berechtigte Rechtsgrundlage für jede Verarbeitung vorhanden ist.
Für bestimmte Zugriffe auf Informationen in Endgeräten gelten zusätzlich die Regeln des TDDDG. Das betrifft beispielsweise das Speichern oder Auslesen von Informationen auf dem Gerät des Nutzers. Ein Tool, das technisch geladen wird, bevor der Nutzer zugestimmt hat, kann daher ein größeres Problem verursachen als eine nur sprachlich veraltete Datenschutzerklärung.
Kontaktformulare und Newsletter
Auch ein Kontaktformular kann Anlass für einen Vorwurf sein, wenn Zweck, Speicherdauer und Empfänger der Daten nicht transparent erklärt werden. Beim Newsletter kommen die Einwilligung und das Double-Opt-in-Verfahren hinzu. Wer Anmeldungen nicht dokumentiert, kann später nur schwer beweisen, dass die Einwilligung tatsächlich erteilt wurde.
Lesen Sie auch: Datenminimierung nach der DSGVO richtig umsetzen
Websites mit Internet- und Smart-Home-Angeboten
Bei Smart-Home-Portalen kommen zusätzliche Datenquellen hinzu, etwa Gerätekennungen, IP-Adressen, Nutzungsprotokolle oder Standortinformationen. Besonders kritisch wird es, wenn eine App oder ein Routerportal Daten sammelt, ohne den Zweck verständlich zu erklären. Meine Erfahrung mit solchen Projekten ist, dass nicht die Datenschutzerklärung allein entscheidet, sondern das Zusammenspiel von App, Backend, Supportsystem und eingesetzten Dienstleistern.
Typische weitere Auslöser sind öffentlich zugängliche Kundenlisten, ungeschützte Testsysteme, falsch konfigurierte Cloud-Speicher und die Weitergabe von Zugangsdaten an Supportpartner. Bei einer Datenpanne muss außerdem geprüft werden, ob eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden erforderlich ist. Das ist kein Bestandteil jeder Abmahnung, kann aber parallel eine wichtige Pflicht auslösen.
Was nach dem Eingang des Schreibens sinnvoll ist
Der erste Schritt ist erstaunlich unspektakulär. Ich würde das Schreiben vollständig sichern, den Zugangstag dokumentieren und die genannte Frist in den Kalender eintragen. Eine Abmahnung sollte weder panisch bezahlt noch ignoriert werden.
- Absender und Anspruch prüfen. Handelt es sich um einen tatsächlich konkurrierenden Anbieter, einen qualifizierten Verband oder eine Kanzlei mit nachvollziehbarer Bevollmächtigung?
- Den Vorwurf technisch nachstellen. Dazu gehören Screenshots, Browser-Entwicklertools, Cookie-Listen und gegebenenfalls ein Test ohne erteilte Einwilligung.
- Fristgerecht reagieren. Eine kurze Eingangsbestätigung kann sinnvoll sein, ersetzt aber keine inhaltliche Antwort.
- Unterlassungserklärung prüfen lassen. Eine vorformulierte Erklärung kann zu weit gefasst sein und eine hohe Vertragsstrafe auslösen.
- Ursache dauerhaft beheben. Nur das beanstandete Skript zu verstecken, reicht nicht, wenn es an anderer Stelle weiter geladen wird.
Besondere Vorsicht gilt bei Formulierungen wie „für jeden Fall der Zuwiderhandlung“. Eine solche Erklärung kann auch spätere, technisch anders umgesetzte Verstöße erfassen. Eine modifizierte Unterlassungserklärung kann im Einzelfall sinnvoll sein, sollte aber nicht ohne rechtliche Prüfung selbst formuliert werden.
Die beanstandete Funktion darf man trotzdem sofort deaktivieren, wenn das ohne neue Risiken möglich ist. Das ist keine automatische Anerkennung des Vorwurfs, reduziert aber die Gefahr, dass derselbe Sachverhalt weiterläuft. Gleichzeitig sollten Beweise über den ursprünglichen Zustand erhalten bleiben.
Wer die Kosten trägt und welche Grenzen gelten
Viele Empfänger konzentrieren sich auf den geforderten Betrag und übersehen die wichtigere Frage, ob der Absender überhaupt einen Anspruch durchsetzen darf. Bei einer berechtigten Abmahnung können erforderliche Aufwendungen grundsätzlich verlangt werden. Die Höhe hängt unter anderem vom Gegenstandswert, dem Umfang der Tätigkeit und der konkreten gesetzlichen Grundlage ab.
Für kleinere Unternehmen gibt es eine wichtige Einschränkung. Bei Datenschutzverstößen nach DSGVO oder BDSG kann ein Mitbewerber nach § 13 Absatz 4 UWG grundsätzlich keinen Ersatz seiner Abmahnkosten verlangen, wenn das betroffene Unternehmen in der Regel weniger als 250 Mitarbeiter beschäftigt. Das bedeutet aber nicht, dass jede Abmahnung unwirksam ist oder dass keine Unterlassung verlangt werden kann.
Zusätzlich kann bei einer erstmaligen Abmahnung durch einen Mitbewerber unter bestimmten Voraussetzungen eine Vertragsstrafe ausgeschlossen sein, wenn das Unternehmen weniger als 100 Mitarbeiter beschäftigt. Diese Grenzen gelten nicht pauschal für jeden Absender und jede Anspruchsgrundlage. Genau hier passieren in der Praxis die meisten Fehleinschätzungen.
Eine unberechtigte oder formell fehlerhafte Abmahnung kann Gegenansprüche auslösen. Trotzdem sollte man nicht vorschnell mit einer Gegenforderung drohen. Zuerst muss klar sein, ob der behauptete Verstoß tatsächlich vorliegt und ob der Absender berechtigt ist. Die rechtliche Bewertung und die technische Prüfung gehören zusammen.
Abmahnung, Datenschutzbehörde und Schadensersatz richtig einordnen
Eine betroffene Person muss nicht abmahnen, um sich gegen eine unzulässige Verarbeitung zu wehren. Sie kann sich bei der zuständigen Aufsichtsbehörde beschweren, Auskunft verlangen, eine Löschung beantragen oder unter bestimmten Voraussetzungen Schadensersatz fordern. Die Beschwerde ist für Privatpersonen meist der naheliegendere Weg als eine wettbewerbsrechtliche Abmahnung.
Die Datenschutzaufsicht kann eine Verarbeitung untersagen, Änderungen anordnen oder ein Bußgeld verhängen. Die DSGVO sieht dafür je nach Verstoß Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, wobei jeweils der höhere Betrag maßgeblich sein kann. Das ist ein gesetzlicher Höchstrahmen, kein typischer Rechnungsbetrag für jeden kleinen Websitefehler.
Schadensersatz setzt außerdem einen tatsächlich entstandenen materiellen oder immateriellen Schaden voraus. Eine bloße Sorge reicht nicht automatisch aus, wobei die Rechtsprechung bei Kontrollverlust und Datenschutzverletzungen verschiedene Fallgruppen entwickelt hat. Für Unternehmen ist deshalb wichtig, Beschwerden, Auskunftsersuchen und technische Vorfälle sauber zu dokumentieren.
Wie Unternehmen das Risiko dauerhaft senken
Ein Datenschutz-Check sollte nicht erst beginnen, wenn ein Brief der Kanzlei auf dem Tisch liegt. Ich empfehle eine kurze Bestandsaufnahme in festen Abständen und nach jeder größeren Änderung an Website, Shop oder App. Besonders hilfreich ist eine Verarbeitungsliste mit Zweck, Datenkategorie, Dienstleister, Rechtsgrundlage und Löschfrist.
- Alle Cookies und Skripte ohne Einwilligung technisch testen.
- Datenschutzerklärung mit der tatsächlichen Website und den eingesetzten Anbietern abgleichen.
- Einwilligungen, Widerrufe und Zeitpunkte revisionssicher dokumentieren.
- Auftragsverarbeitungsverträge und Unterauftragnehmer kontrollieren.
- Zugänge, Cloud-Speicher, Testkonten und Supportsysteme regelmäßig prüfen.
- Ein Verfahren für Datenschutzverletzungen mit klaren Zuständigkeiten festlegen.
- Auskunfts-, Lösch- und Widerspruchsanfragen innerhalb der gesetzlichen Fristen bearbeiten.
Ein kostenloses Cookie-Banner oder eine automatisch erzeugte Datenschutzerklärung kann ein guter Ausgangspunkt sein, ersetzt aber keine Prüfung. Der häufigste Fehler ist nicht das Fehlen eines Dokuments, sondern die Abweichung zwischen Text und Technik. Ein Banner verspricht dann beispielsweise, dass erst nach Zustimmung getrackt wird, während der Browser die Verbindung schon vorher aufbaut.
Für kleine Unternehmen ist ein schlanker Prozess meist wirksamer als ein umfangreiches Handbuch. Eine monatliche technische Kontrolle, ein Verantwortlicher für Datenschutzfragen und eine dokumentierte Prüfung bei neuen Tools schaffen oft mehr Sicherheit als viele ungenutzte Vorlagen.
Ein sauberer Datenschutz beginnt mit der technischen Realität
Die wichtigste Erkenntnis bleibt für mich, dass eine Abmahnung selten durch einen einzelnen Satz in der Datenschutzerklärung entsteht. Meist zeigt sie, dass Technik, Prozesse und Kommunikation nicht zusammenpassen. Wer den konkreten Datenfluss prüft, die Frist ernst nimmt und keine Erklärung ungeprüft unterschreibt, verbessert seine Position deutlich.
Bei hohen Forderungen, kurzen Fristen, wiederholten Vorwürfen oder einer drohenden Vertragsstrafe sollte ein im IT- und Datenschutzrecht erfahrener Anwalt eingeschaltet werden. Für kleinere Websitebetreiber ist eine frühzeitige technische Prüfung oft der günstigste Schritt, weil sie nicht nur den aktuellen Konflikt entschärft, sondern auch den nächsten Datenschutzvorwurf verhindert.
