Worum geht's?
Trotz Einführung der Datenschutzgrundverordnung (auch Datenschutz-Grundverordnung, kurz: DSGVO) im Jahr 2018 kommt es aufgrund von Unsicherheiten immer noch zu zahlreichen Datenschutzverstößen im Internet. Eine Datenschutz-Abmahnung wegen missachteter DSGVO-Regeln ist oft die Folge. Aber sind die Abmahnungen überhaupt rechtens? Müssen Sie darauf reagieren? Wie hoch sind die Bußgelder, wenn Sie laut Abmahnung einen Datenschutzverstoß begangen haben, und was können Sie tun, um sich rechtlich abzusichern? Dies und mehr lesen Sie in unserem Artikel.
1. Was ist eine DSGVO-Abmahnung?
Halten Sie sich als Unternehmen nicht an die Regelungen der DSGVO, droht eine Abmahnung. Konkurrenten können sich dabei auf das Gesetz gegen den unlauteren Wettbewerb stützen. So kann ein Datenschutzverstoß gleichzeitig auch ein Wettbewerbsverstoß sein. Die Abmahnung ist eine Aufforderung an Sie, die vermeintliche Rechtsverletzung zu unterlassen. Reagieren Sie auf die Abmahnung und die Unterlassungsansprüche nicht rechtzeitig oder korrekt, folgt ein Gerichtsverfahren.
Ein wichtiger Hinweis: Wenn Sie von einer Datenschutz-Abmahnung betroffen sind, geben Sie bei unklarer Rechtslage nie ungeprüft eine Unterlassungserklärung ab!
ACHTUNG
Nicht jeder Anwalt kann Sie einfach so abmahnen, weil Sie beispielsweise laut Datenschutzgrundverordnung keine Datenschutzerklärung auf Ihrer Webseite haben. Hierzu muss eine Abmahnberechtigung entstehen. Im Wettbewerbsrecht besteht diese seitens der Konkurrenten oder einer Verbraucherschutzorganisation. Bei einem DSGVO-Verstoß können Sie auch von den zuständigen Aufsichtsbehörden abgemahnt werden.
2. DSGVO-Abmahnung: Kosten für Datenschutz-Verstöße
Obwohl ein Gerichtsverfahren abgewendet wird, entstehen für den Abgemahnten nicht unwesentliche Kosten für die Abmahnung wegen eines Datenschutzverstoßes. Sie müssen bei einer DSGVO-Abmahnung auf jeden Fall damit rechnen, dass der Abmahnende die Anwaltskosten von Ihnen zurückverlangt, sofern die Abmahnung wegen einer Datenschutzverletzung berechtigt ist.
Zudem müssen Sie in den meisten Fällen eine strafbewehrte Unterlassungserklärung abgeben. Im Rahmen dieser verpflichten Sie sich, den Verstoß nicht erneut zu begehen und falls doch, eine vereinbarte Strafe zu leisten. Diese Vertragsstrafen liegen in der Regel im vierstelligen Bereich.
Datenschutzbehörden mahnen nicht nur ab, sie können bei Verstößen gegen die Datenschutzgrundverordnung (DSGVO) (z. B. fehlende Datenschutzerklärungen) auch ein Bußgeld gegen das Unternehmen verhängen. Dieses kann bis zu 20 Millionen Euro hoch sein oder 4 % des weltweiten Jahresumsatzes betragen. In unserem Artikel „Achtung: Hohe DSGVO-Bußgelder verhängt“ lesen Sie mehr zum Thema.
3. Was kann abgemahnt werden?
Welche Verstöße abgemahnt werden können, ergibt sich aus Art. 83 DSGVO. Hierbei wird zwischen formellen und materiellen Verstößen unterschieden:
- Formell: Trotz Notwendigkeit kein Datenschutzbeauftragter beschäftigt, Jugendschutz nicht beachtet, usw.
- Materiell: Recht auf Auskunft oder Löschung missachtet, Einwilligung der Nutzer in Datenverarbeitung fehlt, usw.
Außerdem unterscheidet die DSGVO nach Schwere des Vergehens. Hier ein paar Beispiele:
- Leicht: Versand von Spam-Mails ohne Genehmigung
- Mittel: Fehlendes Impressum oder Datenschutzerklärung
- Schwer: vorsätzliche Datenfälschung oder illegaler Handel mit personenbezogenen Daten
- Sehr schwer: unerlaubte Bekanntgabe von Informationen aus Zeugenschutzprogramm
Bei einer DSGVO-Abmahnung handelt es sich in aller Regel nach um Verstöße, die von Verbraucherschutzorganisationen oder Mitbewerbern leicht zu überprüfen sind.
Fehlende Datenschutzerklärung
Haben Sie keine Datenschutzerklärung auf Ihrer Website oder fehlen wichtige Angaben in Ihrer Datenschutzerklärung, droht eine Abmahnung. Folgende Datenschutzregeln sollten Sie unbedingt beachten:
- Werden auf einer Website personenbezogene Daten erhoben oder verarbeitet, ist eine Datenschutzerklärung Pflicht.
- Die Datenschutzerklärung soll den Nutzer über die Verarbeitungsvorgänge auf der Website informieren.
- Die Datenschutzerklärung muss vollständig und korrekt sein. Sämtliche Datenverarbeitungen müssen aufgeführt werden. Werden Tools nicht mehr verwendet, müssen diese Vorgänge aus der Erklärung entfernt werden.
- Als Online Händler oder Webseitenbetreiber sollten Sie darauf achten, dass – unabhängig von der Datenschutzerklärung – nur datenschutzkonforme Tools und Plugins eingebunden werden.
Erstellen Sie jetzt eine rechtssichere Datenschutzerklärung mit dem eRecht24 Datenschutz Generator
- Einfache Integration in Ihre Website
- Anwaltlich geprüfter Generator
- Für Sie kostenfrei in wenigen Schritten
Einbindung von Google Fonts
Sie können für die Einbindung von Google Fonts abgemahnt werden. Werden die von Google bereitgestellten Schriftarten fehlerhaft eingebunden, liegt ein Verstoß gegen das Recht auf informationelle Selbstbestimmung vor.
Das sollten Sie tun:
- Nutzen Sie den Dienst nicht auf Ihren Seiten.
- Wenn dies nicht möglich ist, binden Sie das Tool lokal ein. Wie dies funktioniert, lesen Sie in unserem Artikel zum Thema „Google Fonts DSGVO-konform lokal einbinden“.
GOOGLE FONT SCANNER
- Sie sind nicht sicher, ob Sie die Google Fonts rechtskonform auf Ihrer Website eingebunden haben?
- Mit unserem kostenlosen Google Fonts Scanner können Sie Ihre Webseite ganz einfach überprüfen.
- Einfach den Link eingeben und Ergebnisse erhalten!
Fehlerhafte Einbindung von Google Analytics
Abgemahnt werden können u. a. die fehlende IP-Anonymisierung, fehlende Opt-Out Möglichkeiten und die nicht erfolgte Erwähnung von Google Analytics in der Datenschutzerklärung.
Das sollten Sie tun:
Setzen Sie Google Analytics rechtskonform ein. Mehr dazu lesen Sie in unserem Artikel zum Thema „Ist Google Analytics legal oder Illegal: Was Webseitenbetreiber jetzt tun müssen“
Facebook Like- und Share-Buttons
Ebenfalls bereits in der Vergangenheit abgemahnt wurde die Einbindung der Facebook-Plugins zum Teilen und Liken auf Webseiten. Hierzu liegt schon seit 2016 ein Urteil des LG Düsseldorf vor.
Das sollten Sie tun:
- Nutzen Sie möglichst keine Plugins von Unternehmen, die sofort beim Aufruf einer Seite und ohne Wissen der Webseitenbesucher Daten übertragen. Das betrifft die Plugins zum Teilen von Inhalten nahezu aller großen Unternehmen und Netzwerke, vor allem aus den USA.
- Verlinken Sie stattdessen auf Facebook & Co. oder nutzen Sie datenschutzgerechte Tools wie shariff oder das eRecht24 Safe Sharing Tool.
Fehlende Verschlüsselung von Kontaktformularen
Nach der DSGVO sollen Bereiche der Internetseite verschlüsselt werden, in welchen personenbezogene Daten verarbeitet werden. Dazu zählen beispielsweise Kontaktformulare sowie der Checkout-Bereich im Online-Shop. Tun Sie dies auf Ihrer Webseite oder in Ihrem Online-Shop nicht, können Sie abgemahnt werden. Verschlüsseln Sie deshalb Ihre Kontaktformulare, z. B. per SSL-Verschlüsselung.
4. Urteile zu DSGVO-Abmahnungen
Ob DSGVO-Verstöße abmahnfähig sind, wird seit Jahren heiß diskutiert. Nachdem in der Vergangenheit bereits zahlreiche Urteile zum Thema gefällt wurden, kommt nun langsam Licht ins Dunkel. Denn der EuGH hat mit Urteil vom 04.10.2024 (C-21/23) im Vorabentscheidungsverfahren über die Vorlagefragen des BGH entschieden.
Ein kurzer Flashback dazu: Zwei Apotheken in Sachsen-Anhalt verkauften über Amazon Marketplace apothekenpflichtige Medikamente. Mitbewerber sahen darin DSGVO-Verstöße und gingen im Wege der Abmahnung gegen diese vor. In der ersten Instanz fielen die Urteile sehr unterschiedlich aus.
Das LG Dessau-Roßlau (Urteil vom 27. März 2018 – Az. 3O 29/17) gab der Klage statt und begründete dies mit abmahnfähigen Marktverhaltensregelungen der DSGVO. Das LG Magdeburg (Urteil vom 18. Januar 2019 – 36 O 48/18) hingegen wies sie ab und begründete dies damit, dass DSGVO-Verstöße nicht abmahnfähig seien.
Beide Verfahren landeten in der Berufungsinstanz beim OLG Naumburg. Das Oberlandesgericht entschied, dass DSGVO-Verstöße sehr wohl abmahnfähig seien.
Beide Verfahren landeten sodann beim BGH, der das Verfahren aussetzte, um ein anderes Vorabentscheidungsverfahren vor dem EuGH abzuwarten. Dieser entschied mit Urteil vom 8. April 2022, dass Verbraucherverbände nach dem UWG vorgehen können. Ob Mitbewerber ebenfalls DSGVO-Verstöße abmahnen dürfen, ließ der EuGH in dem Verfahren offen.
5. Ist eine DSGVO-Abmahnung durch Mitbewerber nun möglich?
Diese Frage haben die Gerichte in den letzten Jahren sehr unterschiedlich beantwortet.
Nun hat der EuGH die Frage entschieden, ob sich Mitbewerber gegenseitig wegen eines Verstoßes gegen die Datenschutzgrundverordnung abmahnen können.
Ja. Denn der EuGH sieht die Vorschriften der DSGVO zum Vorgehen bei Verstößen nicht als abschließend an. Zudem verbessere sich das Schutzniveau für betroffene Personen und erhöhe die praktische Wirksamkeit der DSGVO.
Hält sich ein Mitbewerber folglich nicht an die Vorgaben der DSGVO, kann dies einen Rechtsbruch nach § 3a des Gesetzes gegen den unlauteren Wettbewerb (UWG) darstellen und abgemahnt werden. Denn wer sich nicht an den Datenschutz hält, der hat einen Wettbewerbsvorteil gegenüber Unternehmen, die sich an die strengen gesetzlichen Vorgaben halten.
WICHTIG
Bei Abmahnungen von Mitbewerbern geht es bei Verstößen gegen die DSGVO gleichzeitig auch um einen Verstoß gegen das Wettbewerbsrecht. Deshalb muss jeder Fall individuell geprüft werden. Für Abgemahnte ist es daher immer ratsam, einen Anwalt zu Rate zu ziehen.
Nachdem der EuGH nun im Vorabentscheidungsverfahren entschieden hat, bleiben die Urteile des BGH in den jeweiligen Verfahren abzuwarten.
Sie sind nun besorgt und fürchten DSGVO-Abmahnungen? Eine Abmahnwelle ist aus Sicht der Redaktion nicht zu erwarten.
SCHON GEWUSST?
§ 13 Abs. 4 Nr. 2 UWG schließt einen Anspruch auf Ersatz der erforderlichen Aufwendungen bei Verstößen gegen die DSGVO für Mitbewerber aus, wenn das abgemahnte Unternehmen in der Regel weniger als 250 Mitarbeiter beschäftigt.
Bedeutet: Mitbewerber können in diesem Fall nicht verlangen, dass ihnen durch die Abmahnung entstandene Kosten vom Abgemahnten ersetzt werden. Abmahnungen an sich können natürlich weiterhin ausgesprochen werden.
Für Abmahnvereine gilt der Ausschluss in § 13 Abs. 4 Nr. 2 UWG jedoch nicht, sodass diese weiterhin den Ersatz Ihrer Abmahnkosten verlangen können.
Unser Tipp: Gestalten Sie Ihre Website von Anfang an DSGVO-konform. Denn die Aufsichtsbehörden kontrollieren die Einhaltung der Datenschutzvorschriften verstärkt und die Anzahl der verhängten Bußgelder steigt.
Grundsätzlich wird bei DSGVO-Verstößen stets geprüft werden müssen, ob die Verstöße einen wettbewerbsrechtlichen Bezug bzw. einen „marktverhaltensregelnden Charakter“ haben. Das macht die Einschätzung rechtlicher Risiken von Webseiten und Geschäftsprozessen in der Praxis leider nicht einfacher.
6. Checkliste: Was können Seitenbetreiber und Webdesigner jetzt tun?
Für Entwarnung sorgen die aktuellen Urteile also nicht. Unternehmen und Seitenbetreiber sollten weiterhin datenschutzrechtliche Vorgaben wie eine aktuelle Datenschutzerklärung, Verschlüsselung von Kontaktformularen, Abschluss von AV-Verträgen usw. einhalten.
- eine individuelle und DSGVO-konforme Datenschutzerklärung auf der Seite einstellen,
- weitere DSGVO Anforderungen wie verschlüsselte Kontaktformulare umsetzen,
- die eigene Seite auf nicht datenschutzkonforme PlugIns und Dienste prüfen,
- Abläufe wie Bestellprozesse und Newsletter auf DSGVO-Verstöße prüfen,
- wenn nötig AV-Verträge mit Dienstleistern und/oder eigenen Kunden abschließen. Dazu können Sie unser Datenschutzmanagementsystem auf eRecht24 Premium nutzen.
Vor allem Webdesigner und Agenturen - die nach Ansicht der Gerichte auch für rechtliche Fehler auf Kundenseiten haften – sollten jetzt handeln.
Größeren Unternehmen mit komplexeren Abläufen und Strukturen empfehlen wir einen anwaltlichen DSGVO-Check in Auftrag zu geben. Sie können sich dazu gern an die Kanzlei Siebert Lexow wenden.
7. FAQ: DSGVO-Abmahnung
