Automobilzulieferer stehen unter enormem Kostendruck – doch ein weiteres Risiko wächst leise im Hintergrund: die rechtliche Konformität des eigenen Webauftritts. Ob B2B-Produktkatalog, Ersatzteil-Shop oder digitales Kundenportal: Sobald Ihr Unternehmen online präsent ist, greifen das Telemedienrecht, das Datenschutzrecht und das Wettbewerbsrecht gleichzeitig und kumulativ. Ein fehlerhaftes Impressum, eine DSGVO-widrige Cookie-Einbindung oder rechtswidrige AGB-Klauseln können Abmahnungen, Bußgelder und persönliche Haftungsrisiken für die Geschäftsführung auslösen.
Wer als Automobilzulieferer eine Website oder einen Onlineshop betreibt, muss Impressumspflicht, Cookie-Einwilligung nach dem TDDDG sowie rechtskonforme AGB kumulativ erfüllen. Verstöße können nach dem UWG abgemahnt werden und DSGVO-Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes auslösen. Eine strukturierte rechtliche Prüfung des Webauftritts ist für Geschäftsführer im Mittelstand keine Kür, sondern eine unternehmerische Pflichtaufgabe.
Dieser Branchenreport beleuchtet die branchenspezifischen Rechtsrisiken, erklärt die einschlägigen Normen und zeigt, mit welchen konkreten Maßnahmen Automobilzulieferer ihren digitalen Auftritt dauerhaft rechtssicher gestalten.
Warum die Automobilzulieferindustrie besondere Webrisiken trägt
Die Automobilzulieferindustrie ist traditionell B2B-geprägt – ein Umstand, der trügerische Sicherheit erzeugt. Viele Geschäftsführer gehen davon aus, dass verbraucherschützende Vorschriften sie nicht treffen, weil ihre Kunden ausschließlich Unternehmen sind. Diese Annahme ist juristisch falsch. Das Telemedienrecht – nunmehr kodifiziert im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) – gilt für alle kommerziellen Webauftritte, unabhängig von der Zielgruppe. Die Impressumspflicht, die Pflicht zur Einholung von Einwilligungen für das Setzen von Cookies und die datenschutzrechtlichen Informationspflichten nach der DSGVO treffen den Tier-1-Lieferanten eines großen Automobilkonzerns ebenso wie den Einzelhändler.
Hinzu kommt die spezifische Wettbewerbssituation: Automobilzulieferer bewegen sich in einem dichten Netz aus Wettbewerbern, Verbandsstrukturen und – in manchen Segmenten – durchaus auch Endkunden-nahen Vertriebswegen. Mitbewerber, die selbst auf Compliance achten, haben ein legitimes Interesse daran, Wettbewerbsverzerrungen durch rechtswidrige Webpraktiken zu unterbinden. Abmahnungen sind in diesem Umfeld keine theoretische Gefahr. In der Mandatspraxis sehen wir regelmäßig Fälle, in denen Zulieferer mit mehreren hundert Millionen Euro Jahresumsatz eine Abmahnung erhalten haben, weil ihre Cookie-Banner technisch mangelhaft implementiert waren oder ihr Impressum eine unvollständige Angabe enthielt.
Schließlich wächst die Digitalstrategie vieler Zulieferer: Produktkonfiguration, Bestellportale, Ersatzteil-Shops und Kundendatenplattformen werden zunehmend webbasiert abgewickelt. Jede dieser Plattformen trägt eigene Rechtsrisiken. Die Frage ist nicht, ob rechtliche Anforderungen bestehen – sondern wie konsequent Ihr Unternehmen sie erfüllt.
Das Regelungssystem: TDDDG, DSGVO und UWG im Zusammenspiel
Die rechtssichere Gestaltung eines Webauftritts erfordert das Verständnis dreier ineinandergreifender Regelwerke. Eine isolierte Betrachtung führt unweigerlich zu Regelungslücken.
Das TDDDG (früher: Telemediengesetz) regelt die grundlegenden Informationspflichten kommerzieller Webpräsenzen – allen voran die Impressumspflicht nach § 5 DDG und die Pflicht zur Einholung datenschutzrechtlicher Einwilligungen beim Einsatz von Cookies und vergleichbaren Technologien. Zentral ist dabei: Das Setzen von nicht-technisch notwendigen Cookies erfordert eine vorherige, informierte, freiwillige und eindeutige Einwilligung des Nutzers. Ein vorausgefüllter Zustimmungs-Button genügt nicht.
Die DSGVO überlagert das TDDDG auf der Ebene der Datenverarbeitung: Jede Erhebung personenbezogener Daten über den Webauftritt – ob durch Kontaktformulare, Analyse-Tools, Bestellvorgänge oder Login-Portale – muss auf einer tauglichen Rechtsgrundlage beruhen. Ergänzend greifen die Informationspflichten nach Art. 13 DSGVO, die in einer vollständigen Datenschutzerklärung abzubilden sind. Bei Verstößen können die Aufsichtsbehörden Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen (Art. 83 DSGVO) – je nachdem, welcher Betrag höher ist.
Das UWG (Gesetz gegen unlauteren Wettbewerb) öffnet einen zivilrechtlichen Durchsetzungsweg: Mitbewerber und qualifizierte Einrichtungen können Verstöße gegen das TDDDG und die DSGVO als unlautere Wettbewerbshandlungen verfolgen und Unterlassungsansprüche, Schadensersatz und Abmahnkosten geltend machen. Nach unserer Erfahrung ist die UWG-Abmahnung der häufigste erste Kontakt eines Unternehmens mit dem Thema Website-Compliance – und oft kommt sie ohne Vorwarnung.
Impressumspflicht: Was Automobilzulieferer zwingend angeben müssen
Das Impressum ist die Visitenkarte des Unternehmens im Netz und zugleich eine gesetzliche Pflicht. Wer als Automobilzulieferer eine kommerziell genutzte Website betreibt, muss leicht auffindbar, unmittelbar erreichbar und vollständig folgende Angaben vorhalten: Name und Rechtsform der Gesellschaft, Anschrift (kein Postfach), vertretungsberechtigte Personen, E-Mail-Adresse, zuständige Aufsichtsbehörde (soweit einschlägig), Handelsregisternummer und -gericht, Umsatzsteuer-Identifikationsnummer (sofern vorhanden). Für GmbHs gilt zudem die Pflicht zur Angabe des Stammkapitals und aller Geschäftsführer mit vollständigem Namen.
„Leicht auffindbar" bedeutet nach gefestigter Rechtsprechung: maximal zwei Klicks vom Startbildschirm aus, eindeutige Bezeichnung als „Impressum" oder „Anbieterkennzeichnung". Ein Impressumslink, der nur im Footer versteckt und dort mit „Rechtliches" beschriftet ist, wird in manchen Konstellationen als nicht ausreichend gewertet. Die exakte Anforderung ist im Einzelfall zu prüfen.
Häufige Fehler in der Automobilzulieferbranche: unvollständige Geschäftsführerlisten nach einem Wechsel in der Geschäftsführung, veraltete Handelsregisternummern nach Umfirmierungen, fehlende Angaben für ausländische Tochtergesellschaften, die unter der Hauptdomain erreichbar sind. Jeder dieser Fehler ist abmahnfähig.
Cookie-Einwilligung und TDDDG: Welche technischen und rechtlichen Anforderungen gelten?
Die Cookie-Compliance ist der am häufigsten unterschätzte Bereich der Website-Rechtssicherheit. Das TDDDG setzt für das Speichern von oder den Zugriff auf Informationen im Endgerät des Nutzers eine wirksame Einwilligung voraus – es sei denn, der Vorgang ist technisch unbedingt erforderlich für den Dienst, den der Nutzer ausdrücklich angefordert hat.
Für Automobilzulieferer, die Google Analytics, Hotjar, LinkedIn Insight Tag, Salesforce-Tracking oder ähnliche Analyse- und Marketingwerkzeuge einsetzen, bedeutet das konkret: Diese Tools dürfen erst nach ausdrücklicher Zustimmung des Nutzers aktiviert werden. Ein rechtswirksamer Cookie-Banner muss vor dem Laden dieser Skripte erscheinen, die Ablehnung muss gleich einfach sein wie die Zustimmung, und eine „Ablehnen"-Option muss sichtbar auf der ersten Ebene des Banners erscheinen. Das „X" als einzige Möglichkeit zur Ablehnung genügt nach überwiegender Auffassung nicht.
Besondere Vorsicht gilt für sogenannte Consent-Management-Plattformen (CMP), die standardmäßig alle Kategorien vorausgewählt haben. Dieses „Opt-out"-Modell ist rechtswidrig. Erforderlich ist ein „Opt-in"-Modell: Alle nicht-notwendigen Cookies sind standardmäßig deaktiviert. Die Einwilligung muss dokumentiert und widerrufbar sein; die Datenschutzerklärung muss auf die eingesetzten Tools mit Anbieter, Zweck und Übermittlungsland hinweisen.
In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Automobilzulieferer aus dem Bereich Präzisionsteile mit rund 350 Mitarbeitern. Das Unternehmen hatte seinen Webauftritt erst kurz zuvor modernisiert – dabei war eine gängige CMP-Lösung eingebunden worden, die jedoch im Auslieferungszustand alle Analyse-Cookies vorausgewählt hatte. Nach einer Abmahnung durch einen Wettbewerber wurden gemeinsam mit der technischen Abteilung die CMP-Konfiguration überarbeitet, die Datenschutzerklärung aktualisiert und ein internes Freigabeverfahren für neue Tracking-Tools eingeführt. Das Ergebnis war eine dokumentierte, technisch nachweisbare Einwilligungsstruktur – ohne Prozesse zu unterbrechen.
AGB für Onlineshops und B2B-Portale: Was Automobilzulieferer beachten müssen
Allgemeine Geschäftsbedingungen (AGB) sind im B2B-Kontext ein doppelschneidiges Instrument. Sie schützen das eigene Unternehmen – wenn sie rechtswirksam in den Vertrag einbezogen sind und inhaltlich einer Überprüfung standhalten. In der Zulieferindustrie konkurrieren typischerweise die Einkaufsbedingungen des Abnehmers mit den Verkaufsbedingungen des Zulieferers. Wessen Bedingungen gelten, ist rechtlich nicht trivial.
Für den Webauftritt und Onlineshop gilt: AGB müssen vor Vertragsabschluss klar eingebunden, vollständig abrufbar und speicherbar sein. Ein bloßer Hinweis „Es gelten unsere AGB" ohne verlinkten Text genügt nicht. Im B2B-Bereich ist die Inhaltskontrolle nach §§ 305 ff. BGB weniger streng als im Verbraucherbereich, aber keinesfalls bedeutungslos. Klauseln, die das Haftungsrisiko vollständig ausschließen, können unwirksam sein und die gesetzliche Regelung treten an ihre Stelle.
Branchenspezifisch relevant: Lieferbedingungen, Eigentumsvorbehaltsklauseln, Reklamationsfristen und Qualitätssicherungsvereinbarungen. Die kaufmännische Rügepflicht nach § 377 HGB – Mängelanzeige muss unverzüglich erfolgen – sollte in den AGB klar geregelt sein. Fehlt eine entsprechende Klausel oder ist sie missverständlich formuliert, verliert der Käufer unter Umständen seine Gewährleistungsrechte, ohne es zu wissen.
Wer seinen Onlineshop für Ersatzteilbestellungen auch für ausländische Kunden öffnet, muss zudem klären, welches Recht anwendbar ist und welcher Gerichtsstand vereinbart werden soll. Klauseln hierzu müssen im internationalen Kontext besonders sorgfältig formuliert werden, da nicht jede Rechtswahlklausel in jedem Staat anerkannt wird.
Datenschutzerklärung: Vollständigkeit als Haftungsschutz
Die Datenschutzerklärung ist das zentrale Transparenzdokument des digitalen Auftritts. Nach Art. 13 DSGVO sind bei jeder Datenerhebung umfassende Informationen bereitzustellen: Identität des Verantwortlichen, Zwecke und Rechtsgrundlagen der Verarbeitung, Empfänger der Daten (insbesondere bei Drittstaatenübermittlungen), Speicherdauer, Rechte der betroffenen Personen sowie die Möglichkeit zur Beschwerde bei der zuständigen Aufsichtsbehörde.
Für Automobilzulieferer, die Tools US-amerikanischer Anbieter einsetzen – Google Analytics, Salesforce, Microsoft Azure, HubSpot – stellt sich regelmäßig die Frage der Drittstaatenübermittlung. Nach dem Schrems-II-Urteil des EuGH und dem seither etablierten EU-US-Datenschutzrahmen (Data Privacy Framework, seit Juli 2023) können Übermittlungen in die USA unter bestimmten Voraussetzungen rechtmäßig erfolgen. Die tatsächliche Zertifizierung des Anbieters im Data Privacy Framework muss jedoch konkret geprüft und dokumentiert werden. Eine pauschale Beruhigung durch den Tool-Anbieter reicht nicht.
Besonders sensibel: Viele Automobilzulieferer betreiben Bewerberportale auf ihrer Website. Hier gelten für die Verarbeitung von Bewerberdaten besondere Anforderungen; die Datenschutzerklärung muss diese Verarbeitungsvorgänge gesondert ausweisen. Wird die Datenschutzerklärung nicht aktualisiert, wenn neue Tools eingebunden oder Prozesse geändert werden, entsteht eine Lücke zwischen gelebter Praxis und dokumentiertem Versprechen – eine Lücke, die Aufsichtsbehörden und Gerichte negativ werten.
Haftung der Geschäftsführung: Was Geschäftsführer persönlich riskieren
Aus der Außenperspektive erscheint ein fehlerhafter Cookie-Banner wie ein technisches Detailproblem. Aus der Haftungsperspektive ist er eine Pflichtverletzung der Geschäftsführung. Geschäftsführer einer GmbH sind nach § 43 GmbHG verpflichtet, für die Rechtmäßigkeit des Geschäftsbetriebs zu sorgen – und das schließt den digitalen Auftritt ausdrücklich ein.
Kommt es zu einem Bußgeldbescheid der Datenschutzaufsicht oder zu einer gerichtlich durchgesetzten Abmahnung, kann die Gesellschaft im Anschluss prüfen, ob die Geschäftsführung ihre Sorgfaltspflichten verletzt hat. Wer nachweisen kann, dass er keine zumutbaren Maßnahmen ergriffen hat, um den Webauftritt rechtskonform zu halten – keine anwaltliche Prüfung, kein internes Freigabeverfahren, keine Reaktion auf bekannte Mängel –, setzt sich dem Risiko eines Innenregresses aus.
Hinzu kommt: Bei einem DSGVO-Verstoß haften Verantwortliche und Auftragsverarbeiter gesamtschuldnerisch. Setzt Ihr Unternehmen externe Dienstleister ein, die Daten in Ihrem Auftrag verarbeiten – Webagenturen, Analyse-Tool-Anbieter, Cloud-Hosting-Dienste – müssen mit diesen Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen werden. Fehlen diese Verträge, ist jede Datenverarbeitung durch den Dienstleister rechtswidrig, unabhängig davon, ob tatsächlich ein Schaden eingetreten ist.
Nach unserer Erfahrung ist das Bewusstsein für diese persönliche Haftungskomponente in der Automobilzulieferindustrie noch nicht flächendeckend vorhanden. Die Risikokultur ist operativ und qualitätsorientiert – digitale Rechtsfragen werden häufig der IT-Abteilung oder der Webagentur überlassen, ohne dass die Geschäftsführung die Letztverantwortung strukturell verankert.
Abmahnungen und Bußgelder: Wie laufen Verfahren ab, und was kostet ein Fehler?
Eine wettbewerbsrechtliche Abmahnung nach dem UWG folgt einem bekannten Muster: Der Abmahnende – ein Wettbewerber oder eine qualifizierte Einrichtung – stellt einen konkreten Verstoß fest, fordert eine strafbewehrte Unterlassungserklärung und macht Ersatz der Abmahnkosten geltend. Die Frist zur Abgabe der Unterlassungserklärung ist typischerweise kurz. Für Unternehmen bedeutet das: Ohne sofortige rechtliche Begleitung besteht das Risiko, entweder eine zu weit gefasste Unterlassungserklärung zu unterzeichnen – die im Wiederholungsfall Vertragsstrafen auslöst – oder die Erklärung nicht fristgerecht abzugeben, was den Weg zu einer einstweiligen Verfügung öffnet.
Bei datenschutzrechtlichen Verstößen sind die zuständigen Landesdatenschutzbeauftragten (LDA) befugt, Bußgelder zu verhängen. Die Bußgeldbemessung richtet sich nach Art. 83 DSGVO und berücksichtigt unter anderem Schwere und Dauer des Verstoßes, Kooperationsbereitschaft des Unternehmens und bereits ergriffene Abhilfemaßnahmen. Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes sind der gesetzliche Rahmen – in der Praxis werden für mittlere Verstöße im Mittelstand regelmäßig fünf- bis sechsstellige Beträge verhängt, wie öffentlich zugängliche Bußgeldregister der Aufsichtsbehörden zeigen.
Datenschutzverletzungen – etwa ein Datenleck im Kundenportal – müssen zudem binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO). Wer diese Frist versäumt, riskiert ein eigenständiges Bußgeld. In der Aufregung eines Sicherheitsvorfalls ist die 72-Stunden-Frist erfahrungsgemäß das Erste, was ohne vorbereitete Eskalationsprozesse verloren geht.
Branchenspezifische Konstellationen: Händlerportale, Zertifizierungsnachweise und internationale Beschaffungsplattformen
Die Automobilzulieferindustrie kennt einige Konstellationen, die über den Standard-Webshop hinausgehen und spezifische Rechtsfragen aufwerfen.
Händler- und Lieferantenportale: Viele Zulieferer betreiben passwortgeschützte Portale, über die Kunden oder Lieferanten auf Preisinformationen, Qualitätsdokumente oder Bestellsysteme zugreifen. Der Login schützt nicht vor datenschutzrechtlichen Pflichten – auch hier greifen Art. 13 DSGVO und das Gebot der Auftragsverarbeitungsverträge. Zudem stellt sich die Frage, ob die im Portal gespeicherten Geschäftsdaten bei einer Übernahme oder einem Cybersicherheitsvorfall ausreichend geschützt sind.
Zertifizierungsnachweise und Qualitätssiegel: Manche Zulieferer werben auf ihrer Website mit Qualitätszertifikaten (IATF 16949, ISO 14001) oder Auszeichnungen. Solche Angaben müssen aktuell, zutreffend und überprüfbar sein. Veraltete oder nicht mehr gültige Zertifikate als aktive Qualitätsmerkmale darzustellen, ist irreführend im Sinne des UWG.
Internationale Beschaffungsplattformen: Wer seine Produkte auf branchenspezifischen Plattformen (etwa für die globale Beschaffung) bewirbt und von dort auf die eigene Website weiterleitet, muss sicherstellen, dass die eigene Website für internationale Nutzer rechtskonform ist. Werden Nutzer aus dem EU-Ausland auf eine Website geleitet, die keine DSGVO-konforme Datenschutzerklärung vorhält, sind Bußgeldrisiken real.
Rechtssichere Gestaltung: Ein strukturierter Handlungsrahmen für Geschäftsführer
Die Frage ist nicht, ob Sie Ihren Webauftritt prüfen sollten – die Frage ist, mit welcher Methodik und in welcher Reihenfolge Sie vorgehen. Aus der Mandatspraxis haben sich folgende Schritte bewährt:
- Bestandsaufnahme: Vollständige Erfassung aller eingesetzten Tools, Drittanbieter-Skripte, Formulare und Datenverarbeitungsvorgänge auf dem Webauftritt. Ohne diese Grundlage ist jede rechtliche Prüfung unvollständig.
- Impressum-Audit: Abgleich der Pflichtangaben mit dem aktuellen Handelsregisterstand, den vertretungsberechtigten Personen und der tatsächlich erreichbaren E-Mail-Adresse.
- Cookie-Compliance: Technische Prüfung, ob der Cookie-Banner alle nicht-technisch notwendigen Cookies erst nach Einwilligung lädt; Konfiguration der CMP auf Opt-in; Dokumentation der Einwilligungen.
- Datenschutzerklärung: Aktualisierung mit allen eingesetzten Tools, Rechtsgrundlagen, Drittstaatenübermittlungen und Auftragsverarbeitern; Abstimmung mit dem Datenschutzbeauftragten (soweit bestellt).
- AGB-Review: Rechtliche Prüfung der Einbeziehung und des Inhalts, insbesondere Eigentumsvorbehaltsklauseln, Haftungsbeschränkungen, Reklamationsfristen und Gerichtsstandsklauseln.
- Auftragsverarbeitungsverträge: Abschluss oder Aktualisierung der AVV mit allen relevanten Dienstleistern (Hosting, CRM, Analytics, Newsletter-Tool).
- Freigabeprozess: Einführung eines internen Verfahrens, das sicherstellt, dass neue Tools oder Prozessänderungen vor dem Go-live rechtlich geprüft werden.
Dieser Rahmen ist nicht einmalig: Jede wesentliche Änderung des Webauftritts – neues Design, neue Tools, neuer Anbieter – erfordert eine Wiederholung der relevanten Prüfschritte. Die technische Dynamik der Digitalwirtschaft erzeugt kontinuierlich neuen rechtlichen Anpassungsbedarf.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Webauftritt erfordert die Prüfung Ihrer spezifischen Tool-Konfiguration, Ihrer Verträge mit Drittanbietern und der einschlägigen Datenschutzdokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen: Website und Onlineshop rechtssicher betreiben – Automobilzulieferindustrie
Gilt das TDDDG auch für reine B2B-Websites von Automobilzulieferern?
Ja. Das TDDDG gilt für alle kommerziellen Telemediendienste, unabhängig davon, ob die Website sich an Verbraucher oder Unternehmen richtet. Impressumspflicht, Cookie-Einwilligungspflicht und die einschlägigen datenschutzrechtlichen Informationspflichten nach der DSGVO treffen Automobilzulieferer ebenso wie Endkunden-Plattformen. Die B2B-Ausrichtung eines Unternehmens schützt nicht vor Abmahnungen oder Bußgeldern.
Wie hoch können Bußgelder bei DSGVO-Verstößen ausfallen?
Die DSGVO sieht in Art. 83 Bußgelder von bis zu 20 Mio. € oder – bei Unternehmen – bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorherigen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Für Verstöße mittlerer Schwere werden Mittelstandsunternehmen in der Praxis häufig mit fünf- bis sechsstelligen Beträgen belegt. Die genaue Bemessung hängt vom Einzelfall und der Kooperationsbereitschaft des Unternehmens ab.
Welche Anforderungen gelten für einen rechtswirksamen Cookie-Banner?
Ein rechtswirksamer Cookie-Banner muss erscheinen, bevor nicht-technisch notwendige Cookies gesetzt werden. Die Ablehnung muss gleich einfach sein wie die Zustimmung und auf der ersten Ebene des Banners sichtbar sein. Alle Kategorien nicht-notwendiger Cookies müssen standardmäßig deaktiviert sein (Opt-in, kein Opt-out). Die erteilte Einwilligung muss dokumentiert und jederzeit widerrufbar sein.
Was muss in der Datenschutzerklärung eines Automobilzulieferers stehen?
Die Datenschutzerklärung muss nach Art. 13 DSGVO alle Datenverarbeitungsvorgänge auf dem Webauftritt vollständig abbilden: eingesetzte Tools mit Anbieter, Zweck und Rechtsgrundlage, Empfänger der Daten inklusive etwaiger Drittstaatenübermittlungen (z. B. USA), Speicherdauer, Rechte der betroffenen Personen sowie Beschwerdemöglichkeit bei der Aufsichtsbehörde. Die Erklärung muss aktuell gehalten werden.
Haften Geschäftsführer persönlich für Datenschutzverstöße auf der Unternehmenswebsite?
Indirekt ja. Geschäftsführer sind nach § 43 GmbHG für die Legalität des Geschäftsbetriebs verantwortlich. Werden keine zumutbaren Maßnahmen zur Herstellung der Website-Compliance ergriffen, kann die Gesellschaft nach einem Bußgeldbescheid prüfen, ob ein Innenregress gegen die Geschäftsführung in Betracht kommt. Zudem können persönliche Ordnungswidrigkeitenverfahren nicht vollständig ausgeschlossen werden.
Welche Frist gilt für die Meldung einer Datenschutzverletzung?
Nach Art. 33 DSGVO muss eine Datenschutzverletzung – etwa ein Datenleck im Kundenportal – binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden. Besteht ein hohes Risiko für betroffene Personen, sind diese zudem nach Art. 34 DSGVO unverzüglich zu informieren. Das Versäumen der 72-Stunden-Frist kann eigenständige Bußgeldtatbestände begründen.
Müssen AGB bei einem B2B-Onlineshop vor Vertragsabschluss eingebunden sein?
Ja. AGB sind nur dann wirksamer Vertragsbestandteil, wenn sie dem Vertragspartner vor Abschluss des Vertrags klar zugänglich gemacht werden. Im Onlineshop bedeutet das: vollständiger, verlinkter Text der AGB, den der Nutzer vor dem Bestellvorgang einsehen kann. Ein bloßer Hinweis ohne verlinkten Text genügt nicht. Auch im B2B-Bereich unterliegen einzelne AGB-Klauseln der Inhaltskontrolle nach §§ 305 ff. BGB.
Was sind Auftragsverarbeitungsverträge, und wann sind sie erforderlich?
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist bei jedem Dienstleister abzuschließen, der im Auftrag des Unternehmens personenbezogene Daten verarbeitet – also etwa Webhoster, Cloud-Dienste, Analytics-Anbieter, CRM-Systeme oder Newsletter-Dienste. Fehlt ein solcher Vertrag, ist die Datenverarbeitung durch den Dienstleister rechtswidrig, unabhängig vom tatsächlichen Schadenseintritt.
Die vorstehende Darstellung betrifft die Regelfälle der Website- und Onlineshop-Compliance in der Automobilzulieferindustrie. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der eingesetzten Technologien und der bestehenden Verträge mit Drittdienstleistern. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.