Ein Automobilzulieferer aus dem schwäbischen Mittelstand erhält eine Abmahnung: Der Cookie-Banner seiner Website genüge nicht den Anforderungen des Telemedienrechts, das Impressum fehle auf einer Unterseite, und die AGB des Onlineshops enthielten eine unwirksame Haftungsklausel. Die Kosten für die anwaltliche Reaktion, den Vertragsstrafen-Unterlassungsvertrag und die technische Nachbesserung übersteigen den Jahresumsatz des betroffenen Produktsegments. Was wie ein Einzelfall klingt, ist in der Automobilzulieferindustrie Alltag – und trifft Unternehmen, die sich zu Recht auf Fertigungsexzellenz konzentrieren, dabei aber das digitale Rechtsumfeld unterschätzen.
Eine Website oder ein Onlineshop ist in Deutschland kein rechtsfreier Raum. Betreiber in der Automobilzulieferindustrie unterliegen einem verdichteten Pflichtenprogramm: Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TDDDG) regelt Datenschutz und Cookie-Einwilligung; das Gesetz gegen den unlauteren Wettbewerb (UWG) schützt vor irreführenden Angaben; Impressum, Widerrufsrecht und AGB-Gestaltung folgen aus BGB, TMG und UWG. Verstöße lösen Abmahnungen, behördliche Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes sowie eine persönliche Haftung des Geschäftsführers aus. Wer diese Pflichten strukturiert prüft und dokumentiert, schützt nicht nur das Unternehmen, sondern auch seine eigene Position.
Dieser Beitrag analysiert die relevanten Rechtsbereiche – von Impressumspflicht und Cookie-Einwilligung über AGB-Gestaltung bis zur DSGVO-Compliance – und zeigt, welche Maßnahmen Geschäftsführer von Automobilzulieferern konkret ergreifen sollten.
Warum die Automobilzulieferindustrie besondere Aufmerksamkeit verdient
Die digitale Präsenz eines Automobilzulieferers erfüllt heute mehrere Funktionen gleichzeitig: Sie dient der Kundenkommunikation mit OEM-Einkäufern, der Platzierung von Produktinformationen für Tier-2-Lieferanten, dem B2B-Ersatzteilhandel sowie – zunehmend – dem Direktvertrieb an Werkstätten oder Flottenbetreiber. Jede dieser Funktionen zieht unterschiedliche Rechtspflichten nach sich. Ein reiner Informationsauftritt unterliegt weniger Pflichten als ein Onlineshop mit Vertragsabschluss, doch selbst der statischste Webauftritt muss ein rechtskonformes Impressum, eine Datenschutzerklärung und ein Cookie-Consent-System vorhalten.
In der Mandatspraxis sehen wir, dass Automobilzulieferer häufig mehrere digitale Auftritte parallel betreiben – eine Konzernseite, nationale Länderseiten, einen Ersatzteil-Onlineshop und womöglich ein Kundenportal – ohne dass ein zentrales rechtliches Steuerungskonzept existiert. Dabei reicht bereits eine einzige nicht-konforme Unterseite, um Abmahnrisiken zu begründen. Der Handlungsdruck ist erheblich: Wettbewerbsverbände, spezialisierte Kanzleien und Mitbewerber scannen öffentliche Internetauftritte systematisch auf Verstöße.
Hinzu kommt ein branchenspezifischer Faktor: Die Automobilzulieferindustrie ist eng in internationale Lieferketten eingebunden. Websites, die bewusst oder unbewusst Nutzer in anderen EU-Mitgliedstaaten ansprechen, können zusätzlich das Recht des jeweiligen Mitgliedstaates berühren – unabhängig davon, wo der Server steht. Die folgenden Ausführungen konzentrieren sich auf das deutsche Rechtsumfeld, verweisen aber an den relevanten Stellen auf europäische Überwachungsstrukturen.
Welche Rechtsnormen gelten für Websites und Onlineshops in Deutschland?
Das deutsche Website-Recht ist kein einheitliches Gesetz, sondern ein Normengeflecht aus mehreren Regelwerken, die parallel anwendbar sind. Entscheidend für die Praxis ist die Unterscheidung zwischen Pflichten, die jeden Telemedienanbieter treffen, und solchen, die erst durch bestimmte Funktionen ausgelöst werden.
Das Telemedienrecht – heute primär im TDDDG (Telekommunikation-Telemedien-Datenschutz-Gesetz, in Kraft seit Dezember 2021) sowie fortgeltenden Vorschriften des TMG – regelt die Anbieterkennzeichnung (Impressum), die Informationspflichten gegenüber Nutzern und den Umgang mit Nutzungsdaten. Das TDDDG setzt zugleich europäische Vorgaben aus der ePrivacy-Richtlinie um; es ist das zentrale Instrument für Cookie-Einwilligungen und vergleichbare Technologien. Wer auf seiner Website Cookies oder Tracking-Technologien setzt, die nicht technisch notwendig sind, benötigt nach § 25 TDDDG die vorherige, informierte und freiwillige Einwilligung des Nutzers.
Das Gesetz gegen den unlauteren Wettbewerb (UWG) sanktioniert irreführende und aggressive Geschäftspraktiken. Im Website-Kontext bedeutet das: Preisangaben müssen klar und vollständig sein, Produktbeschreibungen dürfen nicht täuschen, und Garantieversprechen müssen inhaltlich zutreffen. Für B2B-Onlineshops, wie sie in der Automobilzulieferindustrie typisch sind, gelten dabei zum Teil abweichende Maßstäbe gegenüber dem reinen Verbraucherrecht – der UWG-Schutz gilt jedoch in wesentlichen Teilen unabhängig davon, ob auf der Gegenseite ein Verbraucher oder ein Unternehmen steht.
Die Datenschutz-Grundverordnung (DSGVO) überlagert das nationale Recht und ist unmittelbar anwendbar. Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Die Meldung einer Datenschutzverletzung an die zuständige Aufsichtsbehörde muss binnen 72 Stunden nach Bekanntwerden erfolgen (Art. 33 DSGVO). Nutzer können Auskunft über ihre gespeicherten Daten verlangen; die Kanzlei muss grundsätzlich binnen eines Monats antworten (Art. 15 i. V. m. Art. 12 Abs. 3 DSGVO).
Im Onlineshop-Betrieb treten ergänzend das BGB-Fernabsatzrecht (§§ 312 ff. BGB), die Preisangabenverordnung, das Gesetz über Unterlassungsklagen sowie – bei Verbraucherverträgen – das gesetzliche Widerrufsrecht hinzu. Für B2B-Shops, die ausschließlich an Unternehmer liefern, entfallen einige verbraucherschützende Pflichten; allerdings muss die Abgrenzung technisch und rechtlich zuverlässig umgesetzt sein, da bereits ein einziger Verbraucherauftritt die vollen Verbraucherschutzpflichten auslöst.
Impressum, Datenschutzerklärung und Cookie-Consent: Die Basisanforderungen
Das Impressum ist die formale Eintrittspflicht für jeden kommerziellen Webauftritt. Fehlt es oder ist es unvollständig, begründet das einen Wettbewerbsverstoß nach §§ 3, 5a UWG, der innerhalb der gesetzlichen Fristen abgemahnt werden kann. Pflichtangaben für eine GmbH umfassen unter anderem den vollständigen Firmennamen, den Sitz, die Handelsregisternummer, den oder die Geschäftsführer mit Vornamen sowie – für regulierte Tätigkeiten – die zuständige Aufsichtsbehörde. Das Impressum muss von jeder Seite des Auftritts aus mit höchstens zwei Klicks erreichbar sein; versteckte Footer-Links, die nur nach Scrollen sichtbar werden, sind in der Regel nicht ausreichend.
Nach unserer Erfahrung ist die Datenschutzerklärung das am häufigsten unvollständige Dokument auf mittelständischen Industriewebsites. Sie muss nicht nur formal alle nach Art. 13 und 14 DSGVO erforderlichen Informationen enthalten, sondern auch technisch aktuell sein – jede neue eingebundene Drittanbieter-Komponente (Google Fonts, YouTube-Einbettungen, CRM-Tracking) erfordert eine Aktualisierung. Wer seine Datenschutzerklärung zuletzt vor zwei Jahren aktualisiert hat, betreibt in der Regel eine veraltete Dokumentation.
Die Cookie-Einwilligung ist seit dem Inkrafttreten des TDDDG das sensibelste Compliance-Thema. § 25 TDDDG verlangt für nicht technisch notwendige Cookies eine Einwilligung, die den Anforderungen der DSGVO entspricht: Sie muss vor dem Setzen des Cookies eingeholt werden, informiert, freiwillig und dokumentiert sein. Ein Banner, das Tracking-Cookies bereits beim Laden der Seite aktiviert und den Nutzer erst nachträglich um Zustimmung bittet, genügt diesen Anforderungen nicht. Ebenso muss die Ablehnung aller nicht notwendigen Cookies genauso einfach möglich sein wie die Zustimmung – ein prominenter „Alle akzeptieren"-Button neben einem versteckten „Einstellungen"-Link genügt nach herrschender Auffassung nicht.
Für Automobilzulieferer, die internationale Kunden ansprechen, ist zusätzlich zu prüfen, ob ein Consent Management System (CMS) eingesetzt wird, das die Einwilligungen auditierbar dokumentiert. Im Streitfall – sei es eine Aufsichtsbehörde oder ein klagender Mitbewerber – trägt der Website-Betreiber die Beweislast dafür, dass eine wirksame Einwilligung vorlag.
AGB im Onlineshop: Wo Standardtexte zur Haftungsfalle werden
Allgemeine Geschäftsbedingungen unterliegen der Inhaltskontrolle nach §§ 305 ff. BGB. Eine Klausel, die den Vertragspartner unangemessen benachteiligt, ist unwirksam – im schlimmsten Fall mit der Folge, dass stattdessen das gesetzliche Recht gilt, das für den Verwender ungünstiger sein kann. In der Automobilzulieferindustrie sind AGB im B2B-Bereich besonders kritisch: Einkaufsbedingungen der OEM können mit den Verkaufsbedingungen des Zulieferers kollidieren, und die Frage, wessen AGB gelten, wird häufig erst im Streitfall relevant.
Welche AGB-Klauseln sind im Online-B2B-Bereich besonders anfällig? Aus der Mandatspraxis lassen sich drei Konstellationen hervorheben: Erstens Haftungsbeschränkungen, die pauschal für alle Schadensarten gelten und dabei auch grobe Fahrlässigkeit und Vorsatz ausschließen – solche Klauseln sind unwirksam (§ 309 Nr. 7, anwendbar über § 307 BGB auch im B2B-Bereich). Zweitens Lieferfristklauseln, die keine Konsequenz an eine Verzögerung knüpfen und die gesetzlichen Gewährleistungsrechte des Käufers aushöhlen. Drittens Gerichtsstandsklauseln, die einen für den Verwender bequemen, für den Vertragspartner aber unzumutbaren Gerichtsstand vorschreiben.
Für Onlineshops gelten im B2C-Bereich zusätzliche Pflichten: Das gesetzliche Widerrufsrecht (§§ 355 ff. BGB) muss in der vorgeschriebenen Form erläutert werden; die Widerrufsbelehrung muss dem gesetzlichen Muster entsprechen oder gleichwertige Informationen enthalten. Fehlt die Belehrung oder ist sie fehlerhaft, verlängert sich die Widerrufsfrist. Im B2B-Bereich kann das Widerrufsrecht vertraglich ausgeschlossen werden – aber nur dann, wenn der Onlineshop tatsächlich ausschließlich an Unternehmer liefert und diese Einschränkung technisch und rechtlich wasserdicht implementiert ist.
Die kaufmännische Rügepflicht nach § 377 HGB ist ein weiterer Aspekt, der häufig vernachlässigt wird: Handelsrechtliche Käufer müssen Mängel unverzüglich rügen, andernfalls gilt die Ware als genehmigt. Wer AGB gestaltet, die diesen Grundsatz zugunsten des Verkäufers schärfen, muss sicherstellen, dass die Klausel einer AGB-Kontrolle standhält.
Persönliche Haftung des Geschäftsführers: Wann greift sie?
Die persönliche Haftung des Geschäftsführers für Website-Rechtsverstöße ist kein theoretisches Risiko. In der Praxis droht sie aus zwei Richtungen: erstens aus dem Wettbewerbsrecht, zweitens aus dem Datenschutzrecht.
Im Wettbewerbsrecht haften Geschäftsführer persönlich, wenn sie an der Verletzungshandlung beteiligt waren oder wenn sie eine für das Unternehmen bestehende Verkehrssicherungspflicht verletzt haben. Wer als Geschäftsführer weiß, dass der Webauftritt ein fehlerhaftes Impressum enthält oder dass Tracking-Cookies ohne wirksame Einwilligung gesetzt werden, und gleichwohl nicht handelt, kann bei einer Abmahnung eines Mitbewerbers oder eines Verbandes persönlich auf Unterlassung und Schadensersatz in Anspruch genommen werden.
Im Datenschutzrecht gilt eine vergleichbare Logik. Die DSGVO richtet ihre Pflichten primär an den Verantwortlichen – regelmäßig das Unternehmen. Bußgelder nach Art. 83 DSGVO treffen zunächst die juristische Person. Allerdings können nach dem BDSG (Bundesdatenschutzgesetz) und nach Behördenpraxis in einzelnen Bundesländern auch Geschäftsführer persönlich sanktioniert werden, wenn sie ordnungswidrigkeitsrechtliche Handlungs- oder Aufsichtspflichten verletzt haben. Die Geschäftsführerhaftung aus § 43 GmbHG ist ein weiterer Angriffspunkt: Wer die ihm obliegenden Compliance-Pflichten im Bereich Datenschutz und Telemedienrecht grob vernachlässigt, kann intern und von Gesellschaftern in Regress genommen werden.
Was bedeutet das für die Praxis? Geschäftsführer sollten nachweisbar dokumentieren, dass sie die Website-Compliance intern organisiert haben – durch Beauftragung eines Datenschutzbeauftragten (sofern erforderlich), durch regelmäßige interne Audits und durch vertragliche Absicherung von Agenturen und technischen Dienstleistern. Eine „Das macht unsere IT-Abteilung"-Antwort schützt den Geschäftsführer im Ernstfall nicht.
Datenschutz im B2B-Kontext der Zulieferindustrie: Unterschätzte Pflichten
Automobilzulieferer verarbeiten im Rahmen ihrer Online-Präsenz regelmäßig personenbezogene Daten – auch dann, wenn ihre Zielgruppe primär Unternehmen sind. Ansprechpartner bei OEM-Kunden, Einkäufer, Werkstatt-Inhaber: Hinter jeder B2B-Geschäftsbeziehung stehen natürliche Personen, deren Daten DSGVO-geschützt sind. Die Verarbeitung von Kontaktformular-Daten, Anmelde-E-Mails, Analyse-Daten über das Nutzerverhalten auf dem Kundenportal oder Tracking von Sales-Leads durch CRM-Systeme unterliegt dem vollständigen Pflichtenprogramm der DSGVO.
Besonderes Augenmerk verdient die Einbindung von Drittanbietern. Viele mittelständische Zulieferer nutzen externe Analytics-Tools, E-Mail-Marketing-Plattformen oder Kundenportale, die von Dienstleistern gehostet werden. In diesen Konstellationen ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend erforderlich. Fehlt der AVV, ist die Datenübermittlung an den Dienstleister per se datenschutzwidrig – unabhängig davon, ob der Dienstleister selbst datenschutzkonform handelt. In der Mandatspraxis sehen wir häufig, dass AVVs zwar formal abgeschlossen wurden, aber technisch veraltete oder unvollständige Regelungen enthalten, die einer Überprüfung nicht standhalten.
Die Übermittlung personenbezogener Daten in Drittstaaten außerhalb der EU/des EWR bedarf einer gesonderten Rechtsgrundlage. Wer eine Website betreibt, die US-amerikanische Dienste einbindet – sei es Google Analytics, HubSpot oder ähnliche Plattformen – muss sicherstellen, dass ein wirksamer Transfer-Mechanismus besteht. Nach dem EU-U.S. Data Privacy Framework (DPF, in Kraft seit Juli 2023) ist die Übermittlung an DPF-zertifizierte US-Anbieter unter bestimmten Voraussetzungen zulässig; die Zertifizierung des jeweiligen Anbieters ist jedoch regelmäßig zu überprüfen.
Für Unternehmen, die eine bestimmte Schwelle an Datenverarbeitungen überschreiten, besteht die Pflicht zur Bestellung eines Datenschutzbeauftragten (DSB) nach § 38 BDSG. In der Automobilzulieferindustrie ist diese Schwelle aufgrund der typischen Unternehmensgrößen und der Breite der Datenverarbeitung häufig erreicht. Der DSB muss intern oder extern bestellt, in Datenschutzfragen eingebunden und mit den notwendigen Ressourcen ausgestattet werden.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Automobilzulieferer aus Bayern mit rund 350 Mitarbeitern. Das Unternehmen betrieb einen B2B-Onlineshop für Ersatzteile und ein öffentlich zugängliches Produktportal. Ausgangslage: Nach einer Wettbewerbsabmahnung wurde festgestellt, dass der Cookie-Banner Tracking-Cookies bereits beim Seitenaufruf aktivierte, ohne eine vorherige Einwilligung einzuholen; gleichzeitig enthielt das Impressum keine Angabe zum zuständigen Handelsregister. Das Unternehmen hatte keine AVV mit dem Hosting-Dienstleister geschlossen, obwohl dieser Zugriff auf Log-Daten mit IP-Adressen hatte. Vorgehen: Die Kanzlei entwickelte ein gestuftes Maßnahmenpaket: technische Überarbeitung des Consent Management Systems, Aktualisierung des Impressums und der Datenschutzerklärung, Abschluss eines AVV mit dem Dienstleister sowie eine interne Schulung des verantwortlichen IT-Leiters und des Geschäftsführers. Ergebnis: Die Abmahnung konnte mit einer modifizierten Unterlassungserklärung abgewendet werden; das Unternehmen ist nunmehr in der Lage, seine Compliance-Dokumentation im Falle einer behördlichen Überprüfung vorzulegen.
UWG und Wettbewerbsrecht: Typische Risiken im digitalen Vertrieb
Das UWG schützt nicht nur Verbraucher, sondern auch Mitbewerber vor unlauteren Praktiken. Im digitalen Vertrieb der Automobilzulieferindustrie sind drei Risikofelder besonders relevant.
Das erste ist die Irreführung durch Produktangaben. Wer auf seiner Website Produkteigenschaften angibt – Maße, Materialzusammensetzung, Normen (etwa ECE-Zertifizierungen oder IATF-16949-Konformität) –, muss sicherstellen, dass diese Angaben zutreffen und aktuell sind. Veraltete Produktdatenblätter auf der Website, die nicht mit dem tatsächlichen Lieferzustand übereinstimmen, können einen Verstoß gegen § 5 UWG begründen. Das gilt auch für Preisangaben: Wird ein Preis als „Sonderpreis" oder „Aktionsangebot" ausgewiesen, muss ein tatsächlicher Vergleichspreis existieren, auf den Bezug genommen wird.
Das zweite Risikofeld ist das Keyword-Advertising. Wer Google Ads schaltet und dabei auf die Marken von Mitbewerbern als Keywords bietet, kann markenrechtliche Ansprüche auslösen. Ebenso ist die Verwendung fremder Markenzeichen in Metatags oder Alternativtexten von Bildern potenziell markenrechtlich problematisch. Automobilzulieferer, die ihre Produkte als „kompatibel mit" bestimmten OEM-Produkten bewerben, bewegen sich in einem Spannungsfeld zwischen zulässiger beschreibender Verwendung und markenrechtlicher Verletzung, das im Einzelfall anwaltlich geprüft werden muss.
Das dritte Risikofeld betrifft Kundenbewertungen. Wer auf seiner Website Kundenrezensionen oder Bewertungssterne einbindet, muss sicherstellen, dass nur echte Käuferbewertungen angezeigt werden. Das Einblenden nicht überprüfter oder gefälschter Bewertungen ist nach UWG unlauter. Eine neue UWG-Novelle, die auf die EU-Omnibus-Richtlinie zurückgeht, verschärft die Anforderungen an die Transparenz von Bewertungssystemen – Betreiber sollten prüfen, ob ihr System den aktuellen Anforderungen genügt.
Was ist beim Betrieb grenzüberschreitender Onlineshops zu beachten?
Viele Automobilzulieferer betreiben Websites, die bewusst oder unbewusst Kunden in anderen EU-Mitgliedstaaten ansprechen – über englischsprachige Inhalte, internationale Preislisten oder die Angabe internationaler Lieferbedingungen (Incoterms). Sobald eine Website auf Nutzer in anderen Mitgliedstaaten ausgerichtet ist, können die Verbraucherschutzrechte des jeweiligen Mitgliedstaates Anwendung finden (Art. 6 Rom-I-VO bei Verbraucherverträgen).
Für B2B-Shops gilt im Ausgangspunkt die Vertragsfreiheit: Die Parteien können das anwendbare Recht wählen (Art. 3 Rom-I-VO). Fehlt eine Rechtswahl, findet das Recht des Staates Anwendung, in dem der Verkäufer seinen gewöhnlichen Aufenthalt hat – also in der Regel deutsches Recht. Die Gerichtsstandsvereinbarung sollte ebenfalls im Vertrag geregelt sein, da sonst die EuGVVO (Brüssel-Ia-VO) die Zuständigkeit bestimmt, was zu unerwarteten Klagezuständigkeiten führen kann.
Für die DSGVO gilt das sogenannte Marktortprinzip (Art. 3 Abs. 2 DSGVO): Wer Daten von Personen in der EU verarbeitet und dabei Waren oder Dienstleistungen anbietet, unterliegt der DSGVO – unabhängig vom Unternehmenssitz. Umgekehrt bedeutet das: Auch ein in Deutschland ansässiger Automobilzulieferer, der seine Website bewusst auf Kunden in Frankreich oder Polen ausrichtet, muss die Anforderungen der DSGVO vollständig erfüllen. Die jeweils zuständige Datenschutzaufsichtsbehörde kann – je nach Lage des Sachverhalts – auch eine ausländische Behörde sein.
Handlungsempfehlung: Ein strukturierter Compliance-Fahrplan für Automobilzulieferer
Nach unserer Erfahrung ist der größte Fehler im Umgang mit Website-Compliance nicht die bewusste Missachtung, sondern das Fehlen einer strukturierten Zuständigkeit. Niemand fühlt sich verantwortlich, Aufgaben werden zwischen IT, Marketing und Rechtsfragen aufgeteilt, und das Ergebnis ist ein Flickwerk ohne Gesamtverantwortung. Der folgende Fahrplan beschreibt einen pragmatischen Ansatz.
Schritt 1 – Bestandsaufnahme: Inventarisierung aller öffentlich zugänglichen Webauftritte und Onlineshops des Unternehmens, einschließlich Subdomain-Auftritte und Kundenportale. Dabei ist zu klären, wer technischer Betreiber und wer datenschutzrechtlich Verantwortlicher ist – das sind nicht immer dieselben Personen.
Schritt 2 – Rechtliche Grundlagendokumentation: Impressum, Datenschutzerklärung und AGB werden auf Aktualität und Vollständigkeit geprüft. Besonderes Augenmerk gilt der Übereinstimmung zwischen der Datenschutzerklärung und den tatsächlich eingesetzten Technologien. Fehlende AVVs mit Dienstleistern werden identifiziert und geschlossen.
Schritt 3 – Technische Überprüfung des Consent Management Systems: Der Cookie-Banner wird daraufhin überprüft, ob er die Anforderungen des § 25 TDDDG erfüllt. Das umfasst die Reihenfolge (Einwilligung vor dem Setzen nicht notwendiger Cookies), die Gleichwertigkeit von Zustimmung und Ablehnung sowie die Dokumentation der Einwilligungen.
Schritt 4 – Datenschutz-Folgenabschätzung (DSFA): Für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte natürlicher Personen begründen – etwa der Einsatz von Profilbildungs- oder Analyse-Tools –, ist eine DSFA nach Art. 35 DSGVO durchzuführen. Viele mittelständische Unternehmen wissen nicht, dass sie zu dieser Prüfung verpflichtet sein können.
Schritt 5 – Regelmäßige Überprüfung: Compliance ist kein einmaliges Projekt, sondern ein laufender Prozess. Jede neue technische Einbindung – ob Analytics-Tool, Chatbot oder Buchungswidget – löst erneute Prüfpflichten aus. Ein halbjährliches oder jährliches Audit, das die Datenschutzerklärung, die AVVs und das Consent-System überprüft, sollte institutionalisiert werden.
Wie oft wird in der Praxis der fünfte Schritt wirklich umgesetzt? Nach unserer Beobachtung sind es die wenigsten Unternehmen, die ein verbindliches Audit-Intervall eingerichtet haben. Das ist kein Vorwurf, sondern eine Einladung: Wer die Kontrolle jetzt strukturiert aufnimmt, ist im Falle einer Abmahnung oder Behördenanfrage erheblich besser aufgestellt.
Die vorstehende Darstellung betrifft die Regelfälle des Website- und Onlineshop-Betriebs in der Automobilzulieferindustrie. Ihr konkreter Fall erfordert die Prüfung Ihrer tatsächlichen Webauftritte, der eingesetzten Technologien und der bestehenden Vertragsunterlagen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum rechtssicheren Website- und Onlineshop-Betrieb
Was muss ein rechtssicheres Impressum für einen Automobilzulieferer enthalten?
Das Impressum einer GmbH muss mindestens enthalten: vollständiger Firmenname, Sitz, Handelsregister und Registernummer, sämtliche Geschäftsführer mit Vor- und Nachnamen, eine ladungsfähige Anschrift sowie – soweit gesetzlich vorgeschrieben – Angaben zu Berufsaufsichtsbehörden oder Berufsordnungen. Es muss von jeder Seite des Webauftritts mit höchstens zwei Klicks erreichbar sein. Fehlt eine dieser Angaben, liegt regelmäßig ein abmahnbarer Verstoß gegen das UWG vor. Die genauen Anforderungen richten sich nach der Unternehmensform und der Art der Tätigkeit; im Einzelfall ist anwaltliche Prüfung empfehlenswert.
Benötige ich als B2B-Onlineshop eine Widerrufsbelehrung?
Wenn Ihr Onlineshop ausschließlich an Unternehmer (§ 14 BGB) liefert und diese Einschränkung technisch und rechtlich zuverlässig sichergestellt ist, entfällt das gesetzliche Verbraucher-Widerrufsrecht. Eine Belehrung ist dann nicht erforderlich, kann aber vertraglich geregelt werden. Kritisch ist die Abgrenzung: Sobald ein Verbraucher im Shop bestellen kann oder die Abgrenzung nicht eindeutig implementiert ist, gelten die vollen Verbraucherschutzpflichten. Die konkrete Umsetzung sollte anwaltlich begleitet werden.
Reicht ein Standard-Cookie-Banner, den meine Agentur eingebaut hat?
Nicht zwingend. § 25 TDDDG verlangt, dass nicht technisch notwendige Cookies erst nach einer wirksamen Einwilligung gesetzt werden. Viele Standard-Banner erfüllen diese Anforderung formal oder technisch nicht – etwa weil sie Ablehnung schwieriger gestalten als Zustimmung oder weil sie keine Dokumentation der Einwilligungen führen. Im Streitfall trägt der Betreiber die Beweislast. Es empfiehlt sich, das eingesetzte Consent Management System regelmäßig rechtlich und technisch zu überprüfen, insbesondere nach Software-Updates oder dem Einsatz neuer Drittanbieter-Tools.
Wann muss ich einen Datenschutzbeauftragten bestellen?
Die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten richtet sich nach § 38 BDSG sowie Art. 37 DSGVO. Im deutschen Recht gilt die Pflicht unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. In der Automobilzulieferindustrie mit typischerweise breiter Datenverarbeitung ist diese Schwelle häufig erreicht. Zusätzlich können bestimmte Verarbeitungstätigkeiten – etwa umfangreiches Profiling oder die Verarbeitung besonderer Datenkategorien – eine Bestellpflicht unabhängig von der Mitarbeiterzahl begründen. Die genaue Prüfung ist im Einzelfall erforderlich.
Welche Bußgelder drohen bei DSGVO-Verstößen im Onlineshop?
Nach Art. 83 DSGVO können Aufsichtsbehörden Bußgelder von bis zu 20 Mio. € oder – falls höher – 4 % des gesamten weltweiten Jahresumsatzes verhängen. Dieser Rahmen gilt für schwerwiegende Verstöße, etwa gegen die Grundprinzipien der Verarbeitung oder gegen die Anforderungen an eine wirksame Einwilligung. Für weniger schwerwiegende Verstöße gilt ein niedrigerer Rahmen. In der Behördenpraxis orientieren sich Bußgelder an der Schwere des Verstoßes, der Kooperationsbereitschaft des Unternehmens und den ergriffenen Abhilfemaßnahmen. Eine proaktive Compliance-Dokumentation wirkt regelmäßig strafmildernd.
Muss ich Datenschutzverletzungen melden, auch wenn ich ein B2B-Unternehmen bin?
Ja. Die Meldepflicht nach Art. 33 DSGVO gilt für alle Verantwortlichen, unabhängig davon, ob sie im B2B- oder B2C-Bereich tätig sind. Eine Datenschutzverletzung, die voraussichtlich ein Risiko für die Rechte natürlicher Personen begründet, muss binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutz-Aufsichtsbehörde gemeldet werden. Ist das Risiko voraussichtlich hoch, müssen zusätzlich die betroffenen Personen informiert werden (Art. 34 DSGVO). Die interne Dokumentation von Datenschutzverletzungen ist in jedem Fall verpflichtend, auch wenn keine externe Meldepflicht besteht.
Die vorstehende Analyse beschreibt die typischen Rechtsfragen beim Website- und Onlineshop-Betrieb in der Automobilzulieferindustrie. Ihr konkreter Fall erfordert die Überprüfung Ihrer spezifischen Webauftritte, der eingesetzten Technologien und der vorhandenen Vertragsunterlagen mit Dienstleistern. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.