Ein Bauunternehmen aus dem Mittelstand investiert fünfstellige Beträge in eine neue Firmenwebsite mit integriertem Konfigurator für Aufmaß-Anfragen – und erhält wenige Wochen nach dem Go-live eine Abmahnung wegen eines fehlerhaften Impressums und unzulässiger Cookie-Einbindung. Dieses Szenario ist kein Einzelfall. In der Mandatspraxis sehen wir regelmäßig, dass auch professionell gestaltete Auftritte von Bauunternehmen, Planungsbüros und Bauzulieferern erhebliche rechtliche Lücken aufweisen – weil die handwerkliche Qualität des Auftritts nicht mit der rechtlichen Sorgfalt Schritt hält.
Wer als Unternehmen eine Website oder einen Onlineshop betreibt, unterliegt einem eng verflochtenen Regelwerk aus Telemedienrecht (TDDDG), Wettbewerbsrecht (UWG) und Datenschutzrecht (DSGVO). Für Geschäftsführer im Mittelstand bedeutet das: Impressumspflicht, Einwilligungsmanagement für Cookies, AGB-Transparenz und Widerrufsrecht sind keine bürokratischen Formalitäten, sondern Haftungsfelder mit unmittelbarem Bußgeld- und Abmahnrisiko. Dieser Praxisleitfaden erläutert die sieben zentralen Handlungsschritte, mit denen Bauunternehmen ihre Onlinepräsenz auf rechtssicheres Fundament stellen.
Der Leitfaden gliedert sich in sieben Schritte – von der Impressumspflicht über das Cookie-Einwilligungsmanagement bis zur AGB-Gestaltung für den Onlineshop.
Schritt 1: Impressum rechtssicher gestalten – Welche Angaben sind zwingend?
Das Impressum ist die erste Anlaufstelle jeder behördlichen oder wettbewerbsrechtlichen Überprüfung einer Onlinepräsenz. Nach § 5 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das das frühere TMG abgelöst hat) müssen Anbieter von Telemedien mit geschäftlichem Zweck eine vollständige Anbieterkennzeichnung vorhalten. Pflichtbestandteile sind unter anderem: vollständiger Name oder Firma, ladungsfähige Anschrift, Vertretungsberechtigte, Registereintrag, Umsatzsteuer-Identifikationsnummer (sofern vorhanden) sowie eine elektronisch erreichbare Kontaktadresse. Die bloße Angabe eines Kontaktformulars ohne E-Mail-Adresse erfüllt diese Anforderung nach herrschender Auffassung nicht.
Für Bauunternehmen in der Rechtsform der GmbH oder GmbH & Co. KG ist zusätzlich der Geschäftsführer namentlich zu nennen. Bei der GmbH & Co. KG, die in der Bauwirtschaft häufig anzutreffen ist, sind die Angaben zur Komplementär-GmbH erforderlich. Das Impressum muss von jeder Seite des Auftritts aus leicht erreichbar sein – die höchstrichterliche Rechtsprechung lässt höchstens zwei Klicks gelten. Ein versteckter Link in der Fußzeile mit dem Linktext „Info" genügt dieser Anforderung nicht.
Nach unserer Erfahrung sind fehlerhafte oder unvollständige Impressumsangaben der häufigste Abmahngrund im Bereich des gewerblichen Rechtsschutzes für mittelständische Baubetriebe. Die Folge ist nicht nur eine kostenpflichtige Unterlassungserklärung; im Wiederholungsfall drohen Ordnungsgeldforderungen. Handlungsempfehlung: Lassen Sie das Impressum bei jeder strukturellen Änderung des Unternehmens – Sitzverlegung, Wechsel im Geschäftsführeramt, neue Handelsregisternummer – unverzüglich aktualisieren.
Schritt 2: Cookie-Einwilligungsmanagement nach TDDDG und DSGVO – Was gilt seit der Reform?
Die Anforderungen an das Einwilligungsmanagement für Cookies und vergleichbare Tracking-Technologien haben sich durch das TDDDG (in Kraft seit Dezember 2021 als Nachfolgeregelung des TTDSG) und die fortlaufende Aufsichtspraxis der Datenschutzbehörden deutlich verschärft. Cookies, die der Analyse des Nutzerverhaltens, der Schaltung personalisierter Werbung oder der Einbindung externer Dienste dienen, dürfen nach § 25 TDDDG nur nach einer ausdrücklichen, informierten und freiwillig erteilten Einwilligung gesetzt werden. Technisch notwendige Cookies – etwa für den Warenkorb eines Onlineshops oder die Lastenverteilung des Servers – sind davon ausgenommen.
Was bedeutet das für einen Bauzulieferer, der auf seiner Website Google Analytics oder ein Heatmapping-Tool einsetzt? Er benötigt einen Consent Management Provider (CMP – Einwilligungsverwaltungsdienst), der die Einwilligung vor dem ersten Setzen des Cookies einholt, diese Einwilligung protokolliert und den Widerruf technisch ermöglicht. Ein Banner mit dem Hinweis „Durch die weitere Nutzung stimmen Sie der Verwendung von Cookies zu" genügt diesen Anforderungen ausdrücklich nicht – weder nach dem TDDDG noch nach Art. 7 DSGVO. Der Europäische Gerichtshof hat diese Anforderungen in seiner Planet49-Entscheidung verbindlich klargestellt; die deutschen Aufsichtsbehörden setzen sie aktiv durch.
Praktisch: Bauunternehmen, die Kontaktformulare mit Datenweitergabe an CRM-Systeme oder externe Dienstleister betreiben, müssen zusätzlich sicherstellen, dass die Datenverarbeitung durch eine Rechtsgrundlage nach Art. 6 DSGVO gedeckt ist und eine Datenschutzerklärung die Verarbeitungsvorgänge vollständig und verständlich beschreibt. Bei Datenschutzverstößen können Bußgelder nach Art. 83 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes erreichen – die zuständige Aufsichtsbehörde wählt den höheren Wert.
Schritt 3: Datenschutzerklärung – Inhalt, Struktur und typische Fehler in der Bauwirtschaft
Die Datenschutzerklärung ist kein Marketingtext, sondern ein rechtsverbindliches Informationsdokument. Wer eine Website mit Kontaktformular, Bewerbungsportal oder integriertem Produktkonfigurator betreibt, muss Besucher nach Art. 13 und 14 DSGVO umfassend über alle Verarbeitungsvorgänge informieren. Die zentralen Pflichtangaben umfassen: Verantwortlicher, Zweck und Rechtsgrundlage der Verarbeitung, Empfänger oder Kategorien von Empfängern, Dauer der Speicherung sowie die Rechte der Betroffenen.
In der Praxis sehen wir bei Bauunternehmen zwei besonders häufige Fehlertypen: Erstens werden eingebettete Dienste – etwa Google Maps zur Standortdarstellung oder YouTube-Videos für Baustellendokumentationen – nicht als eigenständige Datenverarbeitungsvorgänge ausgewiesen. Zweitens fehlt die Angabe des Drittlandes, in das Daten übertragen werden, wenn Server in den USA oder Großbritannien genutzt werden. Nach dem Schrems-II-Urteil des EuGH und den Beschlüssen der Datenschutzkonferenz sind solche Übertragungen nur unter Einhaltung geeigneter Schutzmaßnahmen – etwa Standarddatenschutzklauseln nach Art. 46 DSGVO – zulässig.
Handlungsempfehlung: Erarbeiten Sie ein Verzeichnis der auf Ihrer Website eingesetzten Drittanbieter-Tools. Jeder Dienst, der Nutzerdaten verarbeitet oder an Dritte weiterleitet, ist in der Datenschutzerklärung zu benennen. Dieses Verzeichnis ist zugleich Grundlage für Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO. Betroffene haben das Recht, Auskunft über ihre gespeicherten Daten binnen grundsätzlich einem Monat zu erhalten (Art. 12 Abs. 3 DSGVO) – ein nicht beantwortetes Auskunftsersuchen kann unmittelbar zur Beschwerde bei der Aufsichtsbehörde führen.
Schritt 4: AGB für den Onlineshop – Worauf kommt es für Bauzulieferer an?
Betreibt ein Bauunternehmen oder ein Bauzulieferer einen Onlineshop – etwa für Baumaterialien, Werkzeug oder Planungsunterlagen –, dann gelten zusätzlich zur allgemeinen Informationspflicht die AGB-Anforderungen der §§ 305 ff. BGB sowie, bei Endverbraucher-Geschäften, die fernabsatzrechtlichen Pflichten aus §§ 312 ff. BGB. Auch wenn die Bauwirtschaft klassischerweise im B2B-Bereich operiert, kann ein zugänglicher Onlineshop rechtlich als B2C-Kanal eingestuft werden, wenn Verbraucher nicht technisch ausgeschlossen sind.
Die AGB-Inhaltskontrolle nach §§ 305 ff. BGB ist streng: Überraschende Klauseln sind unwirksam, unangemessen benachteiligende Regelungen fallen ersatzlos weg. Das betrifft insbesondere Haftungsausschlüsse, einseitige Leistungsänderungsrechte und verkürzte Gewährleistungsfristen. Im B2C-Bereich ist zusätzlich die gesetzliche Mängelhaftungsdauer zu beachten: Bei Kaufverträgen beträgt sie in der Regel zwei Jahre ab Lieferung, abweichende AGB-Klauseln zulasten des Verbrauchers sind unwirksam.
Für den B2B-Onlineshop gelten die gesetzlichen Regelungen weitgehend dispositiv – die Vertragsparteien können abweichen, soweit keine gesetzlichen Schutzvorschriften entgegenstehen. Dennoch sollten Lieferbedingungen, Eigentumsvorbehaltsklauseln und Zahlungsfristen klar formuliert sein. Nach unserer Erfahrung entstehen in der Bauwirtschaft erhebliche Streitigkeiten aus unklaren Liefer- und Zahlungsbedingungen, die nicht dem tatsächlichen Transaktionsmodell entsprechen. Handlungsempfehlung: Lassen Sie AGB mindestens alle zwei Jahre rechtlich überprüfen – die Rechtsprechung entwickelt sich fort.
Schritt 5: Widerrufsrecht und Bestellprozess – Wann haftet der Geschäftsführer persönlich?
Im Fernabsatz gegenüber Verbrauchern besteht grundsätzlich ein gesetzliches Widerrufsrecht von 14 Tagen (§ 355 BGB). Wird keine oder eine fehlerhafte Widerrufsbelehrung erteilt, verlängert sich diese Frist erheblich – nach § 356 Abs. 3 BGB auf bis zu zwölf Monate und 14 Tage. Für einen Bauzulieferer mit Onlineshop kann das bedeuten, dass Kunden Bestellungen lange nach Erhalt der Ware widerrufen können.
Doch wann greift die persönliche Haftung des Geschäftsführers? Die allgemeine deliktische Haftung nach § 823 Abs. 2 BGB i. V. m. Schutzgesetzen sowie die Haftung nach § 9 UWG (Mitbewerberrecht) können auch die handelnden natürlichen Personen treffen, wenn sie Wettbewerbsverstöße aktiv begangen oder durch Unterlassen zugelassen haben. Hinzu kommt die Haftung nach dem Ordnungswidrigkeitenrecht, wenn Datenschutzverstöße auf mangelnde organisatorische Sicherheitsvorkehrungen zurückzuführen sind. Die datenschutzrechtliche Bußgeldhaftung trifft das Unternehmen als juristische Person – der Geschäftsführer kann daneben persönlich für eigene Verstöße herangezogen werden.
Die Beantwortung der Frage, ob ein konkreter Verstoß zur persönlichen Haftung führt, hängt von den Umständen des Einzelfalls ab. Entscheidend ist, ob der Geschäftsführer von dem Verstoß wusste oder hätte wissen müssen und ob er angemessene Compliance-Strukturen implementiert hatte. Handlungsempfehlung: Etablieren Sie einen internen Freigabeprozess für neue digitale Angebote und dokumentieren Sie die rechtliche Prüfung – das schafft im Streitfall zumindest den Nachweis sorgfältigen Handelns.
Schritt 6: Wettbewerbsrecht und Abmahnschutz – Welche UWG-Risiken bestehen im Digitalen?
Das Gesetz gegen den unlauteren Wettbewerb (UWG) schützt Mitbewerber und Verbraucher vor irreführenden oder unzulässigen Geschäftspraktiken – und das gilt vollumfänglich für Onlineauftritte. Für Bauunternehmen und Bauzulieferer sind drei Bereiche besonders relevant: Erstens die Preisangabenverordnung (PAngV), die bei Verbrauchergeschäften die Angabe des Endpreises einschließlich Umsatzsteuer und aller Pflichtpreisbestandteile verlangt. Zweitens die Kennzeichnungspflicht für kommerzielle Inhalte in sozialen Medien, die zunehmend auch für Unternehmensauftritte gilt. Drittens irreführende Angaben über Produkt- oder Leistungseigenschaften, etwa unbelegte Nachhaltigkeitsversprechen bei Baumaterialien.
Seit der UWG-Reform 2022 (Umsetzung der EU-Richtlinie 2019/2161, auch „Omnibus-Richtlinie") sind die Anforderungen an die Lauterkeit digitaler Praktiken gestiegen. Kundenbewertungssysteme müssen sicherstellen, dass nur Käufer tatsächlicher Produkte bewertet haben; gefälschte Bewertungen sind ausdrücklich als unlauter eingestuft. Verstöße gegen das UWG können von Mitbewerbern, Verbänden und Verbraucherzentralen abgemahnt werden – die Abmahnindustrie ist gerade im digitalen Mittelstand aktiv.
Praktisch zu beachten ist auch: Wer seine Website oder seinen Onlineshop barrierefrei gestalten muss, hat seit dem Barrierefreiheitsstärkungsgesetz (BFSG) zu prüfen, ob seine Dienste unter den Anwendungsbereich fallen. Das Gesetz gilt ab dem 28. Juni 2025 für neue Produkte und Dienstleistungen im Sinne des BFSG. Handlungsempfehlung: Erstellen Sie für Ihren Onlineauftritt eine Compliance-Checkliste, die quartalsweise abgearbeitet wird – nicht erst, wenn eine Abmahnung vorliegt.
Schritt 7: Meldepflichten bei Datenschutzverletzungen und organisatorische Sicherheitspflichten
Auch Bauunternehmen sind von Datenpannen nicht gefeit: Wird eine Kundendatenbank durch einen Cyberangriff kompromittiert oder werden versehentlich Bewerbungsunterlagen an Dritte übermittelt, greift die Meldepflicht nach Art. 33 DSGVO. Die Meldung an die zuständige Aufsichtsbehörde muss binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen – es sei denn, die Verletzung ist voraussichtlich nicht geeignet, ein Risiko für die Rechte und Freiheiten betroffener Personen zu begründen.
Parallel dazu kann eine Benachrichtigung betroffener Personen nach Art. 34 DSGVO erforderlich sein, wenn ein hohes Risiko für deren Rechte besteht. Für Bauunternehmen mit Mitarbeiterdaten, Subunternehmerregistern und Kundenkontaktdatenbanken ist diese Schwelle schnell erreicht. Eine fehlende oder verspätete Meldung kann bußgeldbewehrt sein und den Reputationsschaden erheblich vergrößern.
Die organisatorischen Sicherheitspflichten nach Art. 32 DSGVO verlangen „geeignete technische und organisatorische Maßnahmen" – ein Begriff, der in der Praxis mindestens folgende Elemente umfasst: verschlüsselte Datenübertragung (HTTPS), Zugangsbeschränkungen für Personaldaten, regelmäßige Datensicherungen und ein dokumentiertes Verfahren für den Umgang mit Datenschutzvorfällen. Nach unserer Erfahrung fehlt in kleinen und mittleren Baubetrieben häufig gerade dieses dokumentierte Vorfallsmanagement – mit der Folge, dass im Ernstfall weder intern noch gegenüber der Behörde nachgewiesen werden kann, dass sorgfältig gehandelt wurde.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Tiefbauunternehmen aus dem süddeutschen Raum, das seinen Onlineauftritt um einen Materialkonfigurator und ein Angebotsanfrage-Portal erweitert hatte. Ausgangslage: Das Unternehmen hatte die Website durch eine externe Agentur erstellen lassen, ohne eine rechtliche Begleitung beizuziehen. Das Impressum fehlte auf Unterseiten, der Cookie-Banner setzte Analyse-Cookies vor Einwilligung, und die Datenschutzerklärung erwähnte den eingesetzten US-amerikanischen Cloud-Anbieter nicht. Kurz nach dem Launch erfolgte eine Abmahnung eines Mitbewerbers wegen Verstoßes gegen § 5 TDDDG und § 25 TDDDG sowie wegen irreführender Preisangaben. Vorgehen: Die Kanzlei übernahm die Korrespondenz mit dem Abmahner, entwarf eine modifizierte Unterlassungserklärung mit eingeschränktem Umfang und begleitete die technische Nachbesserung des Cookie-Managements sowie die Überarbeitung von Impressum und Datenschutzerklärung. Ergebnis: Die Auseinandersetzung konnte außergerichtlich beigelegt werden; das Unternehmen verfügt nun über ein dokumentiertes Compliance-System für seinen Onlineauftritt.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, laufender Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Website-Dokumentation – Impressum, Datenschutzerklärung, Cookie-Einstellungen und AGB – erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur rechtssicheren Website in der Bauwirtschaft
Muss ein Bauunternehmen auf seiner Website zwingend ein Impressum vorhalten?
Ja. Jede geschäftsmäßige Onlinepräsenz unterliegt der Impressumspflicht nach § 5 TDDDG. Das gilt unabhängig von der Unternehmensgröße und auch dann, wenn die Website primär der Kontaktaufnahme dient und keine Onlineverkäufe enthält. Pflichtangaben sind Firmenname, ladungsfähige Anschrift, Vertretungsberechtigte, Handelsregisternummer und eine erreichbare elektronische Kontaktadresse. Fehler im Impressum sind einer der häufigsten Abmahngründe im digitalen Wettbewerbsrecht.
Reicht ein einfacher Cookie-Hinweis-Banner aus?
Nein. Ein Hinweisbanner, der lediglich über die Verwendung von Cookies informiert, ohne eine aktive Einwilligung einzuholen, entspricht nicht den Anforderungen des § 25 TDDDG und Art. 7 DSGVO. Analysecookies und Tracking-Technologien dürfen erst nach ausdrücklicher, informierter und freiwillig erteilter Einwilligung gesetzt werden. Die Einwilligung muss protokolliert und der Widerruf jederzeit möglich sein. Ein leicht ablehnbarer Cookie-Banner gehört zum rechtlichen Mindeststandard.
Welche Konsequenzen drohen bei einem Datenschutzverstoß auf der Firmenwebsite?
Bei einem Datenschutzverstoß drohen mehrere parallele Konsequenzen: Bußgelder der zuständigen Datenschutzaufsichtsbehörde nach Art. 83 DSGVO (bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes), Abmahnungen durch Mitbewerber oder Verbände nach UWG sowie zivilrechtliche Schadensersatzansprüche betroffener Personen. Für die Geschäftsführung gilt: eine fehlende interne Compliance-Dokumentation kann die persönliche Haftung erhöhen.
Gilt das Widerrufsrecht auch beim B2B-Onlineshop für Baumaterialien?
Das gesetzliche Widerrufsrecht nach §§ 355 ff. BGB gilt ausschließlich bei Verbraucherverträgen im Fernabsatz. Sofern ein Onlineshop ausschließlich an Unternehmer liefert und Verbraucher technisch zuverlässig ausgeschlossen sind, besteht keine gesetzliche Widerrufsbelehrungspflicht. Ist der Ausschluss nicht sichergestellt – etwa weil der Shop öffentlich zugänglich ist – empfiehlt sich die Einbeziehung einer Widerrufsbelehrung, um das Risiko einer verlängerten Widerrufsfrist zu vermeiden.
Was ist bei der Einbindung von Google Maps oder YouTube auf der Bauunternehmenwebsite zu beachten?
Die Einbindung externer Dienste wie Google Maps oder YouTube überträgt Nutzerdaten an den jeweiligen Anbieter – in der Regel in die USA. Ohne technische Schutzmaßnahmen (etwa „zwei Klick" oder datenschutzfreundliche Einbettungslösungen) und ohne entsprechende Einwilligung oder Standarddatenschutzklauseln nach Art. 46 DSGVO ist diese Einbindung datenschutzrechtlich problematisch. Zudem muss der Dienst in der Datenschutzerklärung vollständig dokumentiert sein.
Welche Fristen gelten bei einer Datenschutzverletzung auf der Website?
Bei einer Datenschutzverletzung, die voraussichtlich ein Risiko für die betroffenen Personen begründet, muss das Unternehmen die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO binnen 72 Stunden informieren. Die Frist beginnt mit dem Zeitpunkt, zu dem das Unternehmen von der Verletzung Kenntnis erlangt. Bei einem hohen Risiko ist zusätzlich die unmittelbare Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO erforderlich.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Onlineauftritt erfordert die individuelle Prüfung Ihrer Verträge, technischen Einstellungen und internen Prozesse. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.