Ein Abmahnschreiben auf dem Schreibtisch des Geschäftsführers, ausgelöst durch ein fehlendes Pflichtfeld im Impressum oder eine DSGVO-widrige Cookie-Einbindung: In der Mandatspraxis ist das kein Ausnahmefall. Wer einen Onlineshop oder eine Unternehmenswebsite betreibt, steht einer Vielzahl gleichzeitig geltender Anforderungen gegenüber – aus dem Telemedienrecht, dem Datenschutzrecht, dem Wettbewerbsrecht und dem Vertragsrecht. Die Herausforderung liegt weniger im Verständnis der einzelnen Norm als in ihrer simultanen Umsetzung.
Eine Website oder ein Onlineshop ist rechtssicher, wenn Impressum, Datenschutzerklärung, Einwilligungsmanagement (Consent) und Vertragsbedingungen (AGB) den aktuell geltenden Anforderungen des TDDDG, der DSGVO, des UWG und des BGB entsprechen. Für Geschäftsführer im Mittelstand bedeutet das konkret: regelmäßige Prüfpflichten, dokumentierbare Prozesse und – bei Verstößen – persönliche Haftungsrisiken. Nach unserer Erfahrung werden die größten Risiken nicht durch Vorsatz ausgelöst, sondern durch veraltete Textbausteine und ungeprüfte Plug-in-Aktualisierungen.
Die folgende Checkliste führt Sie in acht strukturierten Abschnitten durch die wichtigsten Rechtspflichten – von der Impressumspflicht über das Consent-Management bis zur Abmahnprävention – und benennt zu jedem Punkt die handlungsauslösende Norm sowie die praktische Empfehlung.
Schritt 1: Impressum – Welche Angaben sind zwingend erforderlich?
Das Impressum ist die gesetzliche Visitenkarte jedes Diensteanbieters und das erste Dokument, das Abmahner und Behörden prüfen. Nach dem TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das die Pflichten des bisherigen TMG fortführt) müssen Diensteanbieter, die geschäftsmäßig Telemedien anbieten, bestimmte Informationen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar vorhalten.
Pflichtangaben für eine GmbH umfassen mindestens: vollständiger Name der Gesellschaft und Rechtsform, ladungsfähige Anschrift (kein Postfach), Vertretungsberechtigter (Geschäftsführer namentlich), Registergericht und Handelsregisternummer, Umsatzsteuer-Identifikationsnummer (soweit vorhanden) sowie eine E-Mail-Adresse für eine schnelle elektronische Kontaktaufnahme. Die Erreichbarkeit per E-Mail ist seit der EuGH-Rechtsprechung zum Fernabsatz obligatorisch – eine reine Kontaktformularlösung ohne Angabe der E-Mail-Adresse ist nach gefestigter Rechtsprechung unzureichend.
Häufige Fehler in der Praxis: Die Impressumsseite ist über mehr als zwei Klicks erreichbar; der Geschäftsführer ist nicht namentlich benannt; bei einem Shop mit mehreren Domains fehlt das Impressum auf einer Subdomain. In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen, das seinen B2C-Shop durch eine neue Subdomain für einen Produktlaunch ergänzt hatte. Das Impressum der Hauptdomain war auf der Subdomain nicht verlinkt. Ausgangslage: Abmahnschreiben eines Wettbewerbsverbands. Vorgehen: Sofortkorrektur der Verlinkungsstruktur, Abgabe einer modifizierten strafbewehrten Unterlassungserklärung mit enger Fassung. Ergebnis: Verfahren ohne gerichtliche Kostentragung beendet.
Handlungsempfehlung: Prüfen Sie bei jedem neuen Projekt (Subdomain, Landing Page, Social-Media-Profil mit Shop-Funktion) eigenständig, ob eine eigene Impressumspflicht besteht oder eine technisch einwandfreie Verlinkung zur Hauptdomain ausreicht.
Schritt 2: Datenschutzerklärung – Was muss sie enthalten und wann muss sie aktualisiert werden?
Die Datenschutzerklärung ist nach Art. 13 und 14 DSGVO eine Informationspflicht, die bereits beim ersten Datenkontakt – also beim erstmaligen Besuch einer Website – erfüllt sein muss. Sie ist kein Einmaldokument; jede neue Datenverarbeitungstätigkeit (neues Analyse-Tool, neues Zahlungsdienstleister-Plug-in, neuer Chatbot) löst eine Aktualisierungspflicht aus.
Die DSGVO verlangt strukturiert: Identität und Kontaktdaten des Verantwortlichen, Kontakt des Datenschutzbeauftragten (sofern bestellt oder gesetzlich verpflichtend), Verarbeitungszwecke und Rechtsgrundlagen je Datenverarbeitungsvorgang, Empfänger oder Kategorien von Empfängern, Drittlandübermittlungen (insbesondere bei US-Diensten, etwa Google Analytics, Meta Pixel), Speicherdauer, Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Portabilität), Beschwerderecht bei der zuständigen Aufsichtsbehörde sowie das Recht auf jederzeitigen Widerruf einer erteilten Einwilligung.
Besondere Praxisrelevanz haben Drittlandübermittlungen: Wer Google Fonts von Google-Servern lädt, übermittelt IP-Adressen in die USA. Nach der Rechtsprechung mehrerer Landgerichte kann das ohne hinreichende Rechtsgrundlage (Standardvertragsklauseln, Angemessenheitsbeschluss oder informierte Einwilligung) einen Verstoß gegen Art. 44 ff. DSGVO begründen. Die Lösung ist regelmäßig das lokale Einbinden der Schriftarten.
In der Mandatspraxis sehen wir häufig veraltete Datenschutzerklärungen, die noch auf die Cookie-Richtlinie nach altem TMG-Recht verweisen oder die Rechtsgrundlage für Tracking-Cookies fehlerhaft als „berechtigtes Interesse" ausweisen, obwohl eine ausdrückliche Einwilligung nach TDDDG und DSGVO erforderlich ist. Die Aufsichtsbehörden sind insoweit konsequenter geworden.
Schritt 3: Cookie-Consent – Wie ist das TDDDG umzusetzen?
Das TDDDG regelt seit seiner Einführung die Anforderungen an die Einwilligung beim Setzen von Cookies und vergleichbaren Technologien. Der wesentliche Grundsatz: Cookies, die nicht technisch notwendig sind – insbesondere Tracking-, Marketing- und Analysecookies –, dürfen erst nach einer freiwilligen, informierten und aktiven Einwilligung des Nutzers gesetzt werden.
Ein voreingestelltes Häkchen, ein „Weiter bedeutet Zustimmung"-Hinweis oder das bloße Weiterscrollen genügen nicht. Die Einwilligung muss spezifisch für jeden Verarbeitungszweck erteilt werden (Granularität) und jederzeit widerrufbar sein – mit demselben Aufwand, mit dem sie erteilt wurde. Das bedeutet: Der „Alle akzeptieren"-Button und der „Ablehnen"-Button müssen gleichwertig gestaltet und leicht zugänglich sein.
Typische Implementierungsfehler: Der Consent-Banner lädt Marketing-Skripte bereits vor der Einwilligung; die „Ablehnen"-Option ist versteckt oder erfordert mehrere Klicks; Einwilligungen werden nicht dokumentiert und protokolliert. Für die Nachweispflicht nach Art. 7 Abs. 1 DSGVO ist die Protokollierung entscheidend: Das Unternehmen muss nachweisen können, wann welcher Nutzer welcher Verarbeitungskategorie zugestimmt hat.
Für den Mittelstand empfehlen wir den Einsatz zertifizierter Consent-Management-Plattformen (CMP), die die technische Anforderungserfüllung dokumentieren und bei Behördenanfragen als Nachweis dienen können. Die Kosten für eine solche Lösung sind im Verhältnis zu einem potenziellen Bußgeldverfahren regelmäßig vernachlässigbar. DSGVO-Bußgelder können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen (Art. 83 DSGVO).
Schritt 4: AGB und Widerrufsrecht – Was gilt für Onlineshops gegenüber Verbrauchern?
Wer im B2C-Bereich tätig ist, unterliegt den strengen Anforderungen des Verbraucherrechts. Die AGB eines Onlineshops müssen den §§ 305 ff. BGB standhalten – das bedeutet insbesondere: keine überraschenden Klauseln, keine unangemessene Benachteiligung des Verbrauchers, keine Abweichung von wesentlichen gesetzlichen Grundprinzipien.
Das Widerrufsrecht ist für Verbraucherverträge im Fernabsatz in den §§ 312g, 355 ff. BGB verankert. Die Widerrufsfrist beträgt in der Regel 14 Tage; wird die Widerrufsbelehrung nicht ordnungsgemäß erteilt, verlängert sich die Frist erheblich. Pflicht ist eine klar verständliche, gesetzeskonforme Widerrufsbelehrung in Textform, die dem Verbraucher vor Vertragsschluss zugänglich ist.
Praxisrelevante AGB-Fehler im Mittelstand:
- Haftungsausschlüsse, die nach § 309 BGB gegenüber Verbrauchern unwirksam sind (z. B. Ausschluss von Körperschäden oder grober Fahrlässigkeit)
- Fehlende oder fehlerhafte Musterwiderrufsbelehrung (Anlage 1 zu Art. 246a § 1 Abs. 2 EGBGB)
- Gerichtsstandsklauseln, die verbraucherrechtswidrig ausschließlich auf den Sitz des Händlers abstellen
- Lieferfristklauseln ohne konkreten Rahmen, die das Transparenzgebot verletzen
- Fehlende Information über Online-Streitbeilegungsplattform (OS-Plattform) nach EU-ODR-Verordnung
Im B2B-Bereich gelten die AGB-Kontrolle und das Widerrufsrecht nicht im selben Umfang, gleichwohl sind die §§ 305 ff. BGB auch dort grundsätzlich anwendbar. Wer sowohl B2C als auch B2B beliefert, sollte beide Bereiche mit getrennten AGB-Texten abdecken.
Welche Pflichtinformationen gelten speziell im Onlinehandel?
Über das Widerrufsrecht hinaus schreibt das EU-Verbraucherrecht weitere Informationspflichten vor, die im Onlineshop sichtbar vor Bestellabschluss erfüllt sein müssen. Diese sind in Art. 246a EGBGB zusammengefasst und umfassen unter anderem: wesentliche Eigenschaften der Ware oder Dienstleistung, Gesamtpreis inklusive aller Steuern und Abgaben, Zahlungs- und Lieferbedingungen, Verfahren bei Mängeln sowie Hinweise auf etwaige Garantien.
Besondere Bedeutung hat die sogenannte Button-Lösung: Gemäß § 312j Abs. 3 BGB muss der Bestellbutton eindeutig mit „Zahlungspflichtig bestellen" oder einer vergleichbar unmissverständlichen Formulierung beschriftet sein. Ein Button mit der Aufschrift „Jetzt bestellen" oder „Weiter" ist nach gefestigter Rechtsprechung nicht ausreichend und begründet kein wirksames Vertragsverhältnis. Für den Händler bedeutet das ein erhebliches Risiko, da Käufer die Vertragswirksamkeit anfechten können.
Wer digitale Inhalte (Software, E-Books, Streaming) verkauft, muss zusätzlich die Anforderungen der Warenkauf-Richtlinie (Richtlinie 2019/771/EU) und der Digitale-Inhalte-Richtlinie (Richtlinie 2019/770/EU) beachten, die in Deutschland durch das Gesetz zur Regelung des Verkaufs von Sachen mit digitalen Elementen umgesetzt wurden. Die Updatepflichten des Anbieters sind hier vertraglich klar zu regeln.
Wettbewerbsrecht und UWG – Welche Fallstricke lauern bei Werbung und Preisdarstellung?
Das Gesetz gegen den unlauteren Wettbewerb (UWG) schützt Mitbewerber und Verbraucher vor irreführenden oder unzumutbar belästigenden Geschäftspraktiken. Im Online-Kontext sind drei Bereiche besonders abmahnrelevant: Preisangaben, Produktbewertungen und E-Mail-Marketing.
Bei Preisangaben gilt die Preisangabenverordnung (PAngV): Verbraucher müssen den Endpreis inklusive aller Steuern sehen, Grundpreise sind bei mengen- oder gewichtsbasierter Ware anzugeben, und Preissenkungen müssen sich an einem nachvollziehbaren Referenzpreis messen lassen. Seit der Umsetzung der Omnibus-Richtlinie ist bei Rabatten der niedrigste Preis der letzten 30 Tage anzugeben – ein häufig übersehener Punkt, der in der Abmahnpraxis stark an Bedeutung gewonnen hat.
Produktbewertungen: Unternehmen, die Kundenbewertungen einbinden, müssen transparent machen, ob diese verifiziert sind. Gekaufte oder gefälschte Bewertungen verstoßen gegen § 5 UWG (Irreführung) sowie gegen die Black List im UWG-Anhang.
E-Mail-Marketing ist nach § 7 Abs. 2 Nr. 2 UWG nur mit vorheriger ausdrücklicher Einwilligung (Double-Opt-in) zulässig. Das Double-Opt-in-Verfahren – Bestätigungsmail plus Log des Bestätigungsklicks – ist nicht nur gute Praxis, sondern die einzige gerichtsfeste Dokumentationsmethode. In der Mandatspraxis sehen wir regelmäßig Fälle, in denen Bestandskundenlisten aus stationären Verkaufsstellen für Online-Newsletter verwendet werden, ohne dass eine den DSGVO-Anforderungen genügende Einwilligung vorliegt.
Datenschutzbeauftragter und Rechenschaftspflicht – Wann besteht Bestellpflicht?
Nach Art. 37 DSGVO in Verbindung mit § 38 BDSG ist ein Datenschutzbeauftragter (DSB) intern zu bestellen, wenn in einem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für Websites und Onlineshops sind nahezu alle Mitarbeiter, die Kundendaten, Bestelldaten oder Newsletter-Listen bearbeiten, als solche Personen zu zählen.
Unterhalb dieser Schwelle besteht keine gesetzliche Bestellpflicht. Gleichwohl empfehlen wir mittelständischen Onlinehändlern mit mehr als fünf Mitarbeitern, die Frage des freiwilligen DSB – oder alternativ eines externen Datenschutzberaters – ernsthaft zu prüfen. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO gilt unabhängig von der DSB-Pflicht für jeden Verantwortlichen. Das bedeutet: Jedes Unternehmen muss jederzeit nachweisen können, dass es die DSGVO einhält – nicht nur, dass es sie einzuhalten beabsichtigt.
Praktisch bedeutet das die Führung eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO), die Dokumentation von Einwilligungen, die Protokollierung von Datenpannenmeldungen sowie die Durchführung und Dokumentation von Datenschutz-Folgenabschätzungen (DSFA nach Art. 35 DSGVO) bei risikobehafteten Verarbeitungen – etwa Profiling, automatisierte Kaufentscheidungen, Verarbeitung besonderer Kategorien personenbezogener Daten. Nach unserer Erfahrung ist das Verarbeitungsverzeichnis das am häufigsten fehlende Dokument bei einer ersten Behördenanfrage.
Abmahnprävention und Incident Response – Was tun, wenn es ernst wird?
Abmahnungen nach UWG und DSGVO gehören zum Alltag des Onlinehandels. Das Gesetz zur Stärkung des fairen Wettbewerbs (2021) hat die Abmahnpraxis für Mitbewerber eingeschränkt: Mitbewerber können nur dann kostenpflichtig abmahnen, wenn die Verletzung spürbare Auswirkungen auf den Wettbewerb hat und der Abmahnende selbst die gleichen Produkte oder Dienstleistungen anbietet. Verbände und qualifizierte Einrichtungen bleiben weiterhin uneingeschränkt abmahnberechtigt.
Erhält ein Geschäftsführer eine Abmahnung, gelten folgende Grundsätze: Erstens ist die gesetzte Frist – regelmäßig 24 bis 48 Stunden für dringende Unterlassungserklärungen – verbindlich. Zweitens sollte eine strafbewehrte Unterlassungserklärung niemals ungeprüft und in der vorgelegten Form unterzeichnet werden; die vorformulierte Erklärung des Abmahners ist typischerweise zu weit gefasst. Drittens stellt die Prüfung, ob die Abmahnung formell und materiell berechtigt ist, eine rechtliche Kernaufgabe dar, die anwaltlicher Einschätzung bedarf.
Bei einer Datenpanne – d. h. einer Verletzung des Schutzes personenbezogener Daten – greift eine zweistufige Meldepflicht: Binnen 72 Stunden nach Kenntniserlangung ist die zuständige Datenschutzaufsichtsbehörde zu informieren (Art. 33 DSGVO). Sofern voraussichtlich ein hohes Risiko für die betroffenen Personen besteht, ist zusätzlich die unverzügliche Benachrichtigung der Betroffenen (Art. 34 DSGVO) erforderlich. Die 72-Stunden-Frist läuft unerbittlich – eine verspätete Meldung kann selbst bei unvermeidlicher Datenpanne als eigenständiger Verstoß gewertet werden.
In einem aktuellen Mandat beriet die Kanzlei ein E-Commerce-Unternehmen aus dem Bereich Konsumgüter. Ausgangslage: Ein Dienstleister hatte durch eine Fehlkonfiguration Kundendaten (E-Mail-Adressen, Bestellhistorien) für mehrere Stunden öffentlich zugänglich gemacht. Vorgehen: Sofortabschaltung der betroffenen Schnittstelle, Erstellung der Meldung an die Aufsichtsbehörde innerhalb der 72-Stunden-Frist, Bewertung der Betroffenenbenachrichtigungspflicht, Koordination mit dem Dienstleister zur Ursachenanalyse und Vertragsüberprüfung. Ergebnis: Die Aufsichtsbehörde schloss das Verfahren nach Eingang der Dokumentation ohne Bußgeld ab; der Dienstleister-Vertrag wurde um erweiterte Sicherheits- und Haftungsklauseln ergänzt.
Die vorstehende Darstellung betrifft die typischen Verfahrensabläufe. Ihr konkreter Fall erfordert die Prüfung der genauen Umstände, der eingesetzten Systeme und der vertraglichen Grundlagen mit Ihren Dienstleistern.
Für eine erste Durchsicht Ihrer Unterlagen – Cookie-Banner-Konfiguration, Datenschutzerklärung, AGB oder Impressum – erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen: Website und Onlineshop rechtssicher betreiben
Was muss ein Impressum einer GmbH mindestens enthalten?
Das Impressum einer GmbH muss nach dem TDDDG mindestens folgende Angaben enthalten: vollständiger Name der Gesellschaft und Rechtsform, ladungsfähige Anschrift, Namen der vertretungsberechtigten Geschäftsführer, Registergericht und Handelsregisternummer sowie eine E-Mail-Adresse. Liegt eine Umsatzsteuer-Identifikationsnummer vor, ist auch diese anzugeben. Die Impressumsseite muss über maximal zwei Klicks erreichbar sein.
Welche Cookies dürfen ohne Einwilligung gesetzt werden?
Technisch notwendige Cookies – etwa Session-Cookies für den Warenkorb oder zur Sicherstellung der Funktionsfähigkeit des Logins – dürfen ohne Einwilligung gesetzt werden. Alle anderen Cookies, insbesondere Tracking-, Marketing- und Analysecookies, erfordern eine freiwillige, informierte und granulare Einwilligung nach TDDDG und DSGVO. Voreingestellte Zustimmungen oder das bloße Weitersurfen genügen nicht.
Wann muss ein Datenschutzbeauftragter bestellt werden?
Nach § 38 BDSG in Verbindung mit Art. 37 DSGVO besteht eine gesetzliche Bestellpflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Schwelle kann die freiwillige Bestellung eines internen oder externen Datenschutzbeauftragten für Onlinehändler mit Kundendatenverarbeitung sinnvoll sein, um die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu erfüllen.
Wie lange ist die Frist bei einer Datenpanne zur Meldung an die Behörde?
Nach Art. 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Kenntniserlangung der zuständigen Datenschutzaufsichtsbehörde gemeldet werden. Die Frist gilt auch dann, wenn noch nicht alle Informationen vollständig vorliegen – in diesem Fall ist eine Nachmeldung zulässig. Eine verspätete Meldung kann als eigenständiger Verstoß mit Bußgeld belegt werden.
Ist der Button „Jetzt bestellen" im Onlineshop ausreichend?
Nein. Nach § 312j Abs. 3 BGB muss der Bestellbutton eindeutig auf die Zahlungspflicht hinweisen, etwa durch die Formulierung „Zahlungspflichtig bestellen" oder eine inhaltlich gleichwertige Beschriftung. Der Button „Jetzt bestellen" ist nach der gefestigten Rechtsprechung nicht ausreichend, da er keine hinreichend klare Zahlungspflicht kommuniziert. Ein fehlerhafter Button kann die Wirksamkeit des Kaufvertrags in Frage stellen.
Was sind die häufigsten UWG-Abmahnfallen im Onlineshop?
Zu den häufigsten UWG-Abmahnfallen zählen fehlerhafte oder fehlende Grundpreisangaben, falsch berechnete Rabattbezugspreise (keine Angabe des Mindestpreises der letzten 30 Tage), irreführende Verfügbarkeitsangaben, der Einsatz nicht verifizierter Bewertungen sowie E-Mail-Marketing ohne dokumentiertes Double-Opt-in. Darüber hinaus bleibt das fehlende oder fehlerhafte Impressum eine der häufigsten Abmahngrundlagen.
Die vorstehende Darstellung betrifft die Regelfälle des deutschen Website- und Onlineshop-Rechts. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der eingesetzten Technologien und der aktuell geltenden Fassung der einschlägigen Normen. Für eine erste Durchsicht Ihrer Website-Dokumentation schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.