Ein Abmahnschreiben, das am Montagmorgen auf dem Schreibtisch eines Geschäftsführers landet, ist im deutschen Einzel- und Großhandel längst Alltag. Oft ist der Auslöser kein arglistiges Verhalten, sondern eine fehlerhafte Cookie-Einwilligung, ein unvollständiges Impressum oder eine AGB-Klausel, die seit der jüngsten Gesetzesreform nicht mehr hält. Wer heute eine Website oder einen Onlineshop betreibt, bewegt sich in einem Regelungsgeflecht aus TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), DSGVO, UWG und zivilrechtlichem AGB-Recht, das sich in den vergangenen Jahren erheblich verdichtet hat.
Eine Website und ein Onlineshop sind dann rechtssicher betrieben, wenn sie die Informationspflichten nach TDDDG und DSGVO vollständig erfüllen, ein ordnungsgemäßes Impressum sowie rechtswirksame AGB vorhalten und das Einwilligungsmanagement für Cookies und Tracking den aktuellen Anforderungen entspricht. Verstöße können nach dem UWG abgemahnt werden und im Fall einer DSGVO-Datenpanne binnen 72 Stunden meldepflichtig sein. Für Geschäftsführer im Mittelstand ergeben sich daraus unmittelbare persönliche Haftungsrisiken.
Das folgende FAQ-Dossier beantwortet die zwölf häufigsten Fragen, die uns Geschäftsführer und Justiziare aus dem Groß- und Einzelhandel stellen – von den Grundpflichten bis zur Abwehr unbegründeter Abmahnungen.
1. Welche Pflichtangaben muss ein Impressum im deutschen Online-Handel enthalten?
Das Impressum – in der Sprache des TDDDG die „Anbieterkennzeichnung" – ist die grundlegende Visitenkarte jedes kommerziellen Internetauftritts. Jeder Diensteanbieter, der Telemedien geschäftsmäßig anbietet, ist zur leicht erkennbaren, unmittelbar erreichbaren und ständig verfügbaren Darstellung bestimmter Angaben verpflichtet. Für Kapitalgesellschaften bedeutet das im Kern: Firma und Rechtsform (exakt wie im Handelsregister), Handelsregister und Registernummer, Namen der vertretungsberechtigten Personen (Geschäftsführer, Vorstand), vollständige Anschrift, E-Mail-Adresse sowie – bei GmbHs und AGs – die Angabe des Stammkapitals beziehungsweise Grundkapitals. Hinzu kommen, sofern einschlägig, die Umsatzsteuer-Identifikationsnummer sowie berufsrechtliche Angaben für regulierte Branchen.
In der Mandatspraxis sehen wir regelmäßig, dass gerade bei Unternehmensumstrukturierungen oder Adressänderungen das Impressum nicht zeitnah aktualisiert wird. Das ist ein klassischer Abmahnanlass. Das Impressum muss von jeder Seite des Onlineshops aus in maximal zwei Klicks erreichbar sein – ein Link im Footer ist Pflichtstandard. Ein fehlendes oder fehlerhaftes Impressum ist eine Ordnungswidrigkeit und begründet zugleich einen wettbewerbsrechtlichen Unterlassungsanspruch nach dem UWG. Wer im Großhandel auf B2B-Portalen aktiv ist, sollte beachten, dass die Impressumspflicht auch dort greift, sobald der Auftritt nicht rein privater Natur ist.
2. Was regelt das TDDDG, und warum ist es für den Onlineshop relevant?
Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ist seit dem 13. Mai 2024 in Kraft und hat das frühere TTDSG abgelöst. Es setzt im deutschen Recht die Anforderungen der europäischen ePrivacy-Richtlinie für digitale Dienste um und regelt insbesondere die Zulässigkeit des Speicherns und Auslesens von Informationen auf Endeinrichtungen der Nutzer – im Klartext: Cookies, Pixel und ähnliche Tracking-Technologien.
Für den Onlineshop im Einzel- und Großhandel bedeutet das: Cookies, die nicht technisch notwendig sind, dürfen erst nach einer informierten, freiwilligen und eindeutigen Einwilligung gesetzt werden. Das betrifft Analyse-Tools, Retargeting-Pixel, Social-Media-Buttons und ähnliche Elemente. Die Einwilligung ist aktiv zu erteilen – ein vorausgefülltes Häkchen oder ein Banner, das lediglich auf Weitersurfen abstellt, genügt nicht. Verstöße können als UWG-Verstöße abgemahnt werden; parallel besteht eine datenschutzrechtliche Ahndungsmöglichkeit nach der DSGVO mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO).
Nach unserer Erfahrung unterschätzen viele Handelsunternehmen, dass der Einwilligungsnachweis aktiv vorgehalten werden muss. Der bloße Einsatz eines Cookie-Banners ersetzt nicht die Dokumentation, welcher Nutzer zu welchem Zeitpunkt in welche Verarbeitung eingewilligt hat.
3. Welche AGB-Klauseln halten einer rechtlichen Prüfung nicht stand?
Allgemeine Geschäftsbedingungen im Online-Handel werden nach §§ 305 ff. BGB einer Inhaltskontrolle unterworfen. Was viele Geschäftsführer überrascht: Selbst wenn eine Klausel von einem Rechtsanwalt formuliert wurde und jahrelang beanstandungslos verwendet wurde, kann sie durch eine Gesetzesänderung oder eine neue höchstrichterliche Entscheidung ihre Wirksamkeit verlieren. Im B2C-Handel gelten besonders strenge Maßstäbe, die im B2B-Bereich zwar etwas gelockert sind, aber auch dort eine Inhaltskontrolle nicht ausschließen.
Typische Klauseln, die in der Praxis scheitern: Haftungsausschlüsse für leichte Fahrlässigkeit bei Verletzung wesentlicher Vertragspflichten, übermäßig kurze Reklamationsfristen, pauschalierte Schadensersatzklauseln ohne Möglichkeit zum Gegenbeweis sowie Klauseln, die das gesetzliche Widerrufsrecht bei Verbraucherverträgen verkürzen. Besonders im Großhandel sind Eigentumsvorbehaltsklauseln und Gerichtsstandsklauseln oft fehlerhaft formuliert.
Wann sind AGB überhaupt Vertragsbestandteil? Sie müssen vor Vertragsschluss klar einbezogen worden sein, der Vertragspartner muss die Möglichkeit zumutbarer Kenntnisnahme gehabt haben, und er muss mit ihrer Geltung einverstanden sein. Im Onlineshop-B2C-Bereich reicht ein klickbarer Link kurz vor dem Bestellabschluss – im B2B-Bereich gelten keine schärferen Anforderungen, aber die Gegenseite kann eigene AGB entgegenstellen, was zu Abgrenzungsfragen führt.
4. Welche Widerrufsrechte gelten im B2C-Onlineshop, und was passiert bei Fehlern?
Das gesetzliche Widerrufsrecht bei Fernabsatzverträgen ist ein zentrales Instrument des Verbraucherschutzes. Verbraucher haben bei Verträgen, die ausschließlich über Fernkommunikationsmittel geschlossen wurden, grundsätzlich ein Recht, innerhalb einer bestimmten Frist ohne Angabe von Gründen zurückzutreten. Diese Frist berechnet sich ab dem Zeitpunkt, zu dem der Verbraucher ordnungsgemäß belehrt wurde.
Fehlt eine ordnungsgemäße Widerrufsbelehrung oder ist sie fehlerhaft, verlängert sich die Widerrufsfrist erheblich – was de facto bedeutet, dass der Verbraucher auch noch Monate nach dem Kauf widerrufen kann. Das ist nicht nur ein kundenrechtliches Problem, sondern führt bei häufiger Praxis zu erheblichen wirtschaftlichen Risiken für Retourenquoten und Lagerlogistik. Eine fehlende Widerrufsbelehrung im B2C-Onlineshop ist zugleich ein abmahnbarer Wettbewerbsverstoß nach dem UWG.
Zu beachten sind außerdem die gesetzlichen Ausnahmen vom Widerrufsrecht: Maßanfertigungen, schnell verderbliche Waren, versiegelte Waren aus Hygienegründen oder digitale Inhalte nach Beginn der Ausführung mit ausdrücklicher Zustimmung sind unter bestimmten Voraussetzungen vom Widerrufsrecht ausgenommen. Diese Ausnahmen müssen im Onlineshop klar und für jeden Artikel korrekt kommuniziert werden.
5. Wie muss eine Datenschutzerklärung im Onlineshop gestaltet sein?
Die Datenschutzerklärung ist kein lästiges Anhängsel, sondern Bestandteil der nach der DSGVO bestehenden Informationspflichten. Sie muss präzise, verständlich und vollständig über die Verarbeitungen personenbezogener Daten informieren. Das gilt für jeden Onlineshop, unabhängig von Branche oder Unternehmensgröße.
Inhaltlich sind folgende Bestandteile Pflicht: Identität und Kontaktdaten des Verantwortlichen, Kontaktdaten des Datenschutzbeauftragten (sofern bestellt oder gesetzlich vorgeschrieben), Zwecke und Rechtsgrundlagen aller Verarbeitungen, Empfänger oder Kategorien von Empfängern, Speicherdauer, Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) sowie Informationen zur Beschwerdemöglichkeit bei der Aufsichtsbehörde. Auskunftsersuchen nach Art. 15 DSGVO müssen grundsätzlich binnen eines Monats beantwortet werden.
Ein häufiger Fehler im Einzel- und Großhandel: Drittdienstleister wie Zahlungsanbieter, Logistikpartner oder Newsletter-Tools werden in der Datenschutzerklärung nicht vollständig erfasst. Nach unserer Erfahrung in der Mandatspraxis führt die Einbindung eines neuen Plugins oder eines Retargeting-Anbieters nicht selten dazu, dass die Datenschutzerklärung veraltet, ohne dass die verantwortliche Stelle dies bemerkt.
6. Was sind die häufigsten Abmahngründe im Online-Handel?
Abmahnungen im Onlinehandel stützen sich typischerweise auf das UWG oder auf verbraucherschutzrechtliche Vorschriften. Die Palette abmahnbarer Verstöße ist im deutschen Recht breit. Nach unserer Erfahrung führen folgende Sachverhalte besonders häufig zu Abmahnungen: fehlendes oder unvollständiges Impressum, fehlende oder fehlerhafte Widerrufsbelehrung, irreführende Preisangaben (insbesondere bei Durchstreichpreisen und der Pflichtangabe des niedrigsten Preises der letzten 30 Tage nach der Omnibus-Richtlinie), unzureichende Produktkennzeichnungspflichten sowie unzulässige Cookie-Praktiken.
Seit der Umsetzung der Omnibus-Richtlinie im deutschen Recht müssen Händler bei Preisermäßigungen den niedrigsten Preis der vorangegangenen 30 Tage ausweisen. Wer bei einem Rotstift-Angebot nur den ursprünglichen und den reduzierten Preis angibt, ohne den Referenzpreis korrekt zu ermitteln, begeht einen abmahnbaren Verstoß. Das betrifft sowohl den stationären Einzelhandel mit Onlinepräsenz als auch reine Onlineshops.
Wichtig für Geschäftsführer: Abmahnungen durch Mitbewerber sind nach § 8 UWG unter bestimmten Voraussetzungen zulässig, aber nicht jede Abmahnung ist berechtigt. Reagiert man voreilig mit einer Unterlassungserklärung, erkennt man Ansprüche an, die möglicherweise nicht bestehen. Eine rechtliche Prüfung vor jeder Reaktion ist deshalb zwingend geboten.
7. Wie reagiert man richtig auf eine wettbewerbsrechtliche Abmahnung?
Eine Abmahnung ist keine Klage und kein Urteil, aber sie setzt Fristen. Die geforderte Unterlassungserklärung hat in der Regel eine Frist von wenigen Tagen; wird sie nicht fristgerecht abgegeben oder abgelehnt, droht der Antrag auf eine einstweilige Verfügung. Gleichzeitig sollte man nicht ohne fachliche Prüfung unterschreiben: Eine strafbewehrte Unterlassungserklärung, die zu weit formuliert ist oder Verhalten erfasst, das gar kein Verstoß darstellt, kann künftig zu Vertragsstrafen führen.
Der richtige Umgang mit einer Abmahnung folgt einem klaren Ablauf. Zunächst: Frist notieren und sichern. Dann: rechtliche Prüfung, ob der behauptete Verstoß überhaupt vorliegt und ob der Abmahnende anspruchsberechtigt ist (§ 8 Abs. 3 UWG). Sodann: Entscheidung über Reaktion – Abgabe einer modifizierten Unterlassungserklärung, Abgabe einer Unterlassungserklärung mit Vorbehalt oder Ablehnung mit Kostentragungsangebot bei offensichtlich unberechtigter Abmahnung. Das Gesetz zur Stärkung des fairen Wettbewerbs hat missbräuchliche Abmahnungen erheblich eingedämmt, aber seriöse Abmahnungen durch tatsächliche Mitbewerber sind weiterhin ein reales Risiko.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung.
Haben Sie eine Abmahnung erhalten? Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
8. Welche Anforderungen gelten an ein rechtskonformes Cookie-Banner?
Ein Cookie-Banner ist kein optionales Gestaltungselement, sondern ein rechtliches Einwilligungswerkzeug nach dem TDDDG und der DSGVO. Die deutschen Datenschutzaufsichtsbehörden haben in gemeinsamen Orientierungshilfen klargestellt, welche Anforderungen erfüllt sein müssen. Das Grundprinzip: Die Einwilligung muss freiwillig, informiert, spezifisch und eindeutig sein – eine aktive Handlung des Nutzers (Opt-in), kein Weitersurfen oder voreingestelltes Häkchen.
Praktisch bedeutet das: Der Banner muss zwei gleichwertige Optionen anbieten – „Alle akzeptieren" und „Alle ablehnen" oder eine vergleichbare ablehnende Handlungsmöglichkeit auf derselben Ebene. Ein „Alle akzeptieren"-Button in Farbe und ein dezentes „Einstellungen"-Link sind nach der Einschätzung der Aufsichtsbehörden regelmäßig nicht gleichwertig. Dark Patterns im Cookie-Banner – also manipulative Gestaltung, die auf eine Einwilligung drängt – verstoßen sowohl gegen das TDDDG als auch gegen das UWG und die DSGVO.
Zu beachten ist ferner: Technisch notwendige Cookies, die für den Betrieb des Onlineshops unbedingt erforderlich sind (etwa Session-Cookies für den Warenkorb), benötigen keine Einwilligung. Sie sind jedoch in der Datenschutzerklärung zu dokumentieren. Die Grenze zwischen „technisch notwendig" und „komfortsteigernder Funktion" ist fließend und sollte rechtlich geprüft werden.
9. Was gilt beim Einsatz externer Dienste wie Google Analytics, Meta Pixel oder Zahlungsanbietern?
Der Einsatz externer Dienste ist im modernen Onlineshop kaum zu vermeiden – Analyse-Tools, Werbenetzwerke, Zahlungsanbieter und Logistikschnittstellen sind Standard. Jeder dieser Dienste bringt aber Datenschutzfragen mit sich, die strukturiert bearbeitet werden müssen. Das Grundmodell ist die Auftragsverarbeitung nach Art. 28 DSGVO: Der Verantwortliche (Shopbetreiber) schließt mit dem Dienstleister einen Auftragsverarbeitungsvertrag (AVV), der die Weisungsgebundenheit des Verarbeiters sicherstellt.
Für US-amerikanische Dienstleister stellt sich zusätzlich die Frage der Drittlandübermittlung nach Art. 44 ff. DSGVO. Das EU-US Data Privacy Framework (seit Juli 2023 in Kraft) ermöglicht Übermittlungen an zertifizierte US-Unternehmen ohne zusätzliche Standardvertragsklauseln – jedoch nur, sofern der US-Dienstleister tatsächlich zertifiziert ist und die Zertifizierung aktuell ist. Shopbetreiber sollten die Zertifizierungen ihrer US-Dienstleister regelmäßig im offiziellen Register prüfen.
Der Meta Pixel ist ein Beispiel für ein Tool, das regelmäßig Gegenstand behördlicher Prüfungen war. Der Pixel überträgt Nutzungsdaten an Meta, sobald eine Seite aufgerufen wird – sofern der Nutzer eingewilligt hat. Ohne wirksame Einwilligung ist diese Übermittlung rechtswidrig. Gleiches gilt für Google Analytics in den Varianten, die personenbezogene Daten verarbeiten. Nach unserer Erfahrung sind Fehler bei der Konfiguration und Dokumentation dieser Tools eine der häufigsten Ursachen für Bußgeldverfahren.
10. Welche besonderen Pflichten gelten für Marktplätze und Händler, die über Drittplattformen verkaufen?
Viele Einzel- und Großhändler nutzen neben dem eigenen Onlineshop auch Drittplattformen wie Amazon Marketplace, eBay oder spezifische Branchenportale. Dabei ist zu unterscheiden, welche Pflichten die Plattform übernimmt und welche beim Händler verbleiben. Die Grundregel: Wer als Anbieter der Waren auftritt, bleibt für die Erfüllung der verbraucherschutzrechtlichen und wettbewerbsrechtlichen Pflichten selbst verantwortlich.
Auf Marktplätzen gelten dieselben Pflichten wie im eigenen Shop – korrekte Preisangaben einschließlich des Referenzpreises (Omnibus-Richtlinie), ordnungsgemäße Widerrufsbelehrung, vollständige Produktinformationen nach Produktkennzeichnungsrecht. Viele Händler übersehen zudem, dass auch auf Drittplattformen keine irreführenden Kundenbewertungen eingesetzt werden dürfen. Gekaufte oder anderweitig manipulierte Bewertungen sind nach dem UWG unzulässig und können abgemahnt werden.
Auf europäischer Ebene verpflichtet der Digital Services Act (DSA) große Plattformen zu verstärkter Transparenz und Sorgfalt bei der Moderation; für Händler, die dort tätig sind, ergibt sich daraus indirekt eine stärkere Kontrolle ihrer Listings. Ob ein Händler als „VLOP" (very large online platform) eigene Pflichten trägt, hängt von der Nutzerzahl ab – für typische Mittelständler ist das regelmäßig nicht der Fall.
11. Welche datenschutzrechtlichen Pflichten treffen Geschäftsführer persönlich?
Datenschutzrecht ist keine rein technische oder administrative Angelegenheit. Es ist Unternehmensrecht, das am Ende der Verantwortungskette den Geschäftsführer trifft. Die DSGVO adressiert den „Verantwortlichen", also das Unternehmen als juristische Person – aber Bußgelder nach Art. 83 DSGVO werden gegen das Unternehmen festgesetzt und können dessen wirtschaftliche Grundlage belasten. Hinzu kommt, dass Datenschutzbehörden in bestimmten Konstellationen auch natürliche Personen in die Pflicht nehmen.
Konkret bedeutet das für Geschäftsführer: Sie müssen sicherstellen, dass im Unternehmen ein funktionierendes Datenschutz-Management besteht. Das umfasst das Verarbeitungsverzeichnis nach Art. 30 DSGVO, die Einholung und Dokumentation von Einwilligungen, den Abschluss von Auftragsverarbeitungsverträgen und die Reaktion auf Betroffenenrechte. Bei einer Datenschutzverletzung ist die Aufsichtsbehörde in der Regel binnen 72 Stunden zu informieren (Art. 33 DSGVO) – ein Zeitfenster, das ohne vorbereitete Prozesse kaum einzuhalten ist.
Der Geschäftsführer, der keine Datenschutzprozesse eingerichtet hat, riskiert nicht nur Bußgelder für das Unternehmen, sondern auch Schadensersatzansprüche von Betroffenen nach Art. 82 DSGVO sowie gesellschaftsrechtliche Haftungsrisiken, wenn er die Sorgfaltspflichten nach § 43 GmbHG verletzt.
12. Was sind die nächsten Schritte, um den eigenen Onlineshop rechtssicher aufzustellen?
Die rechtssichere Aufstellung eines Onlineshops ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Gesetze ändern sich, die höchstrichterliche Rechtsprechung entwickelt sich fort, und neue Technologien bringen neue Anforderungen. Der Ausgangspunkt für jeden Geschäftsführer sollte ein strukturierter Statuscheck sein: Was ist vorhanden, was fehlt, was ist veraltet?
In der Mandatspraxis empfehlen wir ein strukturiertes Vorgehen in drei Ebenen. Erstens: die rechtliche Grundausstattung prüfen – Impressum, Datenschutzerklärung, Widerrufsbelehrung, AGB. Sind diese Dokumente aktuell? Entsprechen sie dem Stand nach TDDDG und der Omnibus-Richtlinie? Zweitens: das technische Einwilligungsmanagement prüfen – ist der Cookie-Banner rechtssicher konfiguriert, wird die Einwilligung dokumentiert, sind AVVs mit allen Dienstleistern geschlossen? Drittens: Prozesse etablieren – wie reagiert das Unternehmen auf Abmahnungen, Betroffenenanfragen und Datenpannen? Ein Notfallplan für den Fall einer Datenschutzverletzung spart im Ernstfall wertvolle Stunden innerhalb des 72-Stunden-Meldefensters.
Wer außerdem international verkauft – etwa über einen Onlineshop, der auch österreichische oder Schweizer Kunden adressiert –, muss die jeweiligen nationalen Besonderheiten im Blick behalten. Für grenzüberschreitende Sachverhalte arbeiten wir mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion zusammen.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung.
Zur Klärung, wie die vorstehenden Anforderungen auf Ihren Onlineshop wirken, wenden Sie sich an info@brandtfalk.com. Wir prüfen Ihre Situation und benennen die konkreten Handlungsfelder.
Verwandte Leistungen
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.