Ein Logistikunternehmen in Nordrhein-Westfalen: Der Geschäftsführer erhält eine Abmahnung, weil der Onlineshop des Unternehmens keine konforme Cookie-Einwilligung vorhält und das Impressum die Umsatzsteuer-Identifikationsnummer vermissen lässt. Der Gegner verlangt Unterlassung, Abgabe einer strafbewehrten Erklärung und Kostenerstattung. Gleichzeitig prüft die Landesdatenschutzbehörde, ob das Tracking-Konzept mit der DSGVO vereinbar ist. Zwei Verfahren, ein Auslöser: eine nicht rechtskonforme Unternehmenswebsite.
Website und Onlineshop rechtssicher betreiben bedeutet im deutschen Recht, die Anforderungen des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), des Gesetzes gegen den unlauteren Wettbewerb (UWG), der DSGVO sowie des Telemedienrechts lückenlos umzusetzen. Für Geschäftsführer im Mittelstand – besonders in der Logistikbranche mit ihren Kunden- und Partnerportalen, Tracking-Schnittstellen und häufig unterschätzten B2B-Webshops – entstehen bei Verstößen erhebliche haftungsrechtliche Risiken. Dieser Beitrag beschreibt die geltende Rechtslage, benennt die häufigsten Fehlerquellen und zeigt, welche Schritte zur dauerhaften Rechtskonformität führen.
Im Folgenden behandelt der Beitrag die gesetzlichen Grundlagen, praxisrelevante Pflichtinhalte der Website, die besonderen Anforderungen an Logistikbetriebe, häufige Abmahnrisiken sowie die datenschutzrechtliche Dimension – jeweils mit Handlungsempfehlung für die Geschäftsführung.
Welcher Rechtsrahmen gilt für Websites und Onlineshops in der Logistik?
Die gesetzlichen Pflichten für den Betrieb einer Unternehmenswebsite speisen sich aus mehreren Rechtsquellen, die für Geschäftsführer in der Logistik kumulativ zu beachten sind. Das Pflichtenprogramm umfasst im Wesentlichen drei Säulen: Informationspflichten nach dem Telemedienrecht, Lauterkeitsrecht und Datenschutzrecht.
Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), das seit Mitte 2023 das frühere TTDSG abgelöst hat, regelt die Anforderungen an die Einwilligung beim Einsatz von Cookies und vergleichbaren Trackingtechnologien. Es setzt die ePrivacy-Anforderungen des europäischen Rechts im deutschen Recht um und ergänzt die DSGVO. Daneben enthält das Digitale-Dienste-Gesetz (DDG), das zum 14. Mai 2024 das Telemediengesetz (TMG) abgelöst hat, die Impressumspflichten für kommerzielle Anbieter. Das UWG schützt Mitbewerber und Verbraucher vor unzulässigen Geschäftspraktiken – und die Verletzung gesetzlicher Informationspflichten gilt nach § 3a UWG als unlautere Handlung, sofern sie geeignet ist, Interessen von Verbrauchern oder Mitbewerbern spürbar zu beeinträchtigen.
Für Logistikunternehmen kommt ein besonderes Risikoprofil hinzu: Viele Betriebe unterhalten Kundenportale zur Sendungsverfolgung, B2B-Bestellsysteme für Stammkunden sowie Karriereseiten zur Mitarbeitergewinnung. Jede dieser digitalen Oberflächen ist ein eigenständiger „Digitaler Dienst" im Sinne des DDG und löst je nach Ausgestaltung eigene Pflichten aus. Nach unserer Erfahrung unterschätzen gerade inhabergeführte Speditionsunternehmen und Kontraktlogistiker die Tragweite dieser parallelen Anforderungen.
Impressum, AGB und Widerrufsbelehrung: Was muss die Website enthalten?
Das Impressum bildet die Grundlage der gesetzlichen Informationspflichten. Nach dem DDG müssen kommerzielle Anbieter ihre Website mit einer vollständigen Anbieterkennzeichnung versehen, die leicht erkennbar, unmittelbar erreichbar und ständig verfügbar ist. Für eine GmbH oder AG in der Logistik bedeutet das: Firma, Anschrift, Vertretungsberechtigte, Registereintragung, Registernummer, Umsatzsteuer-Identifikationsnummer und berufsrechtliche Angaben, sofern der Betrieb regulierten Tätigkeiten (z. B. Güterkraftverkehrsgewerbe) nachgeht.
Ein häufig übersehener Punkt: Die Pflichtangaben zur Umsatzsteuer-Identifikationsnummer sind nur dann entbehrlich, wenn das Unternehmen umsatzsteuerlich tatsächlich nicht registriert ist – was bei Logistikbetrieben jenseits der Kleinunternehmergrenze nahezu nie der Fall ist. Fehlt die Angabe, liegt eine abmahnfähige Lücke vor.
Für den B2C-Bereich – und einige Logistikunternehmen bieten tatsächlich Endkunden gegenüber Umzugsdienstleistungen oder Paketservices direkt an – gelten zusätzlich die Anforderungen der EU-Verbraucherrechterichtlinie (umgesetzt in §§ 312 ff. BGB): Widerrufsbelehrung, Muster-Widerrufsformular, vorvertragliche Informationspflichten. Bei AGB-Verwendung sind die Einbeziehungs- und Inhaltsgrenzen der §§ 305 ff. BGB einzuhalten. Unwirksame Klauseln können nicht nur angefochten werden – sie führen zur ergänzenden Vertragsauslegung, die für das Unternehmen ungünstiger ausfallen kann als die ursprüngliche Regelung.
Auch im B2B-Kontext, der für Logistikbetriebe den Regelfall darstellt, gelten die kaufmännische Rügepflicht nach § 377 HGB und die AGB-Inhaltskontrolle nach §§ 305 ff. BGB – letztere mit etwas weiteren Spielräumen als im Verbraucherbereich, aber mit keineswegs unbeschränkter Freiheit.
Cookies und Tracking: Welche Anforderungen stellt das TDDDG?
Das TDDDG verlangt für den Einsatz von Cookies und vergleichbaren Trackingtechnologien, die nicht technisch notwendig sind, eine vorherige informierte Einwilligung des Nutzers. Diese Anforderung folgt aus § 25 TDDDG und dem Zusammenspiel mit Art. 4 Nr. 11 und Art. 7 DSGVO. Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein – und darf nicht durch Voreinstellungen erschlichen werden.
In der Praxis bedeutet das: Cookies für Analyse, Marketing oder Drittanbieter-Inhalte dürfen erst nach Zustimmung gesetzt werden, nicht bereits beim ersten Seitenaufruf. Ein Cookie-Banner, der die Ablehnungsoption versteckt, vorausgefüllte Häkchen enthält oder die Nutzung der Website von einer Einwilligung abhängig macht, genügt nach gefestigter Aufsichtsbehördenpraxis regelmäßig nicht den gesetzlichen Anforderungen.
Für Logistikbetriebe mit Flottenmanagement-Portalen, Lieferanten-Logins und integrierten Sendungsverfolgungs-Widgets entsteht eine erhöhte Komplexität: Viele dieser Lösungen nutzen Session-Cookies, Authentifizierungs-Tokens und drittanbieterbasierte Kartendienste. Technisch notwendige Cookies sind einwilligungsfrei zulässig; die Grenzziehung zwischen „technisch notwendig" und „komfortsteigerndem Tracking" ist jedoch nicht trivial und sollte anwaltlich abgeklärt werden. Nach unserer Erfahrung in der Mandatspraxis werden Drittanbieter-Karten (etwa für die Routenvisualisierung) häufig als technisch notwendig eingestuft, obwohl sie ohne Nutzereinwilligung personenbezogene Daten an den Kartendienst übermitteln und damit eine Einwilligung erfordern.
Verstöße gegen § 25 TDDDG können von Datenschutzbehörden geahndet werden und sind zugleich über § 3a UWG abmahnfähig. Das Bußgeldregime der DSGVO (bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, Art. 83 DSGVO) greift ergänzend, soweit das Tracking personenbezogene Daten verarbeitet – was bei nahezu allen modernen Analysediensten der Fall ist.
Datenschutzerklärung und DSGVO-Pflichten im Logistikumfeld
Die Datenschutzerklärung ist kein Formular – sie ist ein rechtlich bindendes Informationsdokument. Nach Art. 13 und 14 DSGVO hat der Verantwortliche (also das Logistikunternehmen) Betroffene umfassend über Art, Zweck, Rechtsgrundlage und Dauer der Datenverarbeitung zu informieren. Fehlen Pflichtinhalte oder sind sie veraltet, liegt ein eigenständiger Datenschutzverstoß vor.
Im Logistikkontext sind vor allem folgende Verarbeitungsvorgänge zu dokumentieren und in der Erklärung abzubilden: Kundendaten (Absender, Empfänger, Ansprechpartner), Fahrerdaten im Rahmen von Flottenmanagement und GPS-Tracking, Bewerberdaten auf Karriereseiten, sowie Partner- und Lieferantendaten in B2B-Portalen. Jeder dieser Verarbeitungsvorgänge benötigt eine Rechtsgrundlage nach Art. 6 DSGVO – und jede Übermittlung in Drittländer (z. B. an US-amerikanische Cloud-Dienste) muss durch geeignete Garantien abgesichert sein, etwa durch EU-Standardvertragsklauseln.
Besondere Bedeutung hat die Pflicht zur Meldung von Datenschutzverletzungen binnen 72 Stunden (Art. 33 DSGVO) an die zuständige Aufsichtsbehörde. In der Logistikbranche, wo digitale Sendungsdaten und Kundenadressen in großem Umfang verarbeitet werden, ist das Risiko eines meldepflichtigen Datenschutzvorfalls – etwa durch einen Cyberangriff auf das Tracking-System – besonders ausgeprägt. Geschäftsführer, die diese Frist versäumen, riskieren neben behördlichen Bußgeldern auch persönliche Haftungsfolgen gegenüber dem Unternehmen.
Auskünfte nach Art. 15 DSGVO sind grundsätzlich binnen eines Monats (Art. 12 Abs. 3 DSGVO) zu erteilen. Fehlen interne Prozesse für das Auskunftsmanagement, geraten Unternehmen rasch in Verzug – mit der Folge, dass die Aufsichtsbehörde tätig werden kann.
Abmahnrisiken und Wettbewerbsrecht: Was droht bei Verstößen?
Die Abmahnung ist das schärfste Instrument im deutschen Wettbewerbsrecht. Nach dem UWG (§ 3a, §§ 8 ff.) können Mitbewerber und qualifizierte Einrichtungen Unternehmen bei Verstößen gegen gesetzliche Vorschriften, die auch den Schutz der Marktteilnehmer bezwecken, abmahnen und Unterlassung verlangen. Betroffen sind nahezu alle digitalen Informationspflichten: fehlendes oder unvollständiges Impressum, fehlende Widerrufsbelehrung, unzulässige AGB-Klauseln, irreführende Preisangaben und nicht konforme Cookie-Einwilligungen.
Wird eine Abmahnung ausgesprochen, hat das abgemahnte Unternehmen – regelmäßig innerhalb einer kurz gesetzten Frist – zu entscheiden: Unterlassungserklärung abgeben oder ablehnen. Die strafbewehrte Unterlassungserklärung bindet das Unternehmen dauerhaft und kann bei Zuwiderhandlung eine Vertragsstrafe auslösen. Voreilig abgegebene Erklärungen sind häufig zu weit gefasst und erzeugen so ein strukturelles Haftungsrisiko für die Zukunft.
Für Geschäftsführer im Mittelstand gilt: Das Kostenrisiko einer unberechtigten Abmahnung ist nach der UWG-Reform 2021 begrenzt worden – bei missbräuchlichen Abmahnungen durch Mitbewerber hat das Gesetz gegengesteuert. Gleichwohl bleibt das Abmahnrisiko durch qualifizierte Einrichtungen (z. B. Verbraucherzentralen) und durch gut aufgestellte Mitbewerber real. Nach unserer Erfahrung in der Mandatspraxis sind gerade Logistikbetriebe, die neue digitale Vertriebskanäle erschließen, in einer Anpassungsphase besonders exponiert.
Wie sollte der Geschäftsführer reagieren, wenn eine Abmahnung eingeht? Erstens: keine Panik, aber keine Untätigkeit. Zweitens: keine vorschnelle Unterzeichnung der beigefügten Unterlassungserklärung, bevor diese anwaltlich geprüft worden ist. Drittens: Fristenlage sofort klären – typische Fristen für die Abgabe einer Erklärung liegen zwischen drei Werktagen und zwei Wochen.
Mikro-Fall: Logistikdienstleister mit B2B-Portal
Ausgangslage: Ein mittelständischer Kontraktlogistiker mit rund 200 Beschäftigten betrieb ein Kundenportal zur Sendungsverfolgung sowie einen B2B-Webshop für Verbrauchsmaterialien. Das Cookie-Banner wurde beim Relaunch des Portals nicht aktualisiert; technisch notwendige und analytische Cookies wurden ohne Unterscheidung als „technisch erforderlich" eingestuft. Das Impressum fehlte im Portal vollständig, da es als „internerBereich" behandelt wurde.
Vorgehen: Die Kanzlei BRANDT & FALK prüfte das gesamte digitale Auftreten: Impressum, Datenschutzerklärung, Cookie-Konzept, AGB des B2B-Shops sowie die Verarbeitungsverzeichnisse. Auf dieser Grundlage wurden ein rechtlich tragfähiges Consent-Management-Konzept erarbeitet, die AGB an die aktuelle Inhaltskontrollrechtsprechung angepasst und die datenschutzrechtliche Dokumentation vervollständigt.
Ergebnis: Das Unternehmen konnte die drohende Abmahnung durch eine eigenständige Abänderung abwenden; ein parallel laufendes Auskunftsersuchen der Aufsichtsbehörde wurde fristgerecht und vollständig beantwortet. Die strukturellen Prozesse für künftige Änderungen der Website sind dokumentiert.
Entscheidungsmatrix: Welches Instrument ist in welcher Konstellation erforderlich?
Die rechtlich gebotenen Maßnahmen hängen von der konkreten Unternehmenskonstellation ab. Nachfolgend eine Übersicht typischer Konstellationen im Logistikumfeld:
- Konstellation A – Reiner B2B-Betrieb ohne Endkundenkontakt: Impressumspflicht nach DDG vollständig umsetzen; Datenschutzerklärung nach Art. 13 DSGVO; Cookie-Konzept nach TDDDG; keine Widerrufsbelehrung erforderlich, jedoch AGB-Kontrolle nach §§ 305 ff. BGB.
- Konstellation B – B2C-Anteil (z. B. Privat-Umzug, Paketversand direkt): Zusätzlich Widerrufsbelehrung, Muster-Widerrufsformular, vorvertragliche Informationspflichten nach §§ 312 ff. BGB; Preisangaben nach Preisangabenverordnung (PAngV).
- Konstellation C – Sendungsverfolgungs-Portal mit Login: Technisch notwendige Cookies abgrenzen von analytischen Cookies; Auftragsverarbeitung nach Art. 28 DSGVO prüfen; bei GPS-Daten von Fahrern: Betriebsvereinbarung oder Einwilligung nach Art. 88 DSGVO i. V. m. § 26 BDSG.
- Konstellation D – Karriereseite mit Bewerbungsformular: Datenschutzhinweis gemäß Art. 13 DSGVO für Bewerber; Löschfristen für abgelehnte Bewerber regelmäßig sechs Monate nach Abschluss des Verfahrens; kein Profiling ohne Einwilligung.
Was müssen Geschäftsführer persönlich beachten?
Die persönliche Haftung des Geschäftsführers ist im Datenschutz- und Wettbewerbsrecht keine theoretische Größe. Wer als Geschäftsführer einer GmbH wissentlich einen nicht rechtskonformen Internetauftritt betreibt und Abmahnungen oder Bußgeldverfahren ignoriert, riskiert eine Inanspruchnahme im Innenverhältnis nach § 43 GmbHG. Darüber hinaus haften Geschäftsführer für Ordnungswidrigkeiten, wenn sie die Aufsichtspflicht verletzt haben (§ 130 OWiG).
Konkret bedeutet das: Die Einrichtung eines funktionierenden Consent-Management-Systems, die Schulung der zuständigen Mitarbeiter und die regelmäßige Überprüfung der Website auf Rechtskonformität sind keine optionalen „Nice-to-haves", sondern Teil der Sorgfaltspflichten der Unternehmensleitung. Eine einmalige anwaltliche Prüfung genügt nicht dauerhaft – denn das digitale Recht entwickelt sich rasant weiter.
Besonders relevant ist die Frage der Zuständigkeit innerhalb der Geschäftsführung: Auch wenn ein Mitgeschäftsführer oder ein IT-Leiter formal zuständig ist, entbindet das den nicht zuständigen Geschäftsführer nicht vollständig von Überwachungspflichten. Delegiert der Geschäftsführer die Rechtscompliance der Website, muss er sicherstellen, dass die beauftragte Person tatsächlich qualifiziert ist und die Aufgabe wahrnimmt.
Die vorstehende Darstellung betrifft die Regelfälle der gesetzlichen Anforderungen an Websites und Onlineshops. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, Ihrer Website-Technologie und der einschlägigen Rechtsprechung. Für eine erste fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Schritt für Schritt zur rechtskonformen Website: Handlungsplan für Logistikunternehmen
Ein strukturierter Fahrplan hilft, die Vielzahl der Anforderungen zu bewältigen. Nach unserer Erfahrung aus der Beratungspraxis empfiehlt sich folgende Reihenfolge:
- Bestandsaufnahme: Alle digitalen Oberflächen inventarisieren – Hauptwebsite, Kundenportal, Karriereseite, B2B-Shop, Landing Pages. Häufig existieren vergessene Subdomains oder externe Microsites, die ebenfalls Pflichten auslösen.
- Impressumsprüfung: Vollständigkeit und Erreichbarkeit prüfen (DDG). Bei Holdingstrukturen klären, welche Gesellschaft Anbieterin im Sinne des Gesetzes ist.
- Cookie-Audit: Technisch eingesetzte Cookies und Tracker vollständig erfassen, kategorisieren (technisch notwendig / funktional / analytisch / Marketing) und das Consent-Management-Tool entsprechend konfigurieren.
- Datenschutzerklärung aktualisieren: Alle Verarbeitungsvorgänge, Rechtsgrundlagen, Drittlandsübermittlungen und Betroffenenrechte vollständig abbilden; logistikspezifische Verarbeitungen (GPS, Sendungsdaten) gesondert ausweisen.
- AGB-Prüfung: Bestehende AGB für B2C und B2B auf Konformität mit der aktuellen Rechtsprechung zur Inhaltskontrolle überprüfen; Haftungsbeschränkungen und Liefer-/Zahlungsbedingungen aktualisieren.
- Internes Verfahrensverzeichnis: Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentieren; Auftragsverarbeitungsverträge mit Dienstleistern (Hosting, Newsletter, CRM) prüfen und schließen.
- Schulung und Prozesseinrichtung: Interne Abläufe für Datenschutzverletzungsmeldungen (72-Stunden-Frist) und DSGVO-Auskunftsersuchen (1-Monats-Frist) einrichten und dokumentieren.
- Regelmäßige Überprüfung: Rechtslage und Website-Technologie ändern sich. Einen jährlichen Rechtscompliance-Review der digitalen Präsenz einplanen, bei wesentlichen Website-Änderungen anlassbezogen.
Verwandte Leistungen
Häufige Fragen
Muss auch ein B2B-Onlineshop ein vollständiges Impressum vorhalten?
Welche Cookies darf ich ohne Einwilligung setzen?
Was gilt für GPS-Tracking von Fahrzeugen und Fahrern auf der Unternehmenswebsite?
Wie schnell muss ich auf eine DSGVO-Auskunftsanfrage reagieren?
Was kostet eine Abmahnung bei fehlerhaftem Cookie-Banner?
Welche Besonderheiten gelten für Karriereseiten mit Online-Bewerbungsformular?
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.