Ein Logistikunternehmen stellt seinen Onlineshop für Versanddienstleistungen live – und erhält innerhalb von 72 Stunden eine Abmahnung wegen fehlender AGB und eines unvollständigen Impressums. Was wie ein Einzelfall klingt, ist in der Mandatspraxis von BRANDT & FALK ein wiederkehrendes Muster: Viele inhabergeführte Logistik- und Speditionsunternehmen unterschätzen die rechtlichen Anforderungen, die ein gewerblicher Internetauftritt in Deutschland mit sich bringt.
Website und Onlineshop rechtssicher betreiben bedeutet im deutschen Recht, die Vorgaben des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), des Telemediengesetzes (TMG, soweit fortgeltend), der DSGVO, des UWG sowie des BGB zum Fernabsatzrecht vollständig und fortlaufend einzuhalten. Geschäftsführer haften bei Verstößen persönlich – sowohl gegenüber Mitbewerbern als auch gegenüber Behörden. Wer frühzeitig prüft, Impressum, Datenschutzerklärung, Cookie-Einwilligung und AGB korrekt gestaltet und dokumentiert, schützt sich und sein Unternehmen vor kostenintensiven Abmahnverfahren und Bußgeldern.
Dieser Praxisleitfaden führt Geschäftsführer in der Logistikbranche Schritt für Schritt durch alle rechtlich relevanten Bereiche – von der Anbieterkennzeichnung über das Datenschutz- und Cookie-Management bis hin zu AGB-Gestaltung, Widerrufsrecht und der laufenden Dokumentationspflicht.
Schritt 1: Impressumspflicht vollständig erfüllen – Grundlage jedes gewerblichen Auftritts
Das Impressum ist das erste Prüfelement, das Mitbewerber und Abmahnanwälte beim Aufruf einer Website checken. Nach § 5 TMG (fortgeltend im Rahmen des TDDDG-Übergangsrechts) sind Anbieter von Telemedien mit kommerzieller Zielsetzung verpflichtet, eine vollständige Anbieterkennzeichnung bereitzustellen – und zwar leicht erkennbar, unmittelbar erreichbar und ständig verfügbar. Fehler hier sind Niedrigschwelligkeitsabmahnungen, die selten weniger als vierstellige Kosten verursachen.
Für ein Logistikunternehmen, das als GmbH betrieben wird, bedeutet das konkret: Firma mit Rechtsformzusatz, Sitz und Anschrift, Vertretungsberechtigter (also der Geschäftsführer namentlich), Registernummer und Registergericht, Umsatzsteuer-Identifikationsnummer sowie eine direkt erreichbare E-Mail-Adresse müssen im Impressum stehen. Eine reine Kontaktformular-Verlinkung genügt nach geltender Rechtsprechung nicht als Ersatz für die E-Mail-Adresse.
Praktische Empfehlung: Prüfen Sie das Impressum Ihres Logistikportals nicht nur bei Launch, sondern nach jeder Adressänderung, jedem Geschäftsführerwechsel und jeder Umfirmierung. In der Mandatspraxis sehen wir regelmäßig Impressen, die nach einer Umstrukturierung schlicht vergessen wurden zu aktualisieren – mit der Folge, dass die neue Gesellschaft abgemahnt wird.
Schritt 2: Datenschutzerklärung und DSGVO-Konformität des Datenverarbeitungsverzeichnisses
Jede Website, die personenbezogene Daten verarbeitet – und das tut faktisch jeder gewerbliche Internetauftritt durch Server-Logs, Kontaktformulare oder Analyse-Tools –, benötigt eine vollständige Datenschutzerklärung nach Art. 13 und 14 DSGVO. Für Logistikunternehmen kommt hinzu: Wird der Onlineshop zur Buchung von Transport- und Lagerdiensten genutzt, werden typischerweise Bestell-, Adress- und ggf. Zahlungsdaten verarbeitet, die erhöhte Anforderungen an Transparenz und Datensicherheit stellen.
Meldepflicht bei Datenschutzverletzungen besteht binnen 72 Stunden gegenüber der zuständigen Aufsichtsbehörde (Art. 33 DSGVO). Diese Frist läuft ab dem Zeitpunkt, an dem das Unternehmen Kenntnis von einem mutmaßlichen Verstoß erlangt – nicht erst ab dessen Bestätigung. Für ein mittelständisches Speditionsunternehmen, das Kundenstammdaten und Lieferadressen speichert, ist das eine harte Compliance-Anforderung.
Darüber hinaus müssen Betroffenenrechte operationalisiert werden: Ein Auskunftsersuchen nach Art. 15 DSGVO ist grundsätzlich binnen eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO). Wer keine internen Prozesse etabliert hat, gerät schnell in Verzug – mit dem Risiko, dass der Betroffene eine Beschwerde bei der Aufsichtsbehörde einlegt. DSGVO-Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen (Art. 83 DSGVO), je nachdem, welcher Betrag höher ist.
Nach unserer Erfahrung scheitern Logistikunternehmen bei der DSGVO-Konformität weniger an der Datenschutzerklärung selbst als am fehlenden Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) und an nicht abgeschlossenen Auftragsverarbeitungsverträgen mit Dienstleistern – etwa mit dem Anbieter des Paketmanagementsystems oder der Routenplanungssoftware.
Schritt 3: Cookie-Einwilligung rechtskonform gestalten – TDDDG-Anforderungen im Überblick
Mit Inkrafttreten des TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) wurden die Einwilligungsanforderungen für den Einsatz von Cookies und vergleichbaren Trackingtechnologien in Deutschland neu geordnet. Nicht erforderliche Cookies – dazu zählen insbesondere Analyse-, Marketing- und Social-Media-Cookies – dürfen erst nach einer aktiven, informierten und freiwilligen Einwilligung des Nutzers gesetzt werden. Ein vorausgefülltes Häkchen oder das bloße Weitersurfen genügen nicht.
Für den Onlineshop eines Logistikdienstleisters bedeutet das: Der Einsatz gängiger Tools wie Google Analytics, Facebook Pixel, Hotjar oder ähnlicher Dienste setzt eine valide Consent-Management-Infrastruktur voraus. Ein Consent-Management-System, das technisch einwandfreie Opt-in-Signale erzeugt, dokumentiert und nachweisbar speichert, ist nicht optional – es ist Pflichtbestandteil jedes rechtssicheren Webauftritts.
Worauf es in der Praxis ankommt: Das Cookie-Banner darf die Ablehnungsoption nicht verstecken oder optisch benachteiligen. „Alle akzeptieren" und „Ablehnen" müssen gleichwertig dargestellt sein. Verstoßen Anbieter dagegen, riskieren sie Abmahnungen durch Mitbewerber nach UWG sowie behördliche Verfahren. Die Aufsichtsbehörden der Länder haben in den vergangenen Jahren Bußgeldverfahren gegen Unternehmen eingeleitet, die Cookie-Banner bewusst manipulativ gestaltet hatten.
Praktische Empfehlung: Lassen Sie Ihr Consent-Management-System mindestens einmal jährlich und nach jeder wesentlichen Änderung der eingesetzten Tools rechtlich und technisch prüfen. Dabei ist besonderes Augenmerk auf die korrekte Kategorisierung der eingesetzten Cookies und die Vollständigkeit der Anbieterinformationen zu legen.
Schritt 4: AGB rechtssicher gestalten – Welche Klauseln halten einer Inhaltskontrolle stand?
Allgemeine Geschäftsbedingungen sind das Herzstück des rechtssicheren Onlineshops. Sie regeln Vertragsschluss, Lieferkonditionen, Zahlungsbedingungen, Haftungsausschlüsse und – bei Verbraucherverträgen – das Widerrufsrecht. Die AGB-Inhaltskontrolle nach §§ 305 ff. BGB ist streng: Eine Klausel, die den Vertragspartner unangemessen benachteiligt, ist unwirksam – und zwar ohne dass es einer Anfechtung bedarf.
Für Logistikunternehmen, die im B2B-Bereich tätig sind und Verträge mit Industrie- oder Handelskunden abschließen, gelten die Allgemeinen Deutschen Spediteur-Bedingungen (ADSp) als Branchenstandard. Werden diese einbezogen, sind dennoch die allgemeinen AGB-rechtlichen Anforderungen zu beachten: Einbeziehung setzt rechtzeitigen Hinweis und zumutbare Kenntnisnahmemöglichkeit voraus (§ 305 Abs. 2 BGB). Im Onlineshop empfiehlt sich ein deutlich sichtbarer Link vor dem Bestellbutton.
Im B2C-Bereich – also wenn Endkunden über den Onlineshop Versandleistungen buchen – kommt das Fernabsatzrecht nach §§ 312 ff. BGB hinzu. Dann sind die Informationspflichten nach Art. 246a EGBGB vollständig zu erfüllen: Wesentliche Eigenschaften der Dienstleistung, Gesamtpreis inkl. Steuern und Gebühren, Mindestvertragslaufzeit sowie Widerrufsbelehrung müssen klar und verständlich vor Vertragsschluss kommuniziert werden.
Ein häufiger Fehler: Logistikunternehmen verwenden AGB-Vorlagen aus dem allgemeinen Onlinehandel, die für den Warenverkauf optimiert sind, aber die speditionsrechtlichen Besonderheiten – insbesondere Haftungsgrenzen nach § 431 HGB und die Anforderungen des CMR-Übereinkommens bei grenzüberschreitendem Transport – nicht abdecken. Solche Lücken können im Schadensfall erhebliche Konsequenzen haben.
Wann haftet der Geschäftsführer persönlich für Rechtsverstöße im Onlineshop?
Die persönliche Haftung des Geschäftsführers für wettbewerbsrechtliche Verstöße der GmbH ist in der Rechtsprechung anerkannt. Wer als Geschäftsführer Kenntnis von einem Rechtsverstoß hat oder ihn hätte kennen müssen – etwa ein DSGVO-widriges Cookie-Banner oder eine irreführende Werbebotschaft im Shop – und nicht für Abhilfe sorgt, kann persönlich auf Unterlassung und Schadensersatz in Anspruch genommen werden. Das gilt unabhängig davon, ob die GmbH selbst liquidieren kann.
Nach unserer Erfahrung in der Mandatspraxis unterschätzen viele Geschäftsführer im Mittelstand diese Haftungskontur erheblich. Die Überzeugung, die GmbH hafte allein, greift im UWG-Umfeld nicht uneingeschränkt. Besonders kritisch ist die Situation bei wiederholten Verstößen oder wenn der Geschäftsführer den Verstoß nach externer Abmahnung bewusst unbehoben lässt.
Konkret bedeutet das für den Logistik-Geschäftsführer: Eingehende Abmahnungen müssen unverzüglich anwaltlich geprüft werden. Die Frist zur Abgabe einer strafbewehrten Unterlassungserklärung ist regelmäßig knapp bemessen – in der Regel wird eine Reaktionsfrist von unter zwei Wochen gesetzt. Wird diese versäumt, riskiert das Unternehmen eine einstweilige Verfügung, die kurzfristig zur Deaktivierung bestimmter Website-Funktionen zwingen kann.
Wer Compliance-Strukturen im Unternehmen etabliert – dokumentierte Prüfprozesse, klare Zuständigkeiten, regelmäßige rechtliche Audits des Webauftritts –, reduziert nicht nur das Haftungsrisiko erheblich, sondern kann im Fall einer Auseinandersetzung auch nachweisen, die erforderliche Sorgfalt angewendet zu haben.
Praxisfall (anonymisiert): In einem aktuellen Mandat beriet BRANDT & FALK ein mittelständisches Speditionsunternehmen aus der Logistikbranche mit einem bundesweiten Dienstleistungsportfolio. Ausgangslage: Das Unternehmen hatte seinen Onlineshop für Expresslieferungen ohne belastbares Consent-Management-System live gestellt; zudem fehlte ein vollständiger Auftragsverarbeitungsvertrag mit dem eingesetzten E-Commerce-Plattformanbieter. Kurz nach Launch erhielt das Unternehmen eine Abmahnung wegen DSGVO-widriger Cookie-Einbindung sowie eine datenschutzbehördliche Anfrage. Vorgehen: Die Kanzlei prüfte sämtliche Verarbeitungstätigkeiten, begleitete die Implementierung eines rechtskonformen Consent-Management-Systems, schloss fehlende Auftragsverarbeitungsverträge ab und erstellte eine aktualisierte Datenschutzerklärung. Gegenüber der Abmahnpartei wurde eine modifizierte Unterlassungserklärung formuliert, die das Unternehmen nicht übermäßig belastete. Ergebnis: Der behördliche Vorgang wurde durch eine dokumentierte Mängelbeseitigung ohne Bußgeldverfahren abgeschlossen; die Abmahnung wurde mit vertretbarem Aufwand bereinigt.
Welche UWG-Risiken bestehen im Online-Marketing von Logistikdienstleistern?
Das Gesetz gegen den unlauteren Wettbewerb (UWG) entfaltet im Online-Marketing erhebliche Wirkung. Irreführende Angaben zu Lieferzeiten, Preisen, Verfügbarkeit oder Nachhaltigkeitszertifizierungen können Abmahnungen durch Mitbewerber und Verbraucherschutzverbände auslösen. Gerade in der Logistikbranche, wo mit Begriffen wie „CO₂-neutral", „klimafreundlicher Versand" oder „Next-Day-Garantie" geworben wird, ist besondere Vorsicht geboten.
„Greenwashing" – die irreführende Kommunikation ökologischer Eigenschaften – ist seit der Einführung der EU-Richtlinie über unlautere Geschäftspraktiken ein wachsendes Abmahnrisiko. Unternehmen, die auf ihrer Website mit Umweltkennzeichnungen werben, ohne diese substantiell belegen zu können, riskieren Unterlassungsansprüche und Schadensersatzforderungen. Werbliche Aussagen zu Umwelteigenschaften müssen nachprüfbar und korrekt sein – vage Formulierungen wie „umweltbewusster Versand" ohne Substanz sind im UWG-Sinne problematisch.
Ebenfalls kritisch: E-Mail-Marketing an Bestandskunden ohne ausreichende Einwilligung oder ohne funktionierenden Opt-out-Mechanismus. Das TDDDG setzt insoweit enge Grenzen; der sogenannte „Soft-Opt-in" für eigene ähnliche Produkte und Dienstleistungen gilt nur unter engen Voraussetzungen. Fehlerquellen entstehen regelmäßig beim Wechsel des E-Mail-Marketing-Dienstleisters, wenn Einwilligungsdaten nicht vollständig migriert werden.
Schritt 5: Technische und organisatorische Maßnahmen – Datensicherheit als Rechtspflicht
Art. 32 DSGVO verpflichtet Verantwortliche dazu, geeignete technische und organisatorische Maßnahmen (TOM) zu implementieren, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für einen Onlineshop im Logistikbereich bedeutet das: verschlüsselte Datenübertragung (HTTPS/TLS), sichere Authentifizierungsverfahren für Kundenkonten, regelmäßige Sicherheitsupdates, Zugriffsrechteverwaltung sowie ein dokumentiertes Datensicherungskonzept.
Besonders relevant ist die TOM-Anforderung dann, wenn der Onlineshop mit dem internen Transport-Management-System (TMS) oder dem Warehouse-Management-System (WMS) gekoppelt ist. Hier entstehen Schnittstellen, über die potenziell große Mengen sensibler Kundendaten fließen. Jede Datenübertragung zwischen internen Systemen und externen Diensten muss auf ihre datenschutzrechtliche Grundlage geprüft werden – Auftragsverarbeitungsvertrag oder ggf. Art. 49 DSGVO bei Drittlandübermittlungen.
Wird ein Sicherheitsvorfall festgestellt – etwa ein unbefugter Zugriff auf Kundendaten –, läuft die 72-Stunden-Meldefrist nach Art. 33 DSGVO ab dem Zeitpunkt der Kenntniserlangung. Unternehmen, die keinen dokumentierten Incident-Response-Prozess haben, scheitern regelmäßig an dieser Frist nicht wegen mangelnden guten Willens, sondern wegen fehlender interner Prozesse. Das Einrichten einer Meldekette mit klaren Verantwortlichkeiten ist daher eine organisatorische Pflicht, keine Kür.
Schritt 6: Laufende Dokumentation und rechtliche Pflege des Webauftritts
Rechtssicher betreiben heißt nicht: einmalig korrekt aufsetzen und dann vergessen. Websites und Onlineshops unterliegen einem kontinuierlichen Pflegebedarf, der rechtlicher Natur ist. Gesetze ändern sich – das TDDDG ist das jüngste Beispiel –, Rechtsprechung entwickelt sich, neue Drittanbieter werden eingebunden, und das eigene Dienstleistungsportfolio wächst.
Empfehlenswert ist ein jährliches rechtliches Audit des Webauftritts, das folgende Punkte umfasst: Aktualität und Vollständigkeit des Impressums; Überprüfung der Datenschutzerklärung gegen die tatsächlich eingesetzten Tools und Dienstleister; technische Prüfung des Consent-Management-Systems; Vollständigkeit der Auftragsverarbeitungsverträge; Prüfung der AGB auf aktuelle Rechtsprechungsänderungen; Überprüfung werblicher Aussagen auf UWG-Konformität.
Nach unserer Beratungspraxis ist die häufigste Ursache für teure Abmahnverfahren nicht der initialen Launch, sondern die fehlende Nachpflege: Ein Drittanbieter-Skript wird im Shop eingebunden, ohne die Datenschutzerklärung zu aktualisieren; ein neuer Dienstleister für die Routenoptimierung erhält Zugriff auf Kundendaten, ohne dass ein Auftragsverarbeitungsvertrag abgeschlossen wird. Solche Lücken sind vermeidbar – vorausgesetzt, es gibt einen definierten Prozess im Unternehmen.
Für inhabergeführte Logistikunternehmen empfiehlt sich die Einrichtung einer kurzen Prüfroutine: Bei jeder inhaltlichen Änderung des Webauftritts – ob neues Angebot, neues Tool oder neue Marketingkampagne – wird automatisch eine rechtliche Kurzprüfung ausgelöst. Das kostet wenige Minuten Aufwand und verhindert Eskalationen, die erheblich mehr Ressourcen binden.
Verwandte Leistungen
Häufige Fragen: Website und Onlineshop rechtssicher betreiben – Logistik
Was muss ein rechtssicheres Impressum für ein Logistikunternehmen enthalten?
Das Impressum eines gewerblichen Logistikunternehmens muss nach § 5 TMG mindestens enthalten: vollständige Firma mit Rechtsformzusatz, ladungsfähige Anschrift, Namen der Vertretungsberechtigten (Geschäftsführer), Registernummer und Registergericht, Umsatzsteuer-Identifikationsnummer sowie eine direkt nutzbare E-Mail-Adresse. Ein reines Kontaktformular als Ersatz für die E-Mail-Adresse wird von der herrschenden Rechtsprechung nicht als ausreichend angesehen. Das Impressum muss von jeder Seite des Auftritts innerhalb von zwei Klicks erreichbar sein.
Welche Cookie-Einwilligungen sind für einen Logistik-Onlineshop zwingend erforderlich?
Technisch notwendige Cookies – etwa für den Warenkorb oder die Session-Verwaltung – dürfen ohne Einwilligung gesetzt werden. Alle anderen Cookies, insbesondere Analyse-, Marketing- und Social-Plug-in-Cookies, setzen nach dem TDDDG eine aktive, informierte und freiwillige Einwilligung voraus. Die Ablehnung muss genauso leicht möglich sein wie die Zustimmung. Für einen Logistik-Onlineshop, der Tracking-Tools zur Conversion-Messung einsetzt, ist ein rechtssicheres Consent-Management-System daher keine optionale Ergänzung, sondern eine Pflichtkomponente.
Welche DSGVO-Fristen müssen Logistikunternehmen bei einem Datenschutzvorfall einhalten?
Bei einem Datenschutzvorfall besteht nach Art. 33 DSGVO eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde binnen 72 Stunden ab Kenntnisnahme. Auskunftsersuchen nach Art. 15 DSGVO sind grundsätzlich innerhalb eines Monats zu beantworten. Unternehmen ohne dokumentierten Incident-Response-Prozess geraten bei diesen Fristen erfahrungsgemäß in Schwierigkeiten. Der Aufbau klarer interner Meldeketten ist daher eine unmittelbare Compliance-Anforderung, keine optionale Best Practice.
Wann haftet der Geschäftsführer persönlich für Verstöße im Onlineshop?
Der Geschäftsführer haftet persönlich, wenn er von einem Rechtsverstoß – etwa einer irreführenden Werbeaussage oder einer DSGVO-widrigen Cookie-Einbindung – wusste oder hätte wissen müssen und keine Abhilfe geschaffen hat. Im UWG-Bereich ist die persönliche Haftung des Organs anerkannt. Besonders riskant ist die Situation bei wiederholten Verstößen oder wenn nach einer externen Abmahnung keine Reaktion erfolgt. Die GmbH-Haftungsbegrenzung schützt den Geschäftsführer im wettbewerbsrechtlichen Kontext nicht vollständig.
Welche AGB-Besonderheiten gelten für Logistikunternehmen im Onlineshop?
Logistikunternehmen sollten in ihren AGB die speditionsrechtlichen Haftungsregelungen – insbesondere nach § 431 HGB sowie bei grenzüberschreitendem Transport nach dem CMR-Übereinkommen – explizit berücksichtigen. Standard-E-Commerce-AGB bilden diese Besonderheiten regelmäßig nicht ab. Zudem ist bei B2C-Verträgen die vollständige Informationspflicht nach Art. 246a EGBGB zu erfüllen, einschließlich Widerrufsbelehrung. AGB müssen vor dem Bestellbutton klar eingebunden sein und dem Kunden die Möglichkeit der zumutbaren Kenntnisnahme bieten.
Was sind die häufigsten UWG-Risiken bei Logistik-Websites?
Häufige UWG-Risiken bei Logistik-Websites sind irreführende Angaben zu Lieferzeiten oder Preisen, nicht belegbare Nachhaltigkeitsversprechen (Greenwashing), E-Mail-Marketing ohne ausreichende Einwilligung sowie fehlende Preisangaben nach der Preisangabenverordnung. Gerade Umweltaussagen wie „CO₂-neutraler Versand" sind ohne substantiellen Nachweis abmahngefährdet. Mitbewerber und Verbraucherschutzverbände nutzen solche Lücken aktiv – eine regelmäßige Prüfung der werblichen Inhalte nach UWG-Maßstäben ist daher empfehlenswert.
Die vorstehende Darstellung betrifft die Regelfälle des deutschen Rechts für gewerbliche Websites und Onlineshops. Ihr konkreter Fall erfordert die Prüfung Ihrer tatsächlich eingesetzten Systeme, vorhandener Verträge und der geltenden Fristen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.