Ein Abmahnschreiben wegen eines fehlenden Pflichthinweises im Impressum oder einer nicht konformen Cookie-Einwilligung trifft Geschäftsführer mittelständischer Unternehmen regelmäßig unvorbereitet. Die rechtlichen Anforderungen an einen rechtskonformen Internetauftritt sind in den vergangenen Jahren erheblich gewachsen: das Telemediengesetz wurde durch das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) abgelöst, die DSGVO verschärft die Pflichten rund um Tracking und Einwilligung, und das UWG (Gesetz gegen den unlauteren Wettbewerb) bildet die Grundlage für Abmahnungen bei unzulässiger Werbung, irreführenden Angaben oder fehlenden Pflichtinformationen im Onlineshop.
Wer als Geschäftsführer eine Website oder einen Onlineshop betreibt, ist persönlich für die Einhaltung des TDDDG, der DSGVO sowie des UWG verantwortlich. Ein lückenloser Rechtsrahmen erfordert ein rechtssicheres Impressum, transparente Datenschutzhinweise, eine wirksame Cookie-Einwilligung und AGB, die der höchstrichterlichen Rechtsprechung standhalten. Verstöße können Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes auslösen sowie wettbewerbsrechtliche Unterlassungsansprüche begründen.
Dieser Beitrag analysiert die wichtigsten Rechtspflichten für den digitalen Unternehmensauftritt, benennt typische Schwachstellen in der Mittelstandspraxis und zeigt, welche Handlungsoptionen und Gestaltungswege zur Verfügung stehen.
Welche Gesetze gelten für Website und Onlineshop?
Der rechtliche Rahmen für den Betrieb einer Website oder eines Onlineshops ist kein Einzelgesetz, sondern ein Geflecht aus mindestens vier Regelungsebenen, die gleichzeitig zu beachten sind. Wer dieses Zusammenspiel nicht kennt, riskiert Beanstandungen auf mehreren Fronten gleichzeitig.
Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ist seit dem 13. Mai 2024 in Kraft und hat das frühere Telemediengesetz (TMG) abgelöst. Es regelt die Impressumspflicht, die Pflichten zur Information über technische Schutzmaßnahmen und — zentral für die Praxis — die Anforderungen an das Setzen von Cookies und den Zugriff auf Endgeräte. Der entscheidende Grundsatz des § 25 TDDDG lautet: Ohne vorherige, informierte und freiwillige Einwilligung dürfen Informationen auf dem Endgerät des Nutzers weder gespeichert noch abgerufen werden. Das gilt für Tracking-Cookies ebenso wie für Social-Media-Pixel oder eingebettete Drittanbieter-Skripte.
Die DSGVO ergänzt das TDDDG auf Datenschutzebene: Jede Verarbeitung personenbezogener Daten — von der IP-Adresse beim Seitenaufruf über Kontaktformulare bis zur Bestellhistorie im Shop — bedarf einer Rechtsgrundlage nach Art. 6 DSGVO. Fehlt die Einwilligung oder ist sie technisch unzulänglich eingeholt worden, können Aufsichtsbehörden nach Art. 83 DSGVO Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen — je nachdem, welcher Betrag höher ist.
Das UWG schützt Mitbewerber und Verbraucher vor unlauteren Geschäftspraktiken. Im Online-Kontext betrifft das vor allem irreführende Angaben, fehlende Pflichtinformationen im Onlineshop (Preisangabenverordnung, Verbraucherrechterichtlinie), rechtswidrige E-Mail-Werbung ohne Einwilligung sowie AGB mit unzulässigen Klauseln. Mitbewerberverbände und Verbraucherschutzorganisationen können auf dieser Grundlage kostenpflichtige Abmahnungen aussprechen und Unterlassung verlangen.
Hinzu kommen das BGB mit seinen §§ 305 ff. zur AGB-Inhaltskontrolle, das E-Commerce-Recht nach der VerbrRRL, steuerliche Kennzeichnungspflichten bei Preisangaben sowie branchenspezifische Vorschriften. In der Mandatspraxis sehen wir, dass viele Unternehmen einen dieser Regelungskreise gut abdecken, die anderen jedoch vernachlässigen — häufig mit dem Ergebnis, dass gerade der blinde Fleck zum Abmahnfall wird.
Impressumspflicht: Was muss wirklich stehen?
Das Impressum ist die gesetzlich vorgeschriebene Selbstauskunft des Anbieters eines Telemediendienstes. Es muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein — das verlangt § 5 TDDDG. Fehlt das Impressum vollständig oder ist es unvollständig, liegt ein abmahnfähiger Verstoß vor, der zugleich als Ordnungswidrigkeit ahndbar ist.
Für eine GmbH oder AG müssen im Impressum enthalten sein: Name und Anschrift der Gesellschaft, die Vertretungsberechtigten (Geschäftsführer, Vorstand), Handelsregister, Registernummer und Registergericht, die Umsatzsteuer-Identifikationsnummer (sofern vorhanden) sowie eine elektronische Kontaktmöglichkeit. Zugelassene Berufsgruppen wie Ärzte, Steuerberater oder Architekten haben zusätzliche Pflichtangaben.
Was in der Praxis regelmäßig fehlt: die Angabe der zuständigen Aufsichtsbehörde bei regulierten Berufen, die Rechtsform bei weniger geläufigen Gesellschaftsformen sowie ein funktionsfähiger E-Mail-Kontakt. Die Anforderung „unmittelbar erreichbar" bedeutet nach gefestigter Rechtsprechung, dass das Impressum nicht mehr als zwei Klicks vom Startpunkt entfernt sein darf. Eine im Footer versteckte, nicht als Impressum bezeichnete Seite erfüllt diese Anforderung regelmäßig nicht.
Für den Mittelstand besonders relevant: Auch eine rein geschäftlich genutzte Social-Media-Seite, ein LinkedIn-Unternehmensprofil oder ein YouTube-Kanal gilt als Telemedienangebot und unterliegt der Impressumspflicht. Das wird häufig übersehen, obwohl Abmahnungen in diesem Bereich zunehmen.
Cookie-Einwilligung und TDDDG: Welche Anforderungen gelten konkret?
Die Cookie-Pflichten sind der Bereich, in dem in der Mittelstandspraxis die häufigsten und gleichzeitig kostspieligsten Fehler entstehen. Seit der EuGH-Rechtsprechung (Planet49, 2019) und der Umsetzung im deutschen Recht ist klar: Eine wirksame Einwilligung für nicht zwingend notwendige Cookies muss aktiv, freiwillig, informiert und spezifisch erteilt werden.
§ 25 TDDDG kodifiziert diesen Standard: Ohne vorherige Einwilligung ist das Setzen nicht technisch notwendiger Cookies unzulässig. Technisch notwendig sind nur Cookies, die für die vom Nutzer ausdrücklich gewünschte Funktionalität unbedingt erforderlich sind — Warenkorbfunktion, Session-Management, Sicherheits-Token. Analyse-Cookies (Google Analytics, Matomo in Tracking-Konfiguration), Marketing-Cookies und Social-Media-Pixel fallen nicht darunter.
Wirksam ist eine Einwilligung nur, wenn sie bestimmten Anforderungen genügt. Das bedeutet konkret: Der Cookie-Banner darf keinen vorausgewählten „Zustimmen"-Button haben. Das Ablehnen muss gleich einfach sein wie das Zustimmen. Ein sogenanntes „Dark Pattern" — etwa ein kleiner, schwer sichtbarer Ablehnen-Button neben einem farblich hervorgehobenen Zustimmen-Button — ist nach der Rechtsprechung der Datenschutzbehörden in mehreren europäischen Jurisdiktionen unzulässig. In der Mandatspraxis sehen wir, dass eine erhebliche Zahl mittelständischer Onlineshops diese Anforderungen noch nicht vollständig umsetzt.
Besondere Vorsicht ist bei Google-Diensten geboten. Google Analytics 4, Google Ads, Google Tag Manager — all diese Dienste übermitteln Daten an Server in den USA. Nach dem Schrems-II-Urteil und dem Datenschutzrahmen EU-USA (Data Privacy Framework, seit Juli 2023 in Kraft) ist die Übermittlung grundsätzlich zulässig, wenn der Empfänger im DPF-Register eingetragen ist. Das schließt jedoch die Notwendigkeit einer wirksamen Einwilligung nach § 25 TDDDG nicht aus.
Praktische Empfehlung: Ein Consent Management Platform (CMP) allein schützt nicht vor Beanstandungen. Die Konfiguration der CMP — welche Cookies welcher Kategorie zugeordnet sind, ob vor der Einwilligung tatsächlich keine Skripte laden — ist mindestens so wichtig wie das Vorhandensein des Banners selbst. Technische und rechtliche Prüfung müssen Hand in Hand gehen.
Datenschutzerklärung: Inhalt, Aktualität und typische Schwachstellen
Die Datenschutzerklärung ist die primäre Informationspflicht nach Art. 13 und 14 DSGVO gegenüber den Betroffenen. Sie ist kein einmaliges Dokument, das nach der Websiteerstellung dauerhaft Bestand hat, sondern ein lebendes Instrument, das bei jeder Änderung der Datenverarbeitungen aktualisiert werden muss.
Inhaltlich muss die Datenschutzerklärung nach Art. 13 DSGVO mindestens enthalten: Identität und Kontaktdaten des Verantwortlichen, Kontaktdaten des Datenschutzbeauftragten (sofern benannt), Zwecke und Rechtsgrundlagen jeder Verarbeitung, Empfänger oder Kategorien von Empfängern, Übermittlungen in Drittländer mit den jeweiligen Garantien, Speicherdauer, die Rechte der Betroffenen sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Darüber hinaus hat die höchstrichterliche Rechtsprechung konkretisiert, dass für jeden eingesetzten Drittanbieter-Dienst eine gesonderte Beschreibung erforderlich ist.
Typische Schwachstellen in der Mittelstandspraxis: Die Datenschutzerklärung wurde vor zwei oder drei Jahren erstellt und seitdem nicht aktualisiert, obwohl neue Dienste eingebunden wurden. Die Rechtsgrundlagen werden nur pauschal benannt, ohne die konkrete Verarbeitungsoperation zuzuordnen. Drittanbieter werden nicht namentlich genannt oder es fehlen Hinweise auf die Datenübermittlung in Drittstaaten. Betroffene haben nach Art. 15 DSGVO einen Auskunftsanspruch, den der Verantwortliche grundsätzlich binnen eines Monats erfüllen muss. Wer keine aktuellen Verarbeitungsübersichten hat, gerät bei entsprechenden Anfragen sofort in Schwierigkeiten.
Nach unserer Erfahrung empfiehlt sich ein mindestens halbjährlicher Abgleich der Datenschutzerklärung mit dem tatsächlich eingesetzten Dienste-Stack. Wechselt das Unternehmen den Newsletter-Anbieter, integriert ein neues Analyse-Tool oder bindet einen Chatbot ein, muss die Datenschutzerklärung unmittelbar angepasst werden — nicht erst beim nächsten Audit.
AGB im Onlineshop: Inhaltskontrolle, Einbeziehung und aktuelle Streitpunkte
Allgemeine Geschäftsbedingungen (AGB) im Onlineshop sind ein klassisches Instrument zur Standardisierung von Vertragsbeziehungen. Sie können jedoch nur dann wirksam einbezogen werden und Schutzwirkung entfalten, wenn sie bestimmten formalen und inhaltlichen Anforderungen genügen — andernfalls werden sie nach §§ 305 ff. BGB (AGB-Inhaltskontrolle) ganz oder teilweise als unwirksam behandelt, und an ihre Stelle tritt dispositives Gesetzesrecht.
Wirksame Einbeziehung setzt nach § 305 Abs. 2 BGB voraus, dass der Verwender ausdrücklich auf die AGB hinweist, der anderen Partei die Möglichkeit verschafft, von ihnen Kenntnis zu nehmen, und die andere Partei zustimmt. Im Onlineshop bedeutet das: ein deutlicher Hinweis auf die AGB vor dem Bestellabschluss, eine gut sichtbare Verlinkung mit der Möglichkeit, die AGB vor Vertragsschluss zu lesen und zu speichern. Ein im Bestellprozess nachgelagerter Hinweis ist nicht ausreichend.
Inhaltlich unterliegen B2C-AGB der umfassenden Inhaltskontrolle der §§ 307–309 BGB. Klauseln, die den Verbraucher unangemessen benachteiligen, sind unwirksam. Besonders streng beurteilt werden: Haftungsausschlüsse für Vorsatz und grobe Fahrlässigkeit, Abweichungen von gesetzlichen Gewährleistungsrechten, überlange Bindefristen, und — aktuell besonders relevant — Klauseln zu digitalen Inhalten und Waren mit digitalen Elementen, für die seit der Umsetzung der EU-Warenkauf-Richtlinie strengere Anforderungen gelten.
Im B2B-Bereich ist die Inhaltskontrolle zwar weniger streng, aber nicht inexistent. Insbesondere überraschende Klauseln (§ 305c BGB) und gegen Treu und Glauben verstoßende Regelungen können auch im unternehmerischen Verkehr unwirksam sein. Zudem gilt die kaufmännische Rügepflicht nach § 377 HGB: Mängel an Waren müssen unverzüglich nach Entdeckung gerügt werden, sonst gilt die Ware als genehmigt.
Praxisrelevanter Streitpunkt aktuell: Die Preisgarantie-Klauseln und Preisanpassungsklauseln in Abonnement-Modellen und SaaS-Verträgen. Die höchstrichterliche Rechtsprechung hat Anforderungen an die Transparenz solcher Klauseln erheblich verschärft. Pauschalformulierungen wie „der Anbieter behält sich Preisanpassungen vor" genügen nicht.
Wettbewerbsrechtliche Risiken: Abmahnungen und präventive Gestaltung
Das Wettbewerbsrecht ist im Online-Bereich der häufigste Auslöser für Abmahnungen durch Mitbewerber und Verbraucherschutzverbände. Dabei sind die Streitgegenstände vielfältiger als häufig angenommen — sie reichen von Preisauszeichnungspflichten über rechtswidrige Werbung bis zu fehlenden Pflichtinformationen im Bestellprozess.
Zu den typischen Abmahnfeldern gehören: unzulässige E-Mail-Werbung ohne vorherige Einwilligung (§ 7 UWG), irreführende Preisangaben (fehlende Grundpreise, unklare Versandkostenangaben, Streichpreise ohne tatsächlichen Bezugspreis), fehlende oder mangelhafte Widerrufsbelehrung im B2C-Onlineshop, unzureichende Produktbeschreibungen bei Waren mit digitalen Elementen sowie — zunehmend relevant — Greenwashing-Aussagen ohne hinreichende Substanz.
Seit der Umsetzung der Omnibus-Richtlinie im Mai 2022 gelten für Rabattaktionen verschärfte Transparenzpflichten: Bei einer Preissenkung muss der niedrigste Preis der letzten 30 Tage als Referenz angegeben werden. Dieser Aspekt wird in Abmahnverfahren seit 2022 regelmäßig thematisiert.
Für den Geschäftsführer persönlich bedeutsam: Im Rahmen des § 8 Abs. 2 UWG haftet das Unternehmen für Wettbewerbsverstöße seiner Mitarbeiter und Beauftragten als Störer. Die zivilrechtliche Unterlassungshaftung trifft die Gesellschaft unmittelbar; in bestimmten Konstellationen können bei schwerwiegenden oder wiederholten Verstößen auch persönliche Haftungsrisiken entstehen. Hinzu kommt der Aufwand für Abmahnverfahren, der auch bei inhaltlich schwachen Abmahnungen erheblich sein kann.
Präventiv empfiehlt sich ein strukturiertes Legal-Review des Onlineshops: Bestellprozess, Preisauszeichnung, E-Mail-Kommunikation, Newsletter-Anmeldung und Widerrufsprozess sollten mindestens einmal jährlich auf Konformität geprüft werden. Eine einmalige Ersterstellung rechtssicherer Vorlagen schützt nur so lange, wie das rechtliche Umfeld und die eigene Praxis unverändert bleiben — was selten der Fall ist.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen, das einen Onlineshop für Fachkunden und Endverbraucher betreibt. Ausgangslage: Das Unternehmen hatte eine Abmahnung eines Mitbewerberverbandes erhalten, der auf fehlerhafte Streichpreise und eine unvollständige Widerrufsbelehrung verwies. Zusätzlich lief eine Anfrage der zuständigen Datenschutzaufsichtsbehörde zu den eingesetzten Tracking-Diensten. Vorgehen: Die Kanzlei prüfte zunächst den Bestellprozess technisch und rechtlich, identifizierte die konkreten Normverstöße und entwickelte eine überarbeitete AGB- und Datenschutzstruktur. Parallel wurde die Abmahnung auf ihre Berechtigung geprüft und eine modifizierte Unterlassungserklärung ausgehandelt, die spätere Vertragsstrafenansprüche begrenzte. Ergebnis: Die behördliche Anfrage konnte mit einer vollständigen Dokumentation der Einwilligungsarchitektur beantwortet werden; ein förmliches Bußgeldverfahren wurde nicht eingeleitet. Die überarbeitete Shopstruktur entspricht nach abschließender Prüfung den zum Zeitpunkt des Mandats geltenden Anforderungen — ohne Gewähr für zukünftige Rechtsänderungen.
Welche Besonderheiten gelten für den internationalen Onlineshop?
Wer seinen Onlineshop auf Märkte außerhalb Deutschlands ausrichtet — sei es durch fremdsprachige Landingpages, internationale Versandoptionen oder gezielte Werbung in anderen EU-Mitgliedstaaten —, muss über das deutsche Recht hinaus die Anforderungen der Zielländer berücksichtigen. Die DSGVO gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten; nationale Umsetzungsgesetze schaffen jedoch Unterschiede bei Einwilligungsstandards, Datenschutzbeauftragtenpflicht und spezifischen Branchenvorgaben.
Für das Vertragsrecht gilt im B2C-Bereich nach der Rom-I-Verordnung: Auch wenn die AGB deutsches Recht vereinbaren, kann ein Verbraucher in seinem Heimatstaat den Schutz der zwingenden Verbraucherrechte seines Wohnsitzlandes beanspruchen. Eine Rechtswahlklausel, die die EU-Verbraucherrechte unterschreitet, ist insoweit unwirksam. Das bedeutet in der Praxis: Wer gezielt an britische, österreichische oder niederländische Endverbraucher verkauft, muss sicherstellen, dass seine AGB mit den jeweiligen Mindeststandards kompatibel sind.
Bei Märkten außerhalb der EU — insbesondere USA, Schweiz, Großbritannien nach dem Brexit — entstehen zusätzliche Anforderungen: US-amerikanische Bundesstaaten wie Kalifornien haben eigene Datenschutzgesetze (CCPA/CPRA), die bei gezielter Marktausrichtung zu beachten sind. Bei grenzüberschreitenden Sachverhalten dieser Art arbeiten wir mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion zusammen.
Ein häufig unterschätztes Risiko im grenzüberschreitenden Online-Handel ist die Umsatzsteuer. Das EU-Einheitliche-One-Stop-Shop-Verfahren (OSS) hat die Abwicklung vereinfacht, aber nicht eliminiert: Ab bestimmten Lieferschwellen entstehen umsatzsteuerliche Registrierungspflichten, die bei Nichterfüllung rückwirkend zu erheblichen Nachforderungen führen können.
Pflichten des Geschäftsführers: Persönliche Verantwortung und Haftungsrisiken
Die Frage, ob und inwieweit der Geschäftsführer persönlich für Verstöße auf der Unternehmenswebsite oder im Onlineshop haftet, ist in der Beratungspraxis besonders sensibel. Die Antwort ist differenziert, aber klar: Eine vollständige Abwälzung auf nachgeordnete Mitarbeiter oder externe Dienstleister ist rechtlich nicht möglich.
Im Datenschutzrecht ist die Gesellschaft als juristische Person der Verantwortliche nach Art. 4 Nr. 7 DSGVO. Bußgelder nach Art. 83 DSGVO richten sich primär gegen das Unternehmen. Daneben können Aufsichtsbehörden jedoch in bestimmten Konstellationen auch gegen natürliche Personen vorgehen, wenn diese maßgeblich an Verstößen beteiligt waren oder pflichtwidrig keine Abhilfemaßnahmen getroffen haben. In der Mandatspraxis sehen wir, dass dieses Szenario insbesondere dann relevant wird, wenn Verstöße nach behördlichen Hinweisen nicht abgestellt wurden.
Im Wettbewerbsrecht haftet der Geschäftsführer persönlich für eigene Wettbewerbsverstöße, wenn er diese selbst begangen hat oder wenn er als Täter oder Teilnehmer handelt. Bei schwerwiegenden oder wiederholten Verstößen kann zudem eine persönliche Störerhaftung entstehen, wenn er die erforderliche Aufsicht über den Onlineshop pflichtwidrig unterlassen hat.
Eine Insolvenz der GmbH schützt nicht vor persönlichen Bußgeldern nach der DSGVO, die gegen die natürliche Person verhängt wurden. Das ist ein unterschätztes Risiko, das in der Praxis bei der Frage, ob Compliance-Maßnahmen „sich lohnen", häufig nicht hinreichend berücksichtigt wird.
Welche Maßnahmen sollten Geschäftsführer daher konkret ergreifen? Mindestens: einen aktuellen Überblick über alle eingesetzten digitalen Dienste (Dienste-Register), klare interne Zuständigkeiten für die Website- und Shop-Compliance, einen regelmäßigen Prüfrhythmus sowie eine dokumentierte Entscheidung darüber, ob ein Datenschutzbeauftragter zu benennen ist. Die Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO hängt u. a. von Art und Umfang der Verarbeitungen ab; die genaue Einschätzung ist im Einzelfall anwaltlich zu prüfen.
Strukturierte Handlungsoptionen: Was ist wann zu tun?
Die Rechtspflichten für Website und Onlineshop lassen sich in drei Handlungsfelder einteilen, die systematisch abgearbeitet werden sollten. Dabei ist die Reihenfolge nicht beliebig: Wer mit einem laufenden Abmahnverfahren oder einer behördlichen Anfrage konfrontiert ist, hat andere Prioritäten als ein Unternehmen, das seinen Shop erstmalig aufbaut oder nach längerer Zeit erstmals prüft.
Handlungsfeld 1 — Sofortmaßnahmen bei konkreten Verstößen: Besteht eine Abmahnung oder eine behördliche Anfrage, sind Fristen maßgeblich. Abmahnfristen nach UWG sind in der Regel sehr kurz (häufig 5–10 Werktage, im Einzelfall kürzer). Eine übereilte, zu weit reichende Unterlassungserklärung kann spätere Verteidigungsmöglichkeiten einschränken und sollte anwaltlich geprüft werden, bevor sie abgegeben wird. Konstellation: Abmahnung eingegangen → keine pauschale Unterlassungserklärung unterschreiben → anwaltliche Prüfung → modifizierte Erklärung mit eingeschränktem Umfang anbieten.
Handlungsfeld 2 — Strukturelle Compliance: Für den laufenden Betrieb empfiehlt sich ein strukturiertes Compliance-Audit, das Impressum, Datenschutzerklärung, Cookie-Einwilligungssystem, AGB und Bestellprozess gemeinsam prüft. Konstellation: Neueintritt in E-Commerce → vollständiges Legal-Setup vor Livegang → danach halbjährliche Aktualisierung. Konstellation: Bestehender Shop ohne jüngste Prüfung → prioritäre Prüfung der Bereiche mit höchstem Abmahnrisiko (Cookie-Banner, Streichpreise, Widerrufsbelehrung).
Handlungsfeld 3 — Vorausschauende Gestaltung: Die Rechtslage im digitalen Bereich entwickelt sich schnell. Die geplante ePrivacy-Verordnung auf EU-Ebene ist bislang nicht in Kraft getreten, wird den Rahmen aber bei Verabschiedung grundlegend neu ordnen. Die KI-Verordnung der EU (AI Act) erfasst ab 2025/2026 auch Empfehlungssysteme und automatisierte Entscheidungen in Onlineshops. Wer diese Entwicklungen im Blick behält und sein Legal-Setup proaktiv anpasst, vermeidet Abmahnwellen, die regelmäßig auf neue Regelungen folgen.
Die vorstehende Darstellung betrifft die Regelfälle und den gesetzlichen Referenzrahmen. Ihr konkreter Onlineshop kann aufgrund der eingesetzten Dienste, der Zielgruppen und der Branche abweichende Anforderungen aufweisen, die eine individuelle Prüfung von Unterlagen, Konfiguration und Vertragswerk erfordern.
Für eine erste Durchsicht Ihrer Website-Dokumentation — Impressum, Datenschutzerklärung, Cookie-Setup, AGB — sowie eine Einschätzung etwaiger Handlungsbedarfe erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen: Website und Onlineshop rechtssicher betreiben
Was muss ein rechtssicheres Impressum für eine GmbH enthalten?
Ein Impressum für eine GmbH muss nach § 5 TDDDG mindestens enthalten: vollständiger Name und Anschrift der Gesellschaft, die Namen der Geschäftsführer, Angaben zu Handelsregister, Registernummer und Registergericht sowie — sofern vorhanden — die Umsatzsteuer-Identifikationsnummer. Zusätzlich ist eine elektronisch erreichbare Kontaktmöglichkeit (E-Mail-Adresse) anzugeben. Das Impressum muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein; nach gefestigter Rechtsprechung sind maximal zwei Klicks zulässig.
Brauche ich für Google Analytics eine Cookie-Einwilligung?
Ja. Google Analytics setzt Cookies und greift auf das Endgerät des Nutzers zu. Ohne vorherige, wirksame Einwilligung ist der Einsatz nach § 25 TDDDG unzulässig. Technisch notwendig im Sinne des Gesetzes ist Google Analytics nicht, da es der Analyse und nicht der vom Nutzer nachgefragten Funktionalität dient. Die Einwilligung muss aktiv, freiwillig und informiert erteilt werden; vorausgewählte Häkchen oder ein nicht gleichwertig zugänglicher Ablehnen-Button erfüllen die Anforderungen nicht.
Was droht bei einem Verstoß gegen die DSGVO im Onlineshop?
Bei Verstößen gegen die DSGVO können die zuständigen Datenschutzaufsichtsbehörden nach Art. 83 DSGVO Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen — je nachdem, welcher Betrag höher ist. Daneben besteht ein zivilrechtlicher Schadensersatzanspruch Betroffener nach Art. 82 DSGVO. Bei Verstößen mit wettbewerbsrechtlichem Bezug drohen zudem Abmahnungen und Unterlassungsansprüche durch Mitbewerber.
Müssen AGB im Onlineshop notariell beurkundet werden?
Nein. AGB im Onlineshop müssen nicht notariell beurkundet werden. Sie müssen jedoch vor dem Vertragsschluss klar auf die AGB hinweisen, die Möglichkeit zur Kenntnisnahme gewähren und eine aktive Zustimmung des Käufers sicherstellen. Inhaltlich unterliegen B2C-AGB der Inhaltskontrolle nach §§ 307–309 BGB; unangemessen benachteiligende Klauseln sind unwirksam, auch wenn ihnen formal zugestimmt wurde.
Wie oft muss die Datenschutzerklärung aktualisiert werden?
Die Datenschutzerklärung muss immer dann aktualisiert werden, wenn sich die tatsächlichen Datenverarbeitungen ändern — etwa bei Integration neuer Dienste, Wechsel des Newsletter-Anbieters oder Änderung des Datenbankstandorts. Es gibt keine gesetzliche Mindestaktualisierungsfrequenz, aber in der Praxis empfiehlt sich mindestens eine halbjährliche Überprüfung. Eine veraltete Datenschutzerklärung, die nicht mehr dem tatsächlichen Dienste-Stack entspricht, stellt einen Verstoß gegen Art. 13 DSGVO dar.
Was bedeutet die Omnibus-Richtlinie für Preisrabatte im Onlineshop?
Seit Umsetzung der Omnibus-Richtlinie (Mai 2022) muss bei jeder Preissenkung der niedrigste Preis der letzten 30 Tage vor der Preissenkung als Referenzpreis angegeben werden. Streichpreisaktionen, die einen höheren Preis als Bezugspunkt ausweisen, ohne diesen 30-Tage-Referenzpreis zu benennen, sind irreführend und abmahnfähig. Diese Regelung gilt für den B2C-Bereich; im rein unternehmerischen Handel gelten abweichende Maßstäbe.
Haftet der Geschäftsführer persönlich für Datenschutzverstöße auf der Unternehmenswebsite?
Primär richtet sich das DSGVO-Bußgeld nach Art. 83 DSGVO gegen das Unternehmen als Verantwortlichen. In bestimmten Konstellationen — insbesondere wenn der Geschäftsführer persönlich an Verstößen beteiligt war oder nach behördlichen Hinweisen keine Abhilfemaßnahmen veranlasst hat — können persönliche Haftungsrisiken entstehen. Im Wettbewerbsrecht haftet der Geschäftsführer für eigene Verstöße und in bestimmten Konstellationen aus Aufsichtspflichtverletzung. Eine Insolvenz der GmbH schließt persönliche Sanktionen nicht aus.
Was sind die größten Abmahnfallen im Onlineshop?
Zu den häufigsten Abmahnfeldern im Onlineshop zählen: fehlende oder fehlerhafte Widerrufsbelehrung im B2C-Bereich, unzulässige Streichpreise ohne 30-Tage-Referenzpreis, E-Mail-Werbung ohne vorherige Einwilligung, unvollständiges oder schwer auffindbares Impressum, nicht konforme Cookie-Banner sowie AGB-Klauseln, die Verbraucher unangemessen benachteiligen. Präventiv empfiehlt sich ein strukturiertes jährliches Legal-Review des gesamten Bestellprozesses.
Die vorstehende Darstellung betrifft die Regelfälle nach aktuellem Rechtsstand. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer Unterlagen, des eingesetzten Dienste-Stacks und der anwendbaren Rechtsprechung. Für eine erste Durchsicht Ihrer Website-Dokumentation erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.