Abmahnung wegen Datenschutz (DSGVO)

Grundlagen der DSGVO-Abmahnung

In der Vergangenheit war es umstritten, ob DSGVO-Verstöße von Mitbewerbern und Verbänden/Vereinen geahndet werden können. Der Europäische Gerichtshof hat jedoch in einem Urteil entschieden, dass Verbraucherverbände gegen DSGVO-Verstöße klagen können, wenn Nutzerdaten rechtsmissbräuchlich weitergegeben werden (C-319/20).

Ob die Konkurrenz DSGVO-Verstöße abmahnen darf, ist jedoch noch ungeklärt. Diese Frage hat der BGH bereits 2023 an den EuGH gestellt, allerdings wurde hier noch keine Entscheidung getroffen.

Aus der Rechtsprechung: Ein Online-Shop ist dem Auskunftsanspruch nach Artikel 15 DSGVO einer Verbraucherin nicht rechtzeitig nachgekommen. Gegen dieses DSGVO-Vergehen hat allerdings nicht die Verbraucherin selbst geklagt, sondern die Verbraucherzentrale. Das Gericht (Landgericht Düsseldorf, Az.: 34 O41/23) war jedoch mit dem Vorgehen einverstanden. Datenschutzvorschriften gehen nicht nur die betroffene Person etwas an, sondern haben auch eine Auswirkung auf den Markt und den Wettbewerb. 

Häufige Gründe für eine Abmahnung im Datenschutz

Verstöße gegen Opt-In-Pflicht:

1. Ein häufiger Abmahngrund ist ein Verstoß gegen die sogenannte Opt-In Pflicht. Opt-In bedeutet, dass der Kunde konkret seine Zustimmung gegeben haben muss - beispielsweise durch das Setzen eines Häkchens im Bestellprozess. Hier wird nochmals unterschieden zwischen der einfachen Opt-In Lösung, der Confirmed-Opt und der Double-Opt Lösung unterschieden.
2. Bei der Confirmed-Opt Lösung bekommt der Verbraucher, nachdem er seine E-Mail-Adresse angegeben hat, eine Bestätigungsmail. Um der Werbung zu widersprechen, müsste der Verbraucher extra eine Mail schicken. So soll verhindert werden, dass falsche Mailadressen angegeben werden. Bei der Angabe einer falschen E-Mail-Adresse wird dem Verbraucher so die Möglichkeit gegeben, der Nutzung zu widersprechen.
3. Bei der Double-Opt Lösung (oder auch Closed-Looped-Opt) Lösung muss die Anmeldung zum Newsletter z.B. durch einen Bestätigungslink, der per E-Mail verschickt wird, bestätigt werden. So kann sichergestellt werden, dass es sich bei der angegebenen E-Mail-Adresse auch wirklich um die richtige handelt.
4. Opt-In Pflicht für Cookies: Der Nutzer muss aktiv zustimmen, welche Cookies auf der Website verwendet werden dürfen. Ein Banner, welches über die Verwendung von Cookies informiert, reicht nicht aus. Der Nutzer muss selber aktiv zustimmen, zum Beispiel durch das Setzen eines Häkchens.

Unzulässige E-Mail Werbung:

1. Für bestimmte Werbung ist die Opt-In Lösung Pflicht, zum Beispiel bei E-Mail Werbung (§7 Abs. 2 UWG). Eine Abmahnung droht zum Beispiel dann, wenn ein Shop-Betreiber einen Newsletter versendet, ohne dass der Kunde dafür die Einwilligung gegeben hat.
2. Eine Ausnahme besteht hier bei der sogenannten Bestandskundenwerbung. Der Kunde muss beim Kauf seine E-Mail-Adresse angegeben haben und darauf hingewiesen worden sein, dass die Adresse auch für Werbung genutzt wird. Die Werbung darf dabei nur für ähnliche Artikel erfolgen.

Verwendung von Plug-Ins & Tracking-Tools:

1. Like-Buttons auf Websites, beispielsweise von Facebook, sorgen dafür, dass Daten des Nutzers weiter gegeben werden, ohne dass der Nutzer seine Einwilligung dazu gegeben hat. Um das zu verhindern, sollten die Plug-Ins zunächst inaktiv sein und erst durch Zustimmung des Nutzers aktiviert werden. Gleiches gilt für eingebettete Videos, die zum Beispiel auf YouTube, hochgeladen wurden.
2. Auch der Einsatz der gerne verwendeten Tracking-Tools (z.B. Google Analytics) kann bei fehlender oder unvollständiger Belehrung in der Datenschutzerklärung abgemahnt werden. Wie die Studie „Shop-Datenschutz-Monitor 2014“ zeigt, verstoßen etwa 2 von 5 der geprüften Online-Shops bei der Verwendung von Webcontrolling-Tools gegen Datenschutz-Bestimmungen. 

Ein weiterer Abmahngrund kann darin liegen, wenn der Antrag auf Auskunft nach Artikel 13 DSGVO vom Seitenbetreiber nicht rechtzeitig bearbeitet wird.

1. Seitenbetreiber sind außerdem verpflichtet, die Besucher der Seite über die Nutzung der persönlichen Daten in Form einer Datenschutzerklärung aufzuklären. Bei einer nicht DSGVO-konformen Datenschutzerklärung droht dem Seitenbetreiber ebenfalls die Abmahnung.

Fehlende Datenschutzerklärung

Unter anderem müssen seit der Geltung der DSGVO eine Vielzahl von neuen Informationspflichten in der Datenschutzerklärung umgesetzt werden. Um nicht angreifbar zu sein, befindet sich auf nahezu jeder Website eine Datenschutzerklärung. Die Frage, ob auch Wettbewerbs- und Verbraucherverbänden sowie Konkurrenten eine Abmahn- und Klagebefugnis bei DSGVO-Verstößen (durch eine fehlende Datenschutzinformation) zusteht, ist mittlerweile geklärt: Wettbewerbsverbände sind befugt, eine fehlende Datenschutzerklärung abzumahnen, sagt das Oberlandesgericht Stuttgart (Urteil vom 27. Februar 2020, Aktenzeichen 2 U 257/19).

Unberechtigte Verwendung einer fremden Datenschutzerklärung

Die Datenschutzerklärung selbst muss für jeden Shop angepasst und individuell erstellt werden. Kopieren und Einfügen ist in keinem Fall eine Option. Besorgt man sich Texte aus dem Netz, können die zum einen falsch und veraltet sein. Zum anderen macht man sich hierfür schadensersatzpflichtig wegen einer Urheberrechtsverletzung. In der Summe ist eine solche Abmahnung schlimmstenfalls sogar um ein Vielfaches teurer, als es die eigentlichen Rechtstexte gewesen wären.

Einbindung von Google Fonts

Es ist ein Abmahnschreiben, wie es inhaltlich Tausende erhalten haben. Der Vorwurf lautet: Unberechtigte Verwendung von Google Fonts. Beim Seitenaufruf werden, wenn Google Fonts und andere Dienste wie der Google Tag Manager zum Einsatz kommen, personenbezogene oder personenbeziehbare Daten des Webseitenbesuchers an den jeweiligen Betreiber der Dienste übermittelt. Dafür liegt in aller Regel keine Einwilligung der Betroffenen vor. Dieser Grundgedanke war der Auslöser für massenhafte Abmahnungen und ist es auch weiterhin.

Fehlerhafte Belehrung über den Einsatz von Google Analytics

Nicht nur, um die gesetzlichen Vorgaben aus der DSGVO zu erfüllen und keine Sanktionen befürchten zu müssen, ist ein sensibler und gewissenhafter Umgang mit den von deinen Kunden anvertrauten Daten wichtig. Auch um Verbrauchern, denen es an Vertrauen in den Schutz ihrer personenbezogenen Daten mangelt, ein Gefühl von Sicherheit beim Kauf im Online-Handel zu geben, ist ein rechtssicherer Umgang mit Daten notwendig. Deine Klauseln in der Datenschutzerklärung müssen also aufklären, welche Daten des Webseitenbesuchers Google Analytics erhebt und wie diese dann genutzt werden. Aufzuklären ist außerdem, an wen die Daten ggf. übermittelt werden. 

Hier bedarf es auch für jedes andere Tracking- und Analyse-Tool einer ergänzenden Regelung in der Datenschutzerklärung.

Facebook Like- und Share-Buttons

Die Einbindung von Social Plug-Ins veranlasst einen Datentransfer mit den Servern des Betreibers des jeweiligen sozialen Netzwerks, wodurch eine unbemerkte Übermittlung von personenbezogenen Daten stattfindet. Dass der Einsatz von solchen Plug-Ins mehr als unsicher ist, liegt vor allem daran, dass man gar nicht genau weiß, an wen welche Daten gehen und wie sie dort verwendet werden.

Werden Plug-Ins genutzt, muss aus datenschutzrechtlicher Sicht in jedem Fall eine Minimal-Aufklärung über die Verwendung in der Datenschutzerklärung erfolgen.

Cookies

Bei rechtswidrigen Cookie-Bannern handelt es sich nicht um ein Kavaliersdelikt. Je nach Abmahner können auch bei Verstößen gegen die Verwendung eines Cookie-Banners oder bei einer falschen Darstellung Abmahngebühren von mehreren Hundert Euro anfallen.

Jeder Fehler kann zur Abmahnung wegen einer rechtswidrigen Verwendung von Cookies werden. Hier sind einige Beispiele:

1. Gar kein Cookie-Banner
2. Keine Differenzierung zwischen verschiedenen Cookies
3. Nutzung von Cookies ohne notwendige Einwilligung