Vorwurf Datenschutzverstoß: Wie Sie auf eine DSGVO-Abmahnung reagieren sollten

In der Vergangenheit war heftig umstritten, ob wegen des Vorwurfes Datenschutzverstoß eine Abmahnung ausgesprochen werden kann. Entsprechend selten waren entsprechende Fälle. Inzwischen kommen datenschutzrechtliche Abmahnungen jedoch häufiger vor. Grund genug, sich mit der Frage zu beschäftigen, wie Sie auf eine solche Abmahnung reagieren sollten. In dem folgenden Beitrag erläutern wir typische Fälle aus unserer Beratungspraxis und geben Empfehlungen für den Umgang mit derartigen Verfahren.

Typische Fälle aus unserer Beratungspraxis

In den uns vorliegenden Fällen bezogen sich die Abmahnschreiben unter anderem auf die folgenden Vorwürfe:

• unzulässige Werbung per E-Mail,
• datenschutzwidriger Einsatz von Cookies sowie Tracking- und Analyse-Tools auf Internetseiten,
• unzulässige Offenlegung/Übermittlung personenbezogener Daten und
• Nichterfüllung von datenschutzrechtlichen Auskunftersuchen

Die Fälle lagen sehr unterschiedlich. Die Abmahner gingen auch sehr unterschiedlich vor. In manchen Fällen wurde die Abmahnung durch Privatpersonen selbst ausgesprochen. In anderen Fällen hatten die Privatpersonen Anwälte mit dem Ausspruch der Abmahnung beauftragt. In wieder anderen Fällen erfolgte der Ausspruch der Abmahnung durch einen Verbraucherschutzverband. 

Was die Abmahner fordern

Bei den hier vorliegenden datenschutzrechtlichen Abmahnungen geht es natürlich vorrangig um die Einstellung und zukünftige Unterlassung des datenschutzrechtswidrigen Verhaltens, also z.B.:

• die Unterlassung der Übersendung von Werbung per E-Mail oder
• technische Änderungen, durch die sichergestellt wird, dass Cookies erst gesetzt werden oder dass Tracking- und Analyse-Tools erst arbeiten, wenn die insoweit erforderliche Einwilligung erteilt und dokumentiert worden ist.

In diesem Zusammenhang wird aber üblicherweise auch die Abgabe einer Unterlassungs- und Verpflichtungserklärung gefordert. Mit der Abgabe einer solchen Erklärung soll der Abgemahnte sich nicht nur dazu verpflichten, das datenschutzrechtswidrige Verhalten zukünftig zu unterlassen, sondern auch dazu, im Falle der Zuwiderhandlung gegen diese Unterlassungsverpflichtung eine Vertragsstrafe zu zahlen.

Bei den Abmahnungen von Privatpersonen geht es zum Teil auch um Betroffenenrechte (insbesondere Auskunfterteilung) und Zahlungsansprüche (insbesondere Schadenersatz).

Vorsicht Falle: Was manche Abmahner wirklich wollen

Ach wenn es doch wirklich immer um den Datenschutz gehen würde …

Zugegeben: Natürlich gibt es Aktivisten und Verbraucherschützer, denen man abnimmt, dass es ihnen wirklich um die Sache selbst geht. Bei manchen Abmahnungen drängt sich allerdings der Verdacht auf, dass es dem Abmahner vorrangig darum geht, Einnahmen zu erzielen. Und das geht auf verschiedene Art und Weise:

• Zum Teil wird im Zusammenhang mit dem Vorwurf eines Datenschutzverstoßes direkt ein bestimmter Betrag als Schadenersatz gefordert. Mitunter auch direkt nach dem Motto „Hoch einsteigen und dann einfach mal sehen, was geht.“ Das kann man jetzt sicher unterschiedlich bewerten. Zumindest liegen die Karten offen auf dem Tisch.

• Zum Teil wird in der Abmahnung allerdings auch beteuert, dass es dem Abmahner gar nicht um Geld gehe und die Angelegenheit durch Abgabe der Unterlassungs- und Verpflichtungserklärung ohne weitere Kosten beigelegt werden könne. In diesen Fällen lohnt ein etwas gründlicherer Blick auf die vorformulierte Unterlassungs- und Verpflichtungserklärung. Je nach Fassung der Erklärung kann diese nämlich zu einer üblen Haftungsfalle werden. Und wenn die Fassung der Erklärung schon die Frage aufwirft, ob die viel zu weite Fassung ein Versehen oder Absicht ist, dann sollte Vorsicht das Gebot der Stunde sein. Ist die Erklärung nämlich erst einmal abgegeben worden und steht wegen eines Verstoßes gegen die Unterlassungsverpflichtung eine Vertragsstrafe im Raum, dann kann es mit der vornehmen Zurückhaltung hinsichtlich einer Zahlungsforderung durchaus schnell vorbei sein.

Bereits vor Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) gab es von verschiedenen Seiten die Befürchtung, dass die neuen datenschutzrechtlichen Regelungen dazu missbraucht werden könnten, aus der systematischen Geltendmachung von Ansprüchen wegen vermeintlichen oder tatsächlichen Datenschutzverstößen ein Geschäftsmodell zu machen. Die zu dieser Zeit vielfach geradezu beschworenen Abmahnwellen sind dann zwar ausgeblieben. Wahrscheinlich auch deshalb, weil der Gesetzgeber die Erstattung von Abmahnkosten für datenschutzrechtliche Abmahnungen von Wettbewerbern im Gesetz gegen den unlauteren Wettbewerb (UWG) ausgeschlossen hat. Trotzdem zeigt sich in unserer Praxis, dass es durchaus derartige Versuche gibt. Wir gehen insoweit auch davon aus, dass es deutlich mehr Fälle dieser Art gibt als man gemeinhin vermuten würde, denn die meisten dieser Fälle werden nach unserer Einschätzung nach Verhandlungen durch eine Einigung erledigt.

Erst informieren, dann reagieren!

Wenn Sie eine Abmahnung wegen des Vorwurfes Datenschutzverstoß erhalten haben, sollten Sie sich unbedingt über die drei folgenden Punkte informieren:

• Wer ist der Abmahner? Häufig lassen sich aus den Informationen über den Abmahner Rückschlüsse ziehen, welche Interessen der Abmahner (wirklich) verfolgt.
• Entspricht die mit der Abmahnung übersandte vorformulierte Unterlassungserklärung dem abgemahnten Sachverhalt und wie weit reicht die Unterlassungsverpflichtung? Die Klärung dieser Fragen ist für Sie als Abgemahnten besonders wichtig, weil eine Unterlassungsverpflichtung nicht nur für das konkret bezeichnete Verhalten gilt, sondern darüberhinausgehend auch für jedes im Kern gleichartige Verhalten.
• Sofern Zahlungsforderungen erhoben werden: Sind die geforderten Beträge berechtigt? Im Falle einer anwaltlichen Abmahnung werden häufig direkt Anwaltskosten in Höhe von mehreren hundert Euro gefordert. Schadenersatzforderungen liegen zum Teil sogar noch deutlich höher.

Eine Abmahnung ist letztlich der Versuch einer außergerichtlichen Streitbeilegung. Dies bedeutet jedoch nicht, dass Sie eine Unterlassungs- und Verpflichtungserklärung abgeben müssen. Insbesondere müssen Sie nicht die von dem Abmahner vorgeschlagene vorformulierte Erklärung abgeben. Je nach Fall kann es sogar angeraten sein, die Abgabe einer Unterlassungs- und Verpflichtungserklärung ganz bewusst abzulehnen. Auch Zahlungsforderungen werden außergerichtlich oft recht sportlich angesetzt, um bei Verhandlungen Spielraum zu haben.

Welche Reaktion auf eine datenschutzrechtliche Abmahnung „richtig“ ist, hängt von verschiedenen Faktoren ab:

Wenn es sich bei dem Abmahner beispielsweise um einen seriösen Verbraucherschutzverband handelt und der Vorwurf in der Sache selbst berechtigt ist, kann es durchaus sinnvoll sein, die Angelegenheit durch die Vornahme der erforderlichen Änderungen und die Abgabe einer Unterlassungserklärung beizulegen. Wenn greifbare Anhaltspunkte für ein rechtsmissbräuchliches Vorgehen des Abmahners und seines Anwaltes vorliegen, kann es dagegen angeraten sein, eine außergerichtliche Beilegung der Angelegenheit von vornherein abzulehnen und es auf eine gerichtliche Klärung ankommen zu lassen. Wenn dagegen lediglich zu vermuten steht, dass es dem Abmahner vorrangig gar nicht um datenschutzrechtliche Aspekte geht, kann es sinnvoll sein, die erforderlichen Änderungen vorzunehmen und im Übrigen über eine „unorthodoxe Lösung“ zu verhandeln.

Wie wir Sie bei einer DSGVO-Abmahnung unterstützen können

Wir haben in der Vergangenheit wiederholt Betroffene beraten, die eine datenschutzrechtliche Abmahnung erhalten haben. Gern unterstützen wir auch Sie in einem solchen Fall.

Im Rahmen unserer Beratung würden wir mit Ihnen zunächst den Sachverhalt und die Rechtslage klären. Selbstverständlich würden Sie in diesem Zusammenhang von uns auch konkrete Empfehlungen für das weitere Vorgehen erhalten. Je nach Fall können wir Sie entweder aus dem Hintergrund bei den Verhandlungen mit der Gegenseite unterstützen oder Sie offen gegenüber der Gegenseite vertreten.

Stand 31.05.2022

Ihre Ansprechpartner: Rechtsanwalt Andreas Kempcke