DSGVO-Abmahnung durch Wettbewerber: was nach dem BGH-Urteil zählt

Seit der Bundesgerichtshof im März 2025 entschieden hat, dass Mitbewerber bestimmte Datenschutzverstöße unter den Voraussetzungen des Wettbewerbsrechts verfolgen können, hat sich die Risikolage für Unternehmen spürbar verschoben. Ein fehlerhaftes Cookie-Banner oder ein eingebundener externer Dienst ohne Rechtsgrundlage ist heute nicht mehr nur ein Thema für die Aufsichtsbehörde. Er kann eine kostenpflichtige Abmahnung durch einen Wettbewerber auslösen. Wer die technischen Defaults seiner Website kennt und sauber dokumentiert, nimmt dem Risiko die Spitze.

Verwandt:Passkeys im Mittelstand  /  Wenn der Backup-Server zur Schwachstelle wird

Was sich durch die BGH-Entscheidung geändert hat

Was ist eine DSGVO-Abmahnung? Eine Abmahnung ist die außergerichtliche Aufforderung, ein als rechtswidrig beanstandetes Verhalten zu unterlassen, meist verbunden mit einer Unterlassungserklärung und einer Kostennote. Bei Datenschutzthemen lief sie lange über die Aufsichtsbehörden und über betroffene Personen. Der Weg über das Wettbewerbsrecht war jahrelang umstritten.

Mit zwei Urteilen vom 27. März 2025 hat der Bundesgerichtshof diese Frage geklärt: Bestimmte Verstöße gegen die DSGVO können von Mitbewerbern als unlautere Geschäftshandlung nach dem Gesetz gegen den unlauteren Wettbewerb verfolgt werden, sofern dessen Voraussetzungen vorliegen. Praktisch heißt das, dass ein Konkurrent eine fehlerhafte Datenschutzpraxis aufgreifen kann, ohne selbst betroffen zu sein.

Für Unternehmen verschiebt sich damit weniger die materielle Rechtslage als die Wahrscheinlichkeit, tatsächlich in Anspruch genommen zu werden. Eine Aufsichtsbehörde priorisiert nach Ressourcen. Ein Wettbewerber oder ein Verband hat oft ein direktes Interesse, einen formalen Fehler aufzugreifen. Genau deshalb rücken kleine, gut sichtbare Defaults wie das Cookie-Banner in den Fokus.

Wann aus einem Verstoß ein Schadensersatz wird

Parallel hat sich die Linie zum Schadensersatz präzisiert. Der BGH hat Ende 2024 deutlich gemacht, dass schon der Kontrollverlust über personenbezogene Daten ein immaterieller Schaden im Sinne von Artikel 82 DSGVO sein kann. Das senkt die Hürde gegenüber der früheren Annahme, ein Anspruch setze einen handfesten, bezifferbaren Nachteil voraus.

Gleichzeitig bleibt die Schwelle real. Nach der Rechtsprechung von EuGH und BGH genügt der Verstoß allein nicht. Es braucht einen konkreten Schaden und einen Zusammenhang zwischen Verstoß und Schaden. Ein rein hypothetisches Risiko, dass Daten in falsche Hände geraten könnten, begründet nach Einschätzung der Gerichte noch keinen Anspruch. Diese Differenzierung ist für die Praxis wichtig, weil sie überzogenen Sammelforderungen einen Riegel vorschiebt.

Für die Sicherheits- und Rechtsabteilung folgt daraus eine klare Priorität. Kostspielig wird es vor allem dort, wo ein dokumentierter Datenabfluss vorliegt und Betroffene den Kontrollverlust konkret belegen können. Wer Datenflüsse kennt und absichert, reduziert genau dieses Szenario.

Die häufigsten Kostenfallen im Tagesgeschäft

Die meisten Beanstandungen drehen sich um wiederkehrende technische Defaults, selten um exotische Spezialfälle. Cookie-Banner, die Tracking schon vor der Einwilligung starten, stehen ganz oben. Dazu kommen eingebundene Drittdienste wie Schriftarten, Karten oder Analyse-Skripte, die Daten an externe Server übertragen, sowie unvollständige Informationen in der Datenschutzerklärung.

Ein zweiter Kostentreiber ist die Reaktion selbst. Viele Folgekosten entstehen nicht durch den ursprünglichen Fehler, sondern durch eine vorschnelle Unterschrift unter eine zu weit gefasste Unterlassungserklärung oder durch eine ungeprüfte Antwort auf ein Abmahnschreiben. Eine Unterlassungserklärung wirkt langfristig und ist mit einer Vertragsstrafe bewehrt, deshalb gehört sie vor der Unterschrift juristisch geprüft.

Das Cookie-Banner als sichtbarster Angriffspunkt

Kein Element einer Website ist so leicht von außen prüfbar wie das Cookie-Banner. Es lässt sich ohne Insiderwissen aufrufen und seine Mängel sind oft schon im Browser-Werkzeug erkennbar. Die Rechtsprechung verlangt eine aktive, informierte Einwilligung, bevor nicht zwingend notwendige Cookies gesetzt werden. Eine Ablehnung muss dabei so einfach erreichbar sein wie die Zustimmung.

In der Praxis bedeutet das eine gleichwertige Schaltfläche zum Ablehnen auf der ersten Ebene, keine vorausgewählten Optionen und eine klare Trennung zwischen technisch notwendigen und einwilligungspflichtigen Diensten. Auch sogenannte Pur-Modelle, bei denen Nutzer zwischen Einwilligung und einem bezahlten, trackingfreien Zugang wählen, werden von Gerichten und Behörden geprüft, unter anderem mit Blick auf eine granulare Auswahl der Verarbeitungszwecke. Wer hier auf saubere Defaults setzt, nimmt dem häufigsten Beanstandungsgrund die Grundlage.

Checkliste: in fünf Schritten zum belastbaren Setup

Aus der aktuellen Rechtslage lässt sich eine praxisnahe Routine ableiten, die ohne juristisches Spezialwissen umsetzbar ist und im Ernstfall die Beweislage stärkt.

Erstens die Bestandsaufnahme: alle aktiven Skripte, Tracker und Drittdienste der Website erfassen und jedem eine Rechtsgrundlage zuordnen. Zweitens das Banner prüfen, ob Ablehnen genauso leicht ist wie Zustimmen und ob wirklich nichts vor der Einwilligung lädt. Drittens die Einwilligungen revisionssicher protokollieren, damit im Streitfall belegbar ist, wer wann wozu zugestimmt hat.

Viertens die Datenschutzerklärung mit dem tatsächlichen technischen Stand abgleichen, statt sie als Standardtext zu führen. Fünftens einen Reaktionsplan für den Abmahnfall hinterlegen: feste Ansprechpartner, kurze Fristenkontrolle und die Regel, keine Erklärung ohne juristische Prüfung zu unterschreiben. Dieser letzte Punkt verhindert die teuersten Fehler, weil er die unüberlegte Reaktion ausbremst.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Können Wettbewerber wirklich Datenschutzverstöße abmahnen?

Ja, in bestimmten Konstellationen. Der Bundesgerichtshof hat mit den Urteilen vom 27. März 2025 (Az. I ZR 222/19 und I ZR 223/19) bestätigt, dass DSGVO-Verstöße als unlautere Geschäftshandlung über das Wettbewerbsrecht von Mitbewerbern verfolgt werden können, wenn die Voraussetzungen des UWG erfüllt sind. Damit gibt es neben der Aufsichtsbehörde einen zusätzlichen Durchsetzungsweg.

Führt jeder Verstoß automatisch zu Schadensersatz?

Nein. Nach der Rechtsprechung von EuGH und BGH braucht ein Anspruch nach Artikel 82 DSGVO einen Verstoß, einen konkreten Schaden und einen Zusammenhang zwischen beidem. Den bloßen Kontrollverlust über Daten kann ein Gericht als immateriellen Schaden werten, ein rein hypothetisches Risiko genügt jedoch nicht.

Welches Website-Element wird am häufigsten beanstandet?

Das Cookie-Banner. Es ist von außen leicht prüfbar und Mängel wie vorab gesetzte Häkchen oder Tracking vor der Einwilligung sind schnell sichtbar. Eng damit verbunden sind eingebundene Drittdienste, die Daten ohne klare Rechtsgrundlage an externe Server übertragen.

Wie sollte ein Unternehmen auf eine Abmahnung reagieren?

Besonnen und mit Prüfung. Fristen notieren, den Sachverhalt dokumentieren und keine Unterlassungserklärung ungeprüft unterschreiben. Eine solche Erklärung wirkt langfristig und ist mit einer Vertragsstrafe verbunden, deshalb gehört sie vor der Unterschrift juristisch bewertet.

Was ist die wirksamste Vorsorge?

Saubere technische Defaults und eine belastbare Dokumentation. Wer alle Datenflüsse kennt, jeder Verarbeitung eine Rechtsgrundlage zuordnet, Einwilligungen protokolliert und das Banner regelmäßig prüft, senkt sowohl das Abmahnrisiko als auch die Wahrscheinlichkeit eines belegbaren Schadens.

Lesetipps der Redaktion

• Copilot findet die Datei, die niemand teilen wollte
• API-Security: der blinde Fleck hinter jeder Integration
• Security Awareness: die Klickrate misst das Falsche

Mehr aus dem MBF Media Netzwerk