8 Min. de lectura<\/p>\n
Desde que el Bundesgerichtshof decidi\u00f3 en marzo de 2025 que los concurrentes pueden perseguir ciertos incumplimientos de protecci\u00f3n de datos bajo las condiciones del derecho de competencia, la situaci\u00f3n de riesgo para las empresas se ha desplazado claramente.<\/strong> Un banner de cookies defectuoso o un servicio externo integrado sin base legal ya no es solo un tema para la autoridad de control. Puede desencadenar una amonestaci\u00f3n con costos por parte de un concorrente. Quien conoce y documenta adecuadamente los valores t\u00e9cnicos predeterminados de su sitio web, reduce el riesgo a su m\u00e1ximo.<\/p>\n Lo m\u00e1s importante en resumen<\/p>\n Relacionado:<\/span>Passkeys en el mundo empresarial<\/a> \/<\/span> Cuando el servidor de respaldo se convierte en una debilidad<\/a><\/p>\n \u00bfQu\u00e9 es una amonestaci\u00f3n por DSGVO?<\/strong> Una amonestaci\u00f3n es la petici\u00f3n fuera de los tribunales de dejar de realizar un comportamiento considerado ilegal, normalmente acompa\u00f1ada de una declaraci\u00f3n de cesaci\u00f3n y una factura de gastos. En temas de protecci\u00f3n de datos, esta pr\u00e1ctica sol\u00eda pasar por las autoridades de control y por las personas afectadas. El camino a trav\u00e9s del derecho antimonopolio fue durante a\u00f1os discutido.<\/p>\n Con dos sentencias del 27 de marzo de 2025, el Bundesgerichtshof clarific\u00f3 esta cuesti\u00f3n: ciertos incumplimientos contra la DSGVO pueden ser perseguidos por concurrentes como pr\u00e1cticas comerciales desleales seg\u00fan el derecho contra la competencia desleal, siempre que se cumplan sus condiciones. En la pr\u00e1ctica, esto significa que un concorrente puede abordar una mala pr\u00e1ctica de protecci\u00f3n de datos sin estar personalmente afectado.<\/p>\n Para las empresas, con ello no se cambia tanto la situaci\u00f3n jur\u00eddica material como la probabilidad de ser realmente demandado. La autoridad de control prioriza seg\u00fan recursos. Un concorrente o un sindicato suele tener un inter\u00e9s directo en capturar un error formal. Por eso es por lo que los valores t\u00e9cnicos predeterminados peque\u00f1os y visibles, como el banner de cookies, entran en el foco.<\/p>\n Paralelamente, la l\u00ednea sobre las indemnizaciones se ha precisado. El BGH dej\u00f3 claro a finales de 2024 que la mera p\u00e9rdida de control sobre los datos personales puede constituir un da\u00f1o inmaterial en el sentido del art\u00edculo 82 del DSGVO. Esto reduce el umbral frente a la suposici\u00f3n anterior de que una reclamaci\u00f3n requer\u00eda una desventaja tangible y cuantificable.<\/p>\n Al mismo tiempo, el umbral sigue siendo real. Seg\u00fan la jurisprudencia del EuGH y del BGH, la infracci\u00f3n por s\u00ed sola no basta. Se necesita un da\u00f1o concreto y una relaci\u00f3n causal entre la infracci\u00f3n y el da\u00f1o. Un riesgo puramente hipot\u00e9tico de que los datos puedan caer en manos equivocadas no justifica, seg\u00fan la evaluaci\u00f3n de los tribunales, ninguna reclamaci\u00f3n. Esta diferenciaci\u00f3n es importante para la pr\u00e1ctica, ya que pone freno a las demandas colectivas exageradas.<\/p>\n Para los departamentos de seguridad y legal, de ello se desprende una prioridad clara. Resulta costoso sobre todo all\u00ed donde existe una fuga de datos documentada y los afectados pueden demostrar concretamente la p\u00e9rdida de control. Quien conoce y asegura los flujos de datos reduce precisamente este escenario.<\/p>\n La mayor\u00eda de las reclamaciones giran en torno a configuraciones t\u00e9cnicas por defecto recurrentes, y rara vez a casos especiales ex\u00f3ticos. Los Cookie-Banner que inician el Tracking antes del consentimiento encabezan la lista. A esto se suman los servicios de terceros integrados, como fuentes, mapas o scripts de an\u00e1lisis, que transmiten datos a servidores externos, as\u00ed como la informaci\u00f3n incompleta en la pol\u00edtica de privacidad.<\/p>\n Un segundo impulsor de costes es la reacci\u00f3n en s\u00ed. Muchos costes posteriores no surgen por el error original, sino por una firma prematura en una declaraci\u00f3n de cese y desistimiento demasiado amplia o por una respuesta no verificada a una carta de requerimiento. Una declaraci\u00f3n de cese y desistimiento tiene efectos a largo plazo y conlleva una penalizaci\u00f3n contractual, por lo que debe ser revisada jur\u00eddicamente antes de su firma.<\/p>\n Lo que protege<\/p>\n Lo que crea riesgo<\/p>\n Ning\u00fan elemento de un sitio web es tan f\u00e1cil de comprobar desde el exterior como el Cookie-Banner. Se puede acceder a \u00e9l sin conocimientos internos, y sus defectos a menudo son reconocibles ya en las herramientas del navegador. La jurisprudencia exige un consentimiento activo e informado antes de que se instalen cookies no estrictamente necesarias. El rechazo debe ser tan f\u00e1cil de alcanzar como la aceptaci\u00f3n.<\/p>\n En la pr\u00e1ctica, esto significa un bot\u00f3n de rechazo equivalente en el primer nivel, ninguna opci\u00f3n preseleccionada y una separaci\u00f3n clara entre los servicios t\u00e9cnicamente necesarios y los que requieren consentimiento. Los llamados Pur-Modelle, en los que los usuarios eligen entre el consentimiento y un acceso de pago sin Tracking, tambi\u00e9n son examinados por los tribunales y las autoridades, entre otras cosas, con vistas a una selecci\u00f3n granular de los fines del tratamiento. Quien apuesta aqu\u00ed por configuraciones por defecto limpias, elimina la base del motivo de reclamaci\u00f3n m\u00e1s frecuente.<\/p>\n A partir de la situaci\u00f3n jur\u00eddica actual se puede derivar una rutina pr\u00e1ctica, aplicable sin conocimientos jur\u00eddicos especializados y que, en caso de litigio, refuerza la posici\u00f3n probatoria.<\/p>\n En primer lugar<\/strong>, el inventario: registrar todos los scripts, rastreadores y servicios de terceros activos en el sitio web y asignar a cada uno una base jur\u00eddica. En segundo lugar<\/strong>, comprobar el banner para verificar que rechazar es tan f\u00e1cil como aceptar y que realmente nada se carga antes del consentimiento. En tercer lugar<\/strong>, protocolizar los consentimientos de forma que superen cualquier auditor\u00eda, para que en caso de disputa se pueda demostrar qui\u00e9n, cu\u00e1ndo y a qu\u00e9 dio su consentimiento.<\/p>\n En cuarto lugar<\/strong>, cotejar la pol\u00edtica de privacidad con el estado t\u00e9cnico real, en lugar de mantenerla como un texto est\u00e1ndar. En quinto lugar<\/strong>, establecer un plan de reacci\u00f3n para el caso de recibir un requerimiento extrajudicial: personas de contacto fijas, un control estricto de los plazos y la regla de no firmar ninguna declaraci\u00f3n sin una revisi\u00f3n jur\u00eddica previa. Este \u00faltimo punto previene los errores m\u00e1s costosos, porque frena las reacciones irreflexivas.<\/p>\n S\u00ed, en determinadas circunstancias. El Tribunal Federal de Justicia ha confirmado, en sus sentencias del 27 de marzo de 2025 (n.\u00ba I ZR 222\/19 y I ZR 223\/19), que las infracciones del RGPD pueden ser perseguidas por los competidores a trav\u00e9s del derecho de competencia como actos de competencia desleal, siempre que se cumplan los requisitos de la Ley contra la Competencia Desleal. De este modo, existe una v\u00eda de ejecuci\u00f3n adicional junto a la autoridad de control.<\/p>\n No. Seg\u00fan la jurisprudencia del TJUE y el Tribunal Federal de Justicia, una reclamaci\u00f3n basada en el art\u00edculo 82 del RGPD requiere una infracci\u00f3n, un da\u00f1o concreto y una relaci\u00f3n causal entre ambos. Un tribunal puede considerar la mera p\u00e9rdida de control sobre los datos como un da\u00f1o moral, pero un riesgo puramente hipot\u00e9tico no es suficiente.<\/p>\n El banner de cookies. Es f\u00e1cil de comprobar desde fuera, y deficiencias como las casillas marcadas por defecto o el rastreo previo al consentimiento son r\u00e1pidamente visibles. Estrechamente relacionados con esto est\u00e1n los servicios de terceros integrados que transfieren datos a servidores externos sin una base jur\u00eddica clara.<\/p>\n Con prudencia y tras un an\u00e1lisis exhaustivo. Anotar los plazos, documentar los hechos y no firmar ninguna declaraci\u00f3n de cese y desistimiento sin revisarla previamente. Dicha declaraci\u00f3n tiene efectos a largo plazo y conlleva una penalizaci\u00f3n contractual, por lo que debe ser evaluada jur\u00eddicamente antes de su firma.<\/p>\n Unos valores predeterminados t\u00e9cnicos impecables y una documentaci\u00f3n s\u00f3lida. Quien conoce todos los flujos de datos, asigna una base jur\u00eddica a cada tratamiento, protocoliza los consentimientos y revisa peri\u00f3dicamente el banner, reduce tanto el riesgo de requerimientos como la probabilidad de sufrir un da\u00f1o demostrable.<\/p>\n\n
\u00bfQu\u00e9 ha cambiado gracias a la decisi\u00f3n del BGH?<\/h2>\n
Cu\u00e1ndo una infracci\u00f3n deriva en una indemnizaci\u00f3n por da\u00f1os y perjuicios<\/h2>\n
Las trampas de costes m\u00e1s frecuentes en el d\u00eda a d\u00eda<\/h2>\n
\n
\n
El Cookie-Banner como punto de ataque m\u00e1s visible<\/h2>\n
Lista de comprobaci\u00f3n: en cinco pasos hacia una configuraci\u00f3n s\u00f3lida<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfPueden realmente los competidores interponer requerimientos por infracciones de protecci\u00f3n de datos?<\/h3>\n
\u00bfConlleva toda infracci\u00f3n autom\u00e1ticamente una indemnizaci\u00f3n por da\u00f1os y perjuicios?<\/h3>\n
\u00bfQu\u00e9 elemento del sitio web es objeto de reclamaci\u00f3n con m\u00e1s frecuencia?<\/h3>\n
\u00bfC\u00f3mo debe reaccionar una empresa ante un requerimiento extrajudicial?<\/h3>\n
\u00bfCu\u00e1l es la medida preventiva m\u00e1s eficaz?<\/h3>\n
Consejos de lectura de la redacci\u00f3n<\/h3>\n