Datenschutz zwischen Auslegung und Alltag: Warum es für den Mittelstand keinen sicheren Weg gibt

Viele Unternehmer kennen das Gefühl: Sie wollen beim Datenschutz alles richtig machen. Sie lesen die Empfehlungen der Aufsichtsbehörden, holen Rat ein und investieren in Einwilligungen und Texte. Und trotzdem bleibt am Ende eine Unsicherheit. Ist das jetzt rechtssicher? Die ehrliche Antwort lautet oft: nicht ganz.

Das liegt nicht an mangelndem Willen. Es liegt daran, dass Datenschutz in der Praxis zunehmend eine Frage der Auslegung geworden ist. Und daraus entsteht ein Zwiespalt: Wer zu großzügig auslegt, riskiert Abmahnung und Bußgeld. Wer zu streng auslegt, verliert Werkzeuge, Daten und am Ende Umsatz. Einen Weg ohne Risiko gibt es nicht.

Großunternehmen haben dafür Rechtsabteilungen und Datenschutzteams. Im Mittelstand entscheidet oft die Geschäftsführung oder die E-Commerce-Leitung – neben dem Tagesgeschäft und mit begrenztem Budget für Beratung.

Vier Stimmen, vier Maßstäbe

Wer eine Datenschutzfrage klären will, stößt schnell auf vier Ebenen. Sie werden oft vermischt, haben aber ein ganz unterschiedliches Gewicht.

Das Gesetz arbeitet mit Begriffen wie „angemessen“ und „erforderlich“. Die DSGVO verlangt zum Beispiel angemessene Sicherheitsmaßnahmen, aber keine absolute Perfektion. Das ist bewusst offen formuliert. Es lässt Spielraum, schafft aber auch Unsicherheit.

Die Aufsichtsbehörden füllen diesen Spielraum mit Orientierungshilfen. Sie sind hilfreich, aber keine Gesetze. Sie zeigen, wie eine Behörde die Regeln versteht. Und sie wählen naturgemäß eher die strenge Lesart.

Gerichte entscheiden Einzelfälle. Ihre Urteile setzen Maßstäbe, manchmal überraschend. So entschied der Bundesgerichtshof im November 2024, dass schon der bloße und kurzzeitige Verlust der Kontrolle über eigene Daten ein Schaden sein kann. Die Größenordnung lag dort bei rund 100 Euro.

Die Beratung soll aus all dem eine Empfehlung machen. Genau hier entsteht für viele Unternehmen der eigentliche Konflikt.

Drei Beispiele aus dem Händleralltag

Wie groß der Spielraum ist, zeigen drei Themen, mit denen fast jeder Online-Händler zu tun hat.

Newsletter-Anmeldung: Double-Opt-in steht in keinem Gesetz

Für E-Mail-Werbung braucht es grundsätzlich eine Einwilligung. Den Begriff „Double-Opt-in“ sucht man im Gesetz aber vergeblich. Er hat sich in der Praxis durchgesetzt, weil das werbende Unternehmen die Einwilligung beweisen muss. Die Bestätigungsmail ist der Nachweis.

Selbst diese Bestätigungsmail haben Gerichte unterschiedlich bewertet. Das OLG München sah darin schon einmal unzulässige Werbung, das OLG Celle nicht. Auch die Ausnahme für Bestandskunden ist eng: Alle Voraussetzungen von § 7 Abs. 3 UWG müssen erfüllt sein. Ein bloßes Kundenkonto reicht nicht.

Newsletter-Tracking: korrekt umgesetzt, aber kaum noch aussagekräftig

Fast jedes Versandsystem misst Öffnungen und Klicks. Dafür lädt ein kleines, unsichtbares Bild beim Öffnen der E-Mail, ein sogenanntes Zählpixel. Nach überwiegender Auffassung braucht genau das eine eigene Einwilligung. Maßgeblich ist § 25 TDDDG. Er regelt den Zugriff auf Endgeräte, und eine Abwägung mit dem wirtschaftlichen Interesse des Versenders sieht er nicht vor. Auch der Bayerische Landesbeauftragte für den Datenschutz verlangt für Zählpixel eine separate Einwilligung.

Rechtlich ist das nachvollziehbar. In der Praxis hat es eine harte Folge: Gemessen werden nur noch die Empfänger, die dem Tracking ausdrücklich zugestimmt haben. Die Zahlen werden lückenhaft und verlieren an Aussagekraft. Wer seinen Newsletter danach steuern will, steuert im Nebel. So wird aus einer sinnvollen Schutzregel für viele Unternehmen das faktische Ende eines Werkzeugs.

Gewährleistungslabel: neue Pflicht, offene Detailfragen

Seit dem 27. September 2026 müssen Händler Verbraucher mit einem EU-weit einheitlichen Label auf die gesetzliche Gewährleistung hinweisen. Gestaltung und Inhalt legt die Durchführungsverordnung (EU) 2025/1960 fest. Eine formlose oder versteckte Nennung, etwa nur in den AGB, genügt nicht mehr.

Das Label selbst ist vorgegeben. Die Umsetzung im Shop ist es nicht. Der Hinweis muss vor dem Kauf gut sichtbar sein. Wo genau, wird unterschiedlich empfohlen: mal als allgemeiner Hinweis auf der Website, mal auf jeder Produktseite und im Bestellabschluss. Wer heute umsetzt, entscheidet also zwangsläufig unter Unsicherheit.

Der Zwiespalt: Man kann auf zwei Arten falsch liegen

Die drei Beispiele haben eines gemeinsam. Es gibt nicht die eine richtige Lösung, sondern ein Spektrum vertretbarer Lösungen. Jede Entscheidung darin hat einen Preis.

Besonders unangenehm ist ein zweiter Punkt: Guter Glaube schützt nicht vor einer Abmahnung. Der wettbewerbsrechtliche Unterlassungsanspruch hängt nicht von Verschulden ab. Wer sorgfältig abgewogen und sich trotzdem für die falsche Lesart entschieden hat, muss die Praxis ebenso ändern wie jemand, der leichtfertig gehandelt hat.

Ganz wertlos ist Sorgfalt aber nicht. Bei Bußgeldern berücksichtigt die DSGVO ausdrücklich, ob ein Verstoß vorsätzlich oder fahrlässig war (Art. 83 Abs. 2 DSGVO). Und die DSGVO verlangt ohnehin, dass Unternehmen die Einhaltung der Regeln nachweisen können (Art. 5 Abs. 2 DSGVO). Eine dokumentierte Abwägung ist also keine Kür, sondern Teil der Pflicht.

Das Abmahnrisiko ist real – aber nicht grenzenlos

Lange galt Datenschutz vor allem als Sache der Behörden. Das hat sich geändert. Der Europäische Gerichtshof hat 2024 klargestellt, dass auch Mitbewerber Datenschutzverstöße über das Wettbewerbsrecht verfolgen dürfen. Der Bundesgerichtshof hat das 2025 für Deutschland bestätigt. Ein Verstoß kann also nicht nur ein Bußgeld, sondern auch eine Abmahnung durch die Konkurrenz nach sich ziehen.

Das Gesetz zieht aber Grenzen. Mahnt ein Mitbewerber einen Datenschutzverstoß ab, kann er bei Unternehmen mit in der Regel weniger als 250 Mitarbeitern keine Abmahnkosten verlangen. Dasselbe gilt für Verstöße gegen Informations- und Kennzeichnungspflichten im Online-Handel. Der Anspruch auf Unterlassung bleibt bestehen, das Geschäftsmodell „Abmahnung gegen Gebühr“ wird aber unattraktiv. Missbräuchliche Abmahnungen sind ohnehin unzulässig.

Entwarnung ist das trotzdem nicht. Die Kostenregel gilt nur für Mitbewerber. Verbände und Verbraucherzentralen können weiter eine Kostenpauschale verlangen. Und auch ohne fremde Abmahnkosten bleiben eigene Anwaltskosten, eine Unterlassungserklärung mit Vertragsstrafe und der Aufwand für die Umstellung. Und die Diskussion ist nicht abgeschlossen: Der Bundesrat hat 2025 vorgeschlagen, Mitbewerbern die Verfolgung von Datenschutzverstößen ganz zu nehmen. Die Bundesregierung hat das abgelehnt.

Wie schnell trotzdem ein Massenphänomen entstehen kann, zeigte der Fall Google Fonts. Nach einem Münchner Urteil von 2022 forderten Privatpersonen und ein Anwalt von zahlreichen Website-Betreibern Schadensersatz. Später stellte dasselbe Landgericht fest, dass solche mit Suchprogrammen vorbereiteten Forderungen rechtsmissbräuchlich waren.

Das zeigt den Zwiespalt im Kleinen: Das Risiko ist echt, aber nicht jede Forderung ist berechtigt. Wer in Panik zahlt, verliert Geld. Wer alles ignoriert, auch.

Warum Beratung oft zur strengsten Lösung neigt

Viele Unternehmer erleben, dass Anwälte und Datenschutzbeauftragte sich bedeckt halten. Statt eines klaren Wegs gibt es Hinweise auf Risiken. Das hat nachvollziehbare Gründe.

Ein Berater haftet, wenn seine Empfehlung zu einem Verstoß führt. Für ein Werkzeug, das wegen übergroßer Vorsicht nicht genutzt wird, haftet niemand. Die sicherste Empfehlung für den Berater ist deshalb oft die strengste. Für das Unternehmen ist sie nicht immer die beste.

Dazu kommt ein zweiter Punkt: Datenschutzbeauftragte sind Fachleute für Recht und Prozesse, aber selten für E-Commerce. Wie ein Versandsystem misst, wie ein Shop Daten an das ERP übergibt oder was eine Kampagne ohne Erfolgsmessung bedeutet, ist oft nicht ihr Alltag. Wer die Technik und das Geschäft nicht im Detail kennt, kann Risiken schwer gewichten. Er wählt dann verständlicherweise die sichere Seite.

Was es braucht: Ermöglicher statt Verhinderer

Daraus folgt kein Vorwurf. Aber es folgt eine Aufgabe. Unternehmen brauchen beim Datenschutz Ermöglicher: Menschen, die Recht, Technik und Geschäft zusammendenken und fragen, wie etwas zulässig geht – nicht nur, ob es riskant ist.

Das gelingt am besten im Team. Der Datenschutzbeauftragte bringt die rechtliche Einordnung ein. Die E-Commerce-Seite erklärt, wie Systeme und Daten tatsächlich arbeiten und was für das Geschäft auf dem Spiel steht. Gemeinsam entsteht ein Weg, den beide Seiten tragen können. Unternehmen sollten von ihrer Beratung deshalb nicht nur eine Risikoliste erwarten, sondern Optionen mit einer ehrlichen Einschätzung.

Der bessere Weg: bewusst entscheiden statt erstarren

Zwischen Lähmung und Blindflug liegt ein dritter Weg. Er schützt nicht vor jeder Abmahnung. Aber er zeigt, dass Sie verantwortungsvoll gehandelt haben.

1. Optionen kennen. Klären Sie, welche Lösungen es gibt – von der strengsten bis zur pragmatischsten. Beim Newsletter etwa: Tracking nur mit Einwilligung, gut erklärt bei der Anmeldung. Oder Erfolg über Ergebnisse messen statt über Öffnungen, etwa über Bestellungen mit einem Gutscheincode aus dem Newsletter.
2. Risiko bewerten. Wie wahrscheinlich ist eine Beanstandung? Wie hoch wäre der Schaden? Gibt es dazu Urteile oder nur Meinungen?
3. Begründet entscheiden. Wählen Sie den Weg, der zu Ihrem Geschäft passt und rechtlich vertretbar ist. Halten Sie fest, warum Sie so entschieden haben.
4. Gezielt nachfragen. Bitten Sie Ihre Beratung um eine Einschätzung zu genau diesem Weg – nicht um eine allgemeine Risikoliste.
5. Regelmäßig prüfen. Neue Urteile und Behördenmeinungen können die Lage ändern. Ein kurzer Blick einmal im Jahr genügt oft.

Eine dokumentierte Entscheidung hat einen doppelten Wert. Sie zwingt zur sauberen Abwägung. Und sie zeigt im Ernstfall, dass Sie nicht leichtfertig, sondern im Rahmen des rechtlich Möglichen gehandelt haben.

Häufige Fragen

Sind die Empfehlungen der Aufsichtsbehörden verbindlich?

Nein. Orientierungshilfen zeigen, wie eine Behörde das Recht auslegt. Verbindlich sind Gesetze und im Einzelfall Gerichtsurteile. Wer von einer Empfehlung abweicht, sollte das aber gut begründen können.

Kann ich mich vollständig gegen Abmahnungen absichern?

Nein. Vollständige Sicherheit gibt es nicht, auch nicht bei sorgfältigem Vorgehen. Sie können das Risiko aber deutlich senken: mit klaren Einwilligungen, aktuellen Datenschutzhinweisen und dokumentierten Entscheidungen. Kleinere Unternehmen schützt zudem § 13 Abs. 4 UWG vor Abmahnkosten von Mitbewerbern bei Datenschutzverstößen – nicht aber vor Verbänden.

Ist Double-Opt-in gesetzlich vorgeschrieben?

Nein. Das Gesetz verlangt eine Einwilligung, die das Unternehmen beweisen muss. Double-Opt-in ist in der Praxis der übliche Weg, diesen Nachweis zu führen.

Wo muss das Gewährleistungslabel im Shop stehen?

Gut sichtbar vor dem Kauf. Die genaue Platzierung lässt die Verordnung offen. Häufig empfohlen werden Produktseite und Bestellabschluss. Stimmen Sie die Umsetzung mit Ihrem Shop-Anbieter und Ihrer Beratung ab.

Brauche ich für Newsletter-Tracking wirklich eine Einwilligung?

Nach überwiegender Auffassung ja, weil Zählpixel und Klickmessung unter § 25 TDDDG fallen. Klären Sie die konkrete Umsetzung mit Ihrer Beratung.

Ersetzt dieser Beitrag eine Rechtsberatung?

Nein. Er zeigt die Lage aus Sicht der E-Commerce-Praxis. Für Ihre konkrete Situation sollten Sie fachkundigen Rat einholen – am besten mit einer klaren Frage nach Ihren Optionen.

Quellen

• Gesetze im Internet: § 13 UWG (Abmahnung, Ausschluss des Aufwendungsersatzes in Abs. 4)
• Wettbewerbszentrale: Neues UWG Teil 2 (Ausschluss des Aufwendungsersatzes nur für Mitbewerber)
• Deutscher Bundestag, Drucksache 21/1395: Bundesrat zur Mitbewerberklage bei Datenschutzverstößen
• Publicare: 14 Mythen rund um das Werbe-Opt-in (Double-Opt-in nicht gesetzlich vorgeschrieben, Beweislast)
• Ferner Alsdorf: OLG Celle und OLG München zur Bestätigungsmail im Double-Opt-in
• IT-Recht Kanzlei: E-Mail-Marketing – Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG
• SRD Rechtsanwälte: E-Mail-Marketing ohne Einwilligung – Kundenkonto allein genügt nicht
• IHK Ostwestfalen: Neue EU-Informationspflichten ab 2026 für Handel und Hersteller
• Ebner Stolz: Verschärfte Informationspflichten bei Gewährleistung und Reparierbarkeit
• WKO: Informationspflichten zu Garantien und Gewährleistung
• IT-Recht Kanzlei: Newsletter-Tracking ohne Einwilligung führt zu Abmahnungen
• Bayerischer Landesbeauftragter für den Datenschutz: Aktuelle Kurz-Information 1 (Newsletter, Zählpixel)
• DSK: Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien (OH Telemedien 2021)
• IHK Regensburg: Mitbewerber können gegen Datenschutzverstöße klagen (EuGH C-21/23, BGH)
• IHK Berlin: Abmahnwelle wegen Google Fonts (LG München I, 20.01.2022)
• Der Betrieb: Google-Fonts-Abmahnwelle war rechtsmissbräuchlich (LG München I, 30.03.2023)
• beck-aktuell: BGH VI ZR 10/24 – Niedrige Hürden für Schadensersatz (18.11.2024)
• Taylor Wessing: BGH zum Kontrollverlust über Facebook-Daten