Checkliste: Was im DSGVO-Ernstfall zu tun ist

von Christina Rose

Seit Mai 2018 muss die Datenschutz-Grundverordnung (DSGVO) verpflichtend zur Anwendung kommen. Trotzdem herrscht bis heute noch breite Verunsicherung im praktischen Umgang mit den Datenschutzregeln. Deshalb kommt es nicht selten zu Verstößen, die Abmahnungen zur Folge haben können. Im besten Fall kann so eine Abmahnung nur unangenehm sein, im schlimmsten Fall sehr teuer werden. Tatsache ist: Es wird rege abgemahnt in Deutschland. Wie sich DSGVO-Abmahnungen vermeiden lassen und was im Abmahnungsfall zu tun ist.

Bild: geralt / Pixabay

Eine Abmahnung ist eine Aufforderung, eine tatsächliche oder vermutete Rechtsverletzung zu unterlassen. Sie hat das Ziel, ein Gerichtsverfahren zu vermeiden und zugleich den Rechtsstreit zwischen Abmahnendem und Abgemahntem verbindlich zu klären. Um abmahnen zu können, muss eine Abmahnberechtigung bestehen. Im Wettbewerbsrecht - welches bei einem Verstoß gegen die DSGVO zum Tragen kommen kann - besteht die Abmahnberechtigung auf Seiten eines Konkurrenten oder einer Verbraucherschutzorganisation.

Abmahnung: Diese Kosten sind möglich

Letztlich wird unter Umständen der zeitliche und auch der finanzielle Aufwand durch eine Abmahnung reduziert, weil eben keine Gerichtskosten anfallen. Das bedeutet aber nicht, dass es bei einer Abmahnung nicht auch teuer werden kann - im Gegenteil. Denn derjenige, der abmahnen will, wird normalerweise zumindest die Kosten zurückverlangen, die ihm durch die Abmahnung entstanden sind, zum Beispiel die Anwaltskosten. Trifft der mit der Abmahnung verbundene Vorwurf zu, müssen die Kosten ersetzt werden. In aller Regel führt auch kein Weg daran vorbei, eine sogenannte strafbewehrte Unterlassungserklärung abzugeben. Aus dieser geht hervor, dass der vorgeworfene Verstoß zukünftig unterlassen wird und bei Zuwiderhandeln eine Strafzahlung anfällt.

Abmahnfähige Verstöße

Die Frage, ob Verstöße gegen das Datenschutzrecht grundsätzlich zugleich auch Wettbewerbsrechtsverstöße sind und damit abgemahnt werden können, ist derzeit noch nicht abschließend geklärt. Das Argument dabei lautet: Wer sich nicht an den Datenschutz hält, hat einen Wettbewerbsvorteil gegenüber jenen Unternehmen, die sich an die strengen gesetzlichen Vorgaben halten. In diesem Punkt werden künftige Gerichtsurteile für Klarheit sorgen müssen. Um auf der sicheren Seite zu sein, empfiehlt es sich in jedem Fall, erst gar keinen Anlass zu einer möglichen Abmahnung in Hinblick auf DSGVO-Verstöße zu bieten.

Hierbei gilt es, sich zunächst einmal anzuschauen, was genau überhaupt abmahnfähig ist. In erster Linie heißt es, an Maßnahmen zu denken, die Außenwirkung haben - sprich, die sich leicht überprüfen lassen:
Ganz oben auf dieser Liste steht die Datenschutzerklärung der Website. Sie ist von Jedermann rund um die Uhr einsehbar; gleichzeitig ist hier die Beweissicherung bei einem DSGVO-Verstoß einfach. Auch die allgemeinen Datenschutzhinweise, sozusagen das Offline-Pendant der Datenschutzerklärung, sind recht einfach zu prüfen. Aktuell werden zudem vermehrt abgemahnt:

- Fehlendes SSL-Protokoll: SSL steht für Secure Sockets Layer und für eine verschlüsselte Übertragung sensibler Daten beim Surfen im Internet. Das soll verhindern, dass Dritt-Nutzer die Daten bei der Übertragung auslesen oder manipulieren können. Zudem stellt dieses Verschlüsselungsverfahren die Identität einer Website sicher.
- Abmahnung wegen fehlerhafter Einbindung von Google Fonts
- Abmahnung wegen fehlerhafter Einbindung von Google Analytics
- Abmahnungen wegen Einbindung von Facebook like- und share-Buttons
- Abmahnungen wegen fehlender Verschlüsselung von Kontaktformularen
Eine Abmahnung kann aber auch dann erfolgen, wenn einem Antrag auf Auskunft über die im Unternehmen bearbeiteten personenbezogenen Daten nicht richtig, nicht rechtzeitig oder überhaupt nicht Folge geleistet wird.

Wie hoch ist das Risiko für Kleinunternehmer?

Bei Verstößen gegen die Rechte der Betroffenen (Auskunft, Widerspruch, Widerruf etc.) oder gegen Pflichten als Unternehmer (Information, Dokumentation, Auskunftserteilung, etc.), welche die DSGVO regeln, besteht Abmahnpotential. Es besteht aber kein Grund zur Panik, da die Wahrscheinlichkeit einer Abmahnung derzeit gerade für Kleinunternehmer relativ gering ist. Allerdings sollten auch Kleinunternehmer die DSGVO auch nicht auf die leichte Schulter nehmen, denn Abmahnungen durch spezialisierte, sogenannte Abmahnverbände machen heute schon etwa 50 Prozent aller Abmahnungen in Deutschland aus.

Richtig auf Abmahnungen reagieren

Falls tatsächlich einmal eine Abmahnung wegen eines möglichen Verstoßes gegen datenschutzrechtliche Bestimmungen eingehen sollte, empfiehlt sich folgendes Vorgehen:

Ruhe bewahren: Beim Erhalt einer Abmahnung ist hektische Betriebsamkeit keine gute Reaktion, auch wenn die im Abmahnschreiben gesetzte Frist unter Umständen knapp erscheint. Sprechen berechtigte Gründe dafür, dass die Frist zu kurz bemessen ist, gibt es Anspruch auf eine Verlängerung.
Rechtsberatung einholen: Ein Anwalt kann klären, ob eine Fristverlängerung möglich beziehungsweise die Abmahnung überhaupt zulässig ist und ob sie voraussichtlich Aussicht auf Erfolg hat.
Dokumentieren: Im Regelfall werden Abmahnungen nicht per Einschreiben, sondern regulär per Post verschickt. Zu Dokumentationszwecken sollte daher der Posteingang notiert werden, um bei Bedarf später beweisen zu können, dass rechtzeitig auf die Abmahnung reagiert wurde.
Prüfen: In einem nächsten Schritt gilt es, die zentralen Punkte der Abmahnung zu überprüfen, also z.B. die Abmahnberechtigung des Abmahnenden, den enthaltenen Vorwurf, die Höhe des Streitwerts, etwaige Anzeichen für Rechtsmissbrauch, usw. Gegebenenfalls ist es auch nützlich, Beweise zu sichern, die die eigene Unschuld darlegen (z.B. Screenshots erstellen). Das geschieht am besten mit Unterstützung eines entsprechenden Experten.
Handeln: Wenn der Vorwurf zutrifft, gilt es, das rechtswidrige Handeln zeitnah einzustellen, z.B. durch eine Korrektur der Datenschutzerklärung. Darüber hinaus wird es sich schwer vermeiden lassen, zusätzlich eine Unterlassungserklärung abzugeben.
Aktuell bleiben, um Verstöße zu vermeiden: Um zu verhindern, dass die in der Unterlassungserklärung bestimmte Strafe zur Zahlung kommt, darf zukünftig nicht noch einmal auf die in der Abmahnung beschriebene Weise gegen die DSGVO verstoßen werden. Hierzu empfiehlt sich eine regelmäßige Prüfung der datenschutzrechtlich relevanten Dokumente darauf, ob sie fortwährend den jeweils aktuellen Regelungen der DSGVO entsprechen.

Auf der DSGVO-Themenseite   des Unternehmens Lexware finden sich rund um die DSGVO Fragen und Antworten von Fachexperten sowie Mustervorlagen und ein Maßnahmenplan für die Umsetzung im eigenen Unternehmen.