Ja: Seit dem BGH-Urteil "App-Zentrum III" vom 27. März 2025 dürfen Konkurrenten dich wegen Fehlern in der Datenschutzerklärung oder im Cookie-Banner wettbewerbsrechtlich abmahnen, nicht mehr nur Verbraucherschutzverbände. Gleichzeitig legt der Europäische Datenschutzausschuss (EDPB) seit September 2026 fest, wann eine Aufsichtsbehörde bei solchen Verstößen ein Bußgeld verhängt und wann eine Verwarnung reicht. Für Handwerksbetriebe mit eigener Webseite heißt das: Zwei unterschiedliche Risiken verschärfen sich gerade gleichzeitig. In diesem Artikel ordne ich beide Entwicklungen ein und zeige dir, was du in den nächsten Tagen wirklich prüfen solltest.
Letzte Aktualisierung: November 2026
Was ist eine DSGVO-Abmahnung durch einen Konkurrenten?
Was ist eine wettbewerbsrechtliche Abmahnung?
Eine wettbewerbsrechtliche Abmahnung ist die außergerichtliche Aufforderung eines Mitbewerbers, einen rechtswidrigen Zustand auf deiner Webseite zu beenden und eine strafbewehrte Unterlassungserklärung zu unterschreiben. Rechtsgrundlage ist das Gesetz gegen den unlauteren Wettbewerb (UWG), nicht die DSGVO selbst. Die DSGVO legt nur fest, welche Angaben in deiner Datenschutzerklärung fehlen dürfen und welche nicht.
Lange war unter Juristen umstritten, ob ein Verstoß gegen reine DSGVO-Informationspflichten wie eine unvollständige Datenschutzerklärung überhaupt als unlauterer Wettbewerb gilt. Diese Unsicherheit ist jetzt beseitigt. Wer wissen will, welche typischen Fehler in einer Datenschutzerklärung dabei am häufigsten zum Angriffspunkt werden, findet eine ausführliche Checkliste im Artikel KI-generierte Datenschutzerklärung und das Abmahnrisiko. Hier geht es um die Frage davor: wer überhaupt abmahnen darf und wie hart es werden kann.
Das BGH-Urteil App-Zentrum III: Darf der Konkurrent wegen der Datenschutzerklärung abmahnen?
Der Bundesgerichtshof hat die Frage mit dem Urteil "App-Zentrum III" entschieden. Ursprünglich ging es um eine Klage des Verbraucherzentrale Bundesverbands gegen Facebook wegen unzureichender Informationen im sogenannten App-Zentrum. Der Fall ging über mehrere Instanzen und zwei Vorlagen an den Europäischen Gerichtshof, der zunächst die Klagebefugnis von Verbraucherverbänden bestätigte.
Verstöße gegen DSGVO-Informationspflichten können unlauterer Wettbewerb nach dem UWG sein.
Quelle: Bundesgerichtshof, Urteil "App-Zentrum III", Az. I ZR 186/17, entschieden am 27.03.2025
Die entscheidende Aussage für dich als Betreiber einer Handwerker-Webseite: Der BGH stellt fest, dass Verstöße gegen DSGVO-Informationspflichten unlauterer Wettbewerb sein können. Der Europäische Gerichtshof hatte diesen Weg bereits mit dem Urteil vom 4. Oktober 2024 in der Rechtssache C-21/23 ("Lindenapotheke") vorbereitet. Seitdem können neben Verbraucherschutzverbänden auch gewöhnliche Mitbewerber Verstöße gegen Informationspflichten wie eine fehlerhafte Datenschutzerklärung oder ein rechtswidriges Cookie-Banner abmahnen.
Betroffen sind nach dieser Rechtsprechung vor allem fehlende oder unvollständige Datenschutzerklärungen, unklare Angaben nach Art. 13 DSGVO zu Zweck und Rechtsgrundlage der Datenverarbeitung, sowie Cookie-Banner und Consent-Management ohne gleichwertigen Ablehnen-Button. Eine Abmahnung wegen solcher Informationspflichten kostet üblicherweise einen vierstelligen Betrag, wobei bei Mitbewerber-Abmahnungen der Kostenersatz nach § 13 Abs. 4 UWG in bestimmten Fällen eingeschränkt ist. Die Höhe im Einzelfall ist dabei zweitrangig. Wichtiger ist, dass der Kreis der potenziellen Abmahner jetzt deutlich größer ist als noch vor zwei Jahren.
Praktisch bedeutet das Lindenapotheke-Urteil des EuGH aus 2024 und seine Bestätigung durch den BGH, dass ein Mitbewerber keinen eigenen wirtschaftlichen Schaden mehr nachweisen muss, um gegen eine fehlerhafte Datenschutzerklärung vorzugehen. Es reicht, dass beide Unternehmen im selben Markt tätig sind und der Verstoß öffentlich sichtbar ist. Diese Hürde war vorher deutlich höher, weil Gerichte teils verlangten, dass der Datenschutzverstoß sich konkret auf die Marktchancen des Mitbewerbers auswirkt. Diese Einschränkung ist mit der neuen Linie entfallen.
Für dich als Handwerksbetrieb heißt das vor allem eines: Neben dem spezialisierten Abmahnverein kommt jetzt realistisch auch der Betrieb aus derselben Stadt oder Region in Frage, der zufällig auf deine Webseite stößt, etwa weil er selbst gerade seine eigene Seite überarbeitet und dabei die Konkurrenz vergleicht. Je sichtbarer deine Webseite in deiner Region ist, desto wahrscheinlicher wird sie auch von jemandem geprüft, der gezielt danach sucht.
EDPB-Leitlinien 04/2026: Wann gibt es ein Bußgeld, wann nur eine Verwarnung?
Parallel zur neuen Abmahnmöglichkeit durch Konkurrenten hat der Europäische Datenschutzausschuss (EDPB) am 17. September 2026 die Leitlinien 04/2026 angenommen. Sie legen erstmals einheitlich fest, nach welchen Kriterien eine Datenschutzaufsichtsbehörde entscheidet, ob sie bei einem DSGVO-Verstoß ein Bußgeld verhängt oder stattdessen eine andere Maßnahme wählt, etwa eine Verwarnung oder eine Anordnung. Die Leitlinien liegen noch bis zum 13. November 2026 zur öffentlichen Konsultation vor, die Grundlinie gilt aber bereits jetzt als Orientierung für die Praxis der Behörden.
Von Unternehmen wird erwartet, dass sie sich über die für sie geltenden Pflichten informieren; die Schwelle für Fahrlässigkeit liegt dabei niedrig.
Quelle: Europäischer Datenschutzausschuss (EDPB), Leitlinien 04/2026 zu Art. 58 Abs. 2 DSGVO, angenommen am 17.09.2026, Konsultation bis 13.11.2026
Der EDPB beschreibt einen Ablauf in fünf Schritten: Ist der Verstoß überhaupt bußgeldfähig, haftet das geprüfte Unternehmen dafür, wurde vorsätzlich oder fahrlässig gehandelt, sprechen die Umstände für einen geringfügigen Verstoß, und wäre ein Bußgeld im konkreten Fall wirksam und verhältnismäßig? Besonders relevant für kleine Betriebe ist Schritt drei. Fahrlässigkeit liegt nach Auffassung des EDPB schon vor, wenn ein Unternehmen seine Pflicht hätte erkennen können, unabhängig davon, ob es sie tatsächlich erkannt hat. Ein Rechtsgutachten oder die Aussage "das hat uns niemand gesagt" schützt dabei nicht automatisch vor der Einordnung als fahrlässig.
Für sehr kleine Verstöße, etwa eine einmalige, schnell behobene Lücke ohne wiederholtes Muster, sieht die fünfstufige Prüfung ausdrücklich vor, dass eine Verwarnung oder Anordnung ausreichen kann, statt direkt ein Bußgeld zu verhängen. Das behördliche Verfahren bleibt damit ein eigenständiges Risiko neben der zivilrechtlichen Abmahnung durch Mitbewerber, mit eigenen Maßstäben und einer eigenen Entscheidungslogik.
Was heißt das konkret für deinen Handwerksbetrieb?
Zwei getrennte Risiken solltest du jetzt unterscheiden. Das erste ist die zivilrechtliche Abmahnung durch einen Mitbewerber oder Verband wegen einer unvollständigen Datenschutzerklärung oder eines fehlerhaften Cookie-Banners, mit Kosten meist im vierstelligen Bereich. Das zweite ist das behördliche Bußgeldverfahren einer Datenschutzaufsichtsbehörde, dessen Höhe und Eintrittswahrscheinlichkeit jetzt nach den neuen EDPB-Kriterien eingeordnet wird.
Für die meisten Handwerksbetriebe mit eigener Webseite ist dabei die Abmahnung durch einen Mitbewerber das realistischere Szenario, weil sie ohne behördliche Prüfung ausgelöst werden kann, allein durch einen Anwalt im Auftrag eines Wettbewerbers. Gerade in Branchen mit vielen vergleichbaren Betrieben in derselben Region, etwa bei Elektrikern, Dachdeckern oder Malerbetrieben, schauen sich Mitbewerber regelmäßig gegenseitig die Webseiten an.
249 Bußgelder deutscher Datenschutzaufsichtsbehörden mit einer Gesamthöhe von rund 46,9 Millionen Euro.
Quelle: dsgvo-portal.de, Jahresrückblick DSGVO-Bußgelder, Urteile und Sicherheitsvorfälle, Erhebungszeitraum 01.01. bis 31.12.2025, Auswertung gemeldeter Bußgelder deutscher Aufsichtsbehörden
Diese Zahl zeigt zwei Dinge gleichzeitig: Die Zahl behördlicher Bußgelder in Deutschland ist überschaubar und betrifft überwiegend größere, systematische Fälle. Gleichzeitig bestätigt sie, dass Aufsichtsbehörden tatsächlich aktiv Bußgelder verhängen, nicht nur drohen. Mit den neuen EDPB-Leitlinien wird dieser Prozess strukturierter, was tendenziell eher zu mehr als zu weniger Verfahren führen dürfte, weil die Behörden klarere Kriterien zur Hand haben.
Für einen Ein-Mann-Betrieb oder einen kleinen Handwerksbetrieb mit zehn Mitarbeitenden ist ein behördliches Bußgeldverfahren trotzdem selten der erste Berührungspunkt mit dem Thema. Die Behörden arbeiten meist reaktiv, also auf eine konkrete Beschwerde oder eine gemeldete Datenpanne hin, nicht durch systematisches Durchsuchen aller Handwerker-Webseiten einer Region. Genau deshalb bleibt die zivilrechtliche Abmahnung durch einen Mitbewerber das Risiko, das dich im Alltag eher betrifft, während das behördliche Verfahren eher bei grundsätzlichen, wiederholten oder besonders gravierenden Verstößen eine Rolle spielt, etwa wenn eine Datenpanne mit echten Kundendaten gemeldet werden muss.
Trotzdem lohnt sich der Blick auf beide Risiken gemeinsam, weil sie an derselben Stelle ansetzen: einer Webseite, die mit der Zeit gewachsen ist, ohne dass die rechtlichen Texte mitgewachsen sind. Ein neues Buchungstool, ein zusätzliches Analyse-Skript oder ein Chat-Widget sind in wenigen Minuten eingebunden, die passende Anpassung der Datenschutzerklärung wird dabei aber leicht vergessen, weil sie nicht sofort auffällt.
Datenschutzerklärung und Cookie-Banner: die zwei größten Angriffsflächen
Beide neuen Entwicklungen treffen dieselben zwei Schwachstellen, die auf vielen kleinen Handwerker-Webseiten bestehen: eine veraltete oder generisch erstellte Datenschutzerklärung und ein Cookie-Banner, der mehr nach Pflichtübung als nach echter Einwilligung aussieht. Beide Angriffsflächen haben einen entscheidenden Vorteil für Abmahnende: Sie sind öffentlich einsehbar, ohne technischen Zugriff auf deine Webseite.
Setzt du Werkzeuge ein, die personenbezogene Daten verarbeiten, etwa ein Buchungssystem für Kundentermine, ein Formular-Tool, ein Analyse-Skript oder einen Chat-Widget-Anbieter, dann verarbeitet im Hintergrund meist ein externer Dienstleister diese Daten mit. Das bedeutet: Du brauchst für solche Dienste in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter, musst prüfen, ob der Server in der EU oder in einem Drittland steht, und musst deine Datenschutzerklärung jedes Mal aktualisieren, wenn ein neues Tool dazukommt. Wird ein neuer Dienst eingebunden, ohne die Datenschutzerklärung anzupassen, entsteht genau die Lücke, an der eine Abmahnung ansetzen kann.
Die technischen Anforderungen an einen rechtssicheren Cookie-Banner, inklusive der aktuellen Rechtsprechung zu Dark Patterns und gleichwertigen Ablehnen-Buttons, habe ich ausführlich im Artikel Cookie-Banner-Pflicht: Was TDDDG und DSGVO 2026 verlangen beschrieben. Wenn du bisher nur ein Standard-Plugin aus deinem Homepage-Baukasten nutzt, lohnt sich dort ein genauerer Blick.
Wie läuft eine Abmahnung ab, wenn sie bei dir ankommt?
Eine Abmahnung kommt in der Regel als Brief oder E-Mail eines Rechtsanwalts, der im Auftrag eines Mitbewerbers handelt. Darin wird der konkrete Verstoß benannt, etwa eine fehlende Angabe zum eingesetzten Hosting-Anbieter, und eine Frist gesetzt, innerhalb der eine strafbewehrte Unterlassungserklärung unterschrieben werden soll. Diese Erklärung verpflichtet dich dazu, den beanstandeten Fehler zu beheben und bei einem erneuten, gleichartigen Verstoß eine Vertragsstrafe zu zahlen, die oft im vierstelligen Bereich liegt.
Zusätzlich wird meist verlangt, die Kosten der Abmahnung selbst zu übernehmen, also die Anwaltsgebühren der Gegenseite. Eine Abmahnung ist dabei zunächst nur ein außergerichtliches Angebot, keine gerichtliche Entscheidung. Trotzdem lohnt es sich nicht, die Frist einfach verstreichen zu lassen, denn danach folgt üblicherweise eine einstweilige Verfügung vor Gericht, die zusätzliche Kosten verursacht. Ebenso riskant ist es, die vorformulierte Unterlassungserklärung ungeprüft zu unterschreiben, weil sie oft weiter gefasst ist, als rechtlich notwendig wäre.
Der sinnvollste erste Schritt bei einer erhaltenen Abmahnung ist deshalb immer dieselbe Reihenfolge: Frist notieren, Anwalt oder Datenschutzbeauftragten einschalten, den konkret benannten Fehler technisch prüfen lassen, und erst danach über eine angepasste, eigene Unterlassungserklärung entscheiden. Dieser Artikel ersetzt dabei ausdrücklich keine Rechtsberatung im Einzelfall, dafür ist immer eine fachkundige Prüfung nötig.
Checkliste: Was du in 30 Minuten selbst prüfen kannst
Eine vollständige rechtliche Prüfung ersetzt diese Checkliste nicht, aber sie zeigt dir ehrlich, wie groß dein Handlungsbedarf aktuell ist.
- Datum der Datenschutzerklärung: Wurde sie seit der Einführung des letzten neuen Tools auf deiner Webseite aktualisiert?
- Vollständige Werkzeug-Liste: Stehen alle tatsächlich eingesetzten Tools namentlich drin, nicht nur allgemeine Kategorien?
- Cookie-Banner mit echtem Ablehnen: Gibt es einen "Alle ablehnen"-Button gleichwertig zu "Alle akzeptieren", direkt auf der ersten Ebene?
- Skripte vor Zustimmung: Prüfe im Entwicklertools-Netzwerktab, ob Analyse- oder Marketing-Skripte schon vor einem Klick laden.
- Auftragsverarbeitungsverträge: Liegen für Hosting, Formular-Tool und Buchungssystem aktuelle Verträge vor?
- Verantwortlicher aktuell: Stimmen Name und Kontaktdaten in Impressum und Datenschutzerklärung überein?
Je mehr dieser Punkte du mit Nein beantwortest, desto größer ist aktuell deine Angriffsfläche. Das ist kein Grund zur Panik, aber ein guter Anlass, das in den nächsten Wochen zu klären, statt erst nach einer Abmahnung zu reagieren.
Abmahnung durch Konkurrenten im Vergleich zum behördlichen Bußgeld
| Merkmal | Abmahnung durch Mitbewerber | Bußgeld der Aufsichtsbehörde |
|---|---|---|
| Rechtsgrundlage | UWG, bestätigt durch BGH "App-Zentrum III" | Art. 83 DSGVO, konkretisiert durch EDPB-Leitlinien 04/2026 |
| Wer wird aktiv | Ein Mitbewerber über seinen Anwalt | Die zuständige Landesdatenschutzbehörde |
| Typische Kosten | Meist niedriger bis mittlerer vierstelliger Betrag | Stark gestaffelt, oft deutlich höher bei systematischen Verstößen |
| Auslöser | Öffentlich sichtbare Fehler wie Datenschutzerklärung oder Cookie-Banner | Beschwerde, Datenpanne oder eigene Prüfung der Behörde |
| Erste Reaktion | Fristgebundene Unterlassungserklärung, vor Unterschrift prüfen lassen | Stellungnahme im behördlichen Verfahren, anwaltlich begleiten lassen |
Häufige Fragen zu Abmahnung und Datenschutzerklärung
Darf wirklich jeder Konkurrent mich wegen der Datenschutzerklärung abmahnen?
Abmahnen kann grundsätzlich jeder Mitbewerber, der in einem konkreten Wettbewerbsverhältnis zu dir steht, also ein Unternehmen aus derselben oder einer vergleichbaren Branche in einem ähnlichen Markt. Das BGH-Urteil "App-Zentrum III" bestätigt dafür nur die rechtliche Grundlage, nicht, dass jede Lücke automatisch verfolgt wird.
Was ist der Unterschied zwischen einer Abmahnung und einem Bußgeld?
Eine Abmahnung ist ein zivilrechtliches, außergerichtliches Verfahren zwischen zwei Unternehmen auf Grundlage des UWG. Ein Bußgeld verhängt dagegen eine staatliche Aufsichtsbehörde nach eigener Prüfung auf Grundlage der DSGVO, unabhängig davon, ob ein Mitbewerber tätig wird.
Reicht ein Standard-Cookie-Banner aus meinem Homepage-Baukasten aus?
Nicht automatisch. Viele Baukasten-Lösungen müssen erst aktiv konfiguriert werden, damit sie einen gleichwertigen Ablehnen-Button zeigen und Skripte wirklich erst nach der Einwilligung laden. Details dazu findest du im Artikel zur Cookie-Banner-Pflicht.
Was soll ich tun, wenn ich bereits eine Abmahnung erhalten habe?
Nicht sofort unterschreiben. Eine strafbewehrte Unterlassungserklärung sollte immer erst von einem Rechtsanwalt geprüft werden, da vorformulierte Erklärungen oft weiter gefasst sind als rechtlich notwendig. Die Frist in der Abmahnung läuft trotzdem weiter, warte also nicht zu lange mit der Rücksprache.
Ändert sich durch die neuen EDPB-Leitlinien sofort etwas für kleine Betriebe?
Die Leitlinien 04/2026 befinden sich noch bis zum 13. November 2026 in der öffentlichen Konsultation, die Grundlinie zur Einordnung von Bußgeld oder Verwarnung gilt aber schon jetzt als Maßstab für die Praxis der Behörden. Für kleine Betriebe mit einem einmaligen, schnell behobenen Fehler bleibt eine Verwarnung weiterhin das wahrscheinlichere Ergebnis als ein Bußgeld.
Fazit: Abmahnung wegen Datenschutzerklärung ist jetzt ein reales Risiko für Handwerksbetriebe
Das BGH-Urteil "App-Zentrum III" macht aus einer bisher unklaren Rechtslage eine klare: Konkurrenten dürfen dich wegen Fehlern in der Datenschutzerklärung oder im Cookie-Banner abmahnen. Die neuen EDPB-Leitlinien sorgen parallel dafür, dass Aufsichtsbehörden strukturierter zwischen Verwarnung und Bußgeld entscheiden. Beides zusammen bedeutet nicht, dass jede kleine Handwerker-Webseite jetzt in Gefahr ist, aber es lohnt sich, die eigene Datenschutzerklärung und das Cookie-Banner einmal ehrlich gegen die Checkliste oben zu prüfen. Eine rechtliche Einschätzung im Einzelfall ersetzt das nicht, dafür ist immer ein Rechtsanwalt oder Datenschutzbeauftragter der richtige Ansprechpartner. Wenn du dir stattdessen Gedanken darüber machen willst, wie deine Webseite technisch und inhaltlich von Anfang an sauber aufgesetzt wird, vereinbare ein kostenloses Erstgespräch, dann schauen wir uns gemeinsam an, wo deine Webseite aktuell steht.
