Immer wieder werden Unternehmen mit Schreiben konfrontiert, in denen ihnen angebliche Datenschutzverstöße vorgeworfen werden.
Dabei handelt es sich häufig um angeblich gut gemeinte Hinweise auf angebliche Verstöße gegen die DSGVO – tatsächlich ähneln diese Schreiben aber in Aufbau und Ton einer klassischen Abmahnung.
Für viele Verantwortliche ist schwer zu erkennen, ob ein solches Schreiben berechtigt, harmlos oder schlicht unseriös ist.
Dieser Beitrag erklärt, wie Sie solche Fälle einordnen und richtig darauf reagieren.

Was steckt hinter diesen Abmahnschreiben?

In jüngster Zeit häufen sich Fälle, in denen Unternehmen oder Webseitenbetreiber Post von angeblichen „Datenschutz-Initiativen“ oder „Beratungsstellen“ erhalten.
Die Schreiben folgen meist einem ähnlichen Muster:

• Es wird behauptet, auf der Website seien datenschutzwidrige Tools im Einsatz, etwa zur Besucheranalyse oder Reichweitenmessung.

• Oft wird auf fehlende Einwilligungen oder unzulässige Datenübermittlungen hingewiesen.

• Teilweise werden sogar angebliche Gerichtsurteile oder gesetzliche Vorgaben zitiert, um den Eindruck von Autorität zu erwecken.

• Schließlich werden die Empfänger zur Behebung der angeblichen Mängel aufgefordert – nicht selten verbunden mit Zahlungsforderungen oder kurzen Fristen.

Auf den ersten Blick wirkt das professionell und besorgt – bei genauerem Hinsehen zeigen sich jedoch Zweifel an der Seriosität und rechtlichen Grundlage solcher Schreiben.

Warum ist Vorsicht geboten?

1. Keine rechtliche Befugnis

Eine Abmahnung im datenschutzrechtlichen Bereich ist nur in ganz bestimmten Fällen zulässig, etwa wenn Wettbewerber im Rahmen des Lauterkeitsrechts handeln oder betroffene Personen ihre Rechte nach der DSGVO geltend machen.
Private Dritte, die sich selbst als „Datenschutzbeobachter“ oder „Projekt“ bezeichnen, haben in der Regel keine Befugnis, andere Unternehmen abzumahnen oder Zahlungen zu verlangen.

2. Unklare oder erfundene Rechtsgrundlagen

In manchen Fällen enthalten die Schreiben Hinweise auf angebliche Urteile oder gesetzliche Vorschriften, die sich nicht überprüfen oder belegen lassen.
Damit soll oft der Eindruck erweckt werden, die Vorwürfe seien rechtlich abgesichert – tatsächlich fehlt es aber an belastbarer Grundlage.

3. Eigene Interessen statt Datenschutz

Hinter derartigen Schreiben steckt häufig kein echtes Datenschutzinteresse, sondern der Versuch, durch Verunsicherung Zahlungen zu erzielen oder Dienstleistungen zu verkaufen.
Datenschutz dient hier also nicht dem Schutz personenbezogener Daten, sondern wird als Geschäftsmodell genutzt.