DSGVO auf der Website: Die 7 häufigsten Abmahngründe im Mittelstand
Die Inhalte dieser Website dienen ausschließlich der allgemeinen Information und ersetzen keine individuelle Rechtsberatung. Diese sind nicht dazu gedacht, konkrete rechtliche Fragestellungen oder Probleme im Einzelfall zu klären. Für eine verbindliche Einschätzung Ihrer persönlichen Situation empfehlen wir, sich an einen qualifizierten Rechtsanwalt zu wenden.
Ein Post von der Wettbewerbszentrale im Briefkasten. Oder ein Anruf vom Anwalt: Die Website verstoße gegen die DSGVO, jetzt müsse eine Unterlassungserklärung unterschrieben werden. Für viele mittelständische Unternehmen ist das kein hypothetisches Szenario, sondern gelebte Realität.
Website-Abmahnungen sind ein lukratives Geschäftsmodell – spezialisierte Anwälte und Wettbewerber scannen automatisiert tausende Seiten auf Verstöße. Die Kosten für einen einzigen Abmahnfall liegen schnell zwischen 1.000 und 5.000 Euro. Dabei sind die meisten Verstöße vermeidbar.
Dieser Artikel zeigt die sieben häufigsten Abmahngründe, die auf mittelständischen Websites immer wieder gefunden werden – und wie Unternehmen sie gezielt abstellen.
Die rechtliche Ausgangslage: Wer abmahnen darf und warum
Seit einem BGH-Urteil im März 2025 ist die Lage klar: Verbraucherschutzverbände und Mitbewerber sind befugt, Verstöße gegen das Datenschutzrecht im Wege einer wettbewerbsrechtlichen Klage geltend zu machen.
Die DSGVO-Abmahnung ist damit kein rein behördliches Instrument mehr. Eine Abmahnung ist ein außergerichtliches Schreiben, mit dem wegen eines behaupteten Datenschutzverstoßes meist Unterlassung verlangt wird. Häufig verbunden mit der Aufforderung, Kosten zu erstatten und eine strafbewehrte Unterlassungserklärung abzugeben.
Die Anforderungen an Websites sind klar geregelt. Vollständiges Impressum nach dem Digitale-Dienste-Gesetz (DDG), Datenschutzerklärung nach DSGVO, rechtskonformer Cookie-Banner sowie seit 2025 für viele Unternehmen eine Barrierefreiheitserklärung.
Die Verstoßquote im Mittelstand ist dennoch hoch – nicht weil Unternehmer die Regeln ignorieren, sondern weil Agenturen und Baukastensysteme sie selten vollständig umsetzen.
Wer seine Website-Pflichten einmal aufgesetzt hat und dann jahrelang nicht nachschaut, lebt mit zunehmendem Risiko.
Die 7 häufigsten Abmahngründe im Mittelstand
1. Fehlendes oder unvollständiges Impressum
Das Impressum ist die Visitenkarte im Netz und gleichzeitig eine der häufigsten Abmahnquellen. Pflichtangaben nach § 5 DDG umfassen folgendes.
Vollständigen Namen oder Firmennamen, ladungsfähige Anschrift (kein Postfach), E-Mail-Adresse, Telefonnummer.
Bei Kapitalgesellschaften kommen Geschäftsführer, Handelsregisternummer und Registergericht hinzu. Fehlt nur eine Angabe, ist das Impressum unbrauchbar und abmahnfähig.
Das Impressum muss zudem von jeder Seite der Website in maximal zwei Klicks erreichbar sein.
2. Fehlerhafte oder unvollständige Datenschutzerklärung
Eine Datenschutzerklärung ist Pflicht, sobald personenbezogene Daten verarbeitet werden. Also bei jedem Kontaktformular und jedem Analytics-Tool. Aber auch jedem eingebetteten Video und dem Newsletter-Formular.
Inhaltlich müssen folgende Punkte abgedeckt sein: welche Daten werden erhoben, zu welchem Zweck, auf welcher Rechtsgrundlage (Art. 6 DSGVO), wie lange gespeichert, an wen weitergegeben.
Ein häufiger Fehler sind die eingesetzten Tools. Die nicht aufgeführt werden oder die Rechtsgrundlagen fehlt. Die Datenschutzerklärung muss als einzelner Punkt auf der Homepage sichtbar sein. Eine versteckte Einbindung ist abmahnfähig.
3. Google Fonts ohne lokales Hosting
Das LG München I hat 2022 die Einbindung von Google Fonts über das Content Delivery Network (CDN) als Verstoß gegen die DSGVO eingestuft. Denn jeder Seitenaufruf überträgt die IP-Adresse des Besuchers an Google-Server in die USA.
Die Folge, innerhalb weniger Monate wurden Tausende Abmahnschreiben an Websitebetreiber verschickt. Viele davon an mittelständische Unternehmen. Die Lösung ist einfach: Fonts lokal auf dem eigenen Server hosten, dann entfällt die Datenübertragung an Dritte.
4. Nicht rechtskonformer Cookie-Banner
Kaum ein Thema sorgt im Netz für so viel Frust wie Cookie-Banner – und kaum einer wird so regelmäßig vergeigt. Dabei sind die Vorschriften eigentlich glasklar. Trotzdem hat der Verbraucherzentralen-Bundesverband bei einem großen Check von 949 Webseiten festgestellt, dass jeder zehnte Banner rechtswidrig ist. Die Folge: 98 Abmahnungen gingen raus.
Die üblichen Verdächtigen? Zum einen Tracking-Cookies, die oft schon im Hintergrund laden, noch bevor wir überhaupt eine Entscheidung treffen konnten. Zum anderen jede Menge ärgerlicher Fallstricke beim Design: Der „Ablehnen“-Button ist entweder geschickt versteckt, viel zu klein oder nicht gleichwertig neben dem großen, verlockenden „Akzeptieren“-Knopf platziert.
Und auf der ersten Ebene sucht man viel zu oft vergeblich nach der Option „Alles ablehnen“. Auch vorausgewählte Häkchen bei überflüssigen Cookies sind tabu – das ist ganz klar nicht erlaubt.
5. Fehlende Auftragsverarbeitungsverträge (AVV) mit Dienstleistern
Wer Google Analytics, Mailchimp, externe CRM-Systeme oder andere Tools nutzt, die personenbezogene Daten verarbeiten, benötigt einen Auftragsverarbeitungsvertrag mit dem jeweiligen Anbieter. Fehlt dieser Vertrag, liegt ein Verstoß vor.
Das betrifft nicht nur große Cloud-Dienste, sondern auch kleinere Tools und Plugin-Anbieter. Die gute Nachricht: Die meisten Anbieter stellen AVV-Vorlagen bereit – sie müssen nur abgeschlossen und dokumentiert werden.
6. Fehlende Rechtsgrundlage für Formulardaten
Kontaktformulare, Newsletter-Anmeldungen und Bestellprozesse verarbeiten personenbezogene Daten. Ohne klaren Hinweis auf die Datenschutzerklärung und die Rechtsgrundlage (z.B. Art. 6 Abs. 1 lit. b DSGVO für Vertragserfüllung) ist die Verarbeitung nicht rechtmäßig. Betroffen sind auch einfache Anfrageformulare. Ein häufiger Fehler: Der Hinweis auf die Datenschutzerklärung fehlt oder ist nicht deutlich genug platziert.
7. Unsichere externe Einbettungen
YouTube-Videos, Google Maps, Social-Media-Widgets oder eingebettete Chat-Tools – all diese externen Dienste übertragen beim Aufruf der Seite Daten an die jeweiligen Anbieter. Ohne vorherige Einwilligung des Nutzers ist das ein Verstoß. Abhilfe schaffen Zwei-Klick-Lösungen oder Consent-Management-Plattformen, die erst nach aktiver Zustimmung des Nutzers die externen Inhalte laden.
Abmahngründe im Überblick: Was wiegt wie schwer?
| Abmahngrund | Typische Kostenfolge | Besonderes Risiko |
|---|---|---|
| Fehlendes/unvollständiges Impressum | 1.000–3.000 € | Sehr häufiger Abmahngrund, einfach zu prüfen |
| Fehlerhafte Datenschutzerklärung | 1.000–5.000 € | Hohe Streubreite, viele Details |
| Google Fonts via CDN | 500–2.000 € | Abmahnwelle seit 2022, einfache Lösung |
| Nicht rechtskonformer Cookie-Banner | 1.000–4.000 € | Aktuelle Urteile (VG Hannover, März 2025) |
| Fehlender AVV mit Dienstleistern | 1.000–3.000 € | Wird oft übersehen, einfach nachzuholen |
| Keine Rechtsgrundlage für Formulare | 500–2.000 € | Betrifft fast jede Website |
| Unsichere externe Einbettungen | 500–2.000 € | Viele Websites betroffen |
Praxis-Checkliste: So werden Websites DSGVO-sicher
Die folgende Checkliste hilft, systematisch vorzugehen und die sieben häufigsten Abmahngründe zu beseitigen.
- Impressum prüfen: Vollständige Angaben nach § 5 DDG kontrollieren (Name, Anschrift, Kontakt, bei GmbH: Geschäftsführer, HR-Nummer, Registergericht). Von jeder Seite in max. zwei Klicks erreichbar.
- Datenschutzerklärung aktualisieren: Alle eingesetzten Tools und Dienste auflisten, Rechtsgrundlagen für jede Datenverarbeitung angeben, Speicherdauer definieren. Als eigenständiger Punkt auf der Homepage sichtbar.
- Google Fonts lokal hosten: Fonts von Google-Servern auf den eigenen Server umziehen – oder auf eine DSGVO-konforme Alternative umsteigen.
- Cookie-Banner prüfen: Tracking-Cookies erst nach Einwilligung laden. Ablehnen-Button gleichwertig und auf gleicher Ebene wie Akzeptieren-Button. „Alles ablehnen“-Option auf erster Ebene anbieten.
- AVV mit allen Dienstleistern abschließen: Für jeden externen Dienst, der personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag dokumentieren.
- Formulare mit Rechtsgrundlage versehen: Bei jedem Kontakt- und Bestellformular auf die Datenschutzerklärung verweisen und die Rechtsgrundlage der Verarbeitung nennen.
- Externe Einbettungen sichern: YouTube, Google Maps, Social-Media-Widgets etc. nur mit Zwei-Klick-Lösung oder Consent-Management einbinden – erst nach aktiver Zustimmung laden.
Häufige Fragen (FAQ) zur DSGVO auf Webseiten:
Was kostet eine DSGVO-Abmahnung im Mittelstand?
Die Kosten einer Abmahnung setzen sich aus Abmahnkosten (Anwaltsgebühren der Gegenseite) und den eigenen Anwaltskosten. Sowie gegebenenfalls von Vertragsstrafen zusammen. Nach Recherchen kann ein einzelner Abmahnfall Gesamtkosten von 1.000 bis 5.000 Euro verursachen. Hinzu kommen Zeitaufwand und das Risiko einer einstweiligen Verfügung.
Wer darf eine DSGVO-Abmahnung verschicken?
Seit einem BGH-Urteil vom März 2025 sind nicht nur Datenschutzbehörden, sondern auch Verbraucherschutzverbände und direkte Mitbewerber befugt, DSGVO-Verstöße wettbewerbsrechtlich abzumahnen. Damit hat sich der Kreis der möglichen Abmahner deutlich erweitert.
Was tun, wenn eine Abmahnung im Briefkasten liegt?
Die Abmahnung ernst nehmen und die genannten Fristen einhalten. Die beigefügte Unterlassungserklärung nicht ungeprüft unterschreiben. Stattdessen die Abmahnung rechtlich prüfen lassen. Denn nicht selten schleichen sich Fehler ein, die die Abmahnung unzulässig machen.
Wie schnell müssen Verstöße behoben werden?
Das hängt von der in der Abmahnung gesetzten Frist ab, die oft sehr kurz ist. Die Frist läuft ab Zugang des Schreibens. Wer sie verstreichen lässt, riskiert, dass die Gegenseite gerichtliche Schritte einleitet.
Ändern sich die rechtlichen Anforderungen regelmäßig?
Ja. Das TMG wurde 2024 durch das DDG (Digitale-Dienste-Gesetz) ersetzt. Seit 2025 gilt das BFSG (Barrierefreiheitsstärkungsgesetz) für viele Unternehmen. Die OS-Plattform im Impressum wurde zum 20. Juli 2025 abgeschaltet – entsprechende Verlinkungen sind nun obsolet und potenziell abmahnfähig. Wer einmal aufgesetzte Pflichttexte nicht regelmäßig überprüft, lebt mit wachsendem Risiko.
Betrifft die DSGVO-Abmahnung nur große Unternehmen?
Nein. Gerade mittelständische Unternehmen sind im Fokus, weil sie oft keine eigene Rechtsabteilung haben. Automatisierte Scans erfassen kleine und große Websites gleichermaßen. Ein sauber umgesetzter rechtlicher Grundschutz ist für jedes Unternehmen mit Website Pflicht.
Fazit
DSGVO-Abmahnungen sind kein Randphänomen, sondern ein reales und wachsendes Risiko für mittelständische Unternehmen. Die sieben hier vorgestellten Abmahngründe machen den Großteil aller Verstöße aus. Und sie sind alle vermeidbar.
Wer Impressum, Datenschutzerklärung, Cookie-Banner und externe Dienste systematisch prüft und die aufgeführte Checkliste abarbeitet, reduziert das Abmahnrisiko erheblich. Die rechtlichen Anforderungen ändern sich regelmäßig: neue Gesetze, neue Urteile, neue Abmahnwellen.
Ein regelmäßiger Website-Check ist daher keine Option, sondern eine Notwendigkeit.
