DSGVO-Abmahnung: Kosten, Ablauf und was Sie jetzt tun

Kein Rechtsrat. Wir geben wieder, was Gesetz und Gerichte sagen. Für Ihren konkreten Fall fragen Sie eine Anwältin oder einen Anwalt.

Worum es geht: Eine Abmahnung ist ein Brief, meist von einem Anwalt. Darin steht: Sie haben gegen eine Regel verstoßen, hören Sie damit auf und versprechen Sie schriftlich, es nicht wieder zu tun. Dieses Versprechen heißt Unterlassungserklärung. Oft liegt eine Rechnung bei. Beim Datenschutz hängt viel davon ab, wer den Brief schickt.

Die ersten Schritte

1. Frist notieren und ernst nehmen. Wer nicht reagiert, riskiert eine einstweilige Verfügung, also eine schnelle Anordnung eines Gerichts, und die kostet Geld. (Einschätzung)
2. Prüfen, wer schreibt: ein Mitbewerber (ein anderes Unternehmen, das Ähnliches verkauft), ein Verband oder eine Privatperson? Das steht meist im ersten Absatz des Briefs. Davon hängt ab, was er verlangen darf (siehe unten).
3. Pflichtangaben prüfen: Eine Abmahnung muss unter anderem sagen, wer abmahnt, worin der Fehler liegt und wie die Kosten berechnet sind^[3].
4. Nichts ungeprüft unterschreiben. Vorformulierte Erklärungen sind oft weiter gefasst als nötig. Eine Erklärung, die nur den konkreten Fehler nennt, kann reichen. Das sollte eine Fachperson formulieren.
5. Nicht ungeprüft zahlen, aber innerhalb der Frist antworten oder antworten lassen. Erst klären, ob die Forderung berechtigt ist. Schickt jemand massenhaft gleiche Briefe, kann Missbrauch vorliegen^[2]. Dann können Sie Ihre Anwaltskosten zurückfordern^[2][3].
6. Den Fehler sofort abstellen, egal wie der Streit ausgeht.

Wer darf abmahnen?

Mitbewerber, Verbände und Kammern. Das Wettbewerbsrecht (UWG) erlaubt ihnen, gegen Verstöße vorzugehen^[1]. Seit 2024 ist klar, dass das auch für den Datenschutz gilt. Der Europäische Gerichtshof hat entschieden, dass die DSGVO solchen Klagen von Mitbewerbern nicht entgegensteht^[5]. Der Bundesgerichtshof (BGH) hat das im März 2025 umgesetzt^[6].

Aber nicht jeder Datenschutzfehler ist automatisch abmahnbar. Der BGH prüft jede Vorschrift einzeln^[7]. Bisher bejaht hat er es für Einwilligungen bei Gesundheitsdaten (Klage eines Mitbewerbers)^[6][7] und für Informationspflichten wie die Datenschutzerklärung (Klage eines Verbraucherverbands)^[9]. Seine Begründung stellt allgemein auf Einwilligungen ab^[7]. Deshalb können auch Tracking oder Newsletter ohne Einwilligung betroffen sein. (Einschätzung)

Privatpersonen, also Besucher oder Kunden, deren Daten betroffen sind. Sie mahnen nicht nach dem Wettbewerbsrecht ab. Sie können aber Unterlassung und Schadensersatz fordern, wenn ihre Daten falsch verarbeitet wurden, auch mit einem Anwaltsschreiben^[10][12]. Das ist wichtig, denn für diese Schreiben gelten die Schutzregeln für kleine Betriebe aus dem nächsten Abschnitt nicht. (Einschätzung aus dem Aufbau des Gesetzes) Das heißt nicht, dass Sie sofort zahlen müssen. Auch hier gilt: prüfen lassen.

Was eine Abmahnung kosten darf

Wenn ein Mitbewerber abmahnt:

• Abmahnkosten: Von Betrieben mit in der Regel weniger als 250 Mitarbeitern darf ein Mitbewerber bei DSGVO-Verstößen die Kosten für seinen Abmahnbrief nicht verlangen^[3]. Bei fehlenden oder falschen Pflichtangaben im Internet, etwa in der Datenschutzerklärung, gilt das sogar für Betriebe jeder Größe^[3]. (Lesart des Gesetzestexts)
• Vertragsstrafe: Bei der ersten Abmahnung darf ein Mitbewerber von Betrieben mit weniger als 100 Mitarbeitern keine Vertragsstrafe verlangen^[4]. Eine Vertragsstrafe ist ein Betrag, den Sie zahlen müssten, falls Sie den Fehler wiederholen.
• Aber: Der Brief ist damit nicht erledigt. Aufhören müssen Sie trotzdem, und meist auch schriftlich versprechen, es nicht zu wiederholen. Wie dieses Versprechen genau aussehen muss, sehen Gerichte unterschiedlich^[18]. Das klärt Ihre Anwältin oder Ihr Anwalt. Wegfallen nur die Kosten für den Abmahnbrief, also die Anwaltsrechnung des Mitbewerbers. Kommt es zum Gericht, können Gerichtskosten entstehen, und Schadensersatz kann der Mitbewerber auch verlangen^[8]. (Einschätzung zu den Gerichtskosten)
• Verlangt ein Mitbewerber trotzdem Abmahnkosten von einem kleinen Betrieb, obwohl er das nicht darf, können Sie Ihre eigenen Anwaltskosten von ihm zurückfordern^[3].

Wenn ein Verband abmahnt: Verbände dürfen Kosten und Vertragsstrafen verlangen^[3][4]. Eine Vertragsstrafe wird nur fällig, wenn Sie den Fehler später wiederholen. Für alle Abmahnenden gilt dann: Bei Betrieben unter 100 Mitarbeitern und kleinen Verstößen darf sie höchstens 1.000 Euro betragen^[4].

Wenn eine Privatperson Schadensersatz will: Schon wenn jemand kurz die Kontrolle über seine eigenen Daten verliert, kann das ein Schaden sein. Die Person muss das aber nachweisen^[10]. Für so einen Kontrollverlust hält der BGH etwa 100 Euro für angemessen, bei weiteren Folgen auch mehr^[10]. Wer nur sagt, er mache sich Sorgen um seine Daten, ohne einen Schaden zu zeigen, bekommt nichts. So war es bei einer unerwünschten Werbe-E-Mail. Aufhören musste der Versender trotzdem^[11].

Was steht in Ihrem Brief? Prüfen Sie, ob die Summe als „Kosten“, „Gebühren“ oder „Schadensersatz“ bezeichnet ist und wer sie fordert. Genau das braucht Ihre Anwältin oder Ihr Anwalt als Erstes.

Ein bekanntes Beispiel: die Google-Fonts-Welle

2022 verurteilte das Landgericht München I den Betreiber einer Website, 100 Euro an einen Besucher zu zahlen. Die Seite hatte Schriften von Google geladen und dabei die IP-Adresse des Besuchers an Google übertragen, ohne Einwilligung^[12].

Danach verschickten einzelne Absender massenhaft Forderungen über 100 bis 170 Euro, oft nach automatischen Besuchen per Programm^[15]. Gerichte werteten das als Rechtsmissbrauch^[13][14]. In Berlin wurde wegen Betrugs und Erpressung ermittelt, und Vermögen wurde vorläufig gesichert^[15]. Wie das Verfahren ausging, ist nicht bekannt. Es gilt die Unschuldsvermutung.

Die Lehre: Gescheitert sind die Massenforderungen, nicht die Grundregel. Wer Schriften weiter ohne Einwilligung von Google lädt, bleibt bei einem echten Besucher angreifbar^[12][13]. (Einschätzung)

Recht und Praxis

• Das Recht lässt seit 2025 mehr Abmahnungen durch Mitbewerber zu. Kammern erwarten deshalb mehr Fälle^[17]. Das ist eine Prognose, keine Zahl.
• Die Praxis: Wie oft wegen Datenschutz abgemahnt wird, misst niemand verlässlich. Laut einer Umfrage des Händlerbunds, der selbst Abmahnschutz verkauft, wurden 9 Prozent der befragten Online-Händler im letzten Jahr abgemahnt, gleich aus welchem Grund^[16]. Die Kostenangaben dort beruhen auf nur etwa 30 Antworten. (eigene Rechnung)
• Shopify: Einen Gerichtsfall gegen einen Shopify-Händler wegen Datenschutz haben wir nicht gefunden. Für Shopify-Shops gelten dieselben Regeln wie für jede andere Website. (Einschätzung)

Für Ihre IT

Diese Punkte beugen den bekannten Anlässen vor. (Einschätzung, aus den Fällen oben abgeleitet)

• Schriften lokal einbinden statt bei jedem Seitenaufruf von Google oder einem anderen Anbieter zu laden^[12].
• Tracking und Analyse erst nach Einwilligung starten. Das Cookie-Banner muss das technisch durchsetzen, nicht nur anzeigen. Die Regel dafür steht heute im TDDDG (früher TTDSG).
• Newsletter nur mit bestätigter Einwilligung (Double-Opt-in) und einem Nachweis, wer wann zugestimmt hat.
• Datenschutzerklärung aktuell halten, mit allen eingebundenen Diensten. Gerade bei Pflichtangaben gilt die Kostensperre für kleine Betriebe nicht^[3].
• Bei Shopify: eingebundene Apps und Skripte regelmäßig durchgehen. Jede App, die Daten an Dritte schickt, gehört in die Datenschutzerklärung und gegebenenfalls ins Cookie-Banner.

Häufige Fragen

Was kostet eine DSGVO-Abmahnung? Das hängt vom Absender ab. Ein Mitbewerber darf von Betrieben unter 250 Mitarbeitern meist keine Abmahnkosten verlangen^[3]. Verbände dürfen Kosten verlangen^[3]. Vertragsstrafen sind bei kleinen Betrieben und kleinen Verstößen auf 1.000 Euro gedeckelt^[4].

Muss ich die Unterlassungserklärung unterschreiben? Nicht die vorformulierte und nicht ungeprüft. Wenn der Vorwurf stimmt, müssen Sie aber aufhören und sich in der Regel verpflichten, es nicht zu wiederholen^[3][18]. Wie genau, klärt am besten eine Fachperson.

Darf mich eine Privatperson wegen Datenschutz abmahnen? Nicht nach dem Wettbewerbsrecht. Sie kann aber Unterlassung und Schadensersatz verlangen, wenn ihre Daten betroffen sind^[10][12]. Die Schutzregeln für kleine Betriebe aus dem UWG gelten dann nicht.

Und was ist mit Bußgeldern der Behörde? Das ist ein anderer Weg. Was Datenschutzbehörden tatsächlich verhängen, steht in unserem Beitrag DSGVO-Bußgelder: Höhe und Beispiele für kleine Firmen.

Wo die Daten in Ihrem Betrieb überall liegen, zeigen wir unter Datenwege.