Betreiber von Internetseiten hatten nach dem Start der Datenschutzgrundverordnung aufgeatmet, weil die befürchteten Abmahnungen ausblieben. Nun kommen sie doch – von einer „IGD Interessengemeinschaft Datenschutz e.V.“. Aber es gibt Abhilfe.

Seit Anfang März versetzt ein siebenseitiges Schreiben einer „IGD Interessengemeinschaft Datenschutz e.V.“ aus Ludwigsfelde bei Berlin Hunderte Betreiber von Internetseiten in Aufregung. Es stehen Worte in der Betreffzeile, die niemand gerne liest: „Abmahnung und Aufforderung zur Abgabe einer strafbewehrten Unterlassungserklärung.“ Der vermeintliche Grund: ein DSGVO-Verstoß, also ein Verstoß gegen die Datenschutzgrundverordnung.

Im Folgenden wird der Adressat darauf hingewiesen, dass „Ihre Webseite keine SSL-Verschlüsselung“ aufweise, weshalb ein sicherer Transfer der Daten von Verbrauchern nicht gewährleistet sei und damit ein Verstoß gegen Artikel 25 Abs. 1 DSGVO vorliege.

Es folgen unmissverständliche Handlungsanweisungen: Das beanstandete Verhalten sei „sofort“ zu unterlassen, eine strafbewehrte Unterlassungserklärung abzugeben und Abmahnkosten in Höhe von 285,60 Euro auf ein Konto bei der Berliner Sparkasse zu überweisen. In der beigefügten „Unterlassungs- und Verpflichtungserklärung“ ist dann noch von einer „zu zahlenden Vertragsstrafe von 4.000,00 Euro“ die Rede, wenn es noch einmal zu einem Verstoß kommt.

Vor einem Brief wie diesem fürchten sich Selbständige und Unternehmer, seit das neue europäische Datenschutzrecht Ende Mai 2018 scharf geschaltet wurde. Lange Zeit kursierten nur vereinzelt Abmahnungen, die Welle blieb aus – bis der Verein IGD auf den Plan trat, der nach eigenen Angaben die Interessen von derzeit 70 Mitgliedern vertritt.

Der Verein ist erst seit dem 6. März überhaupt im Vereinsregister eingetragen. Direkt an dem Tag gingen die ersten Abmahnungen heraus. Als Verantwortliche werden im Impressum Rouven Rosenbaum und Leonard Zobel genannt – zwei Namen, die in Berlin nicht unbekannt sind. Bislang taten sich die beiden Vereinsvorstände allerdings nicht als Kämpfer für den Datenschutz hervor, sondern als Gründer von bitmeister, einer Handelsplattform für Kryptowährungen.

„Juristisch und inhaltlich wirr“

Allein diese ungewöhnlich Konstellation führte bei einigen Anwälten zu der Frage, ob es dem Verein tatsächlich vorrangig um Verbraucherschutz geht, wie als Vereinszweck genannt – oder die beiden Geschäftsleute nicht doch eher Geld mit den Schreiben verdienen wollen.

Anwälte überrascht, auf welcher rechtlichen Grundlage argumentiert wird. „Die Schreiben sind juristisch und inhaltlich wirr“, sagte Niklas Plutte von der gleichnamigen Kanzlei in Mainz, die sich auf neue Medien spezialisiert hat. Zwar gebe es keinen Zweifel daran, dass ein Verstoß gegen die Datenschutzgrundverordnung vorliegt, wenn ein Kontaktformular auf einer Internetseite nicht per SSL-Protokoll verschlüsselt ist. „Die Abmahnungen entbehren dennoch jeder Grundlage, weil dem Verein jede Legitimation dazu fehlt“, so Plutte. Sprich: Aus seiner Sicht darf der Verein Unternehmen gar nicht abmahnen.

Jeder, der eine Abmahnung wegen vermeintlicher Datenschutzvergehen erhält, muss wissen: Es ist schon umstritten, ob Unternehmen in Deutschland deshalb überhaupt abgemahnt werden dürfen. Oder ob es nicht alleine den Aufsichtsbehörden obliegt, auf Verstöße mit entsprechenden Maßnahmen bis hin zu Bußgeldern zu reagieren.

Doch selbst wenn Datenschutzvergehen ein Abmahngrund sind, darf nicht jeder eine Unterlassungserklärung fordern. In Deutschland gibt es grundsätzlich zwei Wege für Abmahnungen: Unternehmen können Konkurrenten im Rahmen des UWG, des Gesetzes gegen den unlauteren Wettbewerb, abmahnen. Sogenannte qualifizierte Einrichtungen, zu denen beispielsweise Verbraucherzentralen gehören, machen dies im Rahmen des UKlaG, des Unterlassungsklagengesetzes. Dafür müssen sie auf einer Liste stehen, die vom Bundesamt für Justiz in Bonn bereitgehalten wird.

Die IGD ist weder Wettbewerber, noch gehört sie zur Gruppe der qualifizierten Einrichtungen. Die Verantwortlichen des Vereins halten sich dennoch für legitimiert. Sie verweisen darauf, dass es neben den bekannten Ansprüchen aus dem UWG und dem UKlaG Ansprüche direkt aus der DSGVO gibt, konkret aus Artikel 80. Diese Argumentation ist unter Juristen zumindest äußerst umstritten. Wie ungewöhnlich diese Argumentation bislang ist, zeigt sich daran, dass die IGD-Verantwortlichen selbst den Ausdruck „sui generis“ ins Spiel bringen. In den Rechtswissenschaften wird dieser verwendet, wenn alle herkömmlichen Herangehensweise versagen.

450 Abmahnungen wurden verschickt

Rosenbaum und Zobel wehren sich gegen den Vorwurf der Geschäftemacherei. „Es geht uns, entgegen einiger Behauptungen, nicht darum, Vertragsstrafen geltend zu machen, Unternehmer ‚zu erpressen‘ und in ihrem Handeln einzuschränken“, teilten sie auf Anfrage mit. 450 Abmahnungen hätten sie bislang verschickt, 70 Prozent der Abgemahnten, behaupten sie, hätten bereits eine SSL-Verschlüsselung nachgerüstet, darum gehe es ihnen im Kern.

Und was heißt das nun für alle Abgemahnten? „Niemand sollte Abmahnungen einfach in den Papierkorb werfen, sondern zunächst ernst nehmen“, sagte Otmar Lell, Rechtsexperte des Bundesverbands der Verbraucherzentralen vzbv. Das heißt, jeder sollte sich zumindest überlegen, ob er nicht vorsorglich mit einer sauber formulierten Stellungnahme eines Anwalts reagiert.

Das schützt vor dem Risiko unnötiger gerichtlicher Auseinandersetzungen. Denn stellt der Abmahnende später einen Antrag auf einstweilige Verfügung, muss er diese Stellungnahme bei Gericht mit einreichen – gibt es keine Stellungnahme, entscheidet das Gericht zunächst allein auf Grundlage der Angaben der Stelle, die den Antrag gestellt hat, ohne die Position des abgemahnten Unternehmens zu kennen. Wer dagegen dann später gerichtlich vorgehen will, muss mit deutlich höheren Kosten als nur jenen für die Stellungnahme rechnen – sie können laut Anwalt Plutte drei Mal so hoch sein, also bei rund 1500 Euro statt knapp 480 Euro.

Der anwaltliche Rat kann sich auch deshalb lohnen, weil selbst in Fällen, in denen der Vorwurf berechtigt ist, niemand leichtfertig eine strafbewehrte Unterlassungserklärung abgeben sollte. Denn dann wird bei jedem künftigen Verstoß in gleicher Sache sofort die Vertragsstrafe fällig. Es ist bekannt, dass sich der Aufwand für eine Abmahnung selten wegen der Abmahnkosten von oft wenigen Hundert Euro rechnet, sondern wegen der später möglicherweise fälligen Vertragsstrafen in Höhe von einigen Tausend Euro. Dadurch werden solche Schreiben „vergoldet“, wie es unter Anwälten heißt.

Im Fall IGB ist nicht einmal gesagt, dass es überhaupt zu einer einstweiligen Verfügung oder Unterlassungsklage kommt, wenn die Angeschriebenen auch nach einem erneuten Hinweis nicht auf die Abmahnung reagieren. „Sofern erneut keine Reaktion kommt, wird der Verstoß dem zuständigen Landesdatenschutzbeauftragten gemeldet“, teilten Rosenbaum und Zobel dazu mit. Eher halbherzig klingt der Nachsatz, dass sie möglicherweise zur Durchsetzung eines Unterlassungsanspruchs auch Gerichte anrufen müssten.

Gegenangriff von der Anwaltsseite

Auf die Frage, warum sie, wenn ihr Motiv nicht „Kasse machen“ ist, nicht direkt statt der Abmahnungen Hinweise an die zuständigen Datenschutzbehörden geschickt hätten, verwiesen sie auf die Höhe der Bußgelder, die von Behörden bereits verhängt worden seien. „Da ist eine Abmahnung wesentlich günstiger und führt – hoffentlich – zum gleichen Ergebnis“, teilten die beiden Vereinsvorstände mit. Ihre Kosten wollten sie dabei aber erstattet haben, schließlich hätten sie durchaus Aufwand gehabt.

Bei solchen Aussagen drängt sich der Eindruck auf, dass die Verantwortlichen der IGD mittlerweile gemerkt haben, dass sie mit ihren Abmahnungen womöglich über das Ziel hinausgeschossen sind und versuchen, den möglichen Schaden zu begrenzen. Denn der Gegenangriff von Anwaltsseite ließ nicht lange auf sich warten. „Wir raten allen unseren Mandanten, sich die Verteidigungskosten auf dem Weg einer negativen Feststellungsklage von der IGD zurückzuholen“, sagte Plutte. Dabei geht es mindestens um die knapp 480 Euro für die anwaltliche Stellungnahme. Da könnten also einige Kosten auf den Verein zukommen.

Für einen geordneten Rückzug spricht auch, dass statt Abmahnungen zuletzt nur noch Hinweise verschickt wurden. Laut IGD gingen zu Wochenbeginn weitere 409 Schreiben raus. In der Betreffzeile heißt es jetzt zurückhaltend: „Bitte prüfen Sie Ihr SSL-Zertifikat. Ihre Webseite ist möglicherweise nicht DSGVO-Konform.“ Statt Abmahnkosten zu fordern und mit einer Vertragsstrafe zu drohen, steht darin zudem: „Über ein Feedback, oder aber auch eine kleine Spende auf das Vereinskonto, würden wir uns freuen.“