Ab dem 18. August 2026 greifen im Rahmen der E-Evidence-Verordnung neue Vorgaben für Unternehmen zur Herausgabe von Daten an europäische Staatsanwaltschaften. Davon betroffen sind auch viele Online-Shops und Webseiten-Betreiber. Wenn auch Sie erfasst sind, sind umfangreiche Anpassungen vorzunehmen. Wir erklären, wer betroffen ist und was auf Sie zukommt.
Ziel und Regelungsinhalt der E-Evidence-Verordnung
Mit der neuen Verordnung (offizielle: Verordnung (EU) 2023/1543 des Europäischen Parlaments und des Rates vom 12.07.2023 über Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen für elektronische Beweismittel in Strafverfahren und für die Vollstreckung von Freiheitsstrafen nach Strafverfahren) werden europaweit die Regeln festgelegt, nach denen eine Behörde eines Mitgliedstaates im Rahmen eines Strafverfahrens bestimmte Dinge von einem Unternehmer verlangen kann, der in einem anderen Mitgliedstaat sitzt.
Es geht also immer um grenzüberschreitende Sachverhalte. Will etwa die französische Staatsanwaltschaft im Rahmen eines Ermittlungsverfahrens an bestimmte Daten bei einem deutschen Unternehmen kommen, muss sie bislang ein kompliziertes Rechtshilfeverfahren durchlaufen. Das führt dann dazu, dass die deutsche Staatsanwaltschaft auf ein Unternehmen zugeht, die Daten herausverlangt und diese Daten nach Frankreich weitergibt.
Dieser komplizierte und langwierige Weg soll nun abgekürzt werden. In Zukunft soll die französische Staatsanwaltschaft unmittelbar an das deutsche Unternehmen herantreten können.
Welche Unternehmen sind betroffen?
Die Verordnung gilt für Diensteanbieter, die eine oder mehrere der folgenden Dienstleistungskategorien anbieten:
- elektronische Kommunikationsdienste (hierzu zählen Internetzugangsdienste, interpersonelle Kommunikationsdienste Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie Übertragungsdienste, die für die Maschine-Maschine-Kommunikation und für den Rundfunk genutzt werden)
- Internetdomänen- und IP-Nummerierungsdienste sowie
- andere Dienste der Informationsgesellschaft, die es ihren Nutzern ermöglichen, miteinander zu kommunizieren oder
- die es ermöglichen, für Nutzer, für welche die Dienstleistung erbracht wird, Daten zu speichern oder
- auf sonstige Weise zu verarbeiten, sofern die Speicherung von Daten ein bestimmender Bestandteil der für den Nutzer erbrachten Dienstleistung ist.
Die Unternehmen, die von a) und b) erfasst sind, sind relativ klar umgrenzt. Eine kompliziertere Frage ist aber, welche Unternehmen unter die Kategorie c fallen.
Ermöglicht ein Dienst die Kommunikation zwischen seinen Nutzern, fällt er in den Anwendungsbereich.
Davon erfasst sind danach z.B. Social-Media- oder Shopping-Plattformen mit Nachrichtenfunktion, über die die Nutzer unmittelbar miteinander kommunizieren können. Man denke etwa an Kleinanzeigen, eBay oder Vinted – deren Bestimmung ist es gerade, dass die Nutzer in Kontakt kommen, um den Vertragsschluss zu ermöglichen oder Nachfragen zum angebotenen Produkt zu stellen.
Können sich Nutzer im Rahmen von Online-Videospielen per Chat-Funktion miteinander austauschen, wäre auch ein solcher Dienst von der E-Evidence-Verordnung erfasst.
Es muss sich aber nicht um einen solche „private“ Kommunikation handeln. Denkbar ist auch eine öffentliche Kommunikation miteinander. Hierzu zählen etwa klassische Foren.
Auf zahlreichen Webseiten können User (Bewertungs-)Kommentare abgeben (z.B. auf Rezepte oder Nachrichten-Seiten) und auf diese Kommentare können andere User antworten. Auch das stellt eine Kommunikation der Nutzer miteinander dar, sodass auch diese Seiten erfassen sind.
Betroffen sind aber auch Webseiten, die es ihren Nutzern ermöglichen, usergenerated content zu speichern, sofern dies ein bestimmender Bestandteil für die Dienstleistung ist.
Sind auch Online-Shops betroffen?
Das Gesetz spricht davon, dass der Dienst es dem Nutzer ermöglichen muss, „Daten zu speichern oder auf sonstige Weise zu verarbeiten“, wobei die Speicherung von Daten ein bestimmender Bestandteil der erbrachten Dienstleistung sein muss. Der Anwendungsbereich ist also denkbar weit.
Ob Online-Shops betroffen sind, muss anhand der Funktionen des einzelnen Shops geprüft werden. Aber – SPOILER – ein Großteil der deutschen Online-Shops dürfte betroffen sein.
Online-Kundenkonto im Shop
Kann sich der Nutzer ein Kundenkonto anlegen und darin Daten wie etwa Liefer- und Rechnungsanschrift speichern? Dann ist der Anwendungsbereich eröffnet, da diese Art der Datenspeicherung ein bestimmender Bestandteil der erbrachten Dienstleistung ist.
Kundenbewertungen im Shop
Gleiches gilt, wenn Online-Shops anbieten, dass Kunden Bewertungen in Form von Kommentaren abgeben können. Hier stellt sich auch die Frage, ob dies ein bestimmender Bestandteil ist. Da in der E-Commerce-Branche in den letzten Jahren allerdings immer wieder betont wurde, dass Kundenbewertungen eines der wichtigsten Marketing-Mittel ist, wird man jetzt als Unternehmen nicht argumentieren können, dass dieser Dienst nur ein kleiner Nebenaspekt des erbrachten Dienstleistung „Online-Shopping“ ist.
Zwischenfazit
Ein sehr großer Teil der Online-Shops ist aus unserer Sicht von den neuen Regelungen betroffen.
Dabei ist es irrelevant, ob es sich um ein B2B- oder ein B2C-Unternehmen handelt.
Es dürfte also ein verbreiteter Irrtum sein, die E-Evidence-Verordnung betreffe ausschließlich große Plattformen, soziale Netzwerke oder internationale Cloud-Anbieter. Tatsächlich knüpft das Gesetz nicht an Marktgröße oder Umsatz an, sondern an die Art der Datenverarbeitung und deren Bedeutung für die Erbringung der Dienstleistung.
Was passiert, wenn ein Shop von der E-Evidence-Verordnung betroffen ist?
Kommt man zu dem Ergebnis, dass der Anwendungsbereich eröffnet ist, stellt sich natürlich die Frage, was daraus folgt.
Die Verordnung sieht zwei zentrale Elemente vor: Die Europäische Herausgabeanordnung (sog. EPOC) und die Europäische Sicherungsanordnung (sog. EPOC-PR).
Die Europäische Herausgabeanordnung (EPOC)
Mit der EPOC kann eine ausländische Behörde von einem Diensteanbieter die Herausgabe bestimmter Daten verlangen. Diese Daten sind in der EPOC konkret benannt. Es können Bestandsdaten, aber auch Verkehrsdaten und die Ausleitung der Inhalte von Kommunikation angefordert werden.
Zu de Datenkategorien gehören:
- Identität des Kunden oder Nutzers
- Technische Merkmale, die der Identifizierung dienen können
- Verkehrsdaten, z.B. Quelle und Zieladresse beim Verbindungsaufbau und die Inhalte der Kommunikation
Grundsatz: 10 Tage Frist
Erhält das Unternehmen eine EPOC, wird es gemäß Art. 10 Abs. 1 der Verordnung umgehend zur Sicherung der angeforderten Daten tätig. Spätestens nach 10 Tagen muss das Unternehmen grundsätzlich die angeforderten Daten an die Behörde, von der die EPOC kommt, übermitteln.
Notfallfrist: ACHT STUNDEN
In einem Notfall muss das Unternehmen die angeforderten Daten aber unverzüglich, spätestens jedoch innerhalb von acht Stunden nach Erhalt der EPOC übermitteln.
Ein Notfall ist nach der Definition in der Verordnung eine Situation, in der eine unmittelbare Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person oder für eine kritische Infrastruktur besteht, wenn die Störung oder Zerstörung einer kritischen Infrastruktur zu einer unmittelbaren Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person führen würde, auch durch die schwere Beeinträchtigung der Bereitstellung der Grundversorgung für die Bevölkerung oder der Wahrnehmung der Kernfunktionen des Staates.
Liegt ein solcher Notfall vor, müssen die Gründe für die Annahme eines solchen Notfalls in der EPOC enthalten sein. Unternehmen müssen also nicht selbst prüfen, ob ein Notfall vorliegt oder nicht.
Kommt die EPOC in einem Notfall also samstags um 21 Uhr rein, müssen bis spätestens Sonntag 5 Uhr alle in der EPOC angeforderten Daten übermittelt werden.
Was ist, wenn Daten nicht herausgegeben werden können?
Können die angeforderten Daten aufgrund einer faktischen Unmöglichkeit nicht herausgegeben werden, unterrichtet das Unternehmen die Anordnungsbehörde darüber.
Das ist etwa der Fall, wenn die angeforderten Daten im Unternehmen gar nicht gespeichert werden. Wird im EPOC etwa das Geburtsdatum eines Nutzers mit angefordert, aber dieses liegt im Unternehmen nicht vor, dann kann es natürlich auch nicht herausgegeben werden.
In einem solchen Fall informiert das Unternehmen die Anordnungsbehörde unter Verwendung eines in Anhang III E-Evidence-Verordnung vorgesehenen Formulars.
Wichtig: Die E-Evidence-Verordnung verpflichtet ausschließlich zur Herausgabe von Daten, bereits zum Zeitpunkt des Erhalts der EPOC gespeichert sind. Die Verordnung enthält keine allgemeine Verpflichtung, dass Daten allgemein und unterschiedslos (auf Vorrat) gespeichert werden.
Die Europäische Sicherungsanordnung (EPOC-PR)
Von der EPOC zu unterscheiden ist die EPOC-PR, die Europäische Sicherheitsanordnung.
Auch bei der EPOC-PR erhält das Unternehmen eine Anordnung von einer Behörde aus einem anderen Mitgliedstaat. Darin wird dann aber nicht die Herausgabe bestimmter Daten angeordnet, sondern die Sicherung.
Diese Sicherungsanordnung soll es – vereinfacht gesagt – der anordnenden Behörde ermöglichen, eine Herausgabeanordnung noch vorzubereiten und ggfs. bei Gericht zu beantragen. Durch die Sicherungsanordnung ist dann aber sichergestellt, dass zum Zeitpunktes des Erlasses und Übermittlung der Herausgabeanordnung überhaupt noch die entsprechenden Daten zur Verfügung stehen und nicht etwa im Rahmen eines Löschkonzeptes gelöscht wurden.
Grundsätzlich muss diese Sicherung dann für 60 Tage erfolgen, kann von der Behörde aber um weitere 30 verlängert werden.
Auch hier gilt: Kann das Unternehmen die Daten in Folge einer faktischen Unmöglichkeit nicht sichern, teilt es dies der Behörde mit – ebenfalls unter Verwendung des Formulars in Anhang III der Verordnung. Aber Achtung: „Nicht genügend Speicherplatz“ ist kein valider Grund für eine faktische Unmöglichkeit. Insoweit müssen sich Unternehmen also auch technisch auf eine eventuell notwendige Speicherung vorbereiten.
Was passiert, wenn man nicht reagiert?
Kommt man der EPOC oder der EPOC-PR nicht nach, können finanzielle Sanktionen verhängt werden – in Höhe von bis zu 2 % des im vorhergehenden Geschäftsjahr weltweit erzielten Jahresumsatzes.
Dezentrales IT-System
Damit – wie eingangs beschrieben – eine Vereinfachung und Beschleunigung des Verfahrens erreicht werden kann, wird ein dezentrales IT-System eingeführt. Hierfür wird das IT-System e-CODEX („electronic Communication via Online Data Exchange“) verwendet. Die schriftliche Kommunikation zwischen den Behörden und den Unternehmen erfolgt über dieses System.
Um über e-CODEX empfangsbereit sein zu können, müssen sich die betroffenen Unternehmen bis zum 18. August 2026 auf einer Notification-Platform der EU anmelden, um die Daten ihrer Adressaten an eine Datenbank (die Court Data Base, CDB) zu übermitteln. Diese Daten werden dann validiert.
Wurden Sie validiert, erhalten Sie Zugangsdaten zu einer von der EU-Kommission entwickelten Software namens JUDEX. Große Unternehmen können dann auch eigene Systeme über eine Schnittstelle an JUDEX anbinden.
Wichtig: Diese Anmeldung und Validierung ist notwendig, um den ab 18. August 2026 geltenden Verpflichtungen nachkommen zu können.
Das vollständige Anmeldeprozedere ist auf der Webseite des Bundesamtes für Justiz erklärt.
Ab wann gilt die E-Evidence-Verordnung?
Die E-Evidence-Verordnung gilt ab dem 18. August 2026. Bis zu diesem Tage müssen sich die betroffenen Unternehmen auch bei der Notification-Platform der EU angemeldet haben.
Fazit
Der Anwendungsbereich der E-Evidence-Verordnung ist denkbar weit gefasst. Für betroffene Unternehmen bedeuten die neuen Vorgaben umfassende Anpassung der Systeme bzw. Prozesse. Neben der erforderlichen Registrierung und Anmeldung auf der Plattform zur Entgegennahme von EPOC und EPOC-PR muss sichergestellt werden, dass die internen Abläufe so gestaltet sind, dass auf eine Herausgabe- oder Sicherungsanordnung auch reagiert werden kann. Hierbei sind insbesondere die Fristen – im Notfall: acht Stunden – zu beachten. Gerne unterstützen wir Sie bei der Prüfung, ob Sie von der neuen E-Evidence-Verordnung betroffen sind und auch bei der Umsetzung der dann notwendigen Prozesse.
Abschließender Hinweis: Wir haben den Ablauf der EPOC und EPOC-PR hier nur grob beschrieben. Es gibt noch weitere Details, etwa zur Ablehnung und Prüfung, auf deren Darstellung wir hier aus Gründen der Übersichtlichkeit verzichtet haben. Parallel zu der Verordnung gibt es auch die E-Evidence-Richtlinie, die in Deutschland bereits in nationales Recht umgesetzt wurde. Hieraus können sich ggfs. weitere Pflichten und Details ergeben. Gerne können wir diese im Rahmen der individuellen Beratung aber näher darstellen.
Reparieren statt austauschen wird künftig zur rechtlichen Leitlinie. Das EU-weit geplante Recht auf Reparatur verändert Gewährleistung, Nacherfüllung und Produktgestaltung grundlegend. Die Hersteller geraten stärker in die Pflicht, Händler haften länger und fehlende Reparierbarkeit wird zum Sachmangel. Die konkreten Auswirkungen des geplanten Gesetzes erläutern wir in diesem Artikel.
Mit dem geplanten Gesetz zur Umsetzung der Richtlinie (EU) 2024/1799 über das Recht auf Reparatur steht eine der weitreichendsten Reformen des kaufrechtlichen Verbraucherschutzes und damit der Anforderungen an Hersteller und Händler der letzten Jahre bevor.
Das Ziel der Änderungen besteht darin, die Reparatur von Produkten zu fördern, nachhaltigen Konsum zu stärken und strukturelle Defizite im bisherigen Gewährleistungsrecht zu beseitigen.
Die dem Gesetzesentwurf zugrundeliegende europäische Warenreparatur-Richtlinie sieht hierzu mehrere Punkte vor, von denen mit dem nun vorgelegten Gesetzentwurf die folgenden drei umgesetzt werden sollen:
- das Recht auf Reparatur;
- neues Gewährleistungsrecht;
- das Europäische Formular für Reparaturinformationen.
Die Neuregelungen betreffen nicht nur Hersteller, sondern wirken – teils unmittelbar, teils mittelbar – auch auf Händler und andere Marktakteure.
Hintergrund und Zielsetzung des Gesetzes
Ausgangspunkt der Reform ist die europäische Warenreparatur-Richtlinie, die bis spätestens zum 31. Juli 2026 in nationales Recht umzusetzen ist. Es handelt sich um eine vollharmonisierende Richtlinie, d.h. die nationalen Gesetzgeber dürfen weder strengere noch weniger strenge Vorschriften erlassen, es sei denn, die Richtlinie sieht dies explizit vor.
Inhaltlich verfolgt das Gesetz mehrere Ziele: Verbraucherinnen und Verbraucher sollen funktionsfähige Produkte länger nutzen können, die Reparatur soll wirtschaftlich attraktiver werden, und Hersteller sollen stärker in die Verantwortung genommen werden, reparaturfreundliche Produkte auf den Markt zu bringen. Gleichzeitig soll der Binnenmarkt gestärkt werden, indem einheitliche Vorgaben zur Reparierbarkeit und Ersatzteilversorgung gelten.
Das neue eigenständige Recht auf Reparatur
Das Kernstück der Reform ist die Einführung eines eigenständigen Anspruchs des Verbrauchers auf Reparatur gegenüber dem Hersteller.
Damit das Recht auf Reparatur gilt, müssen drei Voraussetzungen erfüllt sein:
- die Ware muss bestimmten Produktgruppen angehören, die in Anhang II der Richtlinie (EU) 2024/1799 genannt sind (siehe unten),
- der Käufer muss Verbraucher sein und
- die gesetzliche Gewährleistung greift nicht oder nicht mehr.
Nur bestimmte Produktgruppen
Das Recht auf Reparatur greift nur für bestimmte Produktgruppen. Dies sind aktuell:
- Haushaltswaschmaschinen und Haushaltswaschtrockner
- Haushaltsgeschirrspüler
- Kühlgeräte
- Elektronische Displays
- Schweißgeräte
- Staubsauger
- Server und Datenspeicherprodukte
- Mobiltelefone, schnurlose Telefone und Slate-Tablets
- Haushaltswäschetrockner
- Waren, die Batterien für leichte Verkehrsmittel enthalten
Um zu prüfen, welche Produkte konkret erfasst sind, muss man in den Anwendungsbereich der jeweiligen Verordnungen schauen. Das macht das Ganze sehr kompliziert. So greift die Verordnung für Staubsauger z.B. nicht für Akkusauger oder Saugroboter, also greift auch das Recht auf Reparatur nicht für diese Produkte.
Nur für Verbraucher
Erfasst sind nur Produkte, die von einem Verbraucher gekauft wurden. Das Recht auf Reparatur greift also ausschließlich im B2C-Bereich.
Keine gesetzliche Gewährleistung
Der Anspruch besteht, wenn die Gewährleistung nicht oder nicht mehr greift, also insbesondere nach Ablauf der zweijährigen Gewährleistungsfrist oder in Fällen, in denen das Gewährleistungsrecht gar nicht gilt.
Beispiel:
Ist das Display eines Handys bei Lieferung bereits kaputt, greift das Gewährleistungsrecht gegen den Händler, aber nicht das Recht auf Reparatur gegen den Hersteller.
Fällt dem Verbraucher aber das Handy irgendwann nach der Lieferung auf den Fußboden und das Display zerspringt, hat der Verbraucher keine Gewährleistungsrechte gegen den Händler, dann würde aber das neue Recht auf Reparatur greifen.
Das Recht auf Reparatur kann aber auch während der Gewährleistungsfrist bestehen. Wichtig ist nur, dass für den konkreten Fehler kein Gewährleistungsrecht besteht.
Anspruch gegen den Hersteller
Der Anspruch richtet sich gegen den Hersteller.
Verbraucher können verlangen, dass die genannten Produkte innerhalb eines angemessenen Zeitraums entweder unentgeltlich oder zu einem angemessenen Preis repariert werden. Der Preis darf neben Material- und Arbeitskosten auch eine übliche Gewinnspanne enthalten.
Eine Verpflichtung zur kostenlosen Reparatur besteht also nicht generell, sondern nur, soweit dies nach den Umständen geboten ist.
Anspruch gegen den Händler?
In Ausnahmefällen kann das Recht auf Reparatur auch gegen den Händler bestehen.
Hat der Hersteller seinen Sitz außerhalb der Europäischen Union, so treffen seinen Beauftragten in der EU die Pflichten des Herstellers. Hat der Hersteller keinen Beauftragten, so treffen den Importeur der betreffenden Ware diese Pflichten. Gibt es aber auch keinen Importeur, so treffen den verkaufenden Händler der betreffenden Ware die Pflichten zur Recht auf Reparatur.
Händler sollten das bei der Auswahl ihres Sortimentes und der Lieferkette beachten.
Voraussetzung: „fehlerhaftes Produkt“
Das Recht auf Reparatur greift nur bei „fehlerhaften Produkten“, wobei es der Gesetzgeber unterlassen hat, diesen Begriff zu definieren.
Erwähnt wird das „fehlerhafte Produkt“ im Rahmen der Definition der Reparatur. Demnach versteht man unter
„Reparatur“ eine oder mehrere Maßnahmen, die durchgeführt werden, um ein fehlerhaftes Produkt oder Abfall in einen Zustand zurückzuversetzen, in dem der vorgesehene Verwendungszweck erfüllt wird.
Es geht also darum, dass ein Produkt nicht mehr den vorgesehenen Verwendungszweck hat – nur dann bedarf es einer Reparatur. Es geht also nicht darum, Kratzer zu „reparieren“.
Unklar bleibt in der Definition, an welcher Stelle der Verwendungszweck vorgesehen sein soll: In einer vertraglichen Abrede? Wohl kaum, da der Käufer regelmäßig keine vertraglichen Abreden mit dem Hersteller getroffen hat.
Man wird also von einem Verwendungszweck ausgehen müssen, der dem Produkt immanent ist. Mit einer Waschmaschine soll man Wäsche waschen können – nicht mehr und nicht weniger ist der vorgesehene Verwendungszweck einer Waschmaschine.
Wie lange greift das Recht auf Reparatur?
Die Dauer des Anspruchs auf Reparatur ist abhängig von den einzelnen Produkten.
Beispielsweise gilt für Smartphones, dass Ersatzteile wie Batterien, Displaybaugruppen oder Lautsprecher künftig für einen Mindestzeitraum von sieben Jahren nach dem Datum der Beendigung des Inverkehrbringens zur Verfügung stehen müssen.
Für Haushaltswaschmaschinen und Haushaltswäschetrockner gilt hingegen ein Zeitraum von zehn Jahren für die Verfügbarkeit von Ersatzteilen wie Motor, Pumpen, Stoßdämpfer und Federn.
Es kommt dabei also nicht darauf an, wann der Verbraucher sein spezielles Produkt gekauft hat, sondern darauf, wie lange der Hersteller das entsprechende Modell grundsätzlich noch verkauft.
Technische Schutzmaßnahmen und Ersatzteile
Hersteller sollen grundsätzlich keine Software, Codesperren oder sonstigen technischen Mittel einsetzen dürfen, die eine Reparatur durch Dritte, etwa durch unabhängige Werkstätten, behindern.
Ausnahmen sind nur zulässig, wenn legitime und objektive Gründe vorliegen, etwa der Schutz geistigen Eigentums oder Sicherheitsinteressen. Die Hürden hierfür sind hoch, sodass in der Praxis mit einer restriktiven Auslegung zu rechnen ist.
Zudem werden Hersteller verpflichtet, Ersatzteile und notwendige Werkzeuge zu einem angemessenen Preis zur Verfügung zu stellen. Auch dies ist ein zentraler Baustein zur Förderung eines funktionierenden Reparaturmarktes und wirkt sich mittelbar auf Händler aus, die mit Reparaturdienstleistungen oder Serviceangeboten werben.
Der Hersteller darf eine Reparatur auch nicht deshalb ablehnen, weil zuvor schon eine Reparatur von jemand anderem vorgenommen wurde.
Neues Gewährleistungsrecht
Ein weiteres Kernstück des Gesetzentwurfs betrifft das Gewährleistungsrecht.
Reparierbarkeit als neue Dimension des Sachmangels
Von erheblicher praktischer Bedeutung ist die geplante Klarstellung zur Reparierbarkeit von Produkten. Künftig soll gelten: Produkte, bei denen üblicherweise erwartet werden kann, dass sie repariert werden können, müssen auch tatsächlich reparierbar sein. Ist dies nicht der Fall, liegt ein Sachmangel vor.
Diese Regelung verschiebt den bisherigen Fokus des Mangelbegriffs. Nicht mehr allein Funktionalität und Vertragsgemäßheit stehen im Vordergrund, sondern auch die strukturelle Reparierbarkeit des Produkts. Ein Produkt kann somit auch dann mangelhaft sein, wenn es zwar funktioniert, sich im Defektfall aber nicht oder nur unter unzumutbaren Bedingungen reparieren lässt.
Für die Praxis bedeutet dies insbesondere für Händler ein erhöhtes Risiko. Sie haften im Gewährleistungsrecht gegenüber Verbrauchern auch für solche Mängel, die ihre Ursache in der Produktgestaltung durch den Hersteller haben. Zwar besteht grundsätzlich ein Lieferantenregress, dieser setzt jedoch funktionierende Regressketten und entsprechende vertragliche Absicherungen voraus. Sitzt der Hersteller in Fernost dürfte der Händler es wohl schwer haben, seinen Lieferantenregress durchzusetzen.
Im Verkehr zwischen Unternehmern (also B2B) kann vertraglich vereinbart werden, dass eine fehlende Reparierbarkeit keinen Mangel darstellt.
Anspruch auf Nacherfüllung und Wahlrecht des Verbrauchers
Unverändert bleibt grundsätzlich das bestehende System der kaufrechtlichen Mängelrechte. Verbraucher haben bei einem von Anfang an mangelhaften Produkt weiterhin einen Anspruch auf Nacherfüllung, also auf Reparatur oder Ersatzlieferung. Neu ist jedoch die gesetzliche Aufwertung der Reparatur gegenüber der Neulieferung.
Verlängerung der Gewährleistungsfrist um 12 Monate
Entscheidet sich der Verbraucher im Gewährleistungsfall bewusst für die Reparatur, obwohl er auch eine Ersatzlieferung verlangen könnte, verlängert sich die Gewährleistungsfrist um zwölf Monate auf insgesamt drei Jahre. Diese Verlängerung betrifft ausschließlich das Verhältnis zum Verkäufer.
Informationspflichten
Flankiert wird die Verlängerung der Gewährleistungsfrist durch neue Informationspflichten. Verkäufer müssen Verbraucher künftig vor Durchführung der Nacherfüllung darüber informieren, dass sie zwischen Nachbesserung und Ersatzlieferung wählen können und dass eine Nachbesserung zur Verlängerung der Gewährleistungsfrist um 12 Monate führt.
Unklar ist noch, wann, wo und wie diese Informationspflichten zu erfüllen sind. Muss dies geschehen, wenn der Verbraucher sein Gewährleistungsrecht ausübt? Oder kann man eine entsprechende Info einfach in die AGB einfügen? Gilt dies gar als wesentlicher Aspekt des Gewährleistungsrechtes, der im Rahmen der allgemeinen Informationspflichten zu erfüllen ist? Muss die EU die ab September gesetzlich zwingend vorgeschriebene harmonisierte Mitteilung über das Gewährleistungsrecht noch einmal anpassen? All diese Fragen lässt der Gesetzgeber bisher unbeantwortet, was das Risiko für Händler erhöht.
Das Europäischen Formular für Reparaturinformationen
Als weiteres Instrument zur Förderung von Reparaturen führt der Gesetzgeber das Europäische Formular für Reparaturinformationen ein. Es ist speziell für Reparaturbetriebe gedacht. Als Reparaturbetrieb soll jeder Unternehmer gelten, der eine Reparaturleistung erbringt, einschließlich des Herstellers und des Unternehmers, der die Ware verkauft hat.
Eins vorweg: Das Formular ist freiwillig. Es besteht aktuell keine gesetzliche Pflicht, dieses Formular zu verwenden.
Wer das Formular verwendet, muss unter anderem Angaben zum Defekt, zur vorgesehenen Reparaturmaßnahme, zum Preis einschließlich Arbeitskosten, zur Reparaturdauer sowie zur Gültigkeitsdauer des Angebots tätigen.
Das Formular aus dem aktuellen Gesetzentwurf können Sie hier als PDF aufrufen. Das Formular ist dem Verbraucher auf einem dauerhaften Datenträger zu übermitteln, also beispielsweise auf Papier oder per E-Mail.
Ziel soll es sein, Reparaturangebote vergleichbar zu machen und Informationsasymmetrien beim Verbraucher zu beseitigen. Diese haben bislang nach Einschätzung des Gesetzgebers dazu geführt, dass Verbraucher sich vorschnell für eine Neuanschaffung und gegen eine Reparatur entschieden haben.
Wird das Formular vollständig ausgefüllt verwendet, ist dies gleichzeitig ein Antrag zur Schließung eines Reparaturvertrags mit dem im Formular angegebenen Inhalt. An den Antrag ist der Reparaturbetrieb nach dem Zugang beim Verbraucher 30 Kalendertage gebunden. Der Reparaturbetrieb kann aber auch eine längere Gültigkeitsdauer für den Antrag bestimmen, Art. 245 § 3 Abs. 3 EGBGB-RefE.
Außerdem wird vermutet, dass der Reparaturbetrieb bestimmte gesetzliche Informationspflichten erfüllt, wenn er das Formular korrekt und vollständig ausgefüllt verwendet. Eine solche Privilegierung kennt man schon von der Muster-Widerrufsbelehrung.
Ob sich das Formular durchsetzen wird, muss abgewartet werden. Es kommt dabei wohl auch auf die Akzeptanz des Verbrauchers an, dass er bei jeder noch so kleinen Reparatur 2 DIN-A4-Seiten bekommt oder ob er seine E-Mail-Adresse zur Verfügung stellen möchte.
Inkrafttreten und Übergangsfristen
Das neue Recht soll nach aktuellen Planungen am 31. Juli 2026 in Kraft treten.
Auf Kaufverträge, die vor dem 31. Juli 2026 geschlossen wurden, ist weiterhin das „alte“ Recht anzuwenden. Es kommt also auf den Vertragsschluss, nicht etwa auf die Lieferung der Ware an.
Fazit
Das geplante Recht auf Reparatur markiert einen deutlichen Systemwechsel. Reparierbarkeit wird zu einem rechtlich relevanten Qualitätsmerkmal, die Reparatur selbst zu einem zentralen Instrument der Verbraucherpolitik. Für Hersteller bedeutet dies erhebliche Anpassungen in Produktdesign, Ersatzteilmanagement und After-Sales-Strukturen. Händler sehen sich mit erweiterten Haftungsrisiken, neuen Informationspflichten und längeren Gewährleistungszeiträumen konfrontiert.
Für alle Marktteilnehmer gilt: Die verbleibende Zeit bis zum Inkrafttreten sollte genutzt werden, um Verträge, Prozesse und Produktstrategien zu überprüfen und an die neue Rechtslage anzupassen. Das Recht auf Reparatur ist kein Randthema, sondern ein struktureller Eingriff in das bestehende Gefüge des Kauf- und Produkthaftungsrechts.
Am Freitag, 8. Mai 2026, wird sich der Bundesrat mit dem Gesetzentwurf erstmalig beschäftigen. Der Rechtsausschuss hat umfangreiche Änderungen vorgeschlagen. Anschließend geht das Gesetz in den Bundestag.
Wir halten Sie über die weiteren Entwicklungen im Rahmen des Gesetzgebungsprozesses auf dem Laufenden und unterstützen Sie gern bei der Umsetzung.
Im Online-Handel wird es ab 19. Juni 2026 eine elektronische Widerrufsfunktion, den sog. Widerrufsbutton, geben. Damit sollen Verbraucherrechte gestärkt werden. Aber was bedeutet das für Unternehmen?
Widerrufsbutton: Verbraucherfreundliche Innovation oder neues Risiko für Unternehmer?
Verbraucherinnen und Verbraucher sollen Verträge künftig genauso einfach widerrufen können, wie sie sie online abgeschlossen haben – per Klick auf einen sogenannten Widerrufsbutton.
Was als Fortschritt im digitalen Verbraucherschutz angekündigt wird, entpuppt sich bei näherem Hinsehen als komplexes Vorhaben mit zahlreichen rechtlichen Unsicherheiten auf Seiten der Unternehmen.
Die Anforderungen an Gestaltung, Platzierung und technische Umsetzung des Buttons sind hoch – und die Folgen bei Verstößen erheblich.
Neue Pflicht für alle Online-Anbieter
Die neue Pflicht findet sich ab 19. Juni 2026 in § 356a BGB.
Unternehmer, die Fernabsatzverträge über eine Online-Benutzeroberfläche schließen, müssen eine elektronische Widerrufsfunktion bereitstellen. Diese muss gut lesbar, während des Laufs der Widerrufsfrist auf der Online-Benutzeroberfläche ständig verfügbar, leicht zugänglich und hervorgehoben platziert sein.
Doch was genau bedeuten diese Anforderungen? Reicht ein Text-Link im Footer? Muss es ein Button sein? Muss die Funktion auch dann angezeigt werden, wenn die Widerrufsfrist längst abgelaufen ist? Oder wäre dies gar eine abmahnfähige Irreführung?
Der Gesetzgeber bleibt hier vage – mit erheblichen Risiken für die unternehmerische Praxis und den Wettbewerb.
Wird die Widerrufsfunktion falsch oder unzureichend umgesetzt, drohen Abmahnungen durch Mitbewerber und Verbände, Bußgelder sowie unter bestimmten Umständen eine Verlängerung der Widerrufsfrist um bis zu zwölf Monate und 14 Tage.
Technische Umsetzung mit juristischen Fallstricken
Die Vorgaben gehen weit über eine einfache „Schaltfläche“ hinaus. Unternehmen müssen z.B. auch sicherstellen, dass eine Eingangsbestätigung unverzüglich verschickt wird und dass die Kommunikation des Widerrufs nachvollziehbar dokumentiert werden kann.
Problematisch ist insbesondere die Beweislastverteilung: Der Verbraucher muss nachweisen, dass er den Widerruf rechtzeitig abgesendet hat – was schwierig werden kann, wenn die technische Bestätigung verzögert oder gar nicht erfolgt.
Mehr Bürokratie statt echten Mehrwerts?
Ziel der Reform ist es, Verbraucherinnen und Verbrauchern einen niedrigschwelligen Zugang zum Widerruf zu bieten. Doch ob das wirklich nötig ist, darf bezweifelt werden. Schon heute können Verbraucher ihren Widerruf formfrei, etwa per E-Mail, erklären und die hohen Rücksendequoten der Online-Händler zeigen, dass Verbraucher sehr gut wissen, wie sie den Widerruf erklären können.
Statt einer echten Erleichterung entsteht für Unternehmen ein erheblicher bürokratischer und technischer Aufwand – zumal viele Anbieter längst kundenfreundliche Rücksendeprozesse über ihre Onlineshops etabliert haben.
Die Kostenannahmen der Bundesregierung, wonach die Umsetzung nur rund 240 Euro pro Unternehmen an Aufwand verursachen soll, sind daher kaum realistisch. Neben der technischen Implementierung kommen rechtliche Prüfungen, anwaltliche Beratung und Anpassungen sämtlicher Informationspflichten hinzu.
Anpassung der Widerrufsbelehrung
Die Einführung der elektronischen Widerrufsfunktion hat (natürlich) auch eine Anpassung der Widerrufsbelehrung zur Folge. Erneut müssen juristische Texte angepasst und die Änderung genau nachverfolgt werden, damit keine Fehler entstehen. Auf Unternehmen kommt damit im Bereich des Widerrufsrechtes viel Arbeit zu.
Handlungsbedarf und Ausblick
In allen B2C Online-Shops muss die elektronische Widerrufsfunktion ab dem 19. Juni 2026 zur Verfügung stehen.
Das ist ja noch lange hin…?
Der 19. Juni 2026 klingt noch weit entfernt. Da hier aber neue Funktionen auf der Webseite etabliert und evtl. sogar mit den Kundenkonten verknüpft werden müssen, dürfte ein hoher IT-Aufwand hinter der Umsetzung stecken. Die Anpassung der rechtlichen Texte dürfte dabei noch die geringste Rolle einnehmen.
Die Anpassungen sollten also frühzeitig in bestehende oder neue Projekte eingeplant werden.
Factsheet zum Widerrufsbutton
Als Hilfe für die Umsetzung haben wir ein Factsheet erstellt. Dies können Sie hier als PDF abrufen:
Aufsatz zu Details
Welche Auswirkungen das Gesetz zur Einführung des Widerrufsbuttons auf die Praxis hat und welche Fragen noch offen sind, hat Martin Rätze ausführlich in der Zeitschrift Wettbewerb in Recht und Praxis WRP dargestellt.
Den Aufsatz können Sie hier herunterladen.
Fazit
Noch sind es 100 Tage. Aufgrund der technischen Komplexität sollten Sie die Planungen zur Implementierung der elektronischen Widerrufsfunktion frühzeitig beginnen.
Gerne unterstützen wir Sie bei der Umsetzung der neuen gesetzlichen Vorgaben in Ihrem Shop. Sprechen Sie uns an.
In diesem Jahr treten zahlreiche gesetzliche Neuerungen in Kraft, die enorme Auswirkungen für Unternehmer haben: Änderung des UWG, KI-Verordnung, Widerrufsbutton. Auf dem Frankfurter Symposium der WRP werden die Details auch von TCI Rechtsanwälte praxisnah dargestellt.
Der 24. Frankfurter Symposium der WRP findet am 25. Juni 2026 als Online-Konferenz statt.
Es erwarten Sie diese Vortragsthemen:
- Neues aus dem Ministerium
- Was bringt das 3. UWG-Änderungsgesetz Neues für die Praxis aus richterlicher Sicht?
- KI im Marketing – Neue Transparenzpflichten für Unternehmen
- Werbung mit Umweltaussagen: Praxisfragen zur EmpCo-Umsetzung im 3. UWG-Änderungsgesetz aus anwaltlicher Sicht
- Kennen Sie Gadu-Gadu? – Fragen zur Umsetzung des neuen Widerrufsbuttons in der Praxis
Namhafte Dozenten aus Wissenschaft und Praxis erläutern die Änderungen des Jahres.
Von TCI Rechtsanwälte wird Martin Rätze die Umsetzung des Widerrufsbuttons in der Praxis darstellen. Dieser muss dann schon seit 6 Tagen in allen B2C-Online-Shops zur Verfügung stehen.
Das vollständige Programm und eine Möglichkeit zur Anmeldung finden Sie hier.
Wir freuen uns auf Sie!
Das Verbraucherwiderrufsrecht bleibt eines der dynamischsten und zugleich haftungsträchtigsten Felder des Vertriebsrechts. Bereits zum vierten Mal analysieren Martin Rätze und RA Rolf Becker in der juristischen Fachzeitschrift Wettbewerb in Recht und Praxis (WRP) die praktischen Entwicklungen rund um das Widerrufsrecht.
Fernabsatzvertrag und Stellvertretung: Verbraucherschutz trotz eingeschalteter Berater
Ein Schwerpunkt des Aufsatzes liegt auf einem aktuell bei EuGH anhängigen Verfahren zur Verbrauchereigenschaft und zum Fernabsatzvertrag – insbesondere in Konstellationen, in denen Verbraucher Architekten als Berater einschalten. Das Verfahren wirft die grundlegende Frage auf, ob der Verbraucherschutz noch greift, wenn ein fachkundiger Dritter den Vertrag vorbereitet oder begleitet.
Wertersatz und Treu und Glauben: Missbrauch bleibt die Ausnahme
Große praktische Bedeutung hat zudem die Frage, ob und in welchen Ausnahmefällen Unternehmer trotz fehlender Widerrufsbelehrung Wertersatz verlangen können. Anlass ist das gleiche Vorlageverfahren, in dem zusätzlich über missbräuchliche Widerrufsausübung diskutiert wird.
Muster-Widerrufsformular und Fristbeginn: Der EuGH als nächster Taktgeber
Mit Spannung wird eine weitere Entscheidung des EuGH erwartet: Wie wichtig ist das Muster-Widerrufsformular? Hier geht es um nichts weniger als die Frage, ob ohne Formular die Widerrufsfrist überhaupt zu laufen beginnt – und ob das Widerrufsrecht selbst bei vollständiger Vertragserfüllung fortbestehen kann. Insbesondere im Bereich des Handwerks gab es in der Vergangenheit Urteile, durch die der Verbraucher vollständig erbrachte Dienstleistungen nicht bezahlen musste.
Fazit: Widerrufsrecht bleibt Dauerbaustelle
Der Aufsatz zeigt: Das Widerrufsrecht entwickelt sich weiter weg von klaren Standards hin zu einer immer stärker kasuistisch geprägten Materie. Unternehmen sind gut beraten, ihre Belehrungen und Prozesse regelmäßig zu überprüfen und neue Rechtsprechung eng zu verfolgen.
Künstliche Intelligenz (KI) spielt auch im Marketing eine immer größere Rolle. Logos, Claims, aber auch Werbetexte können von einer KI erstellt werden. Was diese Entwicklung für das Markenrecht bedeutet, soll nachfolgend anhand einzelner Fragen erläutert werden.
Markenrechtlicher Schutz für KI-generierte Inhalte?
Für die Bezeichnung eines Unternehmens, aber auch für Produkte versucht man immer, kreative und einprägsame Bezeichnungen zu finden. So können die eigenen Waren oder Dienstleistungen von denjenigen anderer Unternehmen unterschieden werden.
Um die eigene Bezeichnung rechtlich schützen zu lassen, bietet es sich an, diese als Marke eintragen zu lassen. Damit erhält man ein alleiniges Nutzungsrecht für das geschützte Zeichen, in Bezug auf die benannten Waren und Dienstleistungen. So kann man sich gegen eine unbefugte Verwendung oder Nachahmung desZeichens durch Dritte zur Wehr zu setzen.
Dabei können auch solche Zeichen, Slogans oder Logos , die durch eine KI erstellt wurden, markenrechtlich geschützt werden. In den Markengesetzen finden sich keine Beschränkung für KI-generierte Zeichen.
Für eine Eintragung eines Zeichens als Marke kommt es also, anders als bei einem urheberrechtlichen Schutz, nicht darauf an, wie ein Logo entstanden ist. KI-generierte Inhalte sind in Deutschland insofern zwar nicht urheberrechtlich geschützt, können aber als Marke eingetragen werden.
Dürfen KI-generierte Inhalte kommerziell genutzt werden?
Unabhängig von dem mangelnden urheberrechtlichen Schutz KI-generierter Inhalte ist jedoch, die Frage der Nutzung des KI-Tools zu betrachten. Ob ein KI-Tool und damit auch der KI-generierte Inhalt, beispielsweise ein Logo kommerziell genutzt werden darf, hängt von den jeweiligen Nutzungsbedingungen des verwendeten KI-Tools ab, mit welchem der Inhalt erstellt wurde.
In der Regel muss zunächst ein kostenpflichtiger Account erstellt werden, bevor der generierte Inhalt privat oder kommerziell genutzt werden darf. Man sollte also zunächst die jeweiligen Nutzungsbedingungen dahingehend prüfen.
Wer haftet für KI-generierte Inhalte?
Die Nutzung von KI-generierten Logos erfolgt allerdings auf eigenes Risiko. Das heißt, der Nutzer haften, wenn das Logo die Markenrechte oder Urheberrechte Dritter verletzt.
Da generierte Inhalte aus vorbestehenden Inhalten bzw. einem bekannten Formenschatz erstellt werden, kann es schnell vorkommen, dass markenrechtlich geschützte Zeichen in dem von einer KI generierten Inhalt identisch oder ähnlich übernommen werden. Auch wenn dies weder gewünscht noch bekannt ist, haften Sie für eine mögliche Rechtsverletzung.
Vor der Nutzung oder der Registrierung eines KI-generierten Inhalts als Marke ist es daher dringend zu empfehlen, eine Markenrecherche durchzuführen bzw. zu prüfen, ob das Zeichen Urheberrechte Dritter verletzt.
Fazit
Die KI bietet unter anderem im Marketing viele neue Möglichkeiten. Für die Nutzung von KI-generierten Inhalten trägt der Nutzer jedoch die volle Verantwortung. Vor der Nutzung solcher Inhalte sollte insofern geprüft werden, ob hierdurch Rechte Dritter verletzt werden. Da KI-generierte Inhalte zudem nicht urheberrechtlich geschützt sind, können sie grundsätzlich durch jedermann frei genutzt oder kopiert werden. Ein Schutz z.B. von Logos oder Claims kann jedoch durch eine Anmeldung als Marke erlangt werden.
Dass der Gesetzgeber sowohl auf nationaler wie auch auf europäischer Ebene immer neue Informationspflichten schafft – daran hat man sich mittlerweile fast gewöhnt.
Neu ist aber, dass er verlangt, dass bestimmte Informationspflichten auch noch hervorzuheben sind. Dadurch suggeriert der Gesetzgeber, dass einige Pflichten besonders relevant seien. Man könnte fragen: Warum streicht er dann die irrelevanten Informationspflichten nicht einfach?
In Zukunft kommt sogar noch eine weitere „Besonderheit“ hinzu: Über bestimmte Details zu einer Herstellergarantie unter Verwendung einer harmonisierten Mitteilung muss „hervorgehoben“ informiert werden.
Und diese hervorgehobene Information muss dann in die hervorzuhebenden Informationen auf der letzten Bestellseite im Online-Shop im Rahmen der sog. Button-Lösung aufgenommen werden. Eine Hervorhebung innerhalb einer Hervorhebung.
Das Thema habe ich im aktuellen Editorial der Fachzeitschrift BetriebsBerater aufgefasst, welches Sie hier nachlesen können:
Erinnern Sie sich? Vor einiger Zeit schwappte eine Welle von Abmahnungen über Deutschland, weil Betreiber von Webseiten Google Fonts einsetzten. Gezahlt werden sollten niedrige Beträge. Einer, der gezahlt hat, klagte jetzt auf Rückzahlung. Eine der zentralen Fragen: Gibt es Schadenersatz auch bei missbräuchlichem Verhalten?
Hintergrund des Verfahrens
Ausgangspunkt des Rechtsstreits ist der massenhafte Versand von Abmahnungen wegen der dynamischen Einbindung von Google Fonts. Der Beklagte hatte mithilfe eines Webcrawlers automatisiert Webseiten aufgerufen, die Schriften über Google-Server luden. Durch diese Art der Einbindung der Google-Fonts wurde die jeweilige IP-Adresse an Google in die USA übermittelt wurde.
Anschließend verschickte der Beklagte über seinen Rechtsanwalt standardisierte Schreiben an die Betreiber der betroffenen Seiten, in denen er 170 Euro als „Schmerzensgeld“ forderte.
Ein Webseiten-Betreiber zahlte den Betrag, verlangte jedoch nach Bekanntwerden der Massenabmahnung (es wurden über 100.000 (!) solcher Abmahnungen verschickt) die Rückerstattung.
Die Vorinstanzen entschieden unterschiedlich: Das AG Hannover sprach dem Kläger 70 Euro zu, das LG Hannover schließlich den vollen Betrag. Das LG sah in dem Vorgehen eine vorsätzliche sittenwidrige Entschädigung. Interessant: Beklagter war nicht nur der, der den Webcrawler einsetzte, sondern auch sein Rechtsanwalt, der letztlich die Abmahnungen verschickte.
Dabei entschied das Landgericht, dass ein Anspruch auf Schadenersatzersatzanspruch bestand, denn
- mit der Weitergabe der dynamischen IP-Adresse des Beklagten an Google USA war kein personenbezogenes Datum betroffen;
- es war kein Schaden kein entstanden und
- – selbst wenn es einen Schaden gegeben hätte -, wäre der Ersatzanspruch wegen Rechtsmissbrauchs ausgeschlossen.
Gegen die Entscheidung des Landgerichts legten die Beklagten Revision ein, sodass die Sache beim BGH (Beschl. vom 28.08.2025 – VI ZR 258/24) landete.
Dieser stellte fest, dass der Fall über das nationale Recht hinaus Fragen der unionsrechtlichen Auslegung der DSGVO aufwirft. Daher legte er dem EuGH drei komplexe Fragen zur Vorabentscheidung vor.
Ist die IP-Adresse ein personenbezogenes Datum?
In der ersten Frage geht es um die Frage, ob dynamische IP-Adressen personenbezogene Daten sind.
Konkret möchte der BGH wissen, ob bereits dann ein personenbezogenes Datum vorliegt, wenn irgendein Dritter – etwa der Internetzugangsanbieter – über Zusatzwissen verfügt, das eine Identifizierung erlaubt.
Oder ob es darauf ankommt, ob der übermittelnde Verantwortliche (hier der Webseitenbetreiber) oder der Empfänger (hier Google) selbst über rechtliche und tatsächliche Mittel verfügt, die Identität desjenigen zu bestimmen, dessen IP-Adresse übermittelt wurde.
Der BGH stellt damit die bislang herrschende relative Betrachtungsweise in Frage und deutet eine mögliche objektive Auslegung an.
Schaden trotz bewusster Provokation?
Die zweite Vorlagefrage betrifft die Auslegung des Art. 82 Abs. 1 DSGVO, wonach jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz hat. Der EuGH soll klären, ob ein immaterieller Schaden auch dann vorliegen kann, wenn die betroffene Person den Verstoß bewusst und ausschließlich provoziert, um Schadensersatz geltend machen zu können.
Der BGH verweist auf die jüngere EuGH-Rechtsprechung, wonach bereits die begründete Befürchtung einer missbräuchlichen Verwendung personenbezogener Daten einen immateriellen Schaden darstellen kann. Unklar bleibt aber, ob dieser Ansatz auch gilt, wenn der Betroffene die Datenübermittlung absichtlich herbeiführt – wie im vorliegenden Fall, in dem über 100.000 Webseiten automatisiert besucht wurden.
Das LG Hannover hatte einen Schaden verneint, da der Beklagte seine IP-Adresse freiwillig preisgegeben habe und keine tatsächliche Beeinträchtigung vorliege.
Schaden ist nicht gleich Schaden
Allerdings muss aus Sicht des BGH geklärt werden, was ein Schaden ist. Im deutschen Recht verstehen Juristen darunter „jede unfreiwillige Einbuße an materiellen und immateriellen Gütern in Folge eines bestimmten Ereignisses“. Dieses Verständnis schließt einen Schadensersatz aus, wenn es sich um eine freiwillige Einbuße handelt.
Aber: Die DSGVO verweist für den Begriff des immateriellen Schadens nicht auf das jeweilige nationale Recht, sodass eine sog. autonome unionsrechtliche Auslegung vorzunehmen ist. Und dies darf nur der EuGH.
In der Vergangenheit hat der EuGH schon häufiger die Gelegenheit bekommen, sich zum Schadensbegriff zu äußern. So reicht beispielsweise der bloße Verstoß gegen die DSGVO nicht aus, vielmehr ist der Eintritt eines Schadens aufgrund dieses Verstoßes erforderlich. Dabei kann aber ein Kontrollverlust ausreichend sein. Und – sehr wichtig – die betroffene Person trägt die Beweislast für den Eintritt des Schadens.
Grundsätzlich, so der BGH, könnte man also durch die (unzulässige) Datenübertragung an Google ein solcher Kontrollverlust eingetreten sein – und damit ein ersatzfähiger Schaden.
Dieser Überlegung kann aber entgegenstehen, dass der Beklagte es ganz gezielt auf die Übertragung der Daten in die USA angelegt hat.
Eine solche Provokation zum Gesetzesverstoß war bisher noch nicht Gegenstand der Rechtsprechung des EuGH, weswegen der BGH diese Frage vorlegt.
Rechtsmissbrauch und unionsrechtliche Grenzen
Schließlich möchte der BGH vom EuGH wissen, ob in Fällen dieser Art ein Anspruch auf Ersatz immaterieller Schäden wegen Rechtsmissbrauchs ausgeschlossen werden kann. Nach ständiger Rechtsprechung des EuGH ist eine missbräuchliche Berufung auf Unionsrecht unzulässig, auch im Verhältnis zwischen Privaten.
Der BGH bittet um Klärung, ob bereits die bewusste Schaffung der Voraussetzungen für einen Datenschutzverstoß – verbunden mit dem Ziel, sich daraus finanzielle Vorteile zu verschaffen – als missbräuchliches Verhalten im Sinne des Unionsrechts zu qualifizieren ist. Offen ist zudem, ob ein solches Verhalten nur dann als rechtsmissbräuchlich gilt, wenn die finanzielle Motivation allein ausschlaggebend war, oder ob auch „gemischte“ Beweggründe – etwa ein behauptetes Datenschutzinteresse – ausreichen.
Bedeutung für Praxis und Datenschutzrecht – nicht nur beim Einsatz von Google Fonts
Die Vorlageentscheidung ist für die Praxis von erheblicher Relevanz. Zum einen berührt sie die grundlegende Frage, wann technische Identifikatoren wie dynamische IP-Adressen personenbezogene Daten darstellen.
Diese Frage ist insbesondere für Webseiten-Betreiber relevant, z.B. auch für den Einsatz des Google Tag Managers und der Notwendigkeit des Einholens einer Einwilligung.
Zum anderen betrifft das Verfahren den zunehmenden Trend zu „Abmahn- und Schadensersatzaktionen“ im Datenschutzrecht. Sollte der EuGH auch bei provozierten Datenschutzverstößen einen Schadensersatzanspruch bejahen, könnte dies zu einer neuen Welle von Abmahnung als Einnahmequelle für Betroffene führen.
Verneint der EuGH hingegen die Ersatzfähigkeit oder erkennt einen Missbrauch an, würde dies den Versuch unterbinden, aus gezielten DSGVO-Verletzungen finanzielle Vorteile zu ziehen.
Ausblick
Bis zur Entscheidung des EuGH bleibt offen, ob die Übermittlung einer dynamischen IP-Adresse bereits an sich ein personenbezogenes Datum ist und ob bewusst provozierte Datenschutzverstöße einen ersatzfähigen immateriellen Schaden begründen können. Die Entscheidung des BGH verdeutlicht, dass das Verhältnis von Datenschutz und Rechtsmissbrauch im Rahmen der DSGVO bisher weiterhin ungeklärt ist. Der EuGH erhält erneut die Gelegenheit, Grundsatzfragen des europäischen Datenschutzrechts zu beantworten.
Bei Fragen zum Datenschutz unterstützen wir Sie gerne.
Der Bundesgerichtshof hat ein richtungsweisendes Urteil zur Nichtigkeit eines Coaching-Vertrags gefällt – mit weitreichenden Folgen für die gesamte Coaching-, Trainings- und Weiterbildungsbranche. Erstmals wurde höchstrichterlich entschieden, dass ein nicht zugelassener Fernunterrichtsvertrag nach dem Fernunterrichtsschutzgesetz (FernUSG) nichtig ist. Das Urteil zwingt viele Anbieter zur kritischen Prüfung ihres Geschäftsmodells.
I. Das Urteil
Hintergrund des Urteils: Was war passiert?
Im Zentrum des Rechtsstreits beim BGH (Urt. v. 12.06.2025, III ZR 109/24) stand ein hochpreisiges Business-Coaching-Programm („9-Monats-Business-Mentoring-Programm Finanzielle Fitness“) zu einem Gesamtpreis von 47.600 Euro.
Der Kläger hatte die Hälfte dieser Kosten bereits bezahlt.
Die Beklagte – ein Coaching-Unternehmen – bot eine Kombination aus Videolektionen, Live-Calls, Hausaufgaben und Einzel-Coachings an.
Eine behördliche Zulassung gemäß § 12 Abs. 1 FernUSG lag nicht vor.
Der Kläger kündigte den Vertrag vorzeitig und verlangte die Rückzahlung der bereits gezahlten 23.800 Euro. Während das Landgericht noch zugunsten der Beklagten entschied und die Klage auf Rückzahlung abwies, hob das OLG Stuttgart dieses Urteil auf und verurteilte die Beklagte zur Rückzahlung.
Der BGH bestätigte nun diese Entscheidung in letzter Instanz.
Die Kernaussage des Urteils: Fernunterricht ohne Zulassung = Nichtigkeit
Der BGH stellte klar: Das streitgegenständliche Mentoring-Programm ist Fernunterricht im Sinne des FernUSG.
Es liegt eine entgeltliche Vermittlung von Kenntnissen und Fähigkeiten vor (§ 1 Abs. 1 FernUSG), bei der eine überwiegende räumliche Trennung zwischen Lehrenden und Lernenden besteht – auch bei synchronem Online-Unterricht.
Hinzu kam die Überwachung des Lernerfolgs, etwa durch Hausaufgaben und Feedbackmöglichkeiten in Calls oder Gruppen.
Da für das Programm keine Zulassung durch die Staatliche Zentralstelle für Fernunterricht (ZFU) vorlag, erklärte der BGH den Vertrag gem. § 7 Abs. 1 FernUSG für nichtig.
Relevanz für die Branche: Wer ist betroffen?
Die Coaching-Szene hat in den letzten Jahren einen enormen Boom erlebt – insbesondere im Bereich Online-Coaching, Mindset-Training, Business-Mentoring und Persönlichkeitsentwicklung.
Genau diese Formate stehen nun im Fokus, denn:
Sobald ein Coaching-Vertrag die Kriterien des Fernunterrichts nach § 1 FernUSG erfüllt, ist eine behördliche Zulassung zwingend erforderlich.
Fehlt diese, ist der Vertrag nichtig – mit gravierenden finanziellen und rechtlichen Folgen.
Wichtige Klarstellungen durch den BGH
Das Urteil enthält mehrere grundsätzliche Aussagen, die besonders für Anbieter von Coaching- und Online-Programmen von Bedeutung sind:
1. Coaching = Wissensvermittlung
Das § 1 Abs. 1 FernUSG sieht zunächst vor, dass Fernunterricht eine Vermittlung von Kenntnissen und Fähigkeiten voraussetzt.
Im vorliegenden Fall hatte der BGH nicht zu entscheiden, ob auch eine individuelle und persönliche Beratung unter den Anwendungsbereich des FernUSG fällt, da nach seiner Einschätzung im vorliegenden Fall die Wissensvermittlung deutlich im Vordergrund stand. Selbst wenn der Coaching-Anbieter sein Angebot als „individuelle Begleitung“ oder „Mindset-Arbeit“ vermarktet, liegt laut BGH in vielen Fällen eine Wissensvermittlung vor – etwa zu Marketing, Vertrieb oder Geschäftsmodellen.
Offen bleibt aber die Frage, ob Coaching-Angebote aus dem Anwendungsbereich fallen, wenn es nicht und nur untergeordnet um Wissensvermittlung geht, sondern stattdessen um individuelle Beratung.
2. Überwiegende räumliche Trennung und Online Seminare
Ein wichtiges Tatbestandsmerkmal für die Annahme eines zulassungspflichtigen Fernunterrichtsvertrages ist die überwiegende räumliche Trennung.
Dabei ist die Frage, ob auch synchron durchgeführte Online-Veranstaltungen (z.B. eine Zoom- oder Teamssitzung) unter den Begriff der „räumlichen Trennung“ fallen oder nur eine asynchrone Darbietung des Unterrichts erfolgt (z.B. durch aufgezeichnete Videos).
Das Berufungsgericht hatte angenommen, dass nur die asynchrone Darstellung unter das FernUSG fällt.
Der BGH konnte diese Frage offenlassen, da in dem zu entscheidenden Fall überwiegend eine asynchrone Darbietung erfolgte.
Die Beklagte stellte Lehrvideos zur Verfügung und verteilte Hausaufgaben. Die zusätzlich angebotenen Online-Meetings wurden aufgezeichnet und anschließend den Teilnehmern zur Verfügung gestellt. Damit galten auch diese als asynchroner Unterricht, weil sie zeitversetzt zu einem beliebigen Zeitpunkt angeschaut werden können und eine synchrone Teilnahme damit entbehrlich machten.
Ob auch nicht aufgezeichnete Live-Sessions zu der „überwiegenden räumlichen Trennung“ i.S.d. FernUSG zählen, kann damit noch nicht abschließend beantwortet werden.
Da aktuell aber mehrere Verfahren bei den Instanzgerichten anhängig sind, dürfte diese Frage wohl auch zeitnah geklärt werden.
Die Zulassungsstelle, ZFU, sieht jedenfalls ausschließlich live durchgeführte Online-Seminare (also ohne Aufzeichnung) als nicht zulassungspflichtig an, wie sie in ihren FAQ schreibt. Im Rahmen einer klarstellenden Information zu BGH-Urteil hat die ZFU zudem bestätigt, diese Praxis beizubehalten. Auch hierbei ist zu beachten, dass eine zusätzliche Aufzeichnung und Zurverfügungstellung, wiederum zu einer Einstufung als asynchroner Unterricht führen kann. Hierbei ist jedoch zu beachten, dass die zivilrechtliche Beurteilung der Nichtigkeit durch die Gerichte zunächst unabhängig von der Beurteilung durch die Behörde sein kann.
3. Kontrolle des Lernerfolges
Eine weitere Voraussetzung, um in den Anwendungsbereich des FernUSG zu kommen, ist die zusätzlich notwendige Kontrolle des Lernerfolges. Dieses Kriterium legt der BGH sehr weit aus.
Eine Kontrolle des Lernerfolges liegt bereits dann vor, wenn der Lernende nach dem Vertrag den Anspruch hat, zum Beispiel in einer begleitenden Unterrichtsveranstaltung durch mündliche Fragen zum erlernten Stoff eine individuelle Kontrolle des Lernerfolgs durch den Lehrenden oder seinen Beauftragten zu erhalten, so das Gericht. Dabei genügt eine einzige Lernkontrolle.
Es muss also keine Kontrolle durch den Lehrenden geben, z.B. in Form einer Prüfung. Ein Lernkontrolle liegt nach der Rechtsprechung des BGH auch dann vor, wenn der Teilnehmer im Anschluss an einen Vortrag Fragen stellen kann und damit individuell für sich selbst überprüfen kann, ob er das Erlernte verstanden hat oder ob es „sitzt“.
In dem entschiedenen Fall war im Vertrag vereinbart, dass die Teilnehmer sowohl in den Online-Meetings als auch per Mail sowie in einer Facebook-Gruppe Fragen stellen durften.
Auch bei diesem Tatbestandsmerkmal kommt es nach Ansicht des BGH nicht darauf an, dass diese Kontrolle tatsächlich stattfindet, soweit sie vertraglich vereinbart ist und damit angeboten wird.
4. ZFU-Zulassungspflicht auch bei gewerblichen Kunden
Besonders brisant: Das FernUSG findet auch bei Kunden, die Unternehmer sind, Anwendung.
Der Schutz des Gesetzes gilt also nicht nur für Verbraucher (§ 13 BGB), sondern auch für Selbstständige, Gründer oder Unternehmen, die Coaching-Angebote buchen.
Konsequenzen bei fehlender Zulassung
Wer ein zulassungspflichtiges Coaching-Programm ohne ZFU-Zulassung anbietet, muss mit folgenden Rechtsfolgen rechnen:
- Nichtigkeit des Vertrags (§ 7 Abs. 1 FernUSG)
- Rückzahlungspflicht bereits erhaltener Vergütungen (§ 812 BGB)
- Grundsätzlich kein Anspruch auf Wertersatz (es sei denn, dieser wird schlüssig dargelegt – was laut BGH sehr hohe Anforderungen erfüllt)
- Potenzielle Rückabwicklungen von Altverträgen – auch Jahre später
II. Was Coaching-Anbieter jetzt tun sollten
Das Urteil setzt neue Maßstäbe – ein „Weiter so“ ist für viele Anbieter rechtlich riskant. Anbieter sollten daher dringend prüfen lassen, ob ihre Angebote unter das FernUSG fallen.
Wichtige Prüfkriterien:
- Vermittlung von Kenntnissen/Fähigkeiten (auch „Mindset“, Vertrieb, Marketing, Positionierung)
- Räumliche Trennung
- Überwachung des Lernerfolgs (Hausaufgaben, Feedback, Fragestunden, Gruppenbetreuung)
Schritt 2: Zulassungspflicht feststellen
Nicht alle Programme sind zulassungspflichtig. Es gibt Ausnahmen – etwa reine Freizeitangebote. Doch die Hürden dafür sind hoch. Programme zur Existenzgründung, Umsatzsteigerung, Persönlichkeitsentwicklung oder finanziellem Erfolg fallen in der Regel nicht unter die Ausnahme.
Schritt 3: Alternative Formate/Leistungsinhalte prüfen
Anhand der Kriterien zur Einordnung kann überlegt werden, ob alternative Formate in Betracht kommen, die nicht dem Fernunterrichtsgesetz unterfallen.
Zudem kann vor allem bei Angeboten an Unternehmen, bei denen es um Schulungen von Mitarbeitern oder Dritten geht, überlegt werden, ob die Leistungsinhalte anders aufgesetzt werden. Denkbar wäre, dass nicht der Fernunterricht als Gesamtleistung angeboten wird, sondern Einzelleistungen (wie Erstellung eines Schulungskonzepts, Abhalten von Vorträgen), die dann der Auftraggeber als Veranstalter in sein Angebot einbindet (z.B. indem er die Technik für die Online-Schulung stellt).
Schritt 4: ZFU-Zulassung beantragen
Ist das Angebot zulassungspflichtig, ist ein Antrag bei der Staatlichen Zentralstelle für Fernunterricht (ZFU) zu stellen. Das Verfahren ist formalistisch, aber nicht unüberwindbar. Anbieter benötigen unter anderem:
- Lehrplan
- Lernzieldefinitionen
- Kontrollmechanismen für Lernerfolg
- Vertragsunterlagen nach gesetzlichem Standard
Ein begleitender Rechtsberater kann hier entscheidend zur Beschleunigung beitragen und helfen, häufige Fallstricke zu vermeiden.
Die Zulassung ist mit Gebühren verbunden, die nach der von der ZFU veröffentlichten Tabelle mindestens 1.050 Euro betragen.
III. Widerrufsrecht
Widerrufsrecht bei Fernunterrichtsverträgen mit Verbrauchern
Wer Fernunterrichtsverträge mit Verbrauchern abschließt, muss darüber hinaus beachten, dass diesen gemäß § 4 Abs. 1 FernUSG ein Widerrufsrecht zusteht und dann die Verbraucher darüber entsprechend zu belehren sind.
Fehlt die Widerrufsbelehrung, verlängert sich die Widerrufsfrist von 14 Tagen auf ein Jahr und 14 Tage. Außerdem kann der Verbraucher dann widerrufen und erhält sein Geld vollständig zurück.
Verbraucher oder Unternehmer als Kunde – schwierige Abgrenzung
Ob es sich bei einem Coaching-Vertrag um ein Vertrag mit einem Unternehmer oder einem Verbraucher handelt, ist nicht immer leicht zu ermitteln.
Ein Vertrag mit einem Studierenden, der auf ein Coaching von Lernmethoden gerichtet ist, ist ein Vertrag mit einem Verbraucher und es ist über das Widerrufsrecht zu belehren. Das ist ein klarer Fall.
Schwieriger wird es aber, wenn es sich um ein Existenzgründungs-Coaching handelt. Hier ist genau darauf zu schauen, in welcher Phase der Existenzgründung man sich befindet.
Vereinfacht gesagt: Geht es in dem Coaching um die Frage, ob man sein eigenes Business gründen sollte, dann ist darin regelmäßig ein Vertrag mit einem Verbraucher zu sehen und man muss über das Widerrufsrecht belehren.
Geht es dagegen darum, ein schon in Gründung befindliches Unternehmen zu pushen, dann dürfte bereits die Schwelle zum Vertrag mit einem Unternehmen überschritten sein und es bedarf keiner Belehrung über das Widerrufsrecht.
Diese Abgrenzung ist aber immer eine Einzelfallabwägung. Pauschale Aussagen können dazu nicht getroffen werden.
IV. Weitere Folgen
Abmahnungen drohen
Neben den Auswirkungen auf den Coaching-Vertrag drohen auch wettbewerbsrechtliche Konsequenz. So wie andere Normen, die eine Zulassung für eine bestimmte Tätigkeitverlangen, dürfte auch § 12 FernUSG eine Marktverhaltungsregelung i.S.d. § 3a UWG sein, sodass auch Abmahnungen nach dem UWG drohen.
Wer darüber hinaus den Eindruck erweckt, eine Zulassung zu besitzen, obwohl dies nicht den Tatsachen entspricht, kommen auch Abmahnungen wegen irreführender Werbung nach § 5 UWG in Betracht.
Auch wer im konkreten Fall nicht über das Widerrufsrecht informiert, obwohl er dies müsste, kann dafür abgemahnt werden.
Anspruchsberechtigt wären Mitbewerber, Verbraucherzentralen und Wirtschaftsverbände wie die Wettbewerbszentrale.
BUẞGELDER DROHEN
Außerdem drohen Bußgelder. Wer als Veranstalter einen Fernlehrgang vertreibt oder vertreiben lässt, der nicht zugelassen ist, begeht eine Ordnungswidrigkeit, die mit Geldbuße bis zu 10.000 Euro bedroht ist (§ 21 FernUSG).
V. Fazit: Jetzt handeln – bevor die Rückforderungen kommen
Das Urteil des BGH ist ein Weckruf für die Coaching-Branche. Die Argumentation der Vorinstanzen, das FernUSG finde bei „Coaching“-Formaten keine Anwendung, wurde durch das oberste Zivilgericht unmissverständlich zurückgewiesen.
Coaches, Trainer und Online-Akademien, die ihr Geschäftsmodell absichern wollen, sollten jetzt handeln:
- Lassen Sie Ihr Angebot rechtlich prüfen
- Klären Sie die Zulassungspflicht
- Beantragen Sie ggf. die ZFU-Zulassung
Denn: Wer jetzt nicht reagiert, riskiert nicht nur Rückzahlungsansprüche, sondern auch Reputationsschäden – in einer Branche, die stark auf Vertrauen und Seriosität angewiesen ist.
Cookie-Banner beschäftigen immer wieder die Aufsichtsbehörden und die Gerichte. Das VG Hannover hat nun noch einmal formale Aspekte hervorgehoben. Außerdem hat es entschieden, dass der Google Tag Manager nur eingesetzt werden darf, wenn der User ausdrücklich eingewilligt hat.
Das VG Hannover (Urt. v. 19.03.2025, 10 A 5385/22) hat eine Entscheidung zur datenschutzrechtlichen Bewertung des Einsatzes des Google Tag Managers (GTM) sowie zur Gestaltung von Cookie-Bannern getroffen.
Gegenstand des Verfahrens war die Frage, ob der Betrieb eines journalistischen Onlineportals datenschutzkonform gestaltet ist, insbesondere hinsichtlich der Einholung von Einwilligungen für Cookies, Drittanbietertracking und den Einsatz des GTM.
Die Entscheidung befasst sich detailliert mit den Voraussetzungen an eine freiwillige und informierte Einwilligung im Sinne von § 25 TTDSG und Art. 6 Abs. 1 lit. a DSGVO.
Hinweis: Das TTDSG heißt mittlerweile TDDDG, in dem Verfahren war jedoch die Rechtslage vom 23.11.2022 maßgeblich. Inhaltlich hat sich allerdings in den hier relevanten Punkten das Gesetz nicht geändert, sodass das Urteil ohne Weiteres auf die aktuelle Rechtslage übertragbar ist.
Google Tag Manager auf Webseite
Die Klägerin, ein regionales Verlagshaus, betreibt ein journalistisches Onlineangebot über ihre Webseite, das sich über Abonnements und Werbung finanziert. Auf der Webseite setzte sie eine Vielzahl von Cookies und Drittdiensten ein, unter anderem Google Analytics, Facebook Pixel sowie den Google Tag Manager.
Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) hatte ihr nach einer technischen Überprüfung untersagt, bestimmte Dienste ohne wirksame Einwilligung der Nutzer einzusetzen.
Dabei bemängelte der LfD insbesondere, dass der Google Tag Manager bereits beim erstmaligen Laden der Seite aktiv war und Daten an Server von Google in den USA übermittelte, ohne dass die Nutzer zuvor eine ausdrückliche Einwilligung erteilten. Der LfD ordnete die Klägerin an, auf ihrer Webseite wirksame Einwilligungen für die Nutzung von Cookies einzuholen bzw. umzusetzen.
Gegen diese Anordnung klagte sie vor dem Verwaltungsgericht.
Die Klägerin verteidigte sich damit, dass der Google Tag Manager lediglich als technisches Hilfsmittel diene, um weitere Skripte nachzuladen, und dass insofern keine datenschutzrechtlich relevante Datenverarbeitung vorliege.
Zudem bestritt sie, dass der LfD überhaupt zuständig sei, da es sich beim TDDDG nicht um eine datenschutzrechtliche Vorschrift handle.
Entscheidung des Gerichts: LfD ist zuständig
Das VG Hannover hat die Klage des Verlagshauses abgewiesen.
Dabei stellte es zunächst klar, dass der Landesdatenschutzbeauftragte für die Kontrolle der Einhaltung des § 25 TTDSGG sehr wohl zuständig sei.
Bei § 25 TTDSGG handele es sich um eine „andere datenschutzrechtliche Bestimmung“ im Sinne des § 20 Abs. 1 des Niedersächsischen Datenschutzgesetztes. Auch wenn das TTDSG neben datenschutzrechtlichen Zielen auch das Kommunikationsgeheimnis schütze, bestehe ein enger inhaltlicher Zusammenhang zur DSGVO. Der Zugriff auf Endgeräte und die damit verbundene Verarbeitung personenbezogener Daten seien regelmäßig nicht voneinander zu trennen. Ein Auseinanderfallen der Aufsichtsverantwortlichkeiten wäre daher systemwidrig und praktisch nicht handhabbar.
Die Frage der Zuständigkeit für die Einhaltung des TTDSG ist sehr wichtig. Dieses Gesetz trat erst lange Zeit nach der DSGVO in Kraft. Geht also eine Landesdatenschutzbehörde aus diesem Gesetz gegen ein Unternehmen vor, muss zunächst innerhalb der Landesdatenschutzgesetze geprüft werden, ob die Behörde überhaupt zur Überwachung des TTDSG berufen ist.
Für Niedersachsen hat dies nun das VG Hannover geklärt. Für andere Bundesländer hat die Entscheidung zu dieser Frage aber keine Bedeutung.
Ausgestaltung des Cookie-Banners
Im Zentrum der Entscheidung stand die rechtliche Einordnung des eingesetzten Cookie-Banners und die Behandlung des Google Tag Managers.
Nach der Überzeugung des Gerichts entsprach die Gestaltung des Banners nicht den Anforderungen an eine informierte und freiwillige Einwilligung.
Bei Aufruf der Webseite zeigte sich zunächst die „erste Ebene“ des Banners. Auf dieser konnten die Nutzer zwischen „alle Cookies akzeptieren“ oder einem Wechsel in die Einstellungen wählen. Eine direkte Ablehnungsoption fehlte auf dieser Ebene.
Wer den Weg über die Einstellungen wählte, sah sich mit Unter-Ebenen, komplexen Drop-Down-Menüs sowie Voreinstellungen konfrontiert.
Die Nutzer wurden nach Ansicht des Gerichts somit faktisch dazu gedrängt, die Einwilligung zu erteilen. Außerdem machten die verschiedenen Unterebenen und Kategorien den Eindruck, dass der Nutzer die Art der Datenverarbeitung nicht wesentlich beeinflussen konnte.
Erschwerend kam hinzu: Bei Ablehnung der Einwilligung erschien das Banner bei jedem Seitenaufruf erneut, während bei Zustimmung das Surfen ungehindert möglich war.
Das Gericht bewertete diese Gestaltung als sogenanntes „Dark Pattern“, also als manipulative Nutzerführung. Diese Ausgestaltung führte – auch in Verbindung mit der unterschiedlichen farblichen Ausgestaltung der Optionen – dazu, dass das Gericht die Freiwilligkeit der abgegebenen Einwilligungen verneinte. Damit waren diese nicht wirksam – weder im Sinne des § 25 TTDSG noch im Sinne der DSGVO.
Google Tag Manager nur mit Einwilligung?
Besondere Aufmerksamkeit widmet das Urteil dem Einsatz des Google Tag Managers. Das Gericht stellt klar, dass es sich dabei nicht um eine bloße technische Infrastruktur handelt, die als neutrale Plattform lediglich andere Skripte nachlädt.
Vielmehr werde durch die Einbindung des GTM bereits selbst ein Zugriff auf das Endgerät des Nutzers vorgenommen, und es finde eine Datenübertragung in die USA statt – namentlich durch den Abruf des Skripts gtm.js von Google-Servern. Dabei würden unter anderem IP-Adressen und Geräteeigenschaften übermittelt.
Die Tatsache, dass der GTM selbst keine konkreten Analysedienste ausführt, sei unerheblich. Die Verarbeitung personenbezogener Daten beginne bereits mit dem ersten Aufruf des Google-Skripts, was eine Einwilligungspflicht nach § 25 TTDSG auslöse.
Auch der Versuch der Klägerin, sich auf die Ausnahmeregelung des § 25 Abs. 2 TTDSG zu berufen, blieb erfolglos. Danach ist keine Einwilligung erforderlich, wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Der GTM sei weder technisch erforderlich noch ausdrücklich vom Nutzer gewünscht. Das Gericht betonte, dass die Einbindung des GTM in keiner Weise notwendig sei, um die Grundfunktionalität der Webseite – etwa das Abrufen redaktioneller Inhalte – zu ermöglichen. Vielmehr diene der GTM ausschließlich der flexiblen Nachladung von Marketing- und Trackingdiensten und sei daher typischerweise mit einer datenschutzrechtlich relevanten Verarbeitung verbunden.
Konsequenzen für die Praxis
Das Urteil des VG Hannover ist ein deutliches Signal an Betreiber von Webseiten und Onlineplattformen: Die Nutzung des Google Tag Managers – selbst ohne unmittelbar nachgeladene Tracking-Skripte – stellt nach Auffassung des Gerichts eine einwilligungspflichtige Maßnahme im Sinne des TTDSG dar.
Auch andere Behörden, wie etwa die LfDI NRW, sehen das so.
Webseitenbetreiber sollten daher sicherstellen, dass der GTM erst dann geladen wird, wenn eine entsprechende Einwilligung des Nutzers vorliegt. Dies erfordert eine technische Implementierung, die das Nachladen des GTM abhängig von der Zustimmung durch den Nutzer steuert.
Ebenso wichtig ist eine datenschutzkonforme Gestaltung des Einwilligungsbanners. Die Entscheidung stellt klar, dass Nutzer nicht durch Design, Farbe, Platzierung oder technische Hürden zur Zustimmung gedrängt werden dürfen. Eine einfache, gleichwertige Möglichkeit zur Ablehnung der Einwilligung sollte bereits auf der ersten Ebene des Banners vorhanden sein.
Die Information über Zwecke, Umfang und Empfänger der Datenverarbeitung muss zudem klar und verständlich bereitgestellt werden.
Lösung und Handlungsempfehlung
Webseitenbetreiber, die auf den Google Tag Manager zurückgreifen, sollten kurzfristig prüfen, ob dieser bereits vor einer erteilten Einwilligung ausgelöst wird. Ist dies der Fall, drohen aufsichtsbehördliche Maßnahmen.
Technisch kann dies durch eine bedingte Script-Ausführung über eine Consent-Management-Plattform (CMP) realisiert werden. Dabei wird das Skript des GTM erst dann geladen, wenn der Nutzer in die Verwendung entsprechender Cookies und Drittanbieter-Technologien eingewilligt hat.
Zugleich sollte der Consent-Banner angepasst werden: Eine „Ablehnen“-Schaltfläche sollte auf gleicher Ebene und mit gleicher visueller Gewichtung wie die Zustimmungsoptionen angeboten werden.
Das wiederholte Erscheinen des Banners bei Ablehnung sollte ebenso vermieden werden.
Fazit
Das Urteil des VG Hannover bestätigt hinsichtlich der Ablehnen-Funktion auf der ersten Ebene die Auffassung vieler Aufsichtsbehörden. Die Entscheidung zeigt auch: Selbst scheinbar neutrale Dienste wie der GTM sind datenschutzrechtlich relevant, wenn sie auf Endgerätedaten zugreifen oder die Kommunikation mit Drittstaaten initiieren. Betreiber digitaler Angebote sollten daher nicht nur ihr Einwilligungsbanner, sondern auch die gesamte technische Architektur ihrer Webseite datenschutzrechtlich überprüfen.
