Abmahnrisiken bei Websites

Sicherheitsrelevante Kundendaten

Auf Websites von Kälte-Klima-Fachbetrieben fallen regelmäßig schutzwürdige Informationen an: Im Notdienst-Formular wird oft nach der genauen Anlagenposition, dem Gebäudezugang oder sogar nach Alarmcodes gefragt, damit der Techniker im Störungsfall schnell handeln kann. Auch Wartungsanfragen enthalten mitunter Details zu Sicherheitssystemen oder Zutrittsregelungen von Gewerbekunden.

Solche Angaben mögen datenschutzrechtlich nicht als besondere Kategorie personenbezogener Daten gelten, sie sind aber im Sinne des Sicherheitsinteresses der Kunden hochsensibel. Wer sie über ein x-beliebiges Kontaktformular ungeschützt abfragt und speichert, verstößt schnell gegen den Grundsatz der angemessenen Sicherheit der Verarbeitung. Ein Formular-Tool, das für die Terminvereinbarung bei anderen Branchen ausreicht, ist für sicherheitskritische Zugangsdaten regelmäßig ungeeignet.

Betroffen sind hier häufig nicht nur Privatkunden, sondern auch Gewerbe- und Industriekunden, deren Kühlketten für Lebensmittel oder Medikamente wirtschaftlich hochrelevant sind. Werden im Zuge eines Wartungsauftrags Grundrisse, Zutrittspläne oder Alarmanlagen-Details digital erfasst und über unsichere Kanäle versendet, drohen neben datenschutzrechtlichen auch vertragliche Haftungsrisiken gegenüber dem Kunden selbst.

Impressum: Besonderheiten ­müssen beachtet werden!

Kälteanlagenbauer üben ein zulassungspflichtiges Handwerk aus. Im Impressum gehören deshalb neben den allgemeinen Pflichtangaben, die den individuellen Gegebenheiten entsprechen müssen und sich unter anderem nach der Rechtsform des Betriebs richten, auch die zutreffende Berufsbezeichnung, die Angabe der zuständigen Handwerkskammer sowie – soweit einschlägig – ein Hinweis auf die berufsrechtlichen Regelungen.

In der Praxis finden sich stattdessen häufig veraltete Musterimpressen, unreflektiert kopierte Textbausteine oder schlicht fehlende Angaben. Auch pauschale Haftungsausschlüsse für externe Links werden gerne eingebaut, ohne dass ihr rechtlicher Nutzen hinterfragt wird – meist bringen sie keinen echten Vorteil und schaffen bei ungenauer Formulierung sogar zusätzliche Angriffsfläche.

Hinzu kommt eine Besonderheit der Kälte-Klima-Branche: Viele Betriebe werben auf ihrer Website (mitunter innerhalb des Impressums) mit Sachkundebescheinigungen nach der Chemikalien-Klimaschutzverordnung. Ist eine solche Bescheinigung oder Zertifizierung nicht mehr aktuell, wird ihr Geltungsbereich unzutreffend dargestellt oder wird der Eindruck erweckt, sie gelte für den gesamten Betrieb, obwohl sie nur einzelne Personen betrifft, kann es sich um eine irreführende geschäftliche Handlung im Sinne des UWG (Gesetz gegen den unlauteren Wettbewerb) handeln – und damit um einen eigenständigen, oft unterschätzten Abmahngrund neben möglichen Impressumsfehlern.

Wie schnell falsche Angaben entstehen können, zeigt auch das Beispiel der Umsatzsteuer-Identifikationsnummer bzw. der Wirtschafts-Identifikationsnummer: Liegt eine solche Nummer vor, muss sie im Impressum stehen; fehlt sie, kann dies – je nach Einzelfall – wettbewerbsrechtlich angreifbar sein. Wird stattdessen versehentlich die reguläre Steuernummer veröffentlicht, die nicht für die Öffentlichkeit bestimmt ist, kommt zum möglichen Wettbewerbsverstoß noch ein Missbrauchsrisiko durch Dritte hinzu.

Externe Dienstleister:
erhöhte Prüfpflicht bei sensiblen Zugangsdaten

Viele Funktionen auf Kälte-Klima-Websites stammen von externen Anbietern: Terminbuchungssysteme für Wartungstermine, Notdienst-Formulare, Kartendienste für die Anfahrt oder sogar Portale zur Fernüberwachung von Kälteanlagen, die Kunden Zugriff auf Temperaturdaten und Störmeldungen geben. Sobald darüber sicherheitsrelevante Angaben laufen, greifen erhöhte Sorgfaltspflichten.

Zu klären ist unter anderem, ob die Datenübertragung durchgängig verschlüsselt erfolgt, wo die Daten gespeichert werden und ob ein Transfer in Staaten außerhalb der EU stattfindet – gegebenenfalls verbunden mit der Frage nach einem gültigen Angemessenheitsbeschluss. Regelmäßig ist zudem ein Vertrag zur Auftragsverarbeitung mit dem jeweiligen Anbieter erforderlich. Und nicht zuletzt lohnt der Blick darauf, ob der eingesetzte Dienstleister für den Umgang mit sicherheitskritischen Zugangsdaten überhaupt ausgestattet ist – viele branchenfremde Standardlösungen erfüllen diese Anforderungen nicht.

Besondere Vorsicht ist bei Fernüberwachungsportalen geboten, über die Kunden Temperaturverläufe, Störmeldungen oder sogar mittels Live-Zugriff die Daten ihrer Kälteanlage einsehen können. Solche Portale laufen technisch häufig über Cloud-Infrastrukturen von Drittanbietern. Wer hier nicht genau prüft, wo und wie die Zugangsdaten seiner Kunden verarbeitet werden, riskiert nicht nur einen Datenschutzverstoß, sondern im Ernstfall auch Rufschäden, wenn Unbefugte Zugriff auf sicherheitsrelevante Anlagendaten erhalten.

Cookie-Banner: Zustimmung statt reiner Formsache

Consent-Banner „gehören“ inzwischen auf praktisch jede Website. Das kennen Sie auch von anderen Seiten, bei deren Besuch zunächst ein Pop-Up erscheint, in dem verschiedene Optionen ausgewählt werden müssen, bevor Sie auf die Seite zugreifen können. Wirksam ist eine Einwilligung nach der DSGVO allerdings nur, wenn sie freiwillig, informiert und durch eine aktive Handlung erfolgt. Das setzt vo­raus, dass keine Voreinstellung zugunsten der Zustimmung besteht, alle relevanten Informationen verständlich sind und die Ablehnung ebenso leicht fällt wie die Zustimmung. Gerade hier liegen in der Praxis die größten Schwachstellen, weil viele Standardlösungen eher auf hohe Zustimmungsraten als auf Rechtskonformität ausgelegt sind.

Besonders kritisch wird es, wenn Analyse- oder Marketing-Werkzeuge ohne wirksame Einwilligung aktiv sind. Bereits das Setzen entsprechender Cookies oder das Speichern anderer Dinge auf dem Endgerät des Nutzers oder der Zugriff auf Informationen, die auf dem Endgerät des Nutzers schon gespeichert sind, können einwilligungsbedürftig sein; es greifen hier die Regelung des § 25 TDDDG und die datenschutzrechtlichen Anforderungen an die Verarbeitung personenbezogener Daten ineinander und sind zu beachten.

Ein weiteres Problemfeld sind sogenannte „Dark Patterns“ – etwa ein auffällig hervorgehobener „Zustimmen“-Button neben einer kaum sichtbaren Ablehnoption oder mehrstufige Klickpfade, die eine Ablehnung unnötig erschweren. Solche Gestaltungen geraten zunehmend in den Fokus der Rechtsprechung und können die Wirksamkeit der Einwilligung insgesamt infrage stellen.

Erschwerend kommt hinzu, dass viele Betriebsinhaber selbst nicht genau wissen, welche Dienste auf ihrer Website tatsächlich aktiv sind. Über Jahre gewachsene Seiten sammeln zusätzliche Skripte an, die von Webdesignern häufig automatisch mitinstalliert werden, etwa Analyse-Tools. So entstehen Datenflüsse, die weder dokumentiert noch von einer wirksamen Einwilligung gedeckt sind.

Im Ergebnis entsteht eine trügerische Sicherheit: Der Betreiber verlässt sich auf ein vermeintlich vorhandenes Consent-Tool, während im Hintergrund unzulässige Verarbeitungen laufen. Abhilfe schafft nur eine Kombination aus technischer Bestandsaufnahme, rechtlicher Bewertung und regelmäßiger Kontrolle.

Datenschutzerklärung: kein ­Dokument für die Schublade

Auch die Datenschutzerklärung ist ein Bereich, in dem sich Fehler regelmäßig einschleichen. Häufig entspricht sie nicht mehr dem tatsächlichen Stand der Website oder bildet die real stattfindenden Verarbeitungen nicht korrekt ab – etwa, weil neue Tools wie ein Fernüberwachungsportal ergänzt wurden, ohne die Erklärung anzupassen.

Umgekehrt kommt es vor, dass vorsorglich zahlreiche Dienste aufgeführt werden, die längst nicht mehr im Einsatz sind. Beides ist angreifbar: Maßgeblich ist, dass die Erklärung die tatsächlichen Verarbeitungsvorgänge vollständig, zutreffend und aktuell wiedergibt. Eine regelmäßige Überprüfung und Anpassung ist daher
Pflichtprogramm.

Verantwortlichkeit: Der Betriebs­inhaber steht in der Pflicht

Ein verbreiteter Irrtum besteht darin, die rechtliche Verantwortung bei der beauftragten Webagentur zu vermuten. Gegenüber Behörden, Kunden und Mitbewerbern bleibt der Inhaber des Kälte-Klima-Fachbetriebs für die Inhalte und Verarbeitungsvorgänge auf seiner Website regelmäßig selbst verantwortlich. Die Beauftragung einer Agentur beseitigt diese Verantwortung nicht automatisch.

Rechtsverstöße können ihm in der Regel zugerechnet werden, mit möglichen Folgen wie aufsichtsbehördlichen Maßnahmen, Bußgeldern, Schadensersatzforderungen oder wettbewerbsrechtlichen Abmahnungen. Ein interner Rückgriff auf den Dienstleister mag im Innenverhältnis möglich sein, an einer etwaigen Verantwortung gegenüber Dritten ändert das jedoch nicht ohne Weiteres etwas.

Wie schnell scheinbare Nebensächlichkeiten zum Problem werden, zeigt ein Beispiel aus dem Formularalltag: Bei der Anrede wird in Online-Formularen oft nur zwischen „Frau“ und „Herr“ unterschieden, teils sogar als Pflichtfeld. Für Personen mit nicht-binärer Geschlechtsidentität kann eine zwingende binäre Anrede eine unzulässige Benachteiligung darstellen. Das Landgericht Frankfurt am Main hat eine solche Gestaltung bei einem Online-Angebot als Benachteiligung nach dem AGG bewertet. Die rechtliche Beurteilung hängt jedoch vom konkreten Dienst, der Erforderlichkeit der Angabe und der Gestaltung des Formulars ab. Ein freiwilliges geschlechtsneutrales Feld oder der vollständige Verzicht auf eine Anrede ist daher regelmäßig die risikoärmere Lösung.

Für Betreiber von Kälte-Klima-Websites bedeutet das: Selbst unscheinbare Punkte, die man nicht weiter beachtet, können zu handfesten rechtlichen Problemen führen.

Fazit: Website-Recht ist keine ­einmalige Aufgabe

Der rechtliche Rahmen für Websites ist anspruchsvoll, aber beherrschbar. Wer Vorlagen kritisch hinterfragt und seine Website sowie die dazugehörigen Rechtstexte kontinuierlich pflegt und rechtlich sauber gestaltet, senkt das Risiko von Abmahnungen und Bußgeldern spürbar – und gewinnt zugleich an Vertrauen bei seinen Kunden.