Ein fehlender Button kann bis zu 50.000 € kosten: Die 7 teuersten Rechtsfallen für Websites & Online-Shops

Wenn ein einziger fehlender Klick das Unternehmen gefährdet

Kürzlich haben wir uns zwei ganz normale Websites aus der Praxis genauer angesehen: einen liebevoll geführten kleinen Online-Shop und den Webauftritt eines regionalen Event- und Hochzeits-DJs. Beide Seiten waren sympathisch gestaltet, funktionierten technisch und wurden mit großem Herzblut betrieben.

Rechtlich hatten jedoch beide Seiten eklatante Lücken, die den Inhabern überhaupt nicht bewusst waren – und genau hier liegt das Risiko: Nicht böse Absicht führt zu teuren Abmahnungen und Bußgeldern, sondern Schlampigkeit. Ein Baukasten-Template, das nie angepasst wurde; ein Standard-Rechtstext, der vor drei Jahren kopiert wurde; oder ein WordPress-Plugin, das heimlich Daten in die USA funkt.

In diesem Leitfaden analysieren wir die 7 teuersten Rechtsfallen für Websites und Online-Shops im DACH-Raum (Deutschland, Österreich, Schweiz), erläutern die genauen Strafrahmen und zeigen Ihnen eine konkrete 30-Minuten-Checkliste, mit der Sie Ihre Seite sofort absichern.

Die 7 häufigsten Rechtsfallen auf Websites im Überblick

┌────────────────────────────────────────────────────────────────────────┐
│  DIE 7 TEUERSTEN RECHTSFALLEN FÜR WEBSITES & ONLINE-SHOPS (DACH)       │
├────────────────────────────────────────────────────────────────────────┤
│ 1. Cookie-Banner ohne gleichwertigen „Ablehnen“-Button auf Ebene 1     │
│ 2. Unvollständiges Impressum (Behörde, Kammer, Registernummer fehlen)  │
│ 3. Widersprüchliche Angaben zum Widerruf & falsche Retourenadressen    │
│ 4. Copy-Paste von Texten, Produktbeschreibungen & fremden Markennamen   │
│ 5. Falsche Rechtsgrundlagen in der Datenschutzerklärung (BDSG vs. DSG) │
│ 6. Veralteter Link zur eingestellten EU-OS-Plattform                   │
│ 7. Personen- & Eventfotos (Hochzeiten/Gäste) ohne DSGVO-Einwilligung   │
└────────────────────────────────────────────────────────────────────────┘

Falle 1: Cookie-Banner ohne „Ablehnen“-Button auf der ersten Ebene

Viele Webmaster nutzen sogenannte „Consent-Banner“, die lediglich einen prominenten Button „Alle akzeptieren“ und daneben einen unauffälligen Link wie „Einstellungen“ oder gar nichts anzeigen. Noch schlimmer: Auf der Seite werden externe Schriftarten (Google Fonts CDN), YouTube-Videos oder Instagram-Feeds bereits geladen, bevor der Nutzer überhaupt etwas geklickt hat.

• Rechtslage: Nach ständiger Rechtsprechung (EuGH „Planet49“, BGH „Cookie-Einwilligung II“, LG Rostock) und den Datenschutzgesetzen im DACH-Raum (§ 25 TDDDG in Deutschland, § 165 TKG 2021 in Österreich, Art. 5/6 DSGVO) muss das Ablehnen von nicht-essenziellen Cookies genauso einfach und auf derselben Ebene möglich sein wie das Akzeptieren („Nudging“-Verbot).
• Mögliche Konsequenzen: In Österreich sieht § 165 Abs. 3 TKG 2021 einen Strafrahmen von bis zu 50.000 € vor. In Deutschland drohen nach § 26 TDDDG Bußgelder von bis zu 300.000 € sowie kostspielige wettbewerbsrechtliche Abmahnungen nach dem UWG.
• Die saubere Lösung: Google Fonts lokal hosten (Self-Hosting via Next.js), Drittanbieter-Dienste (Maps, Videos) hinter einer echten Zwei-Klick-Lösung blockieren und im Cookie-Banner auf Ebene 1 zwei farblich gleichwertige Buttons anbieten: „Alle akzeptieren“ und „Ablehnen (nur essenzielle)“.

Falle 2: Unvollständiges oder verstecktes Impressum

Das Impressum ist die digitale Visitenkarte Ihres Unternehmens. Fehlt auch nur eine gesetzliche Pflichtangabe, wittern spezialisierte Abmahnkanzleien und Konkurrenten leichte Beute.

• Was oft vergessen wird:
• Aufsichtsbehörde & Gewerbeamt: Fehlt bei Gewerbetreibenden häufig komplett.
• Kammerzugehörigkeit: Bei zulassungs- oder kammerpflichtigen Berufen (z. B. Handwerksrolle, Standesausweis oder WKO in Österreich). Für gewöhnliche IT-Dienstleistungen ohne Kammerpflicht muss keine Kammer genannt werden.
• Registerangaben: Handelsregister-/Firmenbuchnummer samt zuständigem Amtsgericht/Landesgericht.
• Schnelle Kontaktaufnahme: Gesetzlich vorgeschrieben sind mindestens zwei Kommunikationswege (E-Mail UND eine funktionierende Telefonnummer).
• Mögliche Konsequenzen: Nach dem österreichischen E-Commerce-Gesetz (ECG) drohen bis zu 3.000 €, nach dem Mediengesetz (MedienG) bis zu 20.000 €. In Deutschland drohen nach § 5 DDG (ehemals TMG) Bußgelder bis zu 50.000 € und Abmahnungen mit Streitwerten ab 5.000 €.
• Die saubere Lösung: Das Impressum muss von jeder Unterseite mit einem Klick erreichbar sein („Two-Click-Max-Regel“) und alle Pflichtangaben zur Rechtsform, Vertretung, Steuer- und Aufsichtsdaten lückenlos aufführen.

Falle 3: Widersprüchliche Angaben zum Widerruf & Retouren-Chaos

Besonders bei kleineren Online-Shops finden sich häufig widersprüchliche Angaben: Im Impressum firmiert „Unternehmen A“, in den AGB steht eine andere Adresse, und in der Widerrufsbelehrung heißt es plötzlich, Retouren müssten an den Großhändler oder Logistiker „Firma B“ geschickt werden.

• Rechtslage: Eine Widerrufsbelehrung muss unmissverständlich, eindeutig und vollständig sein (Art. 246a EGBGB in DE, FAGG in AT). Fehlt eine korrekte Belehrung oder ein gesetzliches Muster-Widerrufsformular, verlängert sich die Widerrufsfrist für Kunden automatisch von 14 Tagen auf 12 Monate und 14 Tage!
• Das wirtschaftliche Risiko: Kunden können Ware nach fast einem Jahr zurückgeben und den vollen Kaufpreis verlangen.

Falle 4: Copy-Paste fremder Texte & Markennamen

Man braucht schnell Texte für Leistungen oder Produkte – und kopiert kurzerhand Beschreibungen von Lieferanten, Konkurrenten oder aus Wikipedia.

• Rechtsrisiko: Fremde Texte genießen Urheberrechtsschutz (UrhG). Zudem werden beim ungeprüften Kopieren häufig geschützte Markenzeichen Dritter mitübernommen, für deren werbliche Nutzung keine Lizenz vorliegt.
• Folge: Abmahnungen mit Unterlassungserklärung, Auskunftsanspruch und empfindlichen Schadensersatzforderungen.

Falle 5: Falsche Rechtsgrundlagen in der Datenschutzerklärung

Ein Klassiker bei grenzüberschreitenden Vorlagen: Eine österreichische Website nutzt eine Textvorlage, die sich seitenlang auf das deutsche Bundesdatenschutzgesetz (BDSG) beruft – oder ein deutsches Unternehmen zitiert österreichische Gesetze.

• Ebenso unzulässig: Die Datenschutzerklärung einfach als Unterpunkt im Impressum zu verstecken. Die DSGVO verlangt eine eigenständige, leicht auffindbare und verständliche Datenschutzerklärung.
• Die saubere Lösung: Klare Trennung von Impressum und Datenschutz, präzise Benennung der Rechtsgrundlagen nach Art. 6 DSGVO (z. B. Art. 6 Abs. 1 lit. b für Vertragsabwicklung, lit. f für berechtigtes Interesse, lit. a für Einwilligung) und lückenlose Auflistung aller eingesetzten Tools.

Falle 6: Veralteter Link zur eingestellten EU-OS-Plattform

Jahrelang war der Hinweis auf die EU-Plattform zur Online-Streitbeilegung (OS-Plattform) samt verlinkter URL (ec.europa.eu/consumers/odr) für jeden Online-Händler verpflichtend.

• Die Änderung: Die Europäische Union hat die OS-Plattform offiziell eingestellt (Verordnung (EU) 2024/2747).
• Das Risiko: Wer heute noch einen toten Link auf die geschlossene Plattform setzt oder behauptet, Verbraucher könnten dort Streitigkeiten einreichen, riskiert wettbewerbsrechtliche Abmahnungen wegen irreführender geschäftlicher Handlung (§ 5 UWG).
• Die saubere Lösung: Den veralteten OS-Link aus Impressum, AGB und Bestellbestätigungen entfernen und ausschließlich die Pflichtangabe nach § 36 VSBG (Verbraucherstreitbeilegungsgesetz) beibehalten (Erklärung, ob man an Schlichtungsverfahren teilnimmt oder nicht).

Falle 7: Personen- & Eventfotos ohne dokumentierte Einwilligung

Gerade Dienstleister (Event-DJs, Fotografen, Gastronomen, Handwerker) werben gerne mit Fotos ihrer Auftritte: Fröhliche Hochzeitsgäste, das Brautpaar mit vollem Namen, Datum und Ortsangabe.

• Rechtslage: Das Recht am eigenen Bild und die DSGVO gelten uneingeschränkt. Wer erkennbare Personen zu Werbezwecken veröffentlicht, benötigt eine nachweisbare, freiwillige Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder einen schriftlichen Model-Release-Vertrag.
• Gefahr: Ein einziger verärgerter Hochzeitsgast reicht aus, um eine DSGVO-Beschwerde bei der Datenschutzbehörde einzureichen oder über einen Anwalt Unterlassung und Schmerzensgeld nach Art. 82 DSGVO zu fordern.

Wer mahnt ab – Behörde oder Mitbewerber?

Bei behördlichen Kontrollen gilt für kleine Betriebe meist das Prinzip der Verhältnismäßigkeit: Wer zum ersten Mal auffällt, erhält in der Regel eine Frist zur Nachbesserung.

Das eigentliche finanzielle Risiko geht von Mitbewerbern, Branchenverbänden und spezialisierten Abmahnanwälten aus. Diese stützen sich auf das Gesetz gegen den unlauteren Wettbewerb (UWG). Wird eine Unterlassungsklage eingereicht, fallen binnen weniger Tage Gerichts- und Anwaltskosten von mehreren tausend Euro an – ganz zu schweigen von drohenden Vertragsstrafen bei Wiederholung.

Die 30-Minuten-Checkliste für Ihre Website

[ ] 1. COOKIE-BANNER: Gibt es auf Ebene 1 einen echten „Ablehnen“-Button?
[ ] 2. TRACKING-STOPP: Werden Cookies erst NACH aktiver Einwilligung gesetzt?
[ ] 3. GOOGLE FONTS: Sind alle Schriftarten lokal auf Ihrem Server gehostet?
[ ] 4. IMPRESSUM: Sind Telefon, E-Mail, Gewerbeamt, Kammer & Registernummer vorhanden?
[ ] 5. SEPARATE DATENSCHUTZERKLÄRUNG: Mit einem Klick erreichbar & aktuell?
[ ] 6. EU-OS-PLATTFORM: Ist der veraltete ODR-Link überall gelöscht?
[ ] 7. BILDRECHTE: Liegen für alle erkennbaren Personen schriftliche Einwilligungen vor?

Fazit: Vorsorge ist tausendmal günstiger als eine Abmahnung

Einmal im Jahr 30 Minuten für einen systematischen Website-Check zu investieren, kostet Sie fast nichts – ein einziger Anwaltsbrief hingegen schnell tausende Euro und unzählige Nerven.

Bei IT-Isja entwickeln wir Websites und Web-Apps mit Next.js, die nicht nur ultraschnell laden, sondern von Grund auf rechtssicher nach DSGVO & TDDDG konzipiert sind: mit lokal gehosteten Schriftarten, datenschutzkonformem Cookie-Management und sauberer Struktur.

Möchten Sie wissen, ob Ihre Website rechtliche Schwachstellen aufweist? Nutzen Sie unsere unverbindliche Projekt-Anfrage oder buchen Sie einen kurzen Check-Termin.