Die bisher veröffentlichten rechtlichen Stellungnahmen zur Abmahnwelle konzentrieren sich auf die Frage, ob der darin geltend gemachte Schadenersatzanspruch zu Recht besteht. Der überwiegenden Meinung nach ist das nicht der Fall. Dem ist zuzustimmen: Wer innerhalb kurzer Zeit absichtlich tausende Websites besucht und dabei eine Übermittlung der eigenen IP-Adresse in die USA – vorsichtig formuliert – in Kauf nimmt, kann anschließend nicht in jedem dieser Fälle Schadenersatz fordern. Zu Recht wird empfohlen, die geforderten 190 Euro nicht zu bezahlen.

Doch das löst das Problem noch nicht, denn in den Abmahnschreiben verstecken sich noch weitere Probleme. Insbesondere beinhalten die Schreiben ein Auskunftsbegehren, auf das die Empfänger innerhalb eines Monats reagieren müssen. Und dabei können sie einiges falsch machen.

Auskunftsbegehren und Auskunftspflicht

Das Schreiben beinhaltet ein Auskunftsbegehren gemäß Art. 15 Datenschutzgrundverordnung (DSGVO). Die Gegenseite begehrt unter anderem Auskunft darüber, ob und welche personenbezogenen Daten vom Betreiber der Website verarbeitet wurden. Außerdem begehrt sie eine Kopie dieser Daten. Dieses Auskunftsbegehren darf nicht ignoriert werden.

Die DSGVO sieht nämlich umfangreiche Rechte für Personen vor, die von einer Datenanwendung betroffen sind. Sie dürfen unter anderem Auskunft darüber verlangen, wie ihre personenbezogenen Daten verarbeitet wurden. Verantwortliche, darunter auch Betreiber von Websites, müssen solchen Auskunftsbegehren unverzüglich, jedenfalls aber innerhalb eines Monats entsprechen. Dies schreibt Art. 12 DSGVO ausdrücklich vor.

Auskunftspflicht nicht unbeschränkt

Diese Auskunftspflicht gilt aber nicht unbeschränkt. Die Auskunft darf beispielsweise verweigert werden, wenn der Antrag exzessiv oder offenkundig unbegründet ist. Außerdem dürfen Verantwortliche unter bestimmten Umständen auch gar keine Auskunft erteilen. Dies ist insbesondere dann der Fall, wenn der Verantwortliche damit Gefahr laufen würde, personenbezogene Daten an eine andere Person als die betroffene weiterzugeben.

Im gegenständlichen Fall hat das Auskunftsbegehren einige rechtliche Defekte. Außerdem gibt es Hinweise darauf, dass die Gegenseite die Websites automatisiert abgerufen hat („crawling“). In den meisten der bisher bekannten Fälle liegt daher die einzig richtige Vorgehensweise darin, die begehrte Auskunft nicht zu erteilen. Aber damit ist das Problem noch nicht gelöst.

Ignorieren reicht nicht: Reaktion innerhalb eines Monats

Es genügt nicht, das Schreiben zu ignorieren. Die DSGVO schreibt vor, dass Verantwortliche den Antragsteller „ohne Verzögerung“, spätestens aber innerhalb eines Monats darüber informieren müssen, wenn sie auf den Antrag hin nicht tätig werden. Sie müssen also auf das Schreiben reagieren und diese Reaktion muss bestimmte Voraussetzungen erfüllen. Sie muss insbesondere die Gründe für die Verweigerung der Auskunft sowie eine private Rechtsbehelfsbelehrung enthalten.

Wer diese Reaktionspflicht nicht oder fehlerhaft erfüllt, setzt sich insbesondere der Gefahr zivilrechtlicher Klagen der Gegenseite aus. Diese kann sich nicht nur an die Datenschutzbehörde wenden, sondern ihren Auskunftsanspruch auch gerichtlich geltend machen. Selbst wenn dieser nicht zu Recht bestehen sollte, so wäre eine solche Klage dennoch mit Risiken für die Verantwortlichen verbunden. Die Gegenseite hat nämlich ein Recht auf eine begründete Verweigerung der Auskunftserteilung. Wer auf das Schreiben gar nicht oder fehlerhaft reagiert, würde damit der Gegenseite Anlass zur Klagsführung geben.

Nicht zahlen, sondern rechtswirksam antworten

Voraussetzung für eine erfolgreiche Klage wäre zwar, dass das Gericht zur Überzeugung gelangt, dass die Verantwortlichen das Auskunftsbegehren tatsächlich erhalten haben. Dass die Schreiben nicht als Einschreiben versandt wurden, hilft den Verantwortlichen in diesem Fall. Das Gericht ist in seiner Beweiswürdigung aber frei und es kann dennoch zum Ergebnis kommen, dass sie das Schreiben erhalten haben. Erschwerend kommt dabei hinzu, dass einige Stellen empfohlen haben, auf das Abmahnschreiben mit einem Antrag auf Fristverlängerung zu reagieren. Auch Beschwerden bei der Rechtsanwaltskammer oder Strafanzeigen könnten sich hierbei als Bumerang erweisen. Eine Reaktion auf das Schreiben ist aber auch aus einem anderen Grund empfehlenswert: Durch Aufnahme einer entsprechenden Unterlassungserklärung sowie einer Bestätigung, dass die Website mittlerweile DSGVO-konform ist, kann die Erfolgsaussicht einer Unterlassungsklage reduziert werden.

Die Empfehlung für den richtigen Umgang mit den Abmahnschreiben lautet daher: Nicht zahlen, sondern rechtswirksam antworten. Die Antwort muss insbesondere den Anforderungen des Art. 12 DSGVO genügen und sollte zeigen, dass vom Verantwortlichen keine (weiteren) Rechtsverletzungen zu erwarten sind.

Legal-Tech-Tools zur Herstellung von Waffengleichheit

Da die gegenständliche Abmahnwelle weder technisch noch rechtlich professionell umgesetzt wurde, dürfte die Sache – eine wirksame Reaktion gemäß Art. 12 DSGVO vorausgesetzt – für die Betroffenen glimpflich ausgehen. Wer bereits bezahlt hat, kann auch rechtliche Schritte in Erwägung ziehen, um sein Geld zurückzuerhalten.

Es bleibt aber beunruhigend, dass die weitgehenden Rechte von Betroffenen sehr leicht missbraucht werden können. Eine einzelne Person kann mit einmaligem Aufwand tausende Schreiben automatisiert erstellen und damit komplexe Rechtsprobleme aufwerfen, auf die die Empfänger individuell reagieren müssen. Die Kosten einer betreffenden, individuellen Rechtsberatung sind schnell höher als der geforderte Betrag selbst. Es mag für den Einzelnen daher rationaler scheinen, die geforderte Summe einfach zu bezahlen.

Durch den Einsatz von Legal-Tech-Tools kann in solchen Situationen Waffengleichheit geschaffen werden. Wo ein Einzelner mit geringem Aufwand tausende Betroffene erreicht, müssen sich tausende Betroffene mit geringem Aufwand wehren können. Die neue Online-Plattform www.abmahnantwort.at ist ein erster Schritt in diese Richtung.