Angstmache im deutschen Webmarketing: Wie man solche "Warnschreiben" liest

Als Inhaber einer Webagentur in Baden-Württemberg sehe ich regelmäßig dasselbe Szenario. Ein Kunde - ein Meisterbetrieb, Inhaber eines kleinen Salons, Handwerker - leitet mir eine beunruhigende E-Mail weiter. Darin steht im Kern nur eine Frage: Stimmt es, dass die Website "gegen das Gesetz verstößt", weil dort kein Cookie-Banner vorhanden ist? In meiner Praxis sind solche Nachrichten weder eine behördliche Anordnung noch ein Schreiben eines Anwalts. Es handelt sich um kommerzielle Aussendungen, aufgebaut auf rechtlichen Halbwahrheiten und der Angst vor einer Abmahnung. Hier analysiere ich dieses Genre von Schreiben selbst und beantworte eine einfache Frage: Woran erkennt ein Website-Betreiber eine seriöse Agentur im Unterschied zu einer, die an Verunsicherung verdient - und was verlangt das Gesetz in Deutschland tatsächlich von einer Website? Vorweg gesagt: Dieser Beitrag erläutert den allgemeinen technischen und rechtlichen Rahmen, ersetzt aber keine individuelle Rechtsberatung für den konkreten Einzelfall. Einige rechtliche Aussagen formuliere ich bewusst vorsichtig - ihre Anwendbarkeit hängt immer von den tatsächlichen Gegebenheiten der jeweiligen Website ab.

In meiner Praxis gibt es ein wiederkehrendes Szenario. Ein Kunde leitet mir ein Schreiben weiter - mit der besorgten Frage: "Stimmt es, dass meine Website gegen das Gesetz verstößt"? In dem Schreiben steht, der Website fehle ein Cookie-Banner, das sei "gesetzlich vorgeschrieben" und ohne Banner sei sie "angreifbar". Am Ende folgt ein sanft formulierter Vorschlag: Wenn du möchtest, dass sich dauerhaft jemand darum kümmert - wir sind da.

Ich analysiere dieses Genre solcher Nachrichten selbst - in der Form, in der es mir begegnet. Es ist Angstmarketing, aufgebaut auf rechtlichen Halbwahrheiten. Die zentrale Frage ist einfach: Woran erkennt ein Website-Betreiber eine seriöse Agentur im Unterschied zu einer, die an Verunsicherung verdient - und was verlangt das deutsche Recht tatsächlich von einer Website eines kleinen Unternehmens oder Handwerksbetriebs.

Zwei Vorbemerkungen. Erstens: Dieser Beitrag erläutert den technischen und allgemeinen rechtlichen Rahmen, ersetzt aber keine individuelle Rechtsberatung für den konkreten Fall. Zweitens: Es geht hier ausschließlich um Cookies, Einwilligung und solche "Warnschreiben". Impressum, gesetzlich vorgeschriebene Anbieterkennzeichnungen und ein vollständiges Website-Audit sind eigene Themen - auf sie gehe ich hier nicht ein.

Anatomie eines "Angstmacher"-Schreibens

Damit ich nicht mit einer Nacherzählung argumentiere, zitiere ich den realen Text eines solchen Schreibens (Absender - SENOVATE für style-expert.online):

Damit du es nochmal vor Augen hast: Kein Cookie-Banner / keine Einwilligung. Das ist bei Websites rechtlich vorgeschrieben - und ohne ist man angreifbar. Bei kleinen Unternehmen wird sowas leider öfter abgemahnt, einfach weil die meisten keine Rechtsabteilung haben, die drauf achtet.

Falls du irgendwann magst, dass sich jemand laufend drum kümmert, sind wir da. Kein Druck, keine weiteren Mails - du weißt jetzt, wo wir sind.

Das ist ein Bsp.. Aber die typische Struktur ist daran gut erkennbar.

Zuerst die Imitation von Fürsorge und persönlichem Kontakt: "Das ist meine letzte Mail, ich möchte dich nicht zuspammen". Dann die Behauptung einer rechtlichen Verwundbarkeit, dargestellt als allgemeingültige Regel: "Kein Banner bedeutet, dass du gegen das Gesetz verstößt". Danach der Appell an die Angst vor einer Abmahnung, verstärkt durch den Hinweis, dass kleine Unternehmen keine Rechtsabteilung haben. Und am Ende der sanfte Verkauf einer laufenden Betreuung mit einem rhetorischen Schlusssatz: "Kein Druck, keine weiteren Mails".

Was dieses Schreiben nicht ist: Es ist keine Mitteilung einer Behörde, kein Schreiben eines Anwalts und kein Bußgeld. Es ist kommerzielles Cold Outreach. Die Unruhe erzeugt der Verkäufer der Dienstleistung, nicht der Staat.

Was das Gesetz in Deutschland tatsächlich verlangt

In Deutschland gelten die DSGVO, das BDSG und das branchenspezifische TDDDG. Aber eine Einwilligung - und entsprechend auch ein Consent-Banner - ist nicht für alle Technologien erforderlich, sondern nur für nicht notwendige: Analytics, Marketing, Retargeting, Tracking.

Technisch notwendige Cookies - Session, Warenkorb, Login, Spracheinstellungen - sind bei einer korrekt formulierten Datenschutzerklärung ohne separates Banner zulässig.

Daraus ergibt sich eine einfache praktische Formel, die ich meinen Kunden mitgebe:

• Gibt es einwilligungsbezogene Technologien, braucht es ein Banner und ein ehrliches Consent-Management.
• Gibt es sie nicht, ist ein Banner um des Banners willen nicht erforderlich, aber ein Privacy-Bereich ist immer notwendig.

In diesem Rahmen ist die Aussage "kein Banner = Gesetzesverstoß" entweder falsch oder zumindest irreführend. Sie klingt gerade deshalb überzeugend, weil sie die entscheidende Bedingung ausspart - nämlich welche Daten die Website tatsächlich verarbeitet.

"Tracking" ist nicht nur Google Analytics und Meta Pixel. Das TDDDG betrifft Cookies und ähnliche Technologien des Zugriffs und der Speicherung. Mit anderen Worten: Auf einer typischen Website eines kleinen Unternehmens können auch Dinge eine Einwilligung erfordern, die der Inhaber nicht als "Tracking" einordnet:

• eingebettete YouTube- oder Vimeo-Videos
• Google Maps.
• reCAPTCHA
• Chat-Widgets und Booking-Tools.
• Formulare von Drittanbietern und Social-Media-Pixel.
• früher waren auch externe Schriftarten ein Problem (z.B. Google Fonts mit Nachladen von Google-Servern)

Deshalb ist die präzisere Frage nicht "Haben Sie Analytics"?, sondern "Welche externen Dienste werden tatsächlich geladen und was davon greift vor der Einwilligung auf das Endgerät zu oder speichert dort etwas". Die Schlussfolgerung hängt immer von der tatsächlichen Konfiguration der Website ab, nicht vom bloßen Vorhandensein oder Fehlen eines Banners.

Drei Thesen trenne ich immer voneinander, damit keine neue Verwirrung entsteht:

1/ Ein Cookie-Banner ist nicht immer erforderlich.
2/ Consent-Management ist dort erforderlich, wo es einwilligungsbezogene Technologien gibt.
3/ Eine Datenschutzerklärung ist in jedem Fall erforderlich.

"Kein Banner nötig" bedeutet niemals "kein Privacy-Bereich nötig".

Was die Rechtsprechung betrifft, halte ich die Schlussfolgerung bewusst eng und versehe sie mit einem Vorbehalt: Die endgültige rechtliche Einordnung nimmt ein Jurist anhand der Primärquellen vor. Soweit ich es anhand der mir zugänglichen Materialien beurteilen kann, verschärfen deutsche Gerichte vor allem die Anforderungen an die Ehrlichkeit der Gestaltung bereits vorhandener Banner - die Anforderung eines gleichwertigen Buttons "Alles ablehnen", das Verbot von Dark Patterns. Das ist keine Einführung eines "Pflicht-Banners für jede Website ohne Ausnahme". Es geht um die Qualität der Einwilligung dort, wo sie erforderlich ist, nicht um eine allgemeine Pflicht.

Das Absender-Paradox

Hier zeigt sich die aufschlussreichste Wendung des Genres. Ich formuliere sie ausdrücklich nur als Beobachtung, die datumsbezogen überprüft werden muss. Zum Zeitpunkt meiner Feststellung waren auf der Website des Absenders jenes Schreibens Google Tag Manager (GTM-535Q5FKJ) und Meta Pixel (1625519162058978) vorhanden - genau jene Marketing-Tracker, deren Einsatz ohne Einwilligung anderen zum Vorwurf gemacht wird. Ebenfalls vorhanden war dort ein Mechanismus zur Blockierung bis zur Einwilligung (senovate_cookie_consent).

Ich formuliere das bewusst zurückhaltend: Websites ändern sich, und jede solche Aussage muss durch einen reproduzierbaren technischen Test mit Datumsangabe bestätigt werden, nicht durch einen einmaligen Blick.

Aber selbst bei bestätigtem Befund ist der Widerspruch subtiler als "Er tut selbst, womit er anderen Angst macht". Wenn der Absender sowohl Tracker als auch einen funktionierenden Consent-Mechanismus hat, dann kann er Einwilligung technisch gerade korrekt umsetzen. Das Problem liegt anders. Obwohl er diese Logik beherrscht, erzeugt er bei kleinen Unternehmen den Eindruck, das Fehlen eines Banners sei schon für sich genommen rechtswidrig - selbst dort, wo weder Analytics noch Marketing überhaupt im Einsatz sind. Ausgenutzt wird eine falsche universelle Verallgemeinerung. Das ist kein persönlicher Angriff, sondern ein Mangel der Methode selbst.

Wenn bereits die E-Mail selbst angreifbar ist

Es gibt auch eine Kehrseite, die Empfänger selten kennen: Eine "Angst-E-Mail" kann selbst rechtlich angreifbar sein. Diesen Abschnitt halte ich bewusst kurz - um nicht eine Angstbotschaft durch die nächste zu ersetzen.

Unverlangte werbliche E-Mail-Zusendungen sind in Deutschland durch § 7 Abs. 2 Nr. 2 UWG eingeschränkt, auch im B2B-Bereich, sofern keine vorherige Einwilligung des Empfängers vorliegt. Der Bereich ist rechtlich differenziert: Vieles hängt vom Kontext und von möglichen Rechtsgrundlagen ab. Nach der in den mir vorliegenden Materialien genannten Praxis (BGH, 2009) kann das Risiko einer Abmahnung grundsätzlich bereits durch eine einzige unverlangte Werbe-E-Mail entstehen - das ist jedoch ein mögliches Risiko und keine automatische Folge; die rechtliche Einordnung nimmt ein Jurist anhand des konkreten Sachverhalts vor.

Das Sammeln von E-Mail-Adressen von fremden Websites ohne Rechtsgrundlage und ohne Info der Betroffenen kann aus DSGVO-Sicht problematisch sein (relevant sind Art. 6 und Art. 13). Ich formuliere das nicht als automatischen Verstoß: Es kommen unterschiedliche Rechtsgrundlagen in Betracht. Und wenn rechtliche Drohungen gezielt überzeichnet werden, um Druck aufzubauen, können die Formulierungen der E-Mail in den Anwendungsbereich der §§ 5, 5a UWG zur irreführenden Werbung fallen - auch das ist eine mögliche rechtliche Einordnung, kein feststehender Befund, und erfordert die Prüfung des konkreten Wortlauts.

Was der Empfänger tun kann, wenn er ruhig und ohne Eskalation reagieren möchte:

• Widerspruch erklären und die Löschung der Daten verlangen (Art. 17, 21 DSGVO).
• Falls erforderlich, eine Abmahnung über einen Anwalt oder die Wettbewerbszentrale prüfen.
• Beschwerde bei der zuständigen Landesdatenschutzbehörde einreichen (sie bestimmt sich nach dem Sitz des Verantwortlichen; für Baden-Württemberg ist das die eigene Landesbehörde, nicht das bayerische BayLDA - der richtige Kanal sollte im Einzelfall geprüft werden).

Der erste Schritt ist nicht Panik, sondern die Prüfung der Fakten.

Eine ruhige Antwort statt Panik

Meinen Kunden gebe ich keine Emotion, sondern eine Bestandsaufnahme. Das Antwortszenario sieht so aus:

1/ Faktenprüfung. "Wir haben Ihre Website geprüft - es gibt keine Analyse- oder Marketing-Cookies, keine Third-Party-Tracker und keine eingebundenen Dienste, die eine Einwilligung erfordern / das ist vorhanden".
2/ Rechtlicher Rahmen ohne Anwaltsgehabe. "Das Gesetz verlangt Transparenz und Einwilligung dort, wo tatsächlich Daten verarbeitet werden, nicht ein Banner um des Banners willen".
3/ Motiv des Schreibens. "Das ist ein kommerzielles Anschreiben, das mit Haftungsangst arbeitet, keine Anordnung und kein Bußgeld".
4/ Option für alle Fälle. "Wenn Sie sich mit einem Banner wohler fühlen, implementieren wir eine Privacy-first-Lösung, die sämtliche Tracker bis zur Einwilligung blockiert. Technisch ist das derzeit nicht zwingend erforderlich".

Wenn dem Absender auf Deutsch geantwortet werden muss, halte ich die Formulierung kurz und nicht eskalierend:

Vielen Dank für Ihre Nachricht. Unsere Website wurde geprüft; einwilligungspflichtige Cookies oder Tracker werden nicht ohne Zustimmung geladen, und die Datenschutzerklärung ist vorhanden. Ein weiterer Beratungsbedarf besteht derzeit nicht. Bitte senden Sie keine weitere Werbung an diese Adresse und löschen Sie meine Daten (Art. 17, 21 DSGVO).

Systematisch mache ich für alle Projekte dasselbe: Ich erfasse Cookies, eingebundene Dienste und Tracking bereits im Onboarding und im SLA, dokumentiere externe Skripte, halte die Entscheidung "Banner nicht erforderlich / CMP implementiert" ausdrücklich fest und führe gemeinsam mit einem spezialisierten Juristen regelmäßige Privacy-&-Compliance-Reviews durch.

Der Maßstab für Professionalität ist einfach. Eine seriös arbeitende Agentur spricht die Sprache von Bedingungen: "Wenn X eingesetzt wird, ist Y erforderlich". Eine Agentur, die Angst verkauft, spricht die Sprache pauschaler Drohungen: "Sie haben kein Banner - also verstoßen Sie gegen das Gesetz".

Methodik einer fairen Klassifikation

Es reicht nicht, eine einzelne E-Mail zu analysieren. Sinnvoll erscheint mir ein lebendiger, fortlaufend aktualisierter Überblick über die Marktpraktiken - aber nur, wenn er als überprüfbare Methodik aufgebaut ist und nicht als Liste von Wettbewerbern. Deshalb lege ich die Kriterien im Voraus fest und wende sie zuerst auf mich selbst an.

Mindeststandard der Belege. In die Übersicht fließt keine Bewertung ein, sondern eine Tatsache. Jede Aussage stützt sich auf eine öffentliche Quelle - einen Newsletter-Text, den Quellcode einer Seite, eine Norm aus UWG/DSGVO/TDDDG - unter Angabe des Datums der Feststellung und eines reproduzierbaren Tests, den eine dritte Partei wiederholen kann.

Stufen der Bestätigung. Ich unterscheide drei Stufen: (1) zum Prüfdatum reproduzierbar bestätigt; (2) beobachtet, aber erneut prüfungsbedürftig; (3) Interpretation des Autors. Jede These wird mit ihrer Stufe gekennzeichnet - damit eine Beobachtung nicht als gesicherte Tatsache ausgegeben wird.

Recht auf Stellungnahme. Das Studio erhält eine Anfrage mit einer konkreten Liste von Tatsachen und einer angemessenen Frist zur Antwort. Seine Position wird neben der Bewertung veröffentlicht; wenn innerhalb der Frist keine Antwort eingeht, wird dies ausdrücklich festgehalten - ohne Schuldvermutung.

Schweregradskala. Praktiken werden eingeordnet und nicht in einen Topf geworfen: grobe rechtliche Falschdarstellung, rechtswidriges Outreach, Dark Patterns und die Ausgabe kommerzieller Inhalte als "Vorgabe" - das sind unterschiedliche Ebenen, und sie werden getrennt bewertet.

Verfahren für Korrekturen. Wenn ein Studio seine Praxis ändert oder neue Tatsachen vorlegt, wird der Eintrag mit dem Datum der Änderung und einem Hinweis darauf aktualisiert, was genau geändert wurde. Das Ziel ist ein Anreiz zur Korrektur, nicht ein Stigma.

Symmetrie der Anforderungen. Dieselben Kriterien wende ich auf mich selbst und auf Webgogol an: ein offener Self-Audit zu Cookies, eingebundenen Diensten, Datenschutzerklärung und den eigenen Outreach-Praktiken. Ich bin nicht berechtigt, von anderen eine Überprüfbarkeit zu verlangen, die ich selbst nicht vorzuweisen bereit bin.

Dieser Abschnitt ist für mich wichtiger als die eigentliche Analyse. Die Branche braucht keine Feindesliste, sondern einen überprüfbaren Standard - einen Maßstab, an dem Unternehmer, Studios und Empfehlungsgeber (Steuerberater, Juristen, Berater der Handwerkskammer) über DSGVO sprechen können, ohne zu manipulieren.

Fazit

Ein Schreiben mit den Worten "Ihre Website verstößt gegen das Gesetz" ist kein Anlass zur Beunruhigung, sondern ein Anlass, dem Dienstleister drei konkrete Fragen zu stellen: Welche Skripte und externen Dienste werden tatsächlich geladen, was wird bis zur Einwilligung blockiert und wo ist das in der Datenschutzerklärung festgehalten? Die Formel bleibt einfach: Gibt es einwilligungsbezogene Technologien, ist eine echte Einwilligung erforderlich; gibt es sie nicht, ist ein Banner als solches nicht zwingend, ein Privacy-Bereich ist jedoch immer notwendig.

Die rechtlichen Schlussfolgerungen halte ich bewusst eng. Die Anwendbarkeit von UWG, DSGVO und TDDDG hängt von der tatsächlichen Konfiguration der Website und den konkreten Umständen ab, nicht von der bloßen Existenz eines Banners. In einer strittigen Situation ist eine individuelle Rechtsberatung unersetzlich, und die rechtlichen sowie gerichtlichen Thesen in diesem Material sollten anhand der Primärquellen zum jeweils aktuellen Stand geprüft werden.

Der wichtigste praktische Orientierungspunkt ist die Sprache, in der mit Ihnen gesprochen wird. Ein seriöser Dienstleister formuliert Bedingungen ("wenn X eingesetzt wird, ist Y erforderlich") und keine pauschalen Drohungen. Wo es um das Gesetz geht, ist Genauigkeit wichtiger als Wirkung. Und genau ein überprüfbarer, ruhiger Ansatz schützt den Inhaber einer kleinen Website verlässlicher als eine Reaktion auf die Angst anderer. Deshalb ist eine ehrliche, auch auf den Autor selbst anwendbare Methodik nützlicher als jeder punktuelle Streit: Sie hebt die Messlatte für die gesamte Branche.

🟦 EN https://linkedin.com/pulse/fear-based-marketing-german-web-how-read-scare-emails-syrokomskyi-vb0re