Abmahnung erhalten: Was jetzt zu tun ist (Leitfaden 2026)

Es ist meistens ein Brief. Oder eine E-Mail mit Anhang. Der Absender ist eine Anwaltskanzlei, die du nicht kennst. Im Betreff steht „Abmahnung wegen Verstoßes gegen die DSGVO", manchmal auch „wettbewerbswidrige Handlung". Drin: zehn Seiten Begründung, eine fertig formulierte Unterlassungserklärung zum Unterschreiben und eine Kostenrechnung über 1.200 Euro. Frist: in einer Woche.

Das ist der Moment, in dem die meisten Selbstständigen entweder überreagieren — sofort unterschreiben, um die Sache loszuwerden — oder unterreagieren, weil sie das Schreiben für eine Masche halten und ignorieren. Beides ist falsch.

Diese Anleitung beschreibt, was wirklich zu tun ist. Sie basiert auf rund 42 Fällen, die ich seit 2022 begleitet habe — und auf der Lektüre dessen, was Anwält:innen in Fachzeitschriften und in der eigenen Praxis dazu schreiben. Es ist keine Rechtsberatung, aber sie soll dir die Orientierung geben, die du in den ersten 48 Stunden brauchst.

Wie die Abmahn-Lage 2026 aussieht

Belastbare Zahlen gibt es vor allem für den Online-Handel. Für die Abmahnstudie 2026 des Händlerbunds wurden 335 Online-Händlerinnen und -Händler befragt, ergänzt um Fallzahlen aus der Rechtsabteilung des Verbands. Dazu eine Zahl aus meinen eigenen Fällen:

Die Händlerbund-Zahlen gelten für den Online-Handel, nicht automatisch für jede Dienstleister-Website. Wie eine Abmahnwelle gegen Websites ablaufen kann, zeigt der Fall Google Fonts: Laut Polizei Berlin (Dezember 2022) sollen ein Anwalt und sein Mandant mit eigens programmierter Software Websites mit Google Fonts gesucht und bundesweit Privatpersonen und Kleingewerbetreibende abgemahnt haben. Ermittelt wurde wegen des Verdachts auf teils versuchten Abmahnbetrug und versuchte Erpressung in mindestens 2.418 Fällen.

Was du daraus mitnimmst: Du bist nicht persönlich gemeint. Hinter solchen Wellen steckt ein standardisierter Ablauf, und deine Website ist dabei aufgefallen. Das macht die Sache nicht harmloser, aber es nimmt ihr die Dramatik. Und es zeigt, warum du den Vorwurf immer technisch prüfen solltest.

Schritt 1: Die ersten zwei Stunden — was du sofort tust

Die Reihenfolge ist wichtig:

1. Das Schreiben sorgfältig lesen. Wer mahnt ab? In welchem Auftrag? Welcher konkrete Verstoß wird genannt? Welche Frist? Welche Forderungen?
2. Frist im Kalender markieren. Die typische Frist beträgt 7 bis 10 Tage. Verpasst du sie, droht eine einstweilige Verfügung mit zusätzlichen Gerichts- und Anwaltskosten.
3. Beweis sichern. Mache einen vollständigen Screenshot deiner aktuellen Website-Konfiguration: Cookie-Banner, Datenschutzerklärung, Footer, Impressum. Auch die Browser-DevTools-Netzwerkliste ist wertvoll, weil sie zeigt, was deine Seite zu welchem Zeitpunkt geladen hat.
4. Den Verstoß technisch verifizieren. Lade deine Seite im Inkognito-Modus, ohne Consent zu geben. Sieh nach, ob der gerügte Verstoß tatsächlich vorliegt. Ist die Behauptung falsch, etwa weil der gerügte Zustand zum angegebenen Zeitpunkt gar nicht bestand, ändert das die Verhandlungsposition grundlegend.
5. Anwalt kontaktieren. Spezialisierung: IT-Recht oder Wettbewerbsrecht. Eine kurze Mail mit dem Schreiben als Anhang reicht für die erste Reaktion.

Was du nicht tun solltest in dieser Phase: Die beigelegte Unterlassungserklärung ungeprüft unterschreiben. Sie stammt von der Gegenseite, kann weiter gehen als der konkrete Vorwurf und verpflichtet dich in der Regel ohne Enddatum zu einer Vertragsstrafe für jeden künftigen Verstoß.

Schritt 2: Was tatsächlich abgemahnt wird

Auch zu den Anlässen gibt es belastbare Zahlen vor allem aus dem Online-Handel. Laut Händlerbund-Abmahnstudie 2026 entfällt dort fast jede zweite Abmahnung (48 Prozent) auf das Wettbewerbsrecht, 26 Prozent auf das Urheberrecht, meist wegen Bildern ohne ausreichende Lizenz, und rund 20 Prozent auf das Markenrecht.

Auf der Website selbst sind drei technische Punkte besonders greifbar. Sie lassen sich mit überschaubarem Aufwand prüfen und beheben, und für die Gegenseite ist der Beweis einfach (Screenshot der DevTools).

Google Fonts: Der Dauerbrenner

Das LG München I hat 2022 entschieden, dass das Laden von Google Fonts direkt von fonts.googleapis.com ohne Einwilligung im entschiedenen Fall rechtswidrig war, und dem Kläger 100 Euro Schadensersatz zugesprochen (Az. 3 O 17493/20). Wer das auch 2026 noch nicht behoben hat, riskiert eine Abmahnung. Die DSGVO-Checkliste 2026 erklärt die Lösung: lokales Hosting der Schriften.

Cookie-Banner ohne echte Ablehnen-Option

Ein weiterer Vorwurf trifft Banner, bei denen „Alle akzeptieren" prominent ist und „Ablehnen" entweder fehlt oder erst auf Layer 2 zu finden ist. Das OLG Köln hat 2024 einem Unternehmen untersagt, per Cookie-Banner Einwilligungen abzufragen, ohne eine der Einwilligung gleichwertige Ablehnungsoption anzubieten. Im entschiedenen Fall enthielt die erste Ebene des Banners überhaupt keine Ablehnungsoption (Urteil vom 19.01.2024, Az. 6 U 80/23). Deshalb gehört Ablehnen gleichwertig neben Akzeptieren auf die erste Ebene.

Newsletter ohne dokumentiertes Double-Opt-In

Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung gilt grundsätzlich als unzumutbare Belästigung (§ 7 Abs. 2 Nr. 2 UWG), und wer sich auf eine Einwilligung stützt, muss sie nachweisen können (Art. 7 Abs. 1 DSGVO). Tools wie Brevo, MailerLite oder ConvertKit liefern Double-Opt-In-Logs automatisch. Wer mit einem WordPress-Plugin ohne Bestätigungs-E-Mail arbeitet, kann die Einwilligung im Streitfall kaum belegen.

Schritt 3: Die modifizierte Unterlassungserklärung

Das ist der zentrale juristische Schritt — und der, bei dem die meisten Fehler passieren.

Was eine Unterlassungserklärung leistet

Mit der Unterlassungserklärung verpflichtest du dich rechtsverbindlich, den gerügten Verstoß ab sofort zu unterlassen. Sie beendet den Unterlassungsanspruch der Gegenseite — der eigentliche Hebel der Abmahnung. Schadensersatzansprüche bestehen davon unabhängig.

Warum du die Originalfassung nicht unterschreiben solltest

Bei der mitgeschickten Erklärung lohnt sich der Blick auf drei Punkte:

1. Vertragsstrafe nach Vorgabe der Gegenseite. Die Höhe schlägt die Gegenseite vor. Bei wettbewerbsrechtlichen Abmahnungen setzt das Gesetz Grenzen: Ist der Verstoß nur unerheblich und beschäftigst du in der Regel weniger als 100 Mitarbeiter, darf die Vertragsstrafe 1.000 Euro nicht überschreiten (§ 13a Abs. 3 UWG). Mahnt ein Mitbewerber erstmals einen DSGVO-Verstoß oder eine verletzte Informationspflicht im Online-Geschäft ab, darf bei weniger als 100 Mitarbeitern gar keine Vertragsstrafe vereinbart werden (§ 13a Abs. 2 UWG). Und wer auf Verlangen eine unangemessen hohe Vertragsstrafe verspricht, schuldet nur eine angemessene (§ 13a Abs. 4 UWG).
2. Zu weite Reichweite. Die Erklärung kann auch Konstellationen umfassen, die der konkrete Vorwurf gar nicht abdeckt, etwa „jegliche Form von Tracking" statt „Google Fonts ohne Einwilligung".
3. Unbefristete Bindung. Eine Unterlassungserklärung hat üblicherweise kein Enddatum. Lösen kannst du dich nur im Ausnahmefall, etwa durch Kündigung aus wichtigem Grund, wenn der Abmahner seine Berechtigung durch eine Gesetzesänderung verloren hat (BGH, Beschluss vom 22.10.2025, Az. I ZR 83/25). Was du heute unterschreibst, gilt auch nach drei CMS-Migrationen weiter.

Wie eine modifizierte Erklärung aussieht

Die anwaltliche Praxis ist seit Jahren etabliert: Du gibst eine Unterlassungserklärung ab, die nur den konkret gerügten Verstoß abdeckt, eine Vertragsstrafe „nach billigem Ermessen, im Streitfall vom Gericht zu überprüfen" enthält und nicht überschießend formuliert ist. Genau das ist der Grund, warum eine Erstberatung bei einer auf IT-Recht spezialisierten Kanzlei sinnvoll ist — die kennen die Standardformulierungen und passen sie auf deinen Fall an.

Schritt 4: Schadensersatz und Kosten

Neben der Unterlassungsforderung kann die Abmahnung zwei Kostenpositionen enthalten:

Anwaltskosten der Gegenseite

Berechnet nach RVG (Rechtsanwaltsvergütungsgesetz), abhängig vom Gegenstandswert. Mehr als eine 1,3-Geschäftsgebühr darf nur bei umfangreicher oder schwieriger Tätigkeit verlangt werden (Nr. 2300 VV RVG). Bei 1,3 ergibt die amtliche Gebührentabelle 460,85 Euro für 5.000 Euro Gegenstandswert und 847,60 Euro für 10.000 Euro, jeweils zuzüglich 20 Euro Auslagenpauschale und gegebenenfalls Umsatzsteuer. Bei wettbewerbsrechtlichen Abmahnungen musst du diese Kosten nur tragen, soweit die Abmahnung berechtigt ist und die gesetzlich vorgeschriebenen Angaben enthält (§ 13 Abs. 3 UWG). Ausgeschlossen ist der Ersatz, wenn ein Mitbewerber Verstöße gegen Informationspflichten im Online-Geschäft abmahnt oder DSGVO-Verstöße von Unternehmen mit in der Regel weniger als 250 Mitarbeitern (§ 13 Abs. 4 UWG). Die Gebührenhöhe selbst ist gesetzlich geregelt, ansetzen lässt sich vor allem beim Gegenstandswert: Setzt ein Mitbewerber ihn unangemessen hoch an, spricht das im Zweifel für Missbrauch (§ 8c Abs. 2 Nr. 3 UWG).

DSGVO-Schadensersatz

Hier ist Bewegung im Markt. Der BGH hat am 18. November 2024 entschieden, dass schon der bloße und kurzzeitige Verlust der Kontrolle über eigene Daten ein immaterieller Schaden nach Art. 82 DSGVO sein kann (Az. VI ZR 10/24). Automatisch gibt es aber nichts, die Höhe hängt vom Einzelfall ab. Für den bloßen Kontrollverlust hielt der BGH im entschiedenen Fall eine Größenordnung von 100 Euro für vertretbar, das LG München I sprach im Google-Fonts-Fall 100 Euro zu. Das schafft Spielraum für Verhandlungen.

Schritt 5: Den Verstoß auf der Website beheben

Parallel zum juristischen Vorgehen muss der gerügte Zustand sofort weg. Die Behebung dauert je nach Verstoß zwischen 30 Minuten (Google Fonts lokal hosten) und mehreren Tagen (Cookie-Banner-Architektur überarbeiten).

Wichtig dabei: Die Behebung muss dokumentiert werden — am besten mit Datum, Uhrzeit und Screenshot. Das ist der Beleg, den du brauchst, falls die Gegenseite später eine Vertragsstrafe wegen Verstoßes gegen die Unterlassungserklärung geltend macht.

Der DSGVO-Quick-Audit geht die typischen Schwachstellen Schritt für Schritt durch.

Schritt 6: Prävention für die nächsten zwölf Monate

Sobald die akute Sache erledigt ist, lohnt sich eine systematische Prävention. Die Maßnahmen mit dem höchsten Wirkungsgrad:

• Quartalsweises Selbst-Audit der eigenen Website mit DevTools im Inkognito-Modus. Was lädt vor dem Banner? Welche Cookies werden gesetzt? Welche externen Skripte sind aktiv?
• Lokales Hosting aller Schriften, Bilder und Skripte. Keine externen CDNs ohne Consent — auch nicht Bootstrap, jQuery oder Font Awesome, die viele Themes von extern laden.
• Cookie-Banner-Audit jährlich. Die Rechtsprechung entwickelt sich weiter — was 2024 noch akzeptabel war, kann 2026 abmahnbar sein.
• Newsletter-Tool mit Double-Opt-In-Log. Brevo, MailerLite, ConvertKit oder Klaviyo liefern automatisch eine prüfbare Einwilligungs-Historie.
• Datenschutzerklärung jährlich aktualisieren. Generatoren wie der von e-Recht24 oder activeMind liefern aktuelle Vorlagen, die jeweils an die eigene Konfiguration angepasst werden müssen.
• Wartungsvertrag oder Eigenpflege mit festem Rhythmus. Ohne kontinuierliche Pflege schleichen sich neue Verstöße ein — ein Plugin-Update, eine zusätzliche Schriftart, ein neues Embed.

Was es kostet, wenn du nichts tust

Ignorieren ist riskant. Laut Händlerbund-Abmahnstudie 2026 folgen auf ausbleibende Reaktionen in aller Regel weitere rechtliche Schritte. Ein möglicher Verlauf:

1. Tag 0: Abmahnung kommt, Frist 7 Tage. Kosten: 1.200 Euro Abmahnkosten.
2. Tag 8: Frist verstrichen. Die Gegenseite kann eine einstweilige Verfügung beantragen.
3. Danach: Erlässt das Gericht die einstweilige Verfügung, kommen Gerichtskosten und die Anwaltskosten des Eilverfahrens dazu. Wer unterliegt, trägt auch die Kosten der Gegenseite (§ 91 ZPO). Die Höhe hängt vom Streitwert ab.
4. Nach Zustellung: Gegen eine per Beschluss erlassene einstweilige Verfügung kannst du Widerspruch einlegen (§ 924 ZPO in Verbindung mit § 936 ZPO). Das bedeutet weiteren Anwaltsaufwand.
5. Bei Verstoß gegen die einstweilige Verfügung: Ordnungsgeld bis zu 250.000 Euro je Zuwiderhandlung möglich, sofern es vorher angedroht wurde (§ 890 ZPO).

Mein Fazit aus 42 begleiteten Fällen

Eine Abmahnung ist kein Weltuntergang, aber sie ist auch keine Spam-Mail. Wer ruhig und strukturiert reagiert, kommt mit überschaubarem Schaden raus. Wer in Panik unterschreibt, bindet sich ohne Enddatum an womöglich überschießende Verpflichtungen. Wer ignoriert, riskiert ein Gerichtsverfahren mit zusätzlichen Kosten.

Der wichtigste Hebel bleibt die Prävention: Wer die typischen technischen Stolperfallen (Google Fonts, Cookie-Banner, Newsletter-Einwilligung) sauber gelöst hat, bietet für diese Abmahnungen keine Angriffsfläche mehr. Das ist heute kein Zusatzaufwand mehr, sondern Stand der Technik.

Wenn ein Schreiben bei dir liegt und du nicht weißt, wie ernst die Sache ist: Schreib mir kurz. Ich helfe dir bei der technischen Einordnung, bevor du zur Anwältin oder zum Anwalt gehst — das spart oft die Hälfte der ersten Beratungszeit, weil die Faktenlage bereits klar ist.