DSGVO-Verstoß im Lager und Marketing: Was du als Händler bei Mitarbeiter-Kameras & Werbe-Scraping 2026 tun musst

Als Online-Händler kämpfst du an zwei Fronten gleichzeitig: Im Lager willst du Diebstahl und Schwund minimieren, im Marketing willst du mit schlagkräftigen Kampagnen neue Kunden gewinnen. Doch genau hier lauern zwei der größten DSGVO-Fallen des Jahres 2026, die dich schnell fünf- oder sechsstellige Bußgelder kosten können. Aktuelle Tätigkeitsberichte der deutschen Datenschutzbehörden für das Jahr 2025, wie sie unter anderem von Dr. Datenschutz analysiert wurden, zeigen mit erschreckender Deutlichkeit, wo es knallt: bei der Videoüberwachung von Mitarbeitern und beim automatisierten Sammeln (Scraping) von Kontaktdaten für die Werbung.

Das Problem? Viele Unternehmer handeln aus einem nachvollziehbaren Impuls – Inventurverluste müssen gestoppt, Marketingziele erreicht werden – und übersehen dabei die strengen rechtlichen Leitplanken. Dieser Artikel ist dein direkter Leitfaden aus der Praxis. Wir übersetzen das Juristen-Deutsch für dich und zeigen dir ganz konkret: WAS ist los, WAS musst du JETZT tun, WIE genau, und WAS kostet es, wenn du es ignorierst.

Szenario 1: Diebstahl im Lager – Warum die Videokamera zur teuren Falle wird

Dein Lager ist das Herz deines E-Commerce-Business. Wenn hier Ware verschwindet, tut das doppelt weh: Du verlierst nicht nur den Warenwert, sondern auch Marge und potenziellen Umsatz. Der erste Gedanke vieler Händler: Kameras installieren. Doch ein aktueller Fall aus dem 44. Tätigkeitsbericht der Datenschutzbehörde Schleswig-Holstein zeigt, dass dieser Schuss nach hinten losgehen kann.

Der Praxisfall: 25.000 € Schwund, 9 Kameras mit Ton – und ein Bußgeldverfahren

Ein Lagerbetrieb beklagte Inventurverluste von rund 25.000 Euro. Um Diebstählen und Regelverstößen (z.B. Rauchverbot) vorzubeugen, installierte die Geschäftsführung neun Videokameras. Diese liefen nicht nur rund um die Uhr, sondern zeichneten auch den Ton auf. Die Aufnahmen wurden 14 Tage gespeichert, und die Geschäftsführung konnte jederzeit live zugreifen. Einige Kameras erfassten sogar die dauerhaften Arbeitsplätze der Mitarbeiter. Zwar hatten die Angestellten "Einverständniserklärungen" unterschrieben, wurden aber nicht über ihr Recht aufgeklärt, diese Einwilligung jederzeit zu widerrufen.

Das Ergebnis? Die Datenschutzbehörde stufte die gesamte Maßnahme als unzulässig ein und leitete ein Bußgeldverfahren ein. Nicht weil sie kein Verständnis für den Schaden des Unternehmens hatte, sondern weil die Umsetzung fundamental gegen geltendes Recht verstieß.

Rechtlicher Deep Dive: Warum war das alles illegal?

• Wertlose Einwilligung: Eine Einwilligung von Mitarbeitern ist im Datenschutzrecht fast immer unwirksam. Warum? Wegen des Machtgefälles im Arbeitsverhältnis. Gerichte und Behörden gehen davon aus, dass Angestellte dem Druck, zu unterschreiben, nicht frei widerstehen können. Zudem fehlte hier der entscheidende Hinweis auf das jederzeitige Widerrufsrecht.
• Tonaufnahme - Das absolute No-Go: Die heimliche Aufzeichnung des nichtöffentlich gesprochenen Wortes ist nicht nur ein DSGVO-Verstoß, sondern kann eine Straftat nach § 201 Strafgesetzbuch (StGB) sein. Die Audiofunktion einer Kamera MUSS im Arbeitsumfeld deaktiviert sein. Hier gibt es keinen Spielraum.
• Fehlende Verhältnismäßigkeit: Das ist der Kern des Problems. Eine 24/7-Überwachung mit Ton, die auch Dauerarbeitsplätze erfasst, ist ein massiver Eingriff in die Persönlichkeitsrechte. Es gab keinen konkreten Tatverdacht gegen bestimmte Personen, der eine solch intensive Überwachung gerechtfertigt hätte. Die Maßnahme war pauschal und damit unverhältnismäßig.
• Keine Prüfung milderer Mittel: Bevor du zur Kamera greifst, musst du nachweisen können, dass du alle weniger einschneidenden Alternativen geprüft hast. Das hat das Unternehmen im Beispielfall versäumt.

Was du als Online-Händler JETZT tun musst, wenn du Kameras einsetzt

Überprüfe deine bestehende oder geplante Videoüberwachung anhand dieser knallharten Checkliste:

• Audio-Funktion zu 100% deaktiviert? Prüfe die technischen Einstellungen jeder einzelnen Kamera. Die Deaktivierung muss permanent sein.
• Konkreter, dokumentierter Anlass? Ein diffuses Gefühl oder allgemeiner Schwund reichen nicht. Du brauchst dokumentierte Vorfälle und einen begründeten Verdacht, der sich auf einen bestimmten Bereich oder Zeitraum eingrenzen lässt (z.B. wiederholtes Verschwinden von Ware an der Packstation zwischen 14 und 16 Uhr).
• Mildere Mittel geprüft und dokumentiert? Hast du schriftlich festgehalten, welche Alternativen du geprüft hast und warum sie unzureichend waren? Beispiele: verbesserte Zugangskontrollen, Abgleich von Anwesenheitslisten mit Warenverlusten, stichprobenartige (und rechtlich saubere) Taschenkontrollen, Vier-Augen-Prinzip an kritischen Stellen.
• Überwachung auf das Minimum beschränkt? Niemals Dauerarbeitsplätze, Pausenräume oder Umkleiden überwachen. Die Überwachung muss auf kritische Zonen (z.B. Warenein- und -ausgang) und auf den unbedingt notwendigen Zeitraum beschränkt sein.
• Speicherfrist maximal 72 Stunden? Die Regel der Datenschutzkonferenz (DSK) ist klar: Länger als 72 Stunden darf nur gespeichert werden, wenn es zur Aufklärung eines konkreten Vorfalls (z.B. gemeldeter Diebstahl am Vortag) notwendig ist. 14 Tage sind fast immer unzulässig.
• Transparente Information? Jeder Mitarbeiter muss wissen, was warum, wo, wie lange und von wem überwacht wird. Ein einfaches Schild reicht nicht. Du brauchst einen detaillierten Aushang oder eine Mitarbeiterinformation.
• Betriebsrat involviert? Sobald du einen Betriebsrat hast, ist die Einführung von Videoüberwachung eine zwingend mitbestimmungspflichtige Maßnahme. Ohne seine Zustimmung geht nichts.
• Datenschutz-Folgenabschätzung (DSFA) durchgeführt? Bei systematischer Überwachung, insbesondere von Mitarbeitern, ist eine DSFA nach Art. 35 DSGVO fast immer Pflicht. Hier musst du Risiken bewerten und Abhilfemaßnahmen dokumentieren. Brauchst du Hilfe bei der Erstellung solcher Dokumente? Unser Generator für Datenschutztexte kann ein erster Anlaufpunkt sein.

Szenario 2: Aggressives Marketing – Wenn "schnelle Leads" zum Bumerang werden

Der Druck, zu wachsen, ist enorm. Marketing-Teams sollen Leads generieren, und zwar schnell und günstig. Eine scheinbar clevere Abkürzung: Das automatisierte "Abgrasen" (Scraping) von E-Mail-Adressen und Namen aus öffentlichen Quellen wie Social-Media-Profilen, Online-Verzeichnissen oder Firmen-Impressen. Doch der Tätigkeitsbericht 2025 des Hamburgischen Beauftragten für Datenschutz zeigt: Das ist ein Spiel mit dem Feuer.

Der Praxisfall: Gescrapte E-Mail-Adressen und ignorierte Widersprüche

Die Zahl der Beschwerden über unerwünschte Werbe-Mails ist 2025 sprunghaft angestiegen. Die Ursache: Viele Unternehmen nutzen automatisierte Tools, um massenhaft Kontaktdaten aus dem Netz zu sammeln. Diese Kontakte werden dann ohne Einwilligung mit Werbung bombardiert. Wenn die Empfänger sich wehren und einen Werbewiderspruch einlegen oder eine Auskunft über ihre Daten verlangen (ihr gutes Recht nach DSGVO), passiert oft: nichts. Oder die Anfragen werden verspätet, unvollständig oder von ungeschultem Personal (oft der Chef selbst in kleinen Firmen) falsch beantwortet. Das Resultat: wütende Empfänger, die sich direkt an die Aufsichtsbehörde wenden.

Rechtlicher Deep Dive: Warum Scraping und Versand illegal sind

• Fehlende Rechtsgrundlage (Art. 6 DSGVO): Nur weil eine E-Mail-Adresse öffentlich im Internet steht (z.B. im Impressum), ist das keine Einladung für Werbe-Mails. Das Sammeln, Speichern und Nutzen dieser Daten ist eine "Verarbeitung" und braucht eine explizite Rechtsgrundlage. Das wäre in der Regel eine aktive, informierte Einwilligung (z.B. per Double-Opt-In-Verfahren), die beim Scraping per Definition nicht vorliegt.
• Verletzung der Informationspflicht (Art. 14 DSGVO): Wenn du Daten nicht direkt bei der Person selbst erhebst (wie beim Scraping), musst du sie spätestens innerhalb eines Monats darüber informieren. Du musst ihr sagen, woher du die Daten hast, was du damit vorhast und welche Rechte sie hat. Das ist praktisch unmöglich und wird systematisch ignoriert.
• Missachtung von Betroffenenrechten (Art. 12, 15, 21 DSGVO): Jeder hat das Recht auf Auskunft, welche Daten du über ihn gespeichert hast (Art. 15), und das Recht, der Nutzung seiner Daten für Werbung jederzeit zu widersprechen (Art. 21). Solche Anfragen musst du unverzüglich, spätestens aber innerhalb eines Monats, korrekt und vollständig bearbeiten (Art. 12 Abs. 3). Technische Fehler im CRM oder mangelndes Wissen sind keine Entschuldigung.

Was du als Unternehmer JETZT tun musst, um dein Marketing DSGVO-sicher zu machen

Mach Inventur bei deinen Marketing-Praktiken. Diese Schritte sind nicht optional:

• Stoppe SOFORT das Scraping: Wenn du oder deine Agentur Tools einsetzt, um Kontaktdaten zu sammeln, ohne dass die Personen sich aktiv in einen Verteiler eingetragen haben – beende das unverzüglich.
• Prüfe deine Lead-Quellen: Woher kommen deine E-Mail-Listen wirklich? Gekaufte Listen? Alte Datenbanken? Kannst du für jede einzelne Adresse eine saubere, nachweisbare Einwilligung (idealerweise mit Zeitstempel des Double-Opt-Ins) vorlegen? Wenn nicht, sind diese Kontakte wertlos und gefährlich.
• Implementiere einen wasserdichten Prozess für Betroffenenanfragen: Lege eine zentrale E-Mail-Adresse fest (z.B. [email protected]). Definiere klar, wer im Unternehmen für die Bearbeitung zuständig ist und schule diese Person. Erstelle eine Vorlage für die Beantwortung von Auskunftsersuchen, die alle Pflichtangaben nach Art. 15 DSGVO enthält.
• Nutze eine "Sperrliste" (Blocklist): Dein E-Mail- oder CRM-System muss technisch sicherstellen, dass Adressen, von denen ein Widerspruch kam, nie wieder angeschrieben werden können. Ein einfaches Löschen reicht nicht, denn beim nächsten Daten-Import könnten sie wieder im System landen.

Was passiert, wenn du diese Regeln ignorierst? Die konkreten Kosten.

Die Vorstellung, dass Datenschutzverstöße nur "auf dem Papier" existieren, ist ein teurer Irrtum. Die Behörden machen ernst, und die Konsequenzen sind real.

Bußgelder, die weh tun

Die DSGVO sieht Strafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Allein die Hamburger Behörde hat im Berichtszeitraum 17 Maßnahmen verhängt, darunter vier Bußgelder wegen Werbe-Verstößen. Auch im Fall der Videoüberwachung wurde ein Bußgeldverfahren eingeleitet. Diese Strafen sind bewusst existenzbedrohend angelegt.

Strafrechtliche Konsequenzen

Wir wiederholen es, weil es so wichtig ist: Die heimliche Tonaufnahme bei der Videoüberwachung ist kein Kavaliersdelikt. Hier droht eine Strafanzeige nach § 201 StGB. Das bedeutet, es ermittelt nicht nur die Datenschutzbehörde, sondern die Staatsanwaltschaft. Das betrifft dich als Geschäftsführer persönlich.

Reputationsschaden und Abmahnungen

Ein verhängtes Bußgeld wird oft öffentlich gemacht. Das führt zu negativer Presse und einem massiven Vertrauensverlust bei Kunden und Mitarbeitern. Zudem können Datenschutzverstöße auch von Wettbewerbern oder Verbraucherschutzverbänden abgemahnt werden. Diese Abmahnungen sind teuer und zeitaufwändig. Behalte aktuelle Abmahnwellen im Auge, zum Beispiel mit unserem AbmahnRadar, um vorbereitet zu sein.

Schritt-für-Schritt: So prüfst du dein eigenes Unternehmen

Warte nicht auf eine Beschwerde oder ein Schreiben der Behörde. Werde jetzt selbst aktiv. Führe diesen Mini-Audit in deinem Unternehmen durch:

1. Inventur der Kameras: Geh physisch durch dein Unternehmen. Wo hängt welche Kamera? Erstelle eine Liste mit Standort, Zweck, Aufzeichnungsdauer und überprüfe, ob die Audiofunktion deaktiviert ist. Gleiche diese Liste mit den oben genannten rechtlichen Anforderungen ab.
2. Inventur der Marketing-Daten: Öffne dein E-Mail-Marketing-Tool. Schau dir die letzten 100 hinzugefügten Kontakte an. Kannst du auf Knopfdruck nachweisen, woher sie stammen und dass ein gültiges Opt-In vorliegt? Mache Stichproben bei älteren Kontakten.
3. Prozess-Test (Fire Drill): Bitte einen Freund, eine formlose E-Mail an deine offizielle Kontaktadresse zu schicken mit dem Text: "Sehr geehrte Damen und Herren, bitte geben Sie mir gemäß Art. 15 DSGVO Auskunft über alle zu meiner Person gespeicherten Daten." Stoppe die Zeit. Wie lange dauert es, bis die Anfrage bei der richtigen Person landet? Erfolgt eine korrekte Antwort innerhalb von einer Woche (als internes Ziel)?
4. Dokumentations-Check: Liegen die notwendigen Dokumente vor? (z.B. Datenschutz-Folgenabschätzung, Verzeichnis von Verarbeitungstätigkeiten, Information der Beschäftigten). Wenn du hier Lücken feststellst, ist es höchste Zeit zu handeln. Ein kompletter Check deiner Website und deiner Prozesse kann sinnvoll sein – nutze dafür unseren Compliance-Scan als ersten Anhaltspunkt.

Wenn du bei einem dieser Punkte unsicher bist, ist das ein klares Warnsignal. Zögere nicht, dir Hilfe zu holen – zum Beispiel mit einer ersten Einschätzung durch unseren KI-Anwalt.

FAQ: Häufige Fragen aus der Praxis

Hier beantworten wir kurz und bündig, was uns Händler immer wieder fragen.

Darf ich eine Kamera-Attrappe zur Abschreckung installieren?

Vorsicht! Auch eine Attrappe kann einen unzulässigen Überwachungsdruck erzeugen, wenn Mitarbeiter nicht wissen, dass sie eine Fälschung ist. Die Rechtslage ist hier umstritten, aber wenn du sie einsetzt, solltest du die Mitarbeiter klar darüber informieren, dass es sich um Attrappen handelt, um den Vorwurf des Überwachungsdrucks zu entkräften.

Was ist, wenn ein Mitarbeiter in die Videoüberwachung schriftlich einwilligt?

Diese Einwilligung ist in 99% der Fälle rechtlich wertlos. Aufgrund des Abhängigkeitsverhältnisses im Job geht man nicht von einer echten "Freiwilligkeit" aus. Verlasse dich niemals allein auf eine solche Einwilligung als Rechtsgrundlage für die Mitarbeiterüberwachung.

Ist es erlaubt, Kontaktdaten aus dem Impressum von Firmenwebsites für Werbung zu nutzen?

Nein. Eine im Impressum veröffentlichte E-Mail-Adresse dient der gesetzlich vorgeschriebenen schnellen Kontaktaufnahme, sie ist keine Einwilligung in den Erhalt von Werbung. Das ungefragte Zusenden von Werbung an solche Adressen ist ein klarer Verstoß.

Wie lange habe ich Zeit, auf eine Löschanfrage nach DSGVO zu antworten?

Die Frist beträgt gemäß Art. 12 Abs. 3 DSGVO "unverzüglich", spätestens aber einen Monat nach Eingang des Antrags. Diese Frist kann in komplexen Fällen um weitere zwei Monate verlängert werden, aber darüber musst du den Antragsteller innerhalb des ersten Monats informieren.

Reicht ein Schild "Dieser Bereich wird videoüberwacht" aus?

Nein, das ist zu wenig. Ein solches Piktogramm ist nur die erste Stufe der Information ("Hinweis auf der ersten Ebene"). Du musst zusätzlich detaillierte Informationen ("Hinweis auf der zweiten Ebene") leicht zugänglich machen, z.B. per Aushang. Darin müssen der Zweck, die Rechtsgrundlage, die Speicherdauer und die Kontaktdaten des Verantwortlichen stehen.

Mein Inventurschwund ist extrem hoch. Darf ich dann nicht überwachen?

Doch, aber nur als letztes Mittel (ultima ratio) und streng verhältnismäßig. Ein hoher Schwund kann ein berechtigtes Interesse begründen. Du musst aber erst alle milderen Mittel (Organisation, Kontrollen etc.) nachweislich ausgeschöpft haben und die Überwachung dann auf das absolute Minimum beschränken (kein Ton, nur relevante Bereiche, kurze Speicherdauer).

Was ist "Broad Consent" und kann ich das für mein Marketing nutzen?

"Broad Consent" (breite Einwilligung) ist ein Konzept, das im neuen Leitfaden des EDSA für die wissenschaftliche Forschung diskutiert wird. Es erlaubt unter engen Voraussetzungen eine breitere Einwilligung für zukünftige Forschungszwecke. Dies ist aber absolut nicht auf E-Mail-Marketing übertragbar. Im Marketing gilt weiterhin der Grundsatz der zweckgebundenen, spezifischen Einwilligung.

--- **Hinweis:** Wir sind keine Anwaelte. Diese Information ersetzt keine individuelle Rechtsberatung. Bei rechtlich kritischen Entscheidungen empfehlen wir die Konsultation eines auf IT-/Handelsrecht spezialisierten Anwalts. Du kannst den KI-Anwalt als ersten Schritt nutzen — fuer Hand-Off an einen echten Anwalt steht der AnwaltOnline-Service bereit.