Unternehmen, die nach Frankreich oder Deutschland expandieren, gehen oft davon aus, dass das Compliance-Risiko in beiden Märkten ähnlich sei. Schließlich gilt die DSGVO in beiden Ländern. Die Rechtsrahmen sind auf EU-Ebene harmonisiert. So unterschiedlich können die Anforderungen doch nicht sein.
Diese Annahme ist falsch — und für Unternehmen, die das erst im Nachhinein feststellen, wird es in der Regel teuer.
Frankreich und Deutschland gehören zu den Märkten mit der striktesten Durchsetzung digitaler Compliance in Europa. Doch sie setzen über grundlegend unterschiedliche Mechanismen durch — mit unterschiedlichen Zeitabläufen, unterschiedlichen finanziellen Profilen und unterschiedlichen Entdeckungswegen. Ein Unternehmen, das die französische Durchsetzungskultur versteht und sich entsprechend vorbereitet, kann auf das, was Deutschland anders macht, völlig unvorbereitet sein — und umgekehrt.
⚠️ Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Vorschriften und Durchsetzungspraktiken unterscheiden sich je nach Rechtsordnung und können sich im Laufe der Zeit ändern. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Anwältin oder einen qualifizierten Anwalt.
In Frankreich läuft die Durchsetzung über einen einzigen Kanal: die CNIL — die Commission Nationale de l'Informatique et des Libertés.
Die CNIL ist eine der aktivsten und technisch versiertesten Datenschutzbehörden der EU. Sie arbeitet mit einer Kombination aus technischen Online-Kontrollen, der Entgegennahme von Beschwerden (16.433 eingegangene Beschwerden im Jahr 2023) und proaktiven, branchenweiten Untersuchungskampagnen. Ihr förmliches Untersuchungsverfahren ist gesetzlich geregelt und kann Monate bis Jahre dauern. Ihre Ergebnisse werden auf cnil.fr veröffentlicht — dauerhaft und namentlich.
Wie die Durchsetzung durch die CNIL in der Praxis aussieht:
Mehrere prominente CNIL-Cookie-Bußgelder betrafen Fälle, in denen die Ablehnung von Cookies mehr Klicks erforderte als deren Annahme — etwa gegen Google (150 Mio. €) und Facebook (60 Mio. €), beide entschieden am 31. Dezember 2021. Diese Verfahren begannen mit Beschwerden, gefolgt von einer manuellen Online-Kontrolle durch CNIL-Prüferinnen und -Prüfer.
Ein weiteres erhebliches Bußgeld ging aus einer Untersuchung der CNIL hervor, ob eine Werbetechnologie Daten von Partner-Websites ohne gültige Einwilligung erhob. Das betroffene Unternehmen war davon ausgegangen, dass sein Einwilligungsmechanismus rechtskonform sei. Das war er nicht.
Ein weiteres Bußgeld traf eine Content-Website und keine E-Commerce-Plattform. Deren Betreiber ging nachvollziehbar davon aus, dass eine Gesundheitsinformationsseite mit Werbung ein überschaubares Compliance-Risiko darstelle. Die CNIL war in mehreren technischen Punkten gleichzeitig anderer Auffassung.
Das Profil des französischen Durchsetzungsrisikos:
| Merkmal | Detail |
|---|---|
| Wer durchsetzt | CNIL — eine Behörde, zentralisiert |
| Wie Verstöße gefunden werden | Online-Kontrollen, Einzelbeschwerden, Branchenkampagnen, Eingaben von NGOs |
| Zeitablauf | Typischerweise 12–36 Monate von der Untersuchung bis zur Entscheidung |
| Bußgeldrahmen | Von der Verwarnung bis zu erheblichen Bußgeldern in gesetzlicher Höchsthöhe nach DSGVO |
| Veröffentlicht? | Ja — Entscheidungen werden dauerhaft auf cnil.fr veröffentlicht |
| Grenzüberschreitende Reichweite | Ja — kann gegen ausländische Unternehmen vorgehen, die sich an französische Nutzer richten |
Die Reputationsdimension eines veröffentlichten CNIL-Bußgelds ist erheblich und wird oft unterschätzt. Das Datenschutzbewusstsein französischer Verbraucher ist hoch. Eine veröffentlichte CNIL-Entscheidung nennt die Organisation namentlich, beschreibt den Verstoß im Detail und nennt das Bußgeld. Dieser Eintrag ist dauerhaft und durchsuchbar.
Das Durchsetzungs-Ökosystem Deutschlands ist strukturell anders — und für viele Unternehmen unmittelbarer gefährlich.
Es gibt nicht eine deutsche Durchsetzungsbehörde. Es gibt siebzehn: die bundesweite BfDI plus sechzehn Datenschutzbehörden der Länder (eine je Bundesland), jede mit eigenständigen Ermittlungsbefugnissen. Mehrere parallele Durchsetzungsmaßnahmen durch verschiedene Behörden sind rechtlich möglich.
Doch das markantere Merkmal Deutschlands ist etwas, das es in Frankreich nicht gibt: das System der Abmahnung.
Eine Abmahnung ist ein förmliches Unterlassungsschreiben nach deutschem Zivilrecht. Sie wird nicht von einer Behörde verschickt. Sie wird von einem Wettbewerber, einem Verbraucherschutzverband oder einer in deren Auftrag handelnden Kanzlei versandt. Nach deutschem Recht kann jede Partei mit einem berechtigten rechtlichen Interesse eine solche an ein Unternehmen senden, von dem sie annimmt, dass es gegen das Gesetz verstößt.
Rund um diesen Mechanismus hat sich eine strukturierte, profitable Branche entwickelt. Spezialisierte Kanzleien — informell bekannt als Abmahnanwälte — scannen systematisch Websites, identifizieren Compliance-Lücken und versenden im Auftrag von Mandanten vorformulierte Unterlassungsschreiben. In Deutschland werden schätzungsweise 200.000 bis 300.000 Abmahnungen pro Jahr über alle Rechtsgebiete hinweg ausgesprochen, wobei die Website-Compliance einen wachsenden Anteil ausmacht.
Die wirtschaftlichen Anreize begünstigen den Absender. Eine vorformulierte Abmahnung kostet die Kanzlei des Absenders nur sehr wenig in der Erstellung. Der Empfänger muss — unabhängig davon, ob die Forderung berechtigt ist — eine deutsche Anwältin oder einen deutschen Anwalt beauftragen, die Forderung prüfen und innerhalb der Frist reagieren — typischerweise 10 bis 14 Tage. Die Rechtskosten für die Erledigung einer Abmahnung mit anwaltlicher Hilfe liegen typischerweise zwischen 1.000 und 5.000 €.
Der Zeitdruck ist brutal. Ignoriert ein Empfänger eine Abmahnung oder versäumt die Frist, kann der Absender eine einstweilige Verfügung beantragen — und deutsche Gerichte können diese innerhalb von 24 bis 48 Stunden erlassen. Sobald eine einstweilige Verfügung vorliegt, kann der Geschäftsbetrieb in Deutschland per Gerichtsbeschluss gestoppt werden, bevor ein Unternehmen vollständig verstanden hat, was geschehen ist.
Kleine Unternehmen sind das bevorzugte Ziel. Große Konzerne wehren sich routinemäßig gegen Abmahnungen. Kleine Unternehmen — insbesondere ausländische, die mit dem System nicht vertraut sind — geben häufiger, schneller und zu ungünstigeren Bedingungen nach.
Das Profil des deutschen Durchsetzungsrisikos:
| Merkmal | Detail |
|---|---|
| Wer durchsetzt | 17 Datenschutzbehörden (BfDI + 16 Landesbehörden) + private Rechtsdurchsetzung per Abmahnung |
| Wie Verstöße gefunden werden | Beschwerden bei Datenschutzbehörden; Abmahnanwälte scannen systematisch Websites |
| Zeitablauf | Abmahnung: Frist von 10–14 Tagen, einstweilige Verfügung in 24–48 Stunden möglich |
| Bußgeldrahmen | Datenschutzbehörde: erhebliche Bußgelder bis zur gesetzlichen Höchstgrenze. Abmahnung: 1.000–5.000 € Rechtskosten pro Fall |
| Veröffentlicht? | Entscheidungen der Datenschutzbehörden: ja. Abmahnungen: privat, aber einstweilige Verfügungen werden zu Gerichtsakten |
| Grenzüberschreitende Reichweite | Ja — jedes Unternehmen, das sich an deutsche Verbraucher richtet, ist betroffen |
Für Unternehmen, die sowohl in Frankreich als auch in Deutschland tätig sind — oder von einem Markt in den anderen expandieren —, addieren sich die Risikoprofile, statt sich auszumitteln.
Ein französisches Unternehmen, das nach Deutschland expandiert, betritt erstmals das Abmahnungs-Ökosystem. Es trifft auf einen Mechanismus, mit dem es keinerlei Erfahrung hat, auf in Tagen bemessene Rechtsfristen und auf ein System, in dem die eigenen Wettbewerber potenzielle Rechtsdurchsetzer sind.
Ein deutsches Unternehmen, das in Frankreich tätig ist, sieht sich den Online-Kontrollen und der branchenweiten Untersuchungskapazität der CNIL gegenüber. Die deutsche Neigung zu detaillierter Dokumentation und Prozessorientierung hilft — doch die veröffentlichten Entscheidungen der CNIL bedeuten, dass jeder gefundene Verstoß zu einem dauerhaften öffentlichen Eintrag wird.
Ein reales Beispiel: Ein französisches E-Commerce-Unternehmen expandierte mit einer übersetzten Website nach Deutschland, ergänzte deutsche Versandoptionen und startete eine Meta-Kampagne, die sich an deutsche Verbraucher richtete. Acht Wochen später traf ein Einschreiben ein. Vier Seiten deutscher Rechtstext, 1.200 € geltend gemachte Kosten, eine Frist von zehn Tagen. Drei Compliance-Lücken — allesamt an einem Tag behebbar, wären sie vor dem Start erkannt worden — waren der Kanzlei eines Wettbewerbers aufgefallen. Bis eine deutsche Anwältin beauftragt war, war die Frist verstrichen. Eine einstweilige Verfügung folgte. Der Verkauf in Deutschland kam zum Erliegen. Gesamtkosten: rund 3.500 € an Rechtskosten und zwei Wochen unterbrochener Geschäftsbetrieb.
In Frankreich: Die Online-Kontrollen der CNIL bedeuten, dass Ihre Website direkt von Prüferinnen und Prüfern inspiziert werden kann, ohne dass eine Beschwerde eingereicht wurde. Branchenweite Kampagnen bedeuten, dass die Tätigkeit in bestimmten Branchen Ihre Wahrscheinlichkeit erhöht, untersucht zu werden — unabhängig davon, ob sich jemand über Sie beschwert hat.
In Deutschland: Ein Wettbewerber kann eine Abmahnung gegen Ihre Website schneller aussprechen als jedes behördliche Untersuchungsverfahren. Die Fristenstruktur bedeutet, dass das Übersehen eines einzigen Schreibens innerhalb weniger Tage zu einer einstweiligen Verfügung führen kann. Ein kleines ausländisches Unternehmen zu sein, verringert Ihr Risiko nicht — es erhöht es.
In beiden: Die Compliance-Last ist nicht die Summe zweier getrennter Märkte. Es sind zwei unterschiedliche Durchsetzungskulturen, zwei unterschiedliche Zeitabläufe und zwei unterschiedliche finanzielle Risikoprofile — gleichzeitig zu bewältigen.
Mehr zu jedem der beiden Systeme:
Nicht sicher, was eines der beiden Durchsetzungssysteme auf Ihrer Website finden würde?
Scannen Sie Ihre Website jetzt — Ergebnisse in unter 60 SekundenQuellen: CNIL-Jahresbericht 2023, CNIL-Entscheidung SAN-2021-023 (Google, 150 Mio. €), CNIL-Entscheidung SAN-2021-024 (Facebook, 60 Mio. €), Bundestags-Dokumentation zur Abmahnungsreform (UWG 2021)