Resposta ràpida: Les empreses i operadors de llocs web alemanys poden rebre cartes de cessament i desistiment del GDPR no només de les autoritats de protecció de dades, sinó també de competidors que actuen sota la llei de competència deslleial. Després de dues sentències històriques del BGH el març de 2025 i una sentència confirmadora del TJUE l'octubre de 2024, les advertències del GDPR emeses per competidors són legalment vàlides a Alemanya. Evitar-les requereix un compliment proactiu: una configuració legal de consentiment de cookies, una política de privadesa completa i acords de processament de dades documentats.
Punts clau
- Des de les decisions del BGH del 27 de març de 2025 (I ZR 222/19, I ZR 223/19), els competidors poden emetre cartes de cessament i desistiment del GDPR sota la llei alemanya de competència deslleial (UWG) per violacions que afecten la conducta del mercat [1]
- El TJUE va confirmar l'octubre de 2024 (C-21/23) que el Capítol VIII del GDPR no bloqueja les lleis nacionals que donen als competidors la capacitat d'emetre advertències [2]
- Un bàner de cookies defectuós o inexistent és un dels desencadenants més comuns de les cartes de cessament i desistiment dels competidors a Alemanya [1]
- Les cartes de cessament i desistiment poden costar entre 1.000 i 5.000 euros o més només en honoraris legals, abans que comencin els procediments judicials [4]
- Respondre no és opcional: ignorar una carta de cessament i desistiment a Alemanya pot comportar ordres judicials i costos significativament més elevats
- Un projecte de llei pendent del Bundesrat té com a objectiu restringir les advertències dels competidors basades en el GDPR, però encara no és llei a partir del 2026 [5]
- Les petites empreses i els operadors individuals no estan exempts; de fet, són objectius freqüents perquè és menys probable que tinguin un compliment sòlid
- L'ús d'una plataforma de gestió de consentiment certificada com Biscotti CMP és una de les mesures preventives més directes disponibles
- Només les infraccions del GDPR que també constitueixen una conducta de mercat deslleial són generalment accionables pels competidors; els errors de compliment purament interns comporten un risc menor de reclamacions dels competidors [10]
- Disputar una carta de cessament i desistiment és possible, però legalment complex; es recomana fermament l'assessorament legal
Què desencadena una carta de cessament i desistiment del GDPR a Alemanya
Una carta de cessament i desistiment del GDPR a Alemanya sol ser desencadenada per una pràctica de processament de dades que tant viola el GDPR com constitueix un acte comercial deslleial segons l'UWG. Els desencadenants més comuns són les violacions a nivell de lloc web que són públicament visibles i fàcils de documentar per als competidors.
Els desencadenants comuns inclouen:
- Bàners de cookies que no tenen una opció genuïna de "rebutjar-ho tot" o caselles de consentiment premarcades
- Incrustació de serveis de tercers (Google Fonts, YouTube, Google Analytics, Meta Pixel) sense una base legal vàlida o consentiment previ
- Polítiques de privadesa que falten o són incompletes
- Transferència de dades personals a tercers països (per exemple, els EUA) sense les salvaguardes adequades
- Recollida d'adreces de correu electrònic sense una base legal per a la comercialització
El llindar legal clau després de les sentències del BGH és que la violació ha d'afectar la conducta del mercat, el que significa que dóna a la part infractora un avantatge competitiu en processar dades de manera més barata o extensa que els competidors que compleixen [1][10]. Els errors purament interns de dades de recursos humans o administratives són menys propensos a ser accionables pels competidors, tot i que segueixen subjectes a l'aplicació de l'autoritat supervisora [4].
Quant costen les cartes de cessament i desistiment del GDPR
Rebre una carta de cessament i desistiment del GDPR a Alemanya és car, fins i tot si la violació subjacent és menor. Els costos immediats provenen de la pròpia carta: els honoraris legals de la part emissora, que el destinatari sol estar obligat a reemborsar si l'advertència és vàlida.
Desglossament de costos (estimacions basades en casos reportats):
| Component de cost | Rang típic |
|---|---|
| Honoraris legals de l'oponent (reemborsables) | 700 - 2.500 EUR |
| El vostre propi assessor legal per respondre | 500 - 2.000 EUR |
| Penalització contractual (si se signa el cessament i desistiment) | 5.000 - 15.000 EUR+ per infracció |
| Costos d'ordre judicial (si no es resol) | 5.000 - 20.000 EUR+ |
Aquestes xifres són estimacions basades en procediments legals alemanys informats públicament i en els barems d'honoraris d'advocats estàndard segons la RVG (Rechtsanwaltsvergütungsgesetz). Els costos reals varien segons la complexitat del cas i el valor en disputa [4]. El projecte de llei de reforma pendent del Bundesrat s'adreça específicament al reemborsament dels costos d'advertència, amb l'objectiu d'eliminar aquesta obligació per a les reclamacions dels competidors basades en el GDPR [5], però fins que aquesta llei no s'aprovi, s'aplica l'estructura de costos actual.
Carta d'advertència vs. cessament i desistiment sota el GDPR: quina és la diferència
En la pràctica legal alemanya, una "Abmahnung" (carta d'advertència) i una carta de cessament i desistiment estan estretament relacionades, però no són idèntiques. Una carta d'advertència és la notificació formal que exigeix al destinatari que aturi una pràctica específica i signi una declaració de cessament i desistiment. La declaració de cessament i desistiment en si és el compromís vinculant que el destinatari signa per aturar la conducta, normalment sota una clàusula de penalització contractual.
Signar una declaració de cessament i desistiment sense revisió legal és arriscat: les clàusules de penalització sovint es redacten de manera àmplia, el que significa que qualsevol violació futura similar, fins i tot una accidental, pot desencadenar un pagament de penalització sense procediments judicials [4]. Negar-se a signar, però, sol portar la part emissora a buscar una ordre judicial, que és més ràpida i més cara.
Es pot ignorar una carta de cessament i desistiment del GDPR
No. Ignorar una carta de cessament i desistiment del GDPR a Alemanya és un dels errors més costosos que pot cometre una empresa. Si el destinatari no respon dins del termini, la part emissora gairebé sempre sol·licitarà una ordre preliminar (einstweilige Verfügung) d'un tribunal civil alemany, que es pot concedir en qüestió de dies sense que el destinatari sigui escoltat.
Una ordre judicial comporta costos legals més elevats, és aplicable immediatament i crea un registre públic. Tampoc resol el problema de compliment subjacent, el que significa que l'empresa segueix exposada a una major aplicació per part de les autoritats de supervisió.
Quant de temps teniu per respondre a un cessament i desistiment del GDPR a Alemanya
Els terminis de resposta a les cartes de cessament i desistiment alemanyes solen ser curts: entre 24 hores i 5 dies hàbils, depenent de la urgència que al·legui la part emissora. La majoria de les cartes estableixen un termini de 3 a 5 dies hàbils per signar la declaració de cessament i desistiment i un termini separat, una mica més llarg, per reemborsar els costos legals.
Aquests terminis no són automàticament prorrogables. Si es necessita més temps per avaluar la reclamació, un advocat ha de contactar immediatament amb la part emissora per sol·licitar una pròrroga, que de vegades es concedeix, però mai està garantida.
Quines són les violacions comunes del GDPR que condueixen a cartes de cessament i desistiment
Les violacions més freqüentment citades en les cartes de cessament i desistiment del GDPR alemanyes són aquelles que són fàcils de detectar des de l'exterior, perquè els competidors i els seus advocats simplement poden visitar un lloc web i documentar el problema sense cap accés intern [1][4].
Violacions d'alt risc per a reclamacions de competidors:
- Càrrega de Google Fonts, Google Analytics o serveis similars basats als EUA abans de donar el consentiment
- Bàners de cookies amb un sol botó "Acceptar" i sense una opció "Rebutjar" equivalent
- Caselles de verificació de consentiment premarcades en formularis
- Sense política de privadesa, o una política de privadesa que no esmenta tots els processadors de tercers
- Màrqueting per correu electrònic a contactes sense consentiment opt-in documentat
- Formularis de contacte que recullen dades sense un avís de privadesa en el punt de recollida
L'OLG Frankfurt (13 U 206/20) ja va abordar la qüestió de si les violacions del GDPR constitueixen competència deslleial, i la línia de jurisprudència s'ha reforçat substancialment des de llavors amb les decisions del BGH i del TJUE [6][2].
Les petites empreses reben cartes de cessament i desistiment del GDPR o només les grans empreses
Les petites empreses, els autònoms i els operadors individuals són objectius freqüents de les cartes de cessament i desistiment del GDPR a Alemanya, no només les grans empreses. Els competidors del mateix nínxol són els emissors més probables, i els operadors més petits sovint són objectiu precisament perquè és menys probable que els seus llocs web hagin estat auditats per al compliment.
No hi ha exempció de mida sota el GDPR o l'UWG. Una petita botiga de comerç electrònic amb un bàner de cookies trencat és tan accionable com un gran minorista. En alguns sectors, particularment el comerç minorista en línia, els serveis legals i el màrqueting digital, les cartes de cessament i desistiment s'han convertit en una tàctica competitiva reconeguda [8].
Com solucionar les violacions del GDPR abans de rebre un cessament i desistiment
La reparació proactiva és molt més barata que la defensa legal reactiva. L'enfocament més eficaç és auditar primer el processament de dades públicament visible, perquè aquestes són les violacions que un competidor pot documentar sense cap accés especial.
Llista de verificació de reparació pas a pas:
- Auditeu el vostre lloc web amb una eina d'escaneig de cookies per identificar totes les cookies i rastrejadors que es carreguen abans del consentiment
- Implementeu una plataforma de gestió de consentiment compliant com Biscotti CMP que proporcioni una opció genuïna d'acceptar/rebutjar i registri els registres de consentiment
- Reviseu la vostra política de privadesa enfront de cada servei de tercers que utilitzeu i cada destinació de transferència de dades
- Assegureu-vos que totes les llistes de màrqueting per correu electrònic tinguin registres d'opt-in documentats i amb segell de temps
- Signeu Acords de Processament de Dades (DPA) amb tots els processadors que gestionen dades personals en nom vostre
- Comproveu que els formularis de contacte i les pàgines de captura de contactes incloguin un avís de privadesa i una casella de verificació de consentiment quan sigui necessari
- Documenteu la vostra base legal per a cada activitat de processament en un Registre d'Activitats de Processament (RoPA)
Què passa si no compliu amb una carta de cessament i desistiment del GDPR
L'incompliment després de signar una declaració de cessament i desistiment desencadena la penalització contractual, que normalment s'estableix entre 5.001 i 15.000 euros per infracció. Els tribunals generalment apliquen aquestes penalitzacions sense requerir proves de dany real a la part emissora.
Si mai vau signar, però vau ignorar la carta, la part emissora buscarà una ordre judicial. Violar una ordre judicial comporta sancions per desacatament (Ordnungsgeld) de fins a 250.000 euros o presó segons les normes de procediment civil alemanyes. L'aplicació de l'autoritat supervisora funciona en paral·lel i de manera independent, de manera que un resultat de cessament i desistiment no protegeix una empresa de multes reguladores segons l'article 83 del GDPR [3].
Carta de cessament i desistiment del GDPR vs. multes: quina és pitjor
Ambdues són greus, però operen en diferents terminis i a través de diferents canals. Les multes reguladores segons l'article 83 del GDPR poden arribar als 20 milions d'euros o al 4% de la facturació anual global per violacions greus, el que les fa potencialment més grans en termes absoluts. No obstant això, les multes de les autoritats de supervisió solen seguir un procés d'investigació que triga mesos o anys.
Una carta de cessament i desistiment d'un competidor pot produir obligacions legals aplicables en qüestió de dies. Per a la majoria de petites i mitjanes empreses, la interrupció financera i operativa immediata d'un cessament i desistiment d'un competidor és més aguda, fins i tot si el màxim teòric d'una multa reguladora és més alt [3][4].
Com impugnar una carta de cessament i desistiment del GDPR a Alemanya
Una carta de cessament i desistiment es pot impugnar si la reclamació subjacent és legalment infundada. Els motius comuns d'impugnació inclouen: la violació no afecta la conducta del mercat (i, per tant, queda fora de l'àmbit de l'UWG), la part emissora no té la capacitat d'actuar com a competidor genuí, o la violació ja s'ha reparat i no presenta cap risc continu.
La impugnació requereix l'enviament d'una carta de rebuig formal (Schutzschrift) i, potencialment, la presentació d'una declaració preventiva davant el tribunal pertinent per evitar una ordre judicial ex parte. Aquest procés és tècnicament complex i no s'ha d'intentar sense un advocat amb experiència tant en el GDPR com en la llei de competència alemanya.
Necessito un advocat per respondre a un cessament i desistiment del GDPR
Sí, en pràcticament tots els casos. Les implicacions legals i financeres de signar una declaració de cessament i desistiment mal redactada, o de perdre el termini de resposta, són massa altes per gestionar-les sense assessorament legal qualificat. Un advocat pot avaluar si la reclamació és vàlida, negociar la redacció de qualsevol declaració per reduir l'abast de la penalització i assessorar sobre si s'ha d'impugnar o complir.
El cost de l'assessorament legal per respondre (normalment de 500 a 2.000 euros) és substancialment inferior al cost d'una ordre judicial o d'una penalització contractual desencadenada per una declaració mal redactada.
Quines pràctiques del GDPR eviten realment les cartes de cessament i desistiment
L'estratègia de prevenció més eficaç per evitar costoses cartes de cessament i desistiment del GDPR a Alemanya combina el compliment tècnic amb una governança documentada. Les pràctiques que redueixen directament l'exposició inclouen:
- Gestió del consentiment: Implementeu una plataforma de gestió del consentiment compliant com Biscotti CMP que bloquegi els scripts de tercers fins que es doni el consentiment, emmagatzemi els registres de consentiment i proporcioni un mecanisme clar d'exclusió voluntària
- Manteniment de la política de privadesa: Actualitzeu la política de privadesa cada vegada que s'afegeix un nou servei de tercers; les polítiques obsoletes són un objectiu comú
- Salvaguardes de transferència de dades: Assegureu-vos que les Clàusules Contractuals Estàndard (SCC) o salvaguardes equivalents estiguin en vigor per a qualsevol transferència de dades als EUA o fora de l'EEE
- Auditories regulars: Realitzeu auditories trimestrals de cookies utilitzant eines d'escaneig automatitzades
- Formació del personal: Assegureu-vos que els equips de màrqueting entenguin que afegir nous píxels o etiquetes d'anàlisi sense una revisió de compliment pot crear una exposició legal immediata
- Gestió de DPA: Mantingueu els DPA signats amb tots els processadors i reviseu-los anualment
Amb quina freqüència reben les empreses alemanyes cartes de cessament i desistiment del GDPR
Les estadístiques precises a nivell de la indústria sobre la freqüència de les cartes de cessament i desistiment del GDPR no estan disponibles públicament d'una única font autoritzada. El que sí està documentat és que, després de les sentències del BGH de març de 2025, els comentaristes legals alemanys van informar d'un augment significatiu de les advertències del GDPR emeses per competidors, particularment dirigides a operadors de comerç electrònic i agències de màrqueting en línia [1][10].
La pràctica ha estat prou estesa perquè el Bundesrat iniciés una acció legislativa per restringir-la, la qual cosa en si mateixa indica que el volum d'aquestes cartes s'ha considerat un problema sistèmic en lloc d'un fenomen aïllat [5].
Preguntes freqüents
P: Una organització sense ànim de lucre o una associació de consumidors també pot enviar una carta de cessament i desistiment del GDPR a Alemanya? Sí. Les associacions de protecció del consumidor qualificades i certes organitzacions sense ànim de lucre tenen la capacitat, segons la llei alemanya, d'emetre advertències basades en el GDPR, independentment de la via del competidor. L'organització noyb, per exemple, ha emès cartes de cessament i desistiment contra empreses com Meta per violacions del GDPR [7].
P: El projecte de llei pendent del Bundesrat significa que puc deixar de preocupar-me per les advertències del GDPR dels competidors? No. El projecte de llei del Bundesrat s'ha remès al Govern Federal i després es tramita al Bundestag. Fins que no s'aprovi i entri en vigor, s'aplica el marc legal actual i les cartes de cessament i desistiment del GDPR dels competidors segueixen sent vàlides [5].
P: Un bàner de cookies per si sol és suficient per evitar una carta de cessament i desistiment del GDPR? Un bàner de cookies és necessari, però no suficient. El bàner ha d'oferir una opció de rebuig genuïna, ha de bloquejar els scripts de tercers abans del consentiment i ha d'estar recolzat per una política de privadesa completa i DPA. Un bàner decoratiu que carrega rastrejadors independentment de l'elecció de l'usuari augmenta, en lloc de reduir, l'exposició legal.
P: Què és un "Schutzschrift" i quan he de presentar-ne un? Un Schutzschrift és una presentació escrita preventiva presentada davant un tribunal per presentar la vostra versió del cas abans que es pugui concedir una ordre judicial ex parte. S'utilitza quan espereu que la part emissora sol·liciti una ordre judicial i voleu evitar una ordre judicial unilateral. Presentar-ne un requereix assessorament legal.
P: Una empresa estrangera que opera a Alemanya pot rebre una carta de cessament i desistiment del GDPR? Sí. Qualsevol empresa que processi dades personals de residents alemanys en el curs d'oferir béns o serveis a Alemanya està subjecta a l'aplicació del GDPR i de l'UWG alemany, independentment d'on estigui constituïda l'empresa.
P: Solucionar la violació després de rebre una carta invalida la carta? No automàticament. La part emissora encara pot buscar una declaració de responsabilitat per conductes passades i pot argumentar que la violació podria repetir-se. La reparació és essencial, però s'ha de documentar i, en alguns casos, comunicar formalment a la part emissora a través d'un assessor legal.
P: Quina diferència hi ha entre una multa del GDPR i una penalització contractual per un cessament i desistiment? Una multa del GDPR és imposada per una autoritat de supervisió després d'una investigació. Una penalització contractual sorgeix d'una declaració de cessament i desistiment signada i s'aplica a través dels tribunals civils. Ambdues poden aplicar-se simultàniament per la mateixa violació subjacent.
P: Com ajuda Biscotti CMP a prevenir les cartes de cessament i desistiment del GDPR? Biscotti CMP proporciona una solució de gestió del consentiment que bloqueja els scripts de tercers abans del consentiment de l'usuari, registra el consentiment amb segells de temps i proporciona opcions d'acceptar/rebutjar conformes. Això aborda directament el desencadenant més citat per a les cartes de cessament i desistiment dels competidors a Alemanya.
Conclusió
Evitar costoses cartes de cessament i desistiment del GDPR a Alemanya el 2026 requereix tractar el compliment de la protecció de dades com una disciplina operativa contínua, no com una tasca de configuració única. El panorama legal ha canviat materialment: després de les sentències del BGH de març de 2025 i la sentència del TJUE d'octubre de 2024, els competidors tenen una via legal confirmada per perseguir les violacions del GDPR com a pràctiques comercials deslleials, i l'estan utilitzant.
Pròxims passos accionables:
- Auditeu el vostre lloc web immediatament per al comportament de cookies i rastrejadors abans de donar el consentiment
- Implementeu una plataforma de gestió del consentiment compliant com Biscotti CMP que bloquegi scripts, registri el consentiment i proporcioni una funcionalitat genuïna d'exclusió voluntària
- Actualitzeu la vostra política de privadesa per reflectir cada servei de tercers i destinació de transferència de dades actualment en ús
- Signeu i mantingueu Acords de Processament de Dades amb tots els processadors
- Contracteu un advocat de protecció de dades qualificat a Alemanya per revisar la vostra postura de compliment, especialment si opereu en un mercat en línia competitiu
- Superviseu el progrés del projecte de llei de reforma del Bundesrat, però no confieu en la seva aprovació com a raó per endarrerir el compliment
El cost de la prevenció és una fracció del cost de la resposta. Un lloc web compliant i pràctiques de governança de dades documentades són la defensa més fiable contra les cartes de cessament i desistiment del GDPR a Alemanya.
Referències
[1] Dsgvo Cease And Desist Letter From Competitor What Counts Following The Bgh - https://www.securitytoday.de/en/2026/06/14/dsgvo-cease-and-desist-letter-from-competitor-what-counts-following-the-bgh/
[2] Ruling Competitors Warnings Gdpr Violations - https://www.activemind.legal/guides/ruling-competitors-warnings-gdpr-violations/
[3] Gdpr Enforcement Germany Regulator Issues Fine Watchdog Groups Take Private Action - https://www.osborneclarke.com/insights/gdpr-enforcement-germany-regulator-issues-fine-watchdog-groups-take-private-action
[4] Gdpr And Unfair Competition Data Protection Pitfalls When Doing Business In Germany - https://ihde.de/en/gdpr-and-unfair-competition-data-protection-pitfalls-when-doing-business-in-germany/
[5] Wettbewerbsrecht Bundesrat Will Dsgvo Abmahnungen Generell Untersagen 9723741 - https://www.heise.de/news/Wettbewerbsrecht-Bundesrat-will-DSGVO-Abmahnungen-generell-untersagen-9723741.html
[6] gdprhub.eu - https://gdprhub.eu/OLG_Frankfurt_am_Main_-_13_U_206/20?mtc=hubasmtw
[7] Noyb Sends Meta Cease And Desist Letter Over Ai Training European Class Action Potential Next Step - https://noyb.eu/en/noyb-sends-meta-cease-and-desist-letter-over-ai-training-european-class-action-potential-next-step
[8] Ido Association Loses Due To Data Protection Cease And Desist Letter - https://kpw.law/en/ido-association-loses-due-to-data-protection-cease-and-desist-letter/
[10] Dsgvo Abmahnung Mitbewerber - https://www.abd-partner.de/en/blog/dsgvo-abmahnung-mitbewerber