Právo EU a GDPR

Jak se vyhnout nákladným dopisům o zastavení a upuštění od GDPR v Německu

7. července 2026 · 17 min čtení

Stručná odpověď: Německé podniky a provozovatelé webových stránek mohou obdržet dopisy o zastavení a upuštění od GDPR nejen od úřadů pro ochranu osobních údajů, ale také od konkurentů jednajících podle zákona o nekalé soutěži. Po dvou přelomových rozhodnutích BGH v březnu 2025 a potvrzujícím rozsudku SDEU v říjnu 2024 jsou varování GDPR vydaná konkurenty v Německu právně platná. Jejich vyhnutí se vyžaduje proaktivní dodržování předpisů: zákonné nastavení souhlasu s cookies, úplné zásady ochrany osobních údajů a zdokumentované dohody o zpracování údajů.

Klíčové poznatky

Od rozhodnutí BGH ze dne 27. března 2025 (I ZR 222/19, I ZR 223/19) mohou konkurenti vydávat dopisy o zastavení a upuštění od GDPR podle německého zákona o nekalé soutěži (UWG) za porušení, která ovlivňují chování na trhu [1].
SDEU v říjnu 2024 (C-21/23) potvrdil, že kapitola VIII GDPR neblokuje vnitrostátní zákony, které dávají konkurentům právo vydávat varování [2].
Chybný nebo chybějící banner s cookies je jedním z nejčastějších spouštěčů dopisů o zastavení a upuštění od konkurentů v Německu [1].
Dopis o zastavení a upuštění může stát jen na právních poplatcích mezi 1 000 a 5 000 EUR nebo více, než začne jakékoli soudní řízení [4].
Reagování není volitelné: ignorování dopisu o zastavení a upuštění v Německu může vést k soudním příkazům a výrazně vyšším nákladům.
Projednávaný návrh zákona Bundesratu si klade za cíl omezit varování konkurentů na základě GDPR, ale k roku 2026 ještě není zákonem [5].
Malé podniky a samostatní podnikatelé nejsou vyňati; ve skutečnosti jsou častými cíli, protože je méně pravděpodobné, že budou mít zavedené robustní dodržování předpisů.
Použití certifikované platformy pro správu souhlasů, jako je Biscotti CMP, je jedním z nejpřímějších dostupných preventivních opatření.
Pouze porušení GDPR, která zároveň představují nekalé tržní chování, jsou obvykle žalovatelná konkurenty; čistě interní selhání dodržování předpisů nesou nižší riziko nároků konkurentů [10].
Napadnutí dopisu o zastavení a upuštění je možné, ale právně složité; důrazně se doporučuje právní poradenství.

Co spouští dopis o zastavení a upuštění od GDPR v Německu

Dopis o zastavení a upuštění od GDPR v Německu je obvykle spuštěn praxí zpracování dat, která porušuje GDPR a zároveň představuje nekalý obchodní akt podle UWG. Nejčastějšími spouštěči jsou porušení na úrovni webových stránek, která jsou veřejně viditelná a pro konkurenty snadno zdokumentovatelná.

Mezi běžné spouštěče patří:

Bannery s cookies, které postrádají skutečnou možnost „odmítnout vše“ nebo předem zaškrtnutá políčka souhlasu.
Vkládání služeb třetích stran (Google Fonts, YouTube, Google Analytics, Meta Pixel) bez platného právního základu nebo předchozího souhlasu.
Chybějící nebo neúplné zásady ochrany osobních údajů.
Přenos osobních údajů do třetích zemí (např. USA) bez odpovídajících záruk.
Shromažďování e-mailových adres bez zákonného základu pro marketing.

Klíčovým právním prahem po rozhodnutích BGH je, že porušení musí ovlivňovat chování na trhu, což znamená, že dává porušující straně konkurenční výhodu zpracováním dat levněji nebo rozsáhleji než dodržující konkurenti [1][10]. Čistě interní chyby v datech HR nebo administrativních datech jsou méně pravděpodobné, že budou žalovatelné konkurenty, ačkoli zůstávají předmětem vymáhání ze strany dozorových úřadů [4].

Kolik stojí dopisy o zastavení a upuštění od GDPR

Obdržení dopisu o zastavení a upuštění od GDPR v Německu je drahé, i když je základní porušení drobné. Okamžité náklady pocházejí ze samotného dopisu: právní poplatky vydávající strany, které je příjemce obvykle povinen uhradit, pokud je varování platné.

Rozpis nákladů (odhad na základě hlášených případů):

Složka nákladů	Typický rozsah
Právní poplatky protistrany (proplatitelné)	700 - 2 500 EUR
Vlastní právní poradenství pro odpověď	500 - 2 000 EUR
Smluvní pokuta (pokud je podepsáno zastavení a upuštění)	5 000 - 15 000+ EUR za porušení
Náklady na soudní příkaz (pokud není vyřešeno)	5 000 - 20 000+ EUR

Tyto údaje jsou odhady založené na veřejně hlášených německých soudních řízeních a standardních sazbách advokátních poplatků podle RVG (Rechtsanwaltsvergütungsgesetz). Skutečné náklady se liší podle složitosti případu a hodnoty sporu [4]. Projednávaný návrh zákona Bundesratu se konkrétně zaměřuje na úhradu nákladů na varování s cílem odstranit tuto povinnost pro nároky konkurentů na základě GDPR [5], ale dokud tento zákon neprojde, platí současná struktura nákladů.

Varovný dopis vs. zastavení a upuštění podle GDPR: Jaký je rozdíl

V německé právní praxi jsou „Abmahnung“ (varovný dopis) a dopis o zastavení a upuštění úzce související, ale nejsou totožné. Varovný dopis je formální oznámení požadující, aby příjemce zastavil konkrétní praxi a podepsal prohlášení o zastavení a upuštění. Samotné prohlášení o zastavení a upuštění je závazný závazek, který příjemce podepisuje, aby zastavil jednání, obvykle s doložkou o smluvní pokutě.

Podepsání prohlášení o zastavení a upuštění bez právního posouzení je riskantní: doložky o pokutě jsou často formulovány široce, což znamená, že jakékoli budoucí podobné porušení, i náhodné, může spustit platbu pokuty bez soudního řízení [4]. Odmítnutí podpisu však obvykle vede k tomu, že vydávající strana usiluje o soudní příkaz, což je rychlejší a dražší.

Můžete ignorovat dopis o zastavení a upuštění od GDPR

Ne. Ignorování dopisu o zastavení a upuštění od GDPR v Německu je jednou z nejdražších chyb, které může podnik udělat. Pokud příjemce neodpoví ve stanovené lhůtě, vydávající strana téměř vždy požádá o předběžné opatření (einstweilige Verfügung) u německého civilního soudu, které může být uděleno během několika dnů, aniž by byl příjemce vyslechnut.

Soudní příkaz s sebou nese vyšší právní náklady, je okamžitě vymahatelný a vytváří veřejný záznam. Také neřeší základní problém dodržování předpisů, což znamená, že podnik zůstává vystaven dalšímu vymáhání ze strany dozorových úřadů.

Jak dlouho máte na odpověď na dopis o zastavení a upuštění od GDPR v Německu

Lhůty pro odpověď v německých dopisech o zastavení a upuštění jsou obvykle krátké: mezi 24 hodinami a 5 pracovními dny, v závislosti na naléhavosti, kterou vydávající strana tvrdí. Většina dopisů stanoví lhůtu 3 až 5 pracovních dnů pro podepsání prohlášení o zastavení a upuštění a samostatnou, o něco delší lhůtu pro úhradu právních nákladů.

Tyto lhůty nejsou automaticky prodlužitelné. Pokud je potřeba více času na posouzení nároku, měl by právník okamžitě kontaktovat vydávající stranu a požádat o prodloužení, které je někdy uděleno, ale nikdy není zaručeno.

Jaká jsou běžná porušení GDPR, která vedou k dopisům o zastavení a upuštění

Porušení nejčastěji uváděná v německých dopisech o zastavení a upuštění od GDPR jsou ta, která jsou snadno zjistitelná zvenčí, protože konkurenti a jejich právníci mohou jednoduše navštívit webové stránky a zdokumentovat problém bez jakéhokoli interního přístupu [1][4].

Vysoce riziková porušení pro nároky konkurentů:

Načítání Google Fonts, Google Analytics nebo podobných služeb se sídlem v USA před udělením souhlasu.
Bannery s cookies s jediným tlačítkem „Přijmout“ a bez ekvivalentní možnosti „Odmítnout“.
Předem zaškrtnutá políčka souhlasu ve formulářích.
Žádné zásady ochrany osobních údajů nebo zásady ochrany osobních údajů, které nezmiňují všechny zpracovatele třetích stran.
E-mailový marketing na kontakty bez zdokumentovaného souhlasu s přihlášením.
Kontaktní formuláře, které shromažďují data bez oznámení o ochraně osobních údajů v místě shromažďování.

OLG Frankfurt (13 U 206/20) se dříve zabýval otázkou, zda porušení GDPR představují nekalou soutěž, a linie judikatury byla od té doby podstatně posílena rozhodnutími BGH a SDEU [6][2].

Dostávají malé podniky dopisy o zastavení a upuštění od GDPR, nebo jen velké společnosti

Malé podniky, živnostníci a samostatní podnikatelé jsou častými cíli dopisů o zastavení a upuštění od GDPR v Německu, nejen velké podniky. Konkurenti ve stejném oboru jsou nejpravděpodobnějšími vydavateli a menší provozovatelé jsou často cíleni právě proto, že jejich webové stránky je méně pravděpodobné, že byly auditovány z hlediska dodržování předpisů.

Podle GDPR ani UWG neexistuje žádná výjimka z velikosti. Malý e-shop s rozbitým bannerem s cookies je stejně žalovatelný jako velký maloobchodník. V některých odvětvích, zejména v online maloobchodě, právních službách a digitálním marketingu, se dopisy o zastavení a upuštění staly uznávanou konkurenční taktikou [8].

Jak napravit porušení GDPR, než obdržíte dopis o zastavení a upuštění

Proaktivní náprava je mnohem levnější než reaktivní právní obrana. Nejúčinnějším přístupem je nejprve auditovat veřejně viditelné zpracování dat, protože to jsou porušení, která konkurent může zdokumentovat bez jakéhokoli zvláštního přístupu.

Kontrolní seznam nápravných opatření krok za krokem:

Auditujte své webové stránky pomocí nástroje pro skenování cookies, abyste identifikovali všechny cookies a trackery načítané před souhlasem.
Implementujte vyhovující platformu pro správu souhlasů, jako je Biscotti CMP, která poskytuje skutečnou volbu přijmout/odmítnout a zaznamenává záznamy o souhlasu.
Zkontrolujte své zásady ochrany osobních údajů proti každé službě třetí strany, kterou používáte, a každému cíli přenosu dat.
Zajistěte, aby všechny seznamy e-mailového marketingu měly zdokumentované záznamy o přihlášení s časovým razítkem.
Podepište dohody o zpracování dat (DPA) se všemi zpracovateli, kteří zpracovávají osobní údaje vaším jménem.
Zkontrolujte, zda kontaktní formuláře a stránky pro sběr potenciálních zákazníků obsahují oznámení o ochraně osobních údajů a zaškrtávací políčko souhlasu, kde je to vyžadováno.
Zdokumentujte svůj právní základ pro každou činnost zpracování v záznamu o činnostech zpracování (RoPA).

Co se stane, když nedodržíte dopis o zastavení a upuštění od GDPR

Nedodržení po podepsání prohlášení o zastavení a upuštění spouští smluvní pokutu, která je obvykle stanovena mezi 5 001 a 15 000 EUR za porušení. Soudy obecně vymáhají tyto pokuty bez nutnosti prokázat skutečnou škodu vydávající straně.

Pokud jste nikdy nepodepsali, ale ignorovali dopis, vydávající strana bude usilovat o soudní příkaz. Porušení soudního příkazu s sebou nese pokuty za pohrdání soudem (Ordnungsgeld) až do výše 250 000 EUR nebo uvěznění podle německých pravidel občanského soudního řízení. Vymáhání ze strany dozorového úřadu probíhá paralelně a nezávisle, takže výsledek zastavení a upuštění nechrání společnost před regulačními pokutami podle článku 83 GDPR [3].

Dopis o zastavení a upuštění od GDPR vs. pokuty: Co je horší

Oba jsou vážné, ale fungují na různých časových osách a prostřednictvím různých kanálů. Regulační pokuty podle článku 83 GDPR mohou dosáhnout 20 milionů EUR nebo 4 % celkového ročního obratu za závažná porušení, což je činí potenciálně většími v absolutním vyjádření. Pokuty od dozorových úřadů však obvykle následují po vyšetřovacím procesu, který trvá měsíce nebo roky.

Dopis o zastavení a upuštění od konkurenta může vytvořit vymahatelné právní závazky během několika dnů. Pro většinu malých a středních podniků je okamžité finanční a provozní narušení způsobené zastavením a upuštěním od konkurenta akutnější, i když teoretické maximum regulační pokuty je vyšší [3][4].

Jak napadnout dopis o zastavení a upuštění od GDPR v Německu

Dopis o zastavení a upuštění může být napaden, pokud je základní nárok právně nepodložený. Mezi běžné důvody pro spor patří: porušení neovlivňuje chování na trhu (a proto spadá mimo rozsah UWG), vydávající strana nemá postavení skutečného konkurenta, nebo porušení již bylo napraveno a nepředstavuje žádné trvající riziko.

Napadnutí vyžaduje zaslání formálního odmítacího dopisu (Schutzschrift) a potenciálně podání preventivního prohlášení u příslušného soudu, aby se zabránilo ex parte příkazu. Tento proces je technicky složitý a neměl by být prováděn bez právníka zkušeného v GDPR i německém soutěžním právu.

Potřebuji právníka, abych odpověděl na dopis o zastavení a upuštění od GDPR

Ano, prakticky ve všech případech. Právní a finanční sázky spojené s podepsáním nesprávně formulovaného prohlášení o zastavení a upuštění nebo s promeškáním lhůty pro odpověď jsou příliš vysoké na to, aby se daly zvládnout bez kvalifikovaného právního poradenství. Právník může posoudit, zda je nárok platný, vyjednat znění jakéhokoli prohlášení, aby zúžil rozsah pokuty, a poradit, zda sporovat nebo vyhovět.

Náklady na právní poradenství pro odpověď (obvykle 500 až 2 000 EUR) jsou podstatně nižší než náklady na soudní příkaz nebo smluvní pokutu spuštěnou špatně formulovaným prohlášením.

Jaké postupy GDPR skutečně zabraňují dopisům o zastavení a upuštění

Nejúčinnější strategií prevence pro vyhýbání se nákladným dopisům o zastavení a upuštění od GDPR v Německu je kombinace technického dodržování předpisů s dokumentovanou správou. Postupy, které přímo snižují expozici, zahrnují:

Správa souhlasu: Nasaďte vyhovující platformu pro správu souhlasu, jako je Biscotti CMP, která blokuje skripty třetích stran, dokud není udělen souhlas, ukládá záznamy o souhlasu a poskytuje jasný mechanismus odhlášení.
Údržba zásad ochrany osobních údajů: Aktualizujte zásady ochrany osobních údajů pokaždé, když je přidána nová služba třetí strany; zastaralé zásady jsou běžným cílem.
Záruky pro přenos dat: Zajistěte, aby byly zavedeny standardní smluvní doložky (SCC) nebo rovnocenné záruky pro jakékoli přenosy dat do USA nebo mimo EHP.
Pravidelné audity: Provádějte čtvrtletní audity cookies pomocí automatizovaných skenovacích nástrojů.
Školení zaměstnanců: Zajistěte, aby marketingové týmy chápaly, že přidávání nových pixelů nebo analytických značek bez kontroly dodržování předpisů může okamžitě vytvořit právní expozici.
Správa DPA: Udržujte podepsané DPA se všemi zpracovateli a každoročně je kontrolujte.

Jak často dostávají německé společnosti dopisy o zastavení a upuštění od GDPR

Přesné celoodvětvové statistiky o frekvenci dopisů o zastavení a upuštění od GDPR nejsou veřejně dostupné z jediného autoritativního zdroje. Co je zdokumentováno, je, že po rozhodnutích BGH z března 2025 němečtí právní komentátoři hlásili významný nárůst varování GDPR vydaných konkurenty, zejména zaměřených na provozovatele e-commerce a online marketingové agentury [1][10].

Praxe byla dostatečně rozšířená, že Bundesrat inicioval legislativní opatření k jejímu omezení, což samo o sobě signalizuje, že objem takových dopisů byl považován za systémový problém spíše než za izolovaný jev [5].

Často kladené otázky

Otázka: Může nezisková organizace nebo spotřebitelské sdružení také poslat dopis o zastavení a upuštění od GDPR v Německu? Ano. Kvalifikovaná sdružení na ochranu spotřebitelů a některé neziskové organizace mají podle německého práva právo vydávat varování na základě GDPR, nezávisle na cestě konkurence. Organizace noyb například vydala dopisy o zastavení a upuštění proti společnostem včetně Meta za porušení GDPR [7].

Otázka: Znamená projednávaný návrh zákona Bundesratu, že se mohu přestat obávat varování konkurentů ohledně GDPR? Ne. Návrh zákona Bundesratu byl předán spolkové vládě a poté postupuje do Bundestagu. Dokud nebude schválen a v platnosti, platí současný právní rámec a dopisy o zastavení a upuštění od GDPR od konkurentů zůstávají platné [5].

Otázka: Stačí samotný banner s cookies k zabránění dopisu o zastavení a upuštění od GDPR? Banner s cookies je nezbytný, ale ne dostatečný. Banner musí nabízet skutečnou možnost odmítnutí, musí blokovat skripty třetích stran před souhlasem a musí být podpořen úplnými zásadami ochrany osobních údajů a DPA. Dekorativní banner, který načítá trackery bez ohledu na volbu uživatele, spíše zvyšuje, než snižuje právní expozici.

Otázka: Co je „Schutzschrift“ a kdy bych ho měl podat? Schutzschrift je preventivní písemné podání soudu, které má předložit vaši stranu případu předtím, než může být udělen ex parte příkaz. Používá se, když očekáváte, že vydávající strana bude usilovat o příkaz a chcete zabránit jednostrannému soudnímu příkazu. Podání vyžaduje právní poradenství.

Otázka: Může zahraniční společnost působící v Německu obdržet dopis o zastavení a upuštění od GDPR? Ano. Jakákoli společnost, která zpracovává osobní údaje německých obyvatel v rámci nabídky zboží nebo služeb v Německu, podléhá vymáhání GDPR a německého UWG, bez ohledu na to, kde je společnost založena.

Otázka: Způsobí oprava porušení po obdržení dopisu, že dopis bude neplatný? Ne automaticky. Vydávající strana může stále usilovat o prohlášení o odpovědnosti za minulé jednání a může tvrdit, že porušení by se mohlo opakovat. Náprava je nezbytná, ale musí být zdokumentována a v některých případech formálně sdělena vydávající straně prostřednictvím právního zástupce.

Otázka: Jaký je rozdíl mezi pokutou GDPR a smluvní pokutou z dopisu o zastavení a upuštění? Pokuta GDPR je uložena dozorovým úřadem po vyšetřování. Smluvní pokuta vyplývá z podepsaného prohlášení o zastavení a upuštění a je vymáhána prostřednictvím civilních soudů. Obě mohou platit současně za stejné základní porušení.

Otázka: Jak Biscotti CMP pomáhá zabránit dopisům o zastavení a upuštění od GDPR? Biscotti CMP poskytuje řešení pro správu souhlasu, které blokuje skripty třetích stran před souhlasem uživatele, zaznamenává souhlas s časovými razítky a poskytuje vyhovující možnosti přijmout/odmítnout. To přímo řeší nejčastěji uváděný spouštěč dopisů o zastavení a upuštění od konkurentů v Německu.

Závěr

Vyhýbání se nákladným dopisům o zastavení a upuštění od GDPR v Německu v roce 2026 vyžaduje, aby se dodržování ochrany osobních údajů považovalo za průběžnou provozní disciplínu, nikoli za jednorázový úkol nastavení. Právní prostředí se podstatně změnilo: po rozhodnutích BGH z března 2025 a rozsudku SDEU z října 2024 mají konkurenti potvrzenou právní cestu k řešení porušení GDPR jako nekalých obchodních praktik a využívají ji.

Akční další kroky:

Okamžitě auditujte své webové stránky z hlediska chování cookies a trackerů před udělením souhlasu.
Implementujte vyhovující platformu pro správu souhlasu, jako je Biscotti CMP, která blokuje skripty, zaznamenává souhlas a poskytuje skutečnou funkci odhlášení.
Aktualizujte své zásady ochrany osobních údajů tak, aby odrážely každou službu třetí strany a cíl přenosu dat, které jsou aktuálně používány.
Podepište a udržujte dohody o zpracování dat se všemi zpracovateli.
Zapojte německého kvalifikovaného právníka pro ochranu osobních údajů, aby přezkoumal váš postoj k dodržování předpisů, zejména pokud působíte na konkurenčním online trhu.
Sledujte pokrok reformního návrhu zákona Bundesratu, ale nespoléhejte se na jeho schválení jako důvod pro odložení dodržování předpisů.

Náklady na prevenci jsou zlomkem nákladů na reakci. Vyhovující webové stránky a zdokumentované postupy správy dat jsou nejspolehlivější obranou proti dopisům o zastavení a upuštění od GDPR v Německu.