Wenn Peter Vierke über den Brief spricht, der Anfang Juni bei ihm eintraf, spricht er von einer "kleinen Bombe". Den Absender, einen Anwalt namens Joachim Müller, kannte er nicht. Dieser aber schrieb: "Gegenstand meiner Beauftragung ist die von Ihnen auf Ihrer Website begangene Informationspflichtverletzung nach Artikel 13 EU-DSGVO". Er forderte Vierke auf, den "Rechnungsbetrag in Höhe von 1029,35 Euro auf mein nachstehend genanntes Konto (...) zu überweisen".

"Ich war geschockt", sagt Vierke ein paar Wochen später am Esstisch seiner Mietwohnung in Hamburg-Schnelsen, in der er mit seiner Frau lebt. Seit 42 Jahren entrümpelt er, transportiert, löst Haushalte auf, macht Umzüge und kauft Dinge an, um sie anschließend wieder zu verkaufen. "Das sind die fünf Beine, auf denen unser kleines Unternehmen steht", sagt Vierke. Viel Geld macht er damit nicht. Mit 65 Jahren schmerzt der Rücken, aber ans Aufhören ist noch immer nicht zu denken. Für Vierke sind 1029,35 Euro eine Menge Geld.

Vom Internet versteht er nicht viel. Die Website, um die es in dem Schreiben geht, haben ihm seine Kinder vor ein paar Jahren zum Geburtstag geschenkt. "So was soll man ja haben heutzutage", sagt er. Dass er dort, wie Anwalt Müller in dem Schreiben behauptet, eine Datenschutzerklärung hätte veröffentlichen müssen, ist ihm nie in den Sinn gekommen.

Es ist der Albtraum vieler kleiner und mittlerer Unternehmen: dass die Datenschutzgrundverordnung der EU (DSGVO) als Waffe gegen sie eingesetzt wird, oft von spezialisierten Anwälten, die mit solchen Schreiben nur Geld verdienen wollen. Eine Flut von Abmahnungen könne auf Unternehmen zukommen, prophezeiten einige Experten, bevor die DSGVO im Mai in Kraft trat. Im Juni beschäftigte sich sogar der Bundestag mit dem Problem.

Geht es nun also richtig los?

David Werner hat selbst viele Jahre in einer großen Kanzlei gearbeitet, die im Abmahngeschäft tätig ist. Dann kamen ihm Zweifel, und er wechselte die Seiten. Heute arbeitet er für BRR Rechtsanwälte in Esslingen und vertritt dort Mandanten, die von Abmahnungen betroffen sind. "Bisher", sagt er, "ist die ganz große Abmahnwelle ausgeblieben." Das liege vor allem an der unsicheren Rechtslage.

Wie im Fall von Peter Vierke argumentieren die abmahnenden Anwälte in der Regel, dass sie im Auftrag eines Konkurrenten tätig seien und dieser sich durch den Verstoß gegen die DSGVO benachteiligt fühle. Bisher aber ist völlig unklar, ob Unternehmen ihre Konkurrenten überhaupt wegen Verstößen gegen das Datenschutzrecht abmahnen oder verklagen dürfen. Ein eindeutiges Urteil dazu gibt es bisher nicht. "Die großen Kanzleien lassen deshalb lieber ihre Finger davon", sagt Werner, "aber einige Anwälte, die nun darauf hoffen, mit der DSGVO einen schnellen Taler zu verdienen, gibt es schon."

Der Hamburgische Datenschutzbeauftragte sagt, dass es vereinzelt Anfragen zu DSGVO-Abmahnungen gegeben habe. Zählen tut sie aber niemand. Der Rechtsanwalt David Werner vertritt nach eigenen Angaben zwei Dutzend Mandanten, die wegen Verstößen gegen die DSGVO abgemahnt wurden, rund die Hälfte davon von einem einzigen Anwalt: Joachim Müller aus Düsseldorf. Auch im Netz wimmelt es von Kommentaren, in denen vor seinen "ominösen Schreiben" gewarnt wird. Dort heißt es, der Anwalt sei offenbar "auf die dunkle Seite gewechselt".

Wer also ist dieser Joachim Müller? Eigentlich, so geht es aus Online-Registern hervor, ist Müller Fachanwalt für Strafrecht. Mehrfach sprach er in der Vergangenheit mit dem Express, einer Boulevardzeitung aus Köln. Diese schrieb 2009: "Wenn Frauen in Mordfälle verwickelt sind, vertrauen sie einem Mann: Rechtsanwalt Joachim Müller." Dann folgt eine Aufzählung von Mandantinnen, denen er in Strafrechtsprozessen zur Seite stand.