Welche Pflichten gelten für jede geschäftliche Website?
Jede geschäftliche Website in Deutschland braucht ein Impressum, eine Datenschutzerklärung und eine verschlüsselte Verbindung (https). Ein Einwilligungsbanner kommt hinzu, sobald Cookies für Analyse oder Werbung laufen, und wer Verbrauchern online etwas verkauft, muss seinen Shop barrierefrei gestalten, sofern der Betrieb kein Kleinstunternehmen ist.
Verstöße gegen die Impressumspflicht können Mitbewerber und Wettbewerbsverbände abmahnen, weil § 5 DDG als Marktverhaltensregel gilt (§ 3a, § 8 Abs. 3 UWG). Wie oft das geschieht, zählt keine amtliche Statistik.
Beide Tabellen in diesem Ratgeber geben die Rechtslage vom 11.08.2026 wieder. Die Bußgeldhöhen sind am 28.09.2026 noch einmal am Gesetzestext nachgeprüft.
Alle Beträge sind Obergrenzen. Wie hoch ein Bußgeld nach der DSGVO im Einzelfall ausfällt, richtet sich unter anderem nach Art, Schwere und Dauer des Verstoßes, nach der Zahl der Betroffenen und danach, ob vorsätzlich oder fahrlässig gehandelt wurde (Art. 83 Abs. 2 DSGVO).
Was muss ins Impressum nach § 5 DDG?
Ins Impressum gehören Name und Anschrift, bei Firmen auch Rechtsform und Vertretungsberechtigte, eine E-Mail-Adresse und ein zweiter schneller Kontaktweg, dazu, falls vorhanden, Registereintrag und Umsatzsteuer-ID, bei reglementierten Berufen die Kammer.
Pflicht ist das Impressum für jede geschäftlich betriebene Website. Der Begriff ist weit gefasst. Es genügt, dass Sie über die Seite Ihre Leistungen anbieten. Bis Mai 2024 stand die Pflicht in § 5 TMG, heute in § 5 DDG.
Die Pflichtangaben im Einzelnen
- Name und Anschrift des Betreibers, bei Unternehmen mit Firmenname, Rechtsform und Vertretungsberechtigten
- Kontaktdaten, und zwar eine E-Mail-Adresse plus ein weiterer Weg für schnelle, unmittelbare Kommunikation. Eine Telefonnummer schreibt das Gesetz nicht vor, ein Kontaktformular mit zeitnaher Antwort kann genügen, wenn Sie auf Anfrage auch einen nichtelektronischen Weg anbieten, etwa das Telefon (EuGH, Urteil vom 16.10.2008, C-298/07). Wer telefonisch erreichbar ist, schreibt die Nummer trotzdem dazu. Manche Kunden greifen lieber zum Telefon als zum Formular.
- Handelsregistereintrag mit Registergericht und Registernummer
- Umsatzsteuer-ID oder Wirtschafts-ID, wenn vorhanden
- Berufsbezeichnung und Kammer bei reglementierten Berufen wie Ärzten, Anwälten oder Architekten
- Verantwortlicher für journalistisch-redaktionelle Inhalte nach § 18 Abs. 2 MStV, etwa bei einem Online-Magazin oder einem regelmäßig erscheinenden Blog mit meinungsbildenden Beiträgen. Ein Firmenblog mit Fachartikeln fällt nicht automatisch darunter.
Häufige Fehler im Impressum
- Impressum nur als Bild, obwohl es als Text lesbar sein muss
- Impressum schwer zu finden, etwa tief verschachtelt oder unter einer unklaren Bezeichnung. Der Bundesgerichtshof hat einen Weg über zwei Links, erst „Kontakt“, dann „Impressum“, noch als unmittelbar erreichbar gelten lassen (Urteil vom 20.07.2006, I ZR 228/03).
- Bei der GmbH fehlen Geschäftsführer oder Registergericht
- Keine E-Mail-Adresse angegeben
- Impressum nur auf der Startseite verlinkt statt auf jeder Seite
Am einfachsten verlinken Sie das Impressum im Footer jeder Seite. Dann ist es von überall einen Klick entfernt.
Was muss in die Datenschutzerklärung?
Die Datenschutzerklärung nennt nach Art. 13 DSGVO, wer Daten verarbeitet, zu welchem Zweck und auf welcher Rechtsgrundlage, an wen sie gehen, wie lange sie gespeichert bleiben und welche Rechte Besucher haben.
Die DSGVO gilt seit dem 25.05.2018 für jede Website, die personenbezogene Daten verarbeitet. Das tut praktisch jede Seite, denn der Server erfasst beim Aufruf die IP-Adresse. Die DSGVO nennt IP-Adressen ausdrücklich als Online-Kennung (Erwägungsgrund 30).
Die wichtigsten Pflichtangaben nach Art. 13 DSGVO
- Name und Kontaktdaten des Verantwortlichen
- Kontaktdaten des Datenschutzbeauftragten, falls einer benannt ist
- Zweck und Rechtsgrundlage für jede Art der Verarbeitung einzeln
- Empfänger der Daten, zum Beispiel Hosting-Anbieter, Google oder Social-Media-Plattformen
- Übermittlung in Drittländer wie die USA, und ob dafür ein Angemessenheitsbeschluss der EU-Kommission besteht oder welche anderen Garantien die Übermittlung absichern
- Speicherdauer oder die Kriterien, nach denen sie festgelegt wird
- Betroffenenrechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, bei Einwilligungen auch das Recht auf Widerruf
- Beschwerderecht bei der Aufsichtsbehörde
- Automatisierte Entscheidungen einschließlich Profiling, falls es sie gibt
Welche Dienste müssen in der Datenschutzerklärung stehen?
Jeder Drittanbieter-Dienst, der auf Ihrer Website Daten erfasst, gehört in die Datenschutzerklärung. Typisch sind diese:
- Google Analytics und Google Tag Manager
- Google Maps
- Google Fonts, wenn die Schriften von Google-Servern geladen werden
- YouTube-Videos, die Daten an Google übertragen
- Meta-Pixel und anderes Tracking von Facebook oder Instagram
- Newsletter-Dienste wie Mailchimp, Brevo oder CleverReach
- Kontaktformulare
- Hosting-Anbieter mit Name und Standort
- CDN-Dienste wie Cloudflare oder BunnyCDN
Schriften binden Sie am besten lokal ein. Das LG München I hat am 20.01.2022 einem Kläger 100 € Schadensersatz zugesprochen, weil eine Website seine IP-Adresse beim Aufruf ohne Einwilligung an Google übertragen hatte (Az. 3 O 17493/20). Das war eine erstinstanzliche Einzelfallentscheidung.
Danach verschickte ein Abmahner eine Welle von Schreiben mit Forderungen von je 170 €. Sein Vorgehen hat dasselbe Gericht am 30.03.2023 als rechtsmissbräuchlich bewertet, ebenfalls in erster Instanz (Az. 4 O 13063/22). Er hatte die Seiten nur mit einem Crawler aufgerufen. An der Empfehlung ändert das nichts. Auch der Landesbeauftragte für den Datenschutz Baden-Württemberg rät in seiner FAQ zu Cookies und Tracking, Schriften vom eigenen Webspace auszuliefern.
Wann brauchen Sie ein Cookie-Banner, und was muss es können?
Ein Einwilligungsbanner brauchen Sie, sobald Ihre Website Cookies oder ähnliche Techniken einsetzt, die nicht unbedingt erforderlich sind, etwa für Analyse oder Werbung (§ 25 TDDDG). Ablehnen muss dabei so einfach sein wie Zustimmen, so sieht es unter anderem der Landesbeauftragte für den Datenschutz Baden-Württemberg.
Die Regel steht im TDDDG, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Bis zum 14.05.2024 hieß es TTDSG.
Was ein Einwilligungsbanner leisten muss
- Notwendiges bleibt frei. Unbedingt erforderliche Cookies, etwa für die Sitzung oder den Warenkorb, dürfen ohne Einwilligung gesetzt werden (§ 25 Abs. 2 Nr. 2 TDDDG).
- Ablehnen auf derselben Ebene. Der Knopf zum Ablehnen steht schon auf der ersten Ebene neben „Alles akzeptieren“. Ein grüner Akzeptieren-Knopf neben einem kaum sichtbaren grauen Ablehnen-Link erfüllt das nicht.
- Aktive Einwilligung. Tracking- und Marketing-Cookies brauchen vorher eine aktive Handlung, etwa einen Klick auf „Akzeptieren“ (Opt-in). Kein Häkchen ist vorausgewählt, und vor der Einwilligung läuft kein Tracking.
- Nachweis. Die Einwilligung wird dokumentiert, denn Sie müssen sie nachweisen können (Art. 7 Abs. 1 DSGVO).
- Widerruf. Der Besucher kann jederzeit widerrufen, und zwar so einfach, wie er eingewilligt hat (Art. 7 Abs. 3 DSGVO).
Banner-Werkzeuge im Überblick (Preise geprüft am 28.09.2026)
- Borlabs Cookie, WordPress-Plugin, ab 49 € im Jahr zuzüglich Umsatzsteuer für eine Website
- Cookiebot, Cloud-Dienst mit automatischem Cookie-Scan, kostenlos für eine Domain mit bis zu 50 Unterseiten, bezahlte Pläne ab 7 € im Monat zuzüglich Umsatzsteuer
- Usercentrics, vom selben Anbieter wie Cookiebot, für größere Websites
- Real Cookie Banner, WordPress-Plugin mit kostenloser Grundversion, die Pro-Lizenz kostet 59 € im Jahr einschließlich Umsatzsteuer für eine Website
Ist ein SSL-Zertifikat (https) Pflicht?
Für eine geschäftliche Website in aller Regel ja. Art. 32 DSGVO nennt Verschlüsselung als Schutzmaßnahme. § 19 Abs. 4 TDDDG verlangt für geschäftsmäßig angebotene digitale Dienste Schutzvorkehrungen nach dem Stand der Technik, soweit das technisch möglich und wirtschaftlich zumutbar ist, und nennt dabei ausdrücklich ein als sicher anerkanntes Verschlüsselungsverfahren als Beispiel.
Die Verschlüsselung heißt heute TLS, der alte Name SSL hat sich gehalten. Das Zertifikat weist nach, dass der Browser wirklich mit Ihrem Server spricht. Sie erkennen die verschlüsselte Verbindung am „https://“ in der Adresse. Schon ein einfaches Kontaktformular überträgt personenbezogene Daten. Weil Zertifikate von Let's Encrypt kostenlos sind, lässt sich bei einer Firmenseite kaum vertreten, https sei wirtschaftlich nicht zumutbar. Google Chrome kennzeichnet Seiten ohne https in der Adressleiste als „Nicht sicher“.
So richten Sie https ein
- Let's Encrypt stellt Zertifikate kostenlos aus. Bei vielen Tarifen schalten Sie es im Kundenmenü des Hosters mit einem Klick ein.
- Wildcard-Zertifikat für Websites mit Subdomains wie shop.meinedomain.de oder blog.meinedomain.de
Nach der Aktivierung stellen Sie alle internen Links auf https:// um und richten eine 301-Weiterleitung von http:// auf https:// ein.
Welche Pflichten kommen außer dem Datenschutz dazu?
Drei weitere Regeln treffen viele Firmenseiten: das Barrierefreiheitsstärkungsgesetz bei Angeboten für Verbraucher, die Preisangabenverordnung bei Preisen für Verbraucher und das Urheberrecht bei jedem Bild.
Barrierefreiheit (BFSG)
Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt seit dem 28.06.2025. Betroffen sind vor allem Dienstleistungen im elektronischen Geschäftsverkehr gegenüber Verbrauchern, unter anderem Onlineshops sowie Buchungs- und Bankdienste. Ausgenommen sind Kleinstunternehmen, die Dienstleistungen erbringen. Das sind Betriebe mit weniger als 10 Beschäftigten und höchstens 2 Mio. € Jahresumsatz oder Jahresbilanzsumme (§ 3 Abs. 3, § 2 Nr. 17 BFSG). Für Produkte und Verträge, die vor dem 28.06.2025 im Einsatz waren, gilt eine Übergangsfrist bis längstens 27.06.2030 (§ 38 BFSG). Wen das Gesetz im Einzelnen betrifft, steht im Ratgeber zum BFSG.
Preisangabenverordnung (PAngV)
Wer Verbrauchern Preise nennt, muss den Gesamtpreis angeben (§ 3 PAngV). Onlineshops sagen außerdem, dass die Preise die Umsatzsteuer enthalten und ob Versandkosten hinzukommen (§ 6 PAngV). Als Kleinunternehmer nach § 19 UStG berechnen Sie keine Umsatzsteuer. Schreiben Sie das beim Preis dazu, damit niemand einen Nettopreis vermutet. Bei Waren, die nach Gewicht, Volumen, Länge oder Fläche verkauft werden, ist zusätzlich der Grundpreis Pflicht (§ 4 PAngV).
Urheberrecht bei Bildern
Verwenden Sie nur Bilder, für die Sie eine Lizenz haben. Bilder von Unsplash oder Pexels dürfen Sie nach deren Lizenz meist frei nutzen. Prüfen Sie trotzdem die Lizenz und ob erkennbare Personen oder Markenlogos zu sehen sind, deren Rechte deckt die Lizenz der Plattform nicht in jedem Fall ab. Wer ein fremdes Bild ohne Lizenz nutzt, muss mit einer Abmahnung rechnen, also mit Anwaltskosten und Schadensersatz.
Welche Pflichten gelten für welche Art von Website?
Impressum und Datenschutzerklärung braucht jede Unternehmensseite. Ein Einwilligungsbanner kommt erst mit Analyse- oder Werbe-Cookies hinzu, die Barrierefreiheit erst, wenn über die Seite Verträge mit Verbrauchern angebahnt oder geschlossen werden und der Betrieb kein Kleinstunternehmen ist. Für private Seiten und Vereine gelten Ausnahmen.
Wie prüfen Sie Ihre Website selbst?
Gehen Sie diese zehn Fragen durch. Jedes „Nein“ ist eine Baustelle.
- Ist ein vollständiges Impressum vorhanden?
- Ist das Impressum von jeder Seite aus leicht zu finden, etwa über einen Link im Footer?
- Ist die Datenschutzerklärung vorhanden und aktuell?
- Stehen alle Drittanbieter-Dienste in der Datenschutzerklärung?
- Gibt es ein Einwilligungsbanner mit gleichwertigem Ablehnen-Knopf?
- Startet das Tracking erst nach der Einwilligung?
- Läuft die ganze Seite über https://?
- Sind die Schriften lokal eingebunden?
- Haben Sie für jedes Bild die Rechte?
- Informiert Ihr Onlineshop Verbraucher über das Widerrufsrecht und die übrigen Pflichtangaben für Fernabsatzverträge (Art. 246a EGBGB)?
Barrierefreiheit prüfenOb Ihre Seite unter das BFSG fällt und wo sie hakt, zeigt der
BFSG-Check in 12 Prüfpunkten.
Womit fangen Sie am besten an?
Fangen Sie mit dem an, was jeder von außen sehen kann: Impressum, Datenschutzerklärung, Banner, https und extern geladene Schriften.
Diese Punkte kann ein Mitbewerber oder ein Prüfprogramm feststellen, ohne dass Sie davon wissen. Der Fall vor dem LG München I zeigt, dass so etwas auch automatisiert geschieht. Lassen Sie die Rechtstexte selbst vor dem Start von einem Anwalt oder einer Datenschutzberatung prüfen. Die Technik dahinter können Sie mit der Checkliste oben selbst kontrollieren.
Bei WordPress kommt eine laufende Aufgabe dazu. Das Cookie-Plugin muss wie Theme und andere Plugins aktuell bleiben, sonst passt es irgendwann nicht mehr zu den Diensten, die es steuern soll. Das gehört zur WordPress-Wartung.
