Blog · Website und Recht
Pflichten einer Unternehmenswebsite: Was 2026 wirklich drauf muss
Impressum, Datenschutzerklärung, Cookie-Banner, Barrierefreiheit, Widerrufsbutton: Die Liste der Pflichten für Firmenwebsites ist lang – und wer sie übersieht, riskiert Abmahnungen. Wir zeigen Ihnen, was für welche Website gilt, welche Fehler wir am häufigsten sehen und wie Sie mit wenig Aufwand auf der sicheren Seite sind.
Das Wichtigste in Kürze
- Das Impressum richtet sich seit Mai 2024 nach § 5 Digitale-Dienste-Gesetz (DDG) – nicht mehr nach dem TMG.
- Cookies und Tracking, die nicht unbedingt nötig sind, brauchen eine Einwilligung nach § 25 TDDDG.
- Seit 28. Juni 2025 müssen Online-Shops und andere Online-Angebote für Verbraucher barrierefrei sein.
- Seit 19. Juni 2026 brauchen Shops mit Online-Verträgen einen Widerrufsbutton.
- Der Link zur EU-Streitschlichtungsplattform gehört seit Juli 2025 nicht mehr ins Impressum.
Überblick
Welche Pflichten gelten für welche Website?
Nicht jede Pflicht trifft jede Website. Eine einfache Visitenkarten-Website eines Handwerksbetriebs hat deutlich weniger Anforderungen als ein Online-Shop. Die folgende Übersicht hilft bei der ersten Einordnung:
| Pflicht | Gilt für | Grundlage |
|---|---|---|
| Impressum | Jede geschäftsmäßige Website, auch Social-Media-Profile | § 5 DDG |
| Datenschutzerklärung | Jede Website – schon das Hosting verarbeitet IP-Adressen | Art. 13 DSGVO |
| Einwilligung für Cookies und Tracking | Websites mit nicht unbedingt nötigen Cookies, Tracking oder eingebetteten Diensten | § 25 TDDDG, DSGVO |
| Barrierefreiheit | Online-Shops und Online-Angebote, über die Verbraucher Verträge schließen – außer Kleinstunternehmen | Barrierefreiheitsstärkungsgesetz (BFSG) |
| Widerrufsbutton, Kündigungsbutton | Online-Verträge mit Verbrauchern, Abos | BGB |
| Verschlüsselung (HTTPS) | Jede Website mit Formularen oder Login – in der Praxis jede Website | Art. 32 DSGVO |
| Hinweis auf KI-Chatbot | Websites mit KI-Chatbot | Art. 50 AI Act |
Impressum
Das Impressum nach dem Digitale-Dienste-Gesetz
Seit dem 14. Mai 2024 regelt § 5 DDG die Impressumspflicht; das Telemediengesetz (TMG) gibt es nicht mehr. Inhaltlich hat sich wenig geändert – aber wer im Impressum noch „Angaben gemäß § 5 TMG“ stehen hat, sollte den Verweis aktualisieren. Pflichtangaben sind unter anderem:
- Vollständiger Name beziehungsweise Firma mit Rechtsform und Vertretungsberechtigten, etwa Geschäftsführer.
- Ladungsfähige Anschrift – ein Postfach reicht nicht.
- Schnelle elektronische Kontaktaufnahme: E-Mail-Adresse und ein zweiter direkter Weg, in der Regel eine Telefonnummer.
- Registergericht und Registernummer, sofern vorhanden.
- Umsatzsteuer-Identifikationsnummer, falls vorhanden.
- Bei reglementierten Berufen und erlaubnispflichtigen Tätigkeiten: Kammer, Berufsbezeichnung und Aufsichtsbehörde.
Das Impressum muss leicht erkennbar und mit höchstens zwei Klicks erreichbar sein – üblich ist ein Link „Impressum“ im Footer jeder Seite. Das gilt auch für Ihre Profile bei LinkedIn, Instagram oder Facebook.
Aktuell prüfen: Die EU hat ihre Plattform zur Online-Streitbeilegung (OS-Plattform) am 20. Juli 2025 eingestellt. Der früher vorgeschriebene Link darauf muss aus Impressum, AGB und E-Mail-Signaturen entfernt werden. Der Hinweis zur Teilnahme an Verbraucherschlichtungsverfahren nach dem Verbraucherstreitbeilegungsgesetz bleibt für Unternehmen mit mehr als zehn Beschäftigten bestehen.
Datenschutz
Die Datenschutzerklärung
Jede Website braucht eine Datenschutzerklärung, denn schon beim Aufruf werden IP-Adressen verarbeitet. Sie muss vollständig, aktuell und verständlich beschreiben, welche Daten Sie wofür, auf welcher Rechtsgrundlage und wie lange verarbeiten – und welche Dienstleister beteiligt sind: Hosting, Kontaktformular, Newsletter, Karten, Videos, Statistik.
Der häufigste Fehler, den wir in Audits finden, ist nicht die fehlende, sondern die falsche Datenschutzerklärung: kopiert von einem Generator, nie angepasst, mit Diensten, die gar nicht im Einsatz sind – oder ohne die, die tatsächlich laufen. Die Datenschutzerklärung muss zu Ihrer Website passen. Mit allen Dienstleistern, die in Ihrem Auftrag personenbezogene Daten verarbeiten, brauchen Sie außerdem einen Auftragsverarbeitungsvertrag.
Kontaktformulare
Für Kontaktformulare gilt: nur abfragen, was Sie wirklich brauchen (Datenminimierung), verschlüsselt übertragen und in der Datenschutzerklärung beschreiben. Eine zusätzliche Einwilligungs-Checkbox ist für eine einfache Anfrage meist nicht nötig, ein Hinweis mit Link zur Datenschutzerklärung schon.
Cookies
Cookies, Tracking und Cookie-Banner
Nach § 25 TDDDG (früher TTDSG) dürfen Informationen auf dem Gerät der Besucher nur mit Einwilligung gespeichert oder ausgelesen werden – es sei denn, sie sind für den gewünschten Dienst unbedingt erforderlich, etwa ein Warenkorb- oder Login-Cookie. Google Analytics, Meta-Pixel, Marketing-Cookies oder eingebettete YouTube-Videos brauchen deshalb eine vorherige Einwilligung.
Ein Cookie-Banner muss dann echte Wahlfreiheit bieten: „Ablehnen“ genauso einfach wie „Akzeptieren“, keine vorab angehakten Kästchen und keine Tracking-Skripte, die schon vor der Entscheidung laden.
Unser Weg: Die einfachste Lösung ist, gar kein Banner zu brauchen. Auf den Websites, die wir betreuen, messen wir standardmäßig mit Cloudflare Web Analytics – ohne Cookies und ohne Wiedererkennung einzelner Besucher. Wie das funktioniert, erklären wir im Beitrag So funktioniert Ihre Website.
Google Fonts, Karten und Videos
Schriften, die beim Seitenaufruf von Google-Servern geladen werden, übertragen die IP-Adresse der Besucher an Google. Das Landgericht München hat dafür 2022 Schadensersatz zugesprochen, und es folgte eine Abmahnwelle. Die Lösung ist einfach: Schriften lokal auf dem eigenen Server einbinden. Karten von Google Maps und Videos von YouTube sollten erst nach einem Klick geladen werden („Zwei-Klick-Lösung“) oder durch ein Bild mit Link ersetzt werden.
Barrierefreiheit
Barrierefreiheit nach dem BFSG
Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz. Es verpflichtet Unternehmen, bestimmte Produkte und Dienstleistungen für Verbraucher barrierefrei anzubieten – für Websites betrifft das vor allem den elektronischen Geschäftsverkehr: Online-Shops, Buchungs- und Terminportale und andere Angebote, über die Verbraucher online einen Vertrag schließen.
- Ausgenommen sind Kleinstunternehmen, die Dienstleistungen anbieten: weniger als zehn Beschäftigte und höchstens 2 Mio. € Jahresumsatz oder Jahresbilanzsumme.
- Reine Informationswebsites ohne Vertragsabschluss und reine B2B-Angebote fallen in der Regel nicht darunter.
- Maßstab ist der Stand der Technik; als Orientierung gelten die WCAG 2.1 auf Stufe AA und die Norm EN 301 549.
- Betroffene Anbieter müssen zudem Informationen bereitstellen, wie ihr Angebot die Anforderungen erfüllt – meist in Form einer Erklärung zur Barrierefreiheit.
- Verstöße können von der Marktüberwachung geahndet werden, mit Bußgeldern bis 100.000 €; daneben drohen Abmahnungen.
Auch wer nicht betroffen ist, profitiert: Barrierefreie Websites sind besser bedienbar, schneller und werden von Suchmaschinen und KI-Suchen besser verstanden. Einen ersten Eindruck gibt unser kostenloser Barrierefreiheits-Check.
Online-Verträge
Zusatzpflichten für Online-Shops
- Widerrufsbutton: Seit dem 19. Juni 2026 müssen Verbraucher einen online geschlossenen Vertrag über eine gut sichtbare Schaltfläche widerrufen können – ähnlich wie beim Kündigungsbutton.
- Kündigungsbutton: Für online abschließbare Abos und Dauerschuldverhältnisse gilt bereits seit 2022 die Pflicht zur Kündigung per Schaltfläche.
- Bestell-Button: Der letzte Schritt muss eindeutig beschriftet sein, etwa „zahlungspflichtig bestellen“.
- Preisangaben, AGB, Widerrufsbelehrung und Versandkosten müssen vollständig und vor der Bestellung sichtbar sein.
Technik
HTTPS, Sicherheit und KI-Chatbots
Die DSGVO verlangt angemessene technische Schutzmaßnahmen. Für Websites heißt das mindestens: durchgehend HTTPS mit gültigem Zertifikat, aktuelle Software und wichtige Sicherheits-Header. Ob Ihre Website das erfüllt, sehen Sie in Sekunden mit unserem Website-Sicherheitscheck.
Setzen Sie einen KI-Chatbot ein, müssen Besucher seit dem 2. August 2026 zu Beginn des Gesprächs erkennen können, dass sie mit einer KI sprechen. Einzelheiten erklären wir im Beitrag zum EU AI Act. Von Ihnen geprüfte und verantwortete Website-Texte, die mit KI entworfen wurden, müssen dagegen in der Regel nicht gekennzeichnet werden.
Checkliste
Zehn Punkte für eine rechtssichere Website
- Impressum vollständig, auf § 5 DDG aktualisiert und von jeder Seite erreichbar.
- Link zur OS-Plattform aus Impressum, AGB und Signaturen entfernt.
- Datenschutzerklärung passt zu den Diensten, die wirklich laufen.
- Auftragsverarbeitungsverträge mit Hosting, Formular-, Newsletter- und Analysedienst.
- Kein Tracking ohne Einwilligung – oder cookielose Statistik ohne Banner.
- Schriften lokal eingebunden, Karten und Videos erst nach Klick.
- Durchgehend HTTPS, Software aktuell, Sicherheits-Header gesetzt.
- Betroffenheit vom BFSG geprüft und bei Bedarf Barrierefreiheit und Erklärung umgesetzt.
- Bei Online-Verträgen: Bestell-, Kündigungs- und Widerrufsbutton.
- KI-Chatbot mit Hinweis zu Beginn des Gesprächs.
Unser Fazit: Die meisten Abmahnungen treffen nicht exotische Sonderfälle, sondern Klassiker: veraltetes Impressum, unpassende Datenschutzerklärung, Tracking ohne Einwilligung und extern geladene Schriften. Wer diese vier Punkte im Griff hat, hat das größte Risiko schon beseitigt.
Häufige Fragen zu den Pflichten einer Website
Brauche ich ein Cookie-Banner?
Nur, wenn Ihre Website Cookies oder vergleichbare Techniken einsetzt, die nicht unbedingt erforderlich sind – etwa Google Analytics, Marketing-Pixel oder eingebettete Videos. Mit einer cookielosen Statistik wie Cloudflare Web Analytics und lokal eingebundenen Inhalten kommen viele Unternehmenswebsites ganz ohne Banner aus.
Muss meine Website nach dem BFSG barrierefrei sein?
Betroffen sind vor allem Websites, über die Verbraucher online Verträge schließen, etwa Shops oder Buchungsportale. Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens 2 Mio. € Umsatz oder Bilanzsumme sind bei Dienstleistungen ausgenommen. Reine Informationswebsites fallen in der Regel nicht darunter.
Reicht ein Impressum-Generator?
Ein Generator ist ein guter Start. Prüfen Sie aber, ob alle Angaben zu Ihrer Rechtsform und Tätigkeit passen, ob der Verweis auf das DDG statt auf das TMG lautet und ob der veraltete Link zur OS-Plattform entfernt ist.
Muss ich Texte kennzeichnen, die mit KI geschrieben wurden?
In der Regel nicht, wenn Sie die Texte geprüft haben und dafür redaktionell verantwortlich sind. Kennzeichnungspflichten gelten nach dem AI Act vor allem für Chatbots und täuschend echte Bilder, Videos oder Tonaufnahmen.
Was kostet eine Abmahnung?
Das hängt vom Verstoß und vom Streitwert ab. Neben den Anwaltskosten der Gegenseite kommen oft eine Unterlassungserklärung mit Vertragsstrafe und eigene Anwaltskosten hinzu. Eine Prüfung vorab ist fast immer günstiger.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.
Kostenlos vorab prüfen
Prüfen Sie Ihre Website kostenlos und ohne Anmeldung.