Impressum, Datenschutz, Cookie-Banner — was Ihre Website wirklich braucht

Das Impressum: Pflicht für praktisch jede Firmenwebsite

Wer eine Website geschäftlich betreibt, braucht eine Anbieterkennzeichnung — das Impressum. Hinein gehören unter anderem Name und Rechtsform, Anschrift (ein Postfach genügt nicht), E-Mail-Adresse und je nach Rechtsform Vertretungsberechtigte und Registerangaben. Es muss von jeder Seite aus mit einem Klick erreichbar sein; der Standardplatz ist der Footer. Fehlt es oder ist es unvollständig, ist das der einfachste Abmahngrund überhaupt — und der am leichtesten zu vermeidende.

Die Rechtsgrundlage heißt inzwischen anders, als viele Vorlagen im Netz behaupten. Das Telemediengesetz ist 2024 entfallen, an seine Stelle ist das Digitale-Dienste-Gesetz getreten: Die allgemeinen Informationspflichten stehen jetzt in § 5 DDG, inhaltlich weitgehend das, was vorher § 5 TMG war. Steht auf Ihrer Seite noch „Angaben gemäß § 5 TMG“, ist das kein Weltuntergang — aber es ist das erste Zeichen dafür, dass die Website seit Jahren niemand angefasst hat. Zwei Minuten Arbeit, und die Überschrift stimmt wieder.

Was hineingehört, zählt das Gesetz auf: Name und Anschrift der Niederlassung, bei juristischen Personen zusätzlich Rechtsform und Vertretungsberechtigte; Angaben für eine schnelle elektronische Kontaktaufnahme einschließlich E-Mail-Adresse; Handelsregister und Registernummer, sofern eingetragen; die Umsatzsteuer-Identifikationsnummer, sofern vorhanden; bei zulassungspflichtigen Tätigkeiten die zuständige Aufsichtsbehörde; bei Kammerberufen Kammer, gesetzliche Berufsbezeichnung und die berufsrechtlichen Regelungen. Ein häufiger Fehler an dieser Stelle: Gemeint ist die Umsatzsteuer-Identifikationsnummer, nicht Ihre normale Steuernummer — die hat im Impressum nichts verloren.

Genauso wichtig wie der Inhalt ist die Erreichbarkeit. Das Gesetz verlangt, dass die Angaben leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sind. Übersetzt: Der Link heißt „Impressum“ und nicht „Über uns“, er steht auf jeder Seite — der Footer ist der übliche und unstrittige Platz —, und er führt mit einem Klick ans Ziel. Drei Fehler sieht man immer wieder: das Impressum als Bilddatei oder PDF, weil jemand Angst vor Spam hatte; die E-Mail-Adresse als Grafik oder mit „(at)“ verschleiert, was die geforderte schnelle Kontaktaufnahme unnötig erschwert; und die Angaben nur auf der Startseite, während die Unterseiten nichts davon wissen. Der Test dauert eine Minute: eine beliebige Unterseite aufrufen, nach unten scrollen, einmal klicken — steht alles da?

Die Datenschutzerklärung: ja, auch für die kleine Seite

Jede Website verarbeitet personenbezogene Daten — spätestens die IP-Adresse beim Aufruf, dazu Kontaktformular und Hosting. Die DSGVO verlangt deshalb eine Datenschutzerklärung, die verständlich sagt, welche Daten zu welchem Zweck verarbeitet werden. Wichtig: Sie muss zur Website passen. Ein aus dem Netz kopierter Generator-Text, der Dienste aufzählt, die Sie gar nicht nutzen — oder die schlimmer noch fehlen, die Sie nutzen — ist keine Absicherung, sondern ein Widerspruch, der auffällt.

Was hineingehört, gibt Artikel 13 DSGVO vor, und die Liste ist kürzer als ihr Ruf: wer verantwortlich ist und wie man ihn erreicht; zu welchen Zwecken verarbeitet wird und auf welcher Rechtsgrundlage; wer die Daten sonst noch bekommt; wie lange gespeichert wird; welche Rechte die betroffene Person hat — Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit — und dass sie sich bei einer Aufsichtsbehörde beschweren kann. Für Betriebe in Nordrhein-Westfalen ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit in Düsseldorf; deren Anschrift gehört mit in den Text.

„Wir sammeln doch gar keine Daten“ ist der häufigste Irrtum. Jeder Webserver schreibt Zugriffsprotokolle: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser. Das genügt schon, weil eine IP-Adresse personenbezogen sein kann. Dazu kommen bei fast jeder Firmenseite ein Kontaktformular, oft eine eingebettete Karte, manchmal ein Newsletter — und immer ein Hoster, der in Ihrem Auftrag verarbeitet. Eine reine Visitenkarten-Website braucht also eine Datenschutzerklärung. Sie ist nur deutlich kürzer als die eines Onlineshops, und das darf sie auch sein.

Der zweite häufige Fehler ist der zusammenkopierte Text. Eine Erklärung, die Google Analytics, ein Facebook-Pixel und einen Newsletter-Dienst aufzählt, die Sie nie eingesetzt haben, ist nicht „auf der sicheren Seite“ — sie beschreibt eine andere Website als Ihre. Der umgekehrte Fall ist der gefährlichere: Was Sie einsetzen und nicht nennen, fehlt schlicht. Der Prüfschritt dafür ist mechanisch. Schreiben Sie auf, was Ihre Seite tatsächlich lädt und tut: Hoster, Kontaktformular und wohin dessen Mails gehen, Schriftarten, Karten, Videos, Terminbuchung, Statistik, Chat. Diese Liste legen Sie neben Ihre Datenschutzerklärung und streichen ab. Was übrig bleibt, muss rein — oder von der Seite runter.

Wer die Liste nicht im Kopf hat, liest sie der Seite ab. Öffnen Sie Ihre Website, zeigen Sie mit Strg+U (am Mac Cmd+Alt+U) den Quelltext an und suchen Sie mit Strg+F nach den verräterischen Adressen: „googleapis“, „gstatic“, „google-analytics“, „googletagmanager“, „facebook“, „youtube“, „maps“. Jeder Treffer ist ein Dienst, der beim Seitenaufruf Daten an einen Dritten schickt — und damit ein Absatz, der in Ihrer Datenschutzerklärung stehen muss.

Der Cookie-Banner: nur Pflicht, wenn Sie ihn brauchen

Das am meisten missverstandene Element. Ein Einwilligungs-Banner ist nur nötig, wenn die Website Dinge tut, die eine Einwilligung erfordern — Tracking wie Google Analytics, Marketing-Pixel, manche eingebettete Inhalte. Eine Website, die schlicht informiert und technisch notwendige Verarbeitung betreibt, braucht keinen Banner. Die Umkehrung gilt aber auch: Wer trackt, braucht die Einwilligung vorher, nicht danach. Ein Banner, der nur zur Deko klebt, während im Hintergrund längst geladen wird, macht es rechtlich schlimmer, nicht besser.

Die Regel dazu steht in § 25 TDDDG — dem Gesetz, das bis zur Umbenennung TTDSG hieß und deshalb in älteren Texten noch unter diesem Namen auftaucht. Sinngemäß sagt Absatz 1: Informationen auf dem Endgerät des Nutzers zu speichern oder auf dort gespeicherte Informationen zuzugreifen, ist nur mit dessen Einwilligung zulässig. Absatz 2 nennt die Ausnahmen, und auf eine davon kommt es an: Keine Einwilligung braucht, was unbedingt erforderlich ist, damit der Anbieter den vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann. Der Warenkorb im Shop fällt darunter, die Sitzung nach dem Login, die gespeicherte Sprachwahl. Die Reichweitenmessung fällt nicht darunter.

Daraus folgt die Wahrheit, die kaum ein Anbieter gern ausspricht: Eine Website ohne Tracking, ohne Pixel und ohne eingebettete Fremdinhalte braucht kein Einwilligungs-Banner. Sie darf trotzdem eines haben — nur schützt es dann niemanden. Es kostet Klicks, Ladezeit und ein Stück Vertrauen: Wer auf einer Handwerker-Website als Erstes ein Consent-Fenster wegtippen muss, hat einen Grund weniger zu bleiben. Und mancher Banner-Dienst lädt selbst Daten von fremden Servern nach — dann erzeugt das Werkzeug genau das Problem, das es lösen soll.

Ob Sie zu dieser Gruppe gehören, finden Sie in zehn Minuten heraus. Erstens der Quelltext-Test von oben: Steht dort „googletagmanager“, „google-analytics“, ein Facebook- oder LinkedIn-Pixel, ein eingebettetes YouTube-Video oder eine Google-Karte, brauchen Sie eine Einwilligung. Zweitens der Cookie-Test: Entwicklerwerkzeuge des Browsers öffnen (meist F12), zum Reiter „Anwendung“ beziehungsweise „Speicher“ wechseln und unter „Cookies“ nachsehen, was schon beim bloßen Aufruf gesetzt wird. Drittens die einfachste Frage von allen: Schaut überhaupt jemand jemals in eine Statistik Ihrer Website? Wenn nein, ist die Statistik kein Bedarf, sondern nur ein Risiko — und darf weg.

Brauchen Sie ein Banner, muss es funktionieren und nicht nur da sein. Vor der Einwilligung darf nichts geladen werden, was der Einwilligung bedarf — daran scheitern die meisten Umsetzungen, weil das Analyse-Skript längst läuft, während der Kunde noch liest. Ablehnen muss genauso einfach sein wie Zustimmen: ein gleichwertiger Knopf auf derselben Ebene, nicht versteckt hinter „Einstellungen“. Und die Entscheidung muss widerrufbar bleiben, also über einen dauerhaft erreichbaren Link änderbar. Ein Fenster mit nur einem „Alles akzeptieren“-Knopf ist keine Einwilligung, sondern ein Rechtsrisiko mit Design.

Die typischen Abmahn-Fallen

Wer sich Ärger einfängt, tut das selten wegen komplizierter Fragen. Es sind fast immer dieselben vier Dinge: ein unvollständiges Impressum, eine Datenschutzerklärung, die nicht zur Seite passt, Analyse- oder Werbe-Werkzeuge ohne Einwilligung, und Bilder ohne saubere Lizenz. Alle vier sind an einem Nachmittag prüfbar — der Aufwand steht in keinem Verhältnis zum Ärger, den er erspart.

Der Klassiker der letzten Jahre sind Google Fonts, die vom Google-Server nachgeladen werden. Dabei geht die IP-Adresse des Besuchers ungefragt an einen Dritten, und darauf folgte eine Welle massenhaft versendeter Abmahnschreiben. Die Lösung ist technisch banal: Die Schriften werden einmal heruntergeladen und vom eigenen Server ausgeliefert; dann bleibt die Adresse des Besuchers, wo sie hingehört. Prüfen können Sie es mit dem Quelltext-Test — steht dort „fonts.googleapis.com“ oder „fonts.gstatic.com“, wird nachgeladen.

Dasselbe Muster gilt für alles Eingebettete. Ein YouTube-Video lädt beim Seitenaufruf Daten von Google, eine eingebettete Google-Karte ebenso, ein Social-Plugin sowieso. Wer das ohne Einwilligung tut, hat ein Problem; wer eine Zwei-Klick-Lösung einsetzt, bei der zuerst nur ein Vorschaubild steht und der Dienst erst nach Bestätigung lädt, hat keines. Bei Bildern ist die Falle eine andere: Stockfotos haben Lizenzbedingungen, und die verlangen oft eine Urhebernennung oder schließen bestimmte Nutzungen aus. Eigene Fotos vom Betrieb lösen das Problem nebenbei — und wirken ohnehin besser als gekaufte Menschen im gekauften Büro.

Und ein Wort zu den Dingen, die keine Pflicht sind, aber gern verkauft werden. Ein Cookie-Banner auf einer Seite ohne Tracking gehört dazu. Ein „DSGVO-geprüft“-Siegel im Footer gehört dazu. Eine Datenschutzerklärung mit vierzig Absätzen für eine Fünf-Seiten-Website gehört dazu. Nichts davon macht Sie sicherer. Es macht die Seite nur langsamer und Sie ärmer.

HTTPS und Formulare: die Technik-Pflichten

Eine Firmenwebsite ohne Verschlüsselung (das Schloss-Symbol im Browser) ist heute nicht mehr vertretbar — bei Kontaktformularen ist sie rechtlich geboten, und Browser wie Google strafen unverschlüsselte Seiten ohnehin ab. Beim Formular selbst gilt Datensparsamkeit: Abfragen, was gebraucht wird, nicht mehr. Ein Pflichtfeld „Geburtsdatum“ im Handwerker-Kontaktformular hat dort nichts verloren.

Datensparsamkeit lässt sich am Formular buchstäblich abzählen. Für eine Anfrage braucht es einen Namen, einen Rückweg — E-Mail oder Telefon, nicht zwingend beides — und das Anliegen. Alles Weitere ist entweder optional oder gehört nicht dorthin: vollständige Anschrift, bevor überhaupt klar ist, ob ein Auftrag daraus wird, Anrede als Pflichtfeld, Geburtsdatum sowieso. Jedes Pflichtfeld, das Sie streichen, senkt zwei Dinge gleichzeitig: Ihr Risiko und Ihre Absprungrate.

Der zweite Teil betrifft das, was nach dem Absenden passiert. Wohin geht die Mail, wer liest mit, wie lange bleiben die Anfragen liegen? Ein Postfach, in dem seit fünf Jahren jede Anfrage samt Telefonnummer und Adresse ungeordnet liegt, ist ein Datenbestand ohne Zweck — und Speicherung ohne Zweck ist genau das, was die DSGVO nicht will. Legen Sie eine schlichte Frist fest, schreiben Sie sie in die Datenschutzerklärung und halten Sie sich daran. Und wenn im Formular eine Einwilligungs-Checkbox steht: Sie muss leer ausgeliefert werden. Ein bereits gesetztes Häkchen ist keine Einwilligung.

Das Abmahnrisiko: realistisch, nicht panisch

Die Angst vor der Abmahnwelle ist größer als die Welle — aber das Risiko ist real, und es trifft fast immer die einfachen Fehler: fehlendes Impressum, kopierte Datenschutzerklärung, Tracking ohne Einwilligung, abgelaufene Bildlizenzen. Die gute Nachricht: Genau diese Fehler sind mit überschaubarem Aufwand dauerhaft vermeidbar. Bei unseren Monatspaketen gehören aktuelle Rechtstexte und saubere Technik zum Betrieb dazu — weil eine Website kein Zustand ist, sondern ein laufender Betrieb. Für den Einzelfall und bei Streit gilt trotzdem: Der Weg führt zum Anwalt, nicht zum Webdesigner.

Konkret heißt das bei uns: Impressum und Datenschutzerklärung, DSGVO-konform, stecken in jedem Paket — auch im kleinsten für 99 € im Monat, zusammen mit Hosting, Updates und Sicherheit. Das ist kein Zusatzposten, weil es keiner sein darf: Eine Firmenwebsite ohne diese Texte ist keine fertige Website.

Realistisch sortiert sich das Risiko so. Der häufigere Weg für einen Handwerks- oder Mittelstandsbetrieb ist die wettbewerbsrechtliche Abmahnung, meist ausgelöst durch ein fehlendes oder falsches Impressum, gelegentlich durch Fremdinhalte ohne Einwilligung. Bußgelder der Datenschutzaufsicht sind der seltenere Weg; der gesetzliche Rahmen dafür ist zwar weit gefasst, gedacht ist er aber für andere Größenordnungen als eine Fünf-Seiten-Firmenwebsite. Wer unsicher ist, kann sich in Nordrhein-Westfalen an die Landesbeauftragte für Datenschutz und Informationsfreiheit wenden — Aufsichtsbehörden beraten auch, sie sanktionieren nicht nur.

Kommt tatsächlich ein Schreiben, gelten drei Regeln. Erstens: nicht ignorieren — die Fristen in solchen Schreiben sind kurz und ernst gemeint. Zweitens: die beigelegte Unterlassungserklärung nicht ungeprüft unterschreiben. Sie ist in aller Regel weiter formuliert, als der Anlass hergibt, und bindet Sie über Jahre samt Vertragsstrafe. Drittens: den beanstandeten Fehler sofort beheben, unabhängig davon, für wie berechtigt Sie die Abmahnung halten. Und dann zum Anwalt. Wir können Ihnen die Seite in Ordnung bringen; ob und was Sie unterschreiben, ist keine Frage der Technik.

Die Zehn-Minuten-Prüfung für Ihre Website

Zum Mitnehmen, in der Reihenfolge, in der es am schnellsten geht. Erstens: eine beliebige Unterseite aufrufen, in den Footer scrollen, „Impressum“ anklicken — ist es da, ist es vollständig, stimmt die Überschrift (§ 5 DDG statt § 5 TMG)? Zweitens: die Datenschutzerklärung öffnen und quer lesen — beschreibt sie Ihre Website oder irgendeine? Drittens: den Quelltext mit Strg+U öffnen und nach „googleapis“, „analytics“, „tagmanager“, „youtube“ und „facebook“ suchen — jeder Treffer braucht eine Einwilligung oder muss weg. Viertens: Schloss-Symbol im Browser prüfen. Fünftens: das eigene Kontaktformular einmal ausfüllen und abschicken — kommt die Mail an, und fragen Sie wirklich nur ab, was Sie brauchen?

Wer bei allen fünf Punkten durchkommt, hat mehr getan als ein großer Teil der Firmenwebsites in Deutschland. Und wer irgendwo hängen bleibt, weiß wenigstens, wo — das ist schon der halbe Weg. Was dieser Artikel bewusst nicht leistet: Er ersetzt keine Rechtsberatung. Er beschreibt, was in den Gesetzen steht und was in der Praxis schiefgeht. Ob Ihr Fall eine Besonderheit hat — reglementierter Beruf, journalistische Inhalte, besondere Datenkategorien —, beantwortet nur jemand, der ihn kennt.