Impressum und Datenschutzerklärung: welche Pflichtangaben eine Website 2026 braucht

Es gibt einen Fehler, den ich auf so vielen deutschen Websites finde, dass er inzwischen fast normal wirkt: den Verweis auf § 5 TMG. Das Telemediengesetz ist am 14. Mai 2024 außer Kraft getreten. Die Impressumspflicht steht seither in § 5 des Digitale-Dienste-Gesetzes.

Inhaltlich ändert das wenig, die Pflichtangaben sind fast identisch. Wirkung hat es trotzdem: Ein veralteter Paragraf zeigt, dass die Rechtstexte seit mindestens zwei Jahren niemand angesehen hat. Wenn ich das sehe, sehe ich es auch bei Cookie-Banner und Auftragsverarbeitung. Es ist der Riss, der auf den Zustand des Hauses schließen lässt.

Das Impressum: § 5 DDG, Angabe für Angabe

Die Pflicht trifft Anbieter digitaler Dienste, die geschäftsmäßig, in der Regel gegen Entgelt angeboten werden. Für die Praxis heißt das: Jede Website, die einem Unternehmen, einem Freiberufler oder einem geschäftlichen Zweck dient, braucht ein Impressum. Auch die reine Visitenkartenseite ohne Shop.

Ein Detail, über das viele stolpern: Steuernummer und Umsatzsteuer-Identifikationsnummer sind nicht dasselbe. Zu veröffentlichen ist nur die USt-IdNr., und nur wenn sie existiert. Die Steuernummer gehört nicht ins Internet.

Für reglementierte Berufe wird es aufwendiger, weil zur Kammer auch die berufsrechtlichen Regelungen und deren Fundstelle gehören. Wie das für Ärzte und Anwälte konkret aussieht, steht auf den Branchenseiten für Arztpraxen und für Anwälte.

Erreichbarkeit: zwei Klicks, kein Rätsel

Das Gesetz verlangt, dass die Angaben leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sind. Die gefestigte Praxis dazu: ein klar benannter Link, sichtbar auf jeder Seite, höchstens zwei Klicks entfernt. Der Link heißt Impressum oder Kontakt. Er heißt nicht Über uns, nicht Rechtliches im Kleingedruckten und ganz sicher nicht nur im Cookie-Dialog.

Zwei Fälle, die regelmäßig übersehen werden. Erstens: Auch eine Landingpage ohne Navigation braucht den Link. Wer für eine Kampagne eine Seite ohne Footer baut, baut eine Seite ohne Impressum. Zweitens: Social-Media-Profile brauchen ebenfalls eine Anbieterkennzeichnung, in der Regel gelöst über einen Link ins Website-Impressum.

Die Datenschutzerklärung: Art. 13 DSGVO

Die Datenschutzerklärung ist kein juristischer Zierrat, sondern die Erfüllung einer Informationspflicht. Art. 13 DSGVO listet auf, was der Verantwortliche mitteilen muss, wenn er Daten bei der betroffenen Person erhebt. Für eine Website heißt das im Kern:

• Wer ist verantwortlich, mit Kontaktdaten, und gibt es einen Datenschutzbeauftragten
• Welche Verarbeitung findet statt, zu welchem Zweck, auf welcher Rechtsgrundlage
• Bei berechtigtem Interesse: welches Interesse konkret
• Wer bekommt die Daten, mindestens die Kategorien von Empfängern
• Gehen Daten in Drittländer, und auf welcher Grundlage
• Wie lange wird gespeichert, oder nach welchen Kriterien bestimmt sich das
• Die Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung
• Das Beschwerderecht bei einer Aufsichtsbehörde
• Ob die Bereitstellung der Daten erforderlich ist und was passiert, wenn man sie nicht gibt

Der praktische Fehler Nummer eins ist eine Generator-Erklärung, die Dienste beschreibt, die gar nicht eingesetzt werden, und die tatsächlich eingesetzten nicht nennt. Ich habe Datenschutzerklärungen gesehen, die Facebook-Pixel und Newsletter erklären, während die Seite ein Buchungssystem und eine Chat-Einbettung betreibt, von denen kein Wort dort steht. Ein Generator ist ein guter Anfang und eine schlechte Endkontrolle.

Cookies und das Endgerät: § 25 TDDDG

Hier liegt der Unterschied, den viele Banner falsch abbilden. § 25 TDDDG regelt nicht die Datenverarbeitung, sondern den Zugriff auf das Endgerät. Speichern oder Lesen von Informationen im Browser ist nur zulässig, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat.

Zwei Ausnahmen nennt Absatz 2: wenn die Speicherung allein der Übertragung einer Nachricht dient, und wenn sie unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann. Warenkorb und Login fallen darunter. Reichweitenmessung, A/B-Tests, Werbe-Pixel und Karten- oder Video-Einbettungen von Dritten fallen nicht darunter.

Daraus folgen drei Anforderungen an das Banner, die man leicht prüfen kann: Vor der Einwilligung darf nichts Einwilligungspflichtiges laden. Ablehnen muss genauso einfach sein wie Zustimmen, also auf derselben Ebene, nicht zwei Klicks tiefer. Und die Einwilligung muss widerrufbar sein, ohne dass man die Seite verlässt.

Der letzte Punkt in der rechten Spalte hat eine eigene Geschichte, samt Abmahnwelle. Sie steht im Artikel zu Abmahnungen wegen Google Fonts und Cookie-Bannern.

Auftragsverarbeitung: der vergessene Vertrag

Wer personenbezogene Daten durch einen Dienstleister verarbeiten lässt, braucht nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Betroffen sind in der Regel: Hosting, Newsletter-Werkzeug, Analytik, Chat, Buchungssystem, Formulardienst, Backup-Dienst und häufig auch die Agentur oder der Entwickler, der Zugriff auf das System hat.

Diese Verträge stellen die Anbieter bereit, meist als Download oder Klickvereinbarung im Kundenkonto. Sie kosten nichts außer zwanzig Minuten. Wenn Daten dabei in Drittländer gehen, kommen Art. 44 und folgende DSGVO ins Spiel. Was das für die Wahl des Hosters bedeutet, steht im Artikel zu Hosting in Deutschland und Serverumzug.

Die Prüfliste, die ich bei jedem Projekt durchgehe

1. Rechtsgrundlagen aktualisieren. § 5 DDG statt § 5 TMG, § 25 TDDDG statt § 25 TTDSG.
2. Impressum abgleichen. Alle acht Punkte oben, E-Mail-Adresse vorhanden, Vertretungsberechtigte genannt.
3. Netzwerk-Tab prüfen. Welche Fremd-Domains laden, und laden sie vor der Einwilligung.
4. Datenschutzerklärung gegen diese Liste abgleichen. Jeder tatsächlich genutzte Dienst muss vorkommen, jeder genannte muss existieren.
5. Banner testen. Ablehnen so einfach wie Zustimmen, Widerruf erreichbar, kein Nachladen vor Zustimmung.
6. AV-Verträge sammeln. Ein Ordner, ein Datum, fertig.
7. Auf jeder Seite erreichbar. Auch auf Landingpages ohne Navigation.
8. Datum notieren. Wer nicht dokumentiert, wann er geprüft hat, prüft in zwei Jahren wieder alles.

Wo ich helfe und wo nicht

Ich baue Websites, in denen diese Dinge technisch richtig funktionieren: Schriften lokal, Einbettungen erst nach Einwilligung, Banner mit gleichwertigem Ablehnen, Rechtstexte an der richtigen Stelle verlinkt. Der Website-Audit ist kostenlos und listet auf, was vor der Einwilligung lädt. Sie arbeiten direkt mit mir. Braucht ein Projekt zusätzliche Expertise, hole ich geprüfte Spezialisten dazu. Ansprechpartner und Verantwortlicher für das Ergebnis bleibe ich.

Was ich nicht mache, ist Rechtsberatung. Die Formulierung Ihrer Rechtstexte und die Bewertung Ihres Einzelfalls gehören zu einem Anwalt oder einem Datenschutzbeauftragten. Dieser Artikel fasst zusammen, was in den genannten Vorschriften steht, mit Fundstelle zum Nachlesen.

Häufige Fragen