Website-Recht ohne Angst: Impressum, Datenschutz & Cookies

Kaum ein Thema sorgt bei Website-Betreibern für so viel Unbehagen wie das Recht. Abmahnung, DSGVO, Cookie-Banner: Das klingt nach Minenfeld. Die gute Nachricht: Die Grundlagen sind überschaubar, und wer sie beachtet, ist auf der sicheren Seite. Panik ist ein schlechter Ratgeber, Klarheit ein guter.

Wichtiger Hinweis vorab: Dieser Guide erklärt die Grundlagen verständlich, ist aber keine Rechtsberatung. Bei komplexen Fällen wie Online-Shop, vielen Datenverarbeitungen oder internationalen Kunden führt an einem spezialisierten Anwalt kein Weg vorbei. Für die typische Unternehmenswebsite reicht das Verständnis der drei Bausteine.

Was braucht eine Unternehmenswebsite rechtlich mindestens?

In Deutschland braucht eine geschäftliche Website in der Regel drei Dinge: ein Impressum, das klar sagt, wer dahintersteht, eine Datenschutzerklärung, die zu den tatsächlich genutzten Tools passt, und einen Cookie-Banner mit echter Einwilligung für alles, was nicht technisch notwendig ist. Das deckt die typische Unternehmensseite ab, ersetzt aber keine Rechtsberatung.

Wie muss ein Impressum aussehen?

Ein Impressum ist eine klar auffindbare Seite, die sagt, wer hinter der Website steht. Es ist Pflicht und einer der häufigsten Abmahngründe, wenn es fehlt oder unvollständig ist. Es muss von jeder Seite aus erreichbar sein und „Impressum“ heißen. Dazu gehören Name, Anschrift und Kontaktdaten.

• Name und Anschrift (bei Firmen die vertretungsberechtigte Person).
• Kontakt: E-Mail und in der Regel Telefonnummer.
• Je nach Rechtsform: Registereintrag, Umsatzsteuer-ID, ggf. Berufsangaben.
• Von jeder Seite aus erreichbar, klar als „Impressum“ benannt.

Seit Mai 2024: DDG statt TMG

Die Impressumspflicht stand früher in § 5 Telemediengesetz (TMG). Seit dem 14. Mai 2024 gilt das Digitale-Dienste-Gesetz (DDG) vom 6. Mai 2024 (BGBl. 2024 I Nr. 149), das TMG ist abgelöst. Die Pflicht steht jetzt in § 5 Abs. 1 DDG:

„Diensteanbieter haben für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste folgende Informationen, die leicht erkennbar und unmittelbar erreichbar sein müssen, ständig verfügbar zu halten“

Inhaltlich hat sich wenig geändert. Steht in deinem Impressum noch „Angaben gemäß § 5 TMG“, ist das veraltet. Ein Gesetz musst du im Impressum gar nicht nennen. Wenn du eins nennst, dann das richtige: „Angaben gemäß § 5 DDG“. Gefährlicher als der alte Name sind fehlende Pflichtangaben.

Baustein 2: Die Datenschutzerklärung

Der häufigste Fehler ist eine Standard-Erklärung, die Dinge nennt, die du gar nicht nutzt, oder Dinge verschweigt, die du sehr wohl nutzt. Die Datenschutzerklärung muss zu deiner tatsächlichen Website passen: Welche Tools sind eingebunden (Analyse, Schriftarten, Karten, Buchungssysteme)? Genau die müssen rein.

Brauche ich einen Cookie-Banner?

Nur wenn du Dinge einsetzt, die nicht technisch notwendig sind, vor allem Tracking und Marketing. Dafür brauchst du die aktive Einwilligung des Besuchers, bevor sie laden. Technisch Notwendiges wie Login oder Warenkorb braucht keine Zustimmung. Ablehnen muss genauso einfach sein wie Zustimmen.

1. 1Notwendige Cookies (z. B. für Login oder Warenkorb) dürfen ohne Zustimmung laufen.
2. 2Analyse- und Marketing-Werkzeuge dürfen erst nach aktivem Klick auf „Akzeptieren“ laden.
3. 3Ablehnen muss genauso einfach sein wie Zustimmen, ohne Trick und ohne versteckte Ablehnung.
4. 4Die Wahl des Besuchers muss respektiert und gespeichert werden.

Was § 25 TDDDG genau verlangt

Die Regel steht in § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Bis Mai 2024 hieß es TTDSG. Absatz 1 lautet:

„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 zu erfolgen.“

Keine Einwilligung brauchst du nach § 25 Abs. 2 Nr. 2 TDDDG nur, wenn das Speichern oder Auslesen „unbedingt erforderlich ist“, damit du einen „vom Nutzer ausdrücklich gewünschten digitalen Dienst“ bereitstellen kannst.

Baustein 4: Schriften lokal einbinden

Viele Websites laden ihre Schriften direkt von Google. Dabei geht beim Aufruf die IP-Adresse des Besuchers an Google. Das Landgericht München I hat dazu am 20. Januar 2022 entschieden (Az. 3 O 17493/20). Der Websitebetreiber wurde verurteilt, die Weitergabe der IP-Adresse an Google zu unterlassen, und musste dem Kläger 100 € Schadensersatz nach Art. 82 DSGVO zahlen. Aus dem Leitsatz:

„Ein Rechtfertigungsgrund für die Weitergabe einer IP-Adresse liegt nicht vor, da das Angebot von Google Fonts auch genutzt werden kann, ohne dass beim Aufruf der Webseite eine Verbindung zu einem Google-Server hergestellt wird und eine Übertragung der IP-Adresse der Webseitennutzer an Google stattfindet.“

Die Lösung ist einfach: Schriften herunterladen und vom eigenen Server ausliefern. Danach ruft deine Seite keine Google-Server mehr für Schriften auf. Prüfen kannst du das selbst: Öffne deine Seite, drück F12, wähle den Reiter „Netzwerk“ und lade neu. Taucht dort fonts.googleapis.com oder fonts.gstatic.com auf, lädt deine Seite noch von Google. Dasselbe gilt sinngemäß für andere eingebundene Dienste wie Karten oder Videos.

Checkliste: die 3 Fehler in 10 Minuten prüfen

Website: {Domain} · geprüft am: {Datum} · von: {Name}

Impressum
[ ] Von jeder Seite mit einem Klick erreichbar
[ ] Name, Anschrift, Rechtsform, vertretungsberechtigte Person
[ ] E-Mail-Adresse und schneller Kontaktweg
[ ] Registernummer und USt-IdNr., falls vorhanden
[ ] Kein Verweis mehr auf „§ 5 TMG“ (richtig: § 5 DDG oder gar kein Gesetz)

Cookie-Banner
[ ] „Ablehnen“ ist genauso einfach zu finden und zu klicken wie „Akzeptieren“
[ ] Vor dem Klick laden keine Analyse- oder Marketing-Werkzeuge (Netzwerk-Reiter prüfen)
[ ] Einstellungen später wieder änderbar (Link im Fußbereich)

Schriften und eingebundene Dienste
[ ] Keine Anfragen an fonts.googleapis.com oder fonts.gstatic.com
[ ] Karten und Videos erst nach Klick oder Einwilligung

Datenschutzerklärung
[ ] Nennt genau die Werkzeuge, die wirklich eingebunden sind
[ ] Gesetzesnamen aktuell (DDG, TDDDG statt TMG, TTDSG)

Der pragmatische Fahrplan

Und wenn du unsicher bist oder etwas Komplexeres vorhast: Ein einmaliger Anwalts-Check kostet weniger als eine Abmahnung und nimmt dir die Angst dauerhaft. Klarheit statt Panik, das ist die ganze Kunst.

Rechtssicherheit ist kein Hexenwerk, sie ist Ordnung. Sag ehrlich, was du tust, und respektiere die Wahl deiner Besucher.

Was ändert sich, wenn KI auf meiner Website arbeitet?

Setzt du auf deiner Website einen KI-Chatbot ein oder lässt Texte mit KI vorformulieren, kommt ein vierter Punkt dazu: Auch ein Chat-Fenster verarbeitet personenbezogene Daten, sobald jemand etwas hineinschreibt. Das gehört in die Datenschutzerklärung, mit Name des eingesetzten Werkzeugs und Zweck. Läuft der Chatbot über einen externen Anbieter (z. B. in den USA), brauchst du zusätzlich eine Grundlage für die Datenübermittlung dorthin, meist einen Auftragsverarbeitungsvertrag mit dem Anbieter.

Für reine Hilfsmittel im Hintergrund, etwa wenn du Claude nutzt, um Texte zu entwerfen, aber kein Besucherdatum dabei deine Website verlässt, ändert sich rechtlich nichts an diesem Guide. Entscheidend ist, ob Besucherdaten an ein KI-System gehen, nicht ob irgendwo KI beteiligt war.

Du willst eine Website, bei der Impressum, Datenschutz und Einwilligung von Anfang an sauber eingebaut sind? Genau das setzen wir in Web Dezign um. Wie eine Seite zusätzlich verkauft, zeigt der Guide Die Website, die verkauft.

Häufige Fragen zu Website-Recht

Ist dieser Guide eine Rechtsberatung?

Nein. Er erklärt die Grundlagen verständlich, ersetzt aber keine Beratung durch einen Anwalt. Bei Online-Shop, vielen Datenverarbeitungen oder internationalen Kunden solltest du dir fachlichen Rat holen.

Was passiert, wenn mein Impressum fehlt oder unvollständig ist?

Ein fehlendes oder unvollständiges Impressum gehört zu den häufigsten Abmahngründen. Deshalb gilt: Impressum von jeder Seite aus erreichbar machen, klar benennen und alle Pflichtangaben für deine Rechtsform ergänzen.

Brauche ich auch ohne Tracking eine Datenschutzerklärung?

Ja, in der Regel schon. Schon Server-Logs oder ein Kontaktformular verarbeiten personenbezogene Daten. Die Erklärung muss deshalb auch bei einer schlichten Seite sagen, welche Daten du warum verarbeitest und welche Rechte Besucher haben.

Kann ich auf den Cookie-Banner verzichten?

Ja, wenn du nur technisch notwendige Cookies einsetzt. Mit cookielosen Analyse-Werkzeugen, die keine personenbezogenen Daten sammeln, entfällt oft die Einwilligung. Sobald du Tracking oder Marketing-Werkzeuge nutzt, brauchst du die aktive Zustimmung vor dem Laden.

Darf ich einen KI-Chatbot auf meiner Website einsetzen?

Ja, aber er gehört in die Datenschutzerklärung, mit Werkzeug und Zweck. Läuft er über einen externen Anbieter, brauchst du zusätzlich eine Grundlage für die Datenübermittlung, meist einen Auftragsverarbeitungsvertrag. Lass das im Zweifel juristisch prüfen.

Lohnt sich ein einmaliger Anwalts-Check?

Meistens ja. Er kostet weniger als eine Abmahnung und nimmt dir die Unsicherheit dauerhaft. Besonders sinnvoll ist er, wenn du etwas Komplexeres vorhast als eine normale Unternehmenswebsite.

Ist ein Impressum mit „§ 5 TMG“ abmahnfähig?

Der alte Gesetzesname allein ist vor allem veraltet. Entscheidend sind vollständige Pflichtangaben nach § 5 Abs. 1 DDG. Ändere den Verweis trotzdem, er kostet dich zwei Minuten.

Heißt das Gesetz jetzt TTDSG oder TDDDG?

Seit Mai 2024 TDDDG, Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Auf gesetze-im-internet.de steht es weiter unter der Adresse /ttdsg/.

Darf ich Google Fonts überhaupt noch nutzen?

Ja, die Schriften selbst schon. Lade sie herunter und binde sie von deinem eigenen Server ein. Dann geht keine IP-Adresse an Google.