Website-Rechtskonformität: Welche rechtlichen Anforderungen in Deutschland gelten

Eine rechtskonforme Website benötigt häufig mehr als ein Impressum, eine Datenschutzerklärung und einen Cookie-Banner. Welche Anforderungen gelten, hängt insbesondere davon ab, wer die Website betreibt, welche Daten verarbeitet werden und ob darüber Verträge geschlossen werden können. Ein privater Blog kann anderen Anforderungen unterliegen als eine Unternehmenspräsentation, ein Onlineshop oder ein Buchungsportal. Die Bezeichnung als „privat“ begründet allerdings keine umfassende Ausnahme von gesetzlichen Pflichten.

Das deutsche Recht kennt kein einheitliches „Website-Gesetz“. Maßgeblich sind unter anderem das Digitale-Dienste-Gesetz, die Datenschutz-Grundverordnung, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz und das Bürgerliche Gesetzbuch. Hinzu kommen je nach Angebot Vorschriften über Preisangaben, Barrierefreiheit, Urheberrechte und berufsspezifische Informationspflichten. Rechtskonformität betrifft deshalb sowohl sichtbare Inhalte als auch technische Abläufe im Hintergrund.

Der folgende Beitrag erläutert wesentliche Anforderungen für Websites, die dem deutschen Recht unterliegen. Er konzentriert sich auf typische Unternehmensseiten und verbraucherbezogene Angebote. Besondere Anforderungen etwa an Gesundheitsleistungen, Finanzprodukte, öffentliche Stellen oder Angebote für Minderjährige erfordern eine zusätzliche Prüfung. Bei grenzüberschreitenden Angeboten können weitere Rechtsordnungen zu berücksichtigen sein.

• Ein vollständiges Impressum ersetzt weder Datenschutzinformationen noch vertragsbezogene Pflichtangaben.
• Cookies und vergleichbare Technologien benötigen nicht ausnahmslos eine Einwilligung. Entscheidend sind Zugriffstechnik, Zweck und gesetzliche Ausnahmen.
• Eine Datenschutzerklärung muss die tatsächlichen Datenverarbeitungen beschreiben. Ein Mustertext ohne technische Bestandsaufnahme reicht dafür regelmäßig nicht.
• Onlineshops und Buchungsangebote unterliegen zusätzlichen Informations-, Bestell- und gegebenenfalls Widerrufsvorschriften.
• Seit dem 28. Juni 2025 fallen bestimmte verbraucherbezogene Dienstleistungen im elektronischen Geschäftsverkehr unter das Barrierefreiheitsstärkungsgesetz; nicht jede Website ist betroffen. [7]
• Die Abstimmung von Texten, Gestaltung, Software und dokumentierten Prüfprozessen kann rechtliche Risiken verringern, garantiert aber keine dauerhafte Rechtskonformität.

Was bedeutet Rechtskonformität einer Website?

Keine einzelne Erklärung, sondern ein fortlaufender Zustand

Zweckmäßig ist eine Prüfung auf vier Ebenen:

• Anbieter und Inhalte: Wer ist verantwortlich, und dürfen Texte, Bilder und Aussagen veröffentlicht werden?
• Daten und Technik: Welche Informationen werden erhoben, gespeichert oder an Dritte übermittelt?
• Verträge und Verbraucherrechte: Wie kommen Bestellungen zustande, und welche Informationen erhalten Kunden?
• Zugänglichkeit und Sonderrecht: Gelten Barrierefreiheitsvorgaben oder branchenspezifische Pflichten?

Ein automatisierter Website-Scan kann einzelne technische Auffälligkeiten erkennen. Er ersetzt jedoch keine vollständige rechtliche Prüfung. Insbesondere lassen sich die Freiwilligkeit einer Einwilligung oder der Umfang einer Bildlizenz nicht allein durch eine technische Untersuchung der Website feststellen.

Datenschutzrechtlich ist grundsätzlich verantwortlich, wer über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, Art. 4 Nr. 7 DSGVO. Bei einer Unternehmenswebsite ist das typischerweise das betreibende Unternehmen, nicht automatisch die beauftragte Agentur. [2]

Die Aufgabenverteilung mit Agentur, Hostinganbieter und Softwaredienstleistern sollte nachvollziehbar festgehalten werden. Eine Auslagerung beseitigt die eigenen gesetzlichen Pflichten des Verantwortlichen nicht. Ob ein Dienstleister Auftragsverarbeiter, eigenständig Verantwortlicher oder gemeinsam Verantwortlicher ist, hängt von seiner tatsächlichen Rolle ab. Für Auftragsverarbeitung und gemeinsame Verantwortlichkeit enthalten Art. 28 beziehungsweise Art. 26 DSGVO besondere Anforderungen. [2]

Anbieterkennzeichnung und Datenschutzinformationen

§ 5 DDG verlangt für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste bestimmte Anbieterinformationen. Eine der geschäftlichen Tätigkeit dienende Unternehmenswebsite fällt grundsätzlich auch dann darunter, wenn Besucher für ihre Nutzung nichts bezahlen. Ein unmittelbares Nutzungsentgelt ist nicht zwingend erforderlich. [1]

Zu den Angaben gehören insbesondere, soweit einschlägig:

• Name beziehungsweise Firma und Anschrift des Anbieters;
• bei juristischen Personen Rechtsform und Vertretungsberechtigte;
• eine E-Mail-Adresse sowie Angaben, die eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation ermöglichen;
• Register und Registernummer;
• zuständige Aufsichtsbehörde bei erlaubnispflichtigen Tätigkeiten;
• berufsrechtliche Angaben bei reglementierten Berufen;
• Umsatzsteuer-Identifikationsnummer oder Wirtschafts-Identifikationsnummer, sofern vorhanden.

Die persönliche Steuernummer gehört nicht zu den allgemeinen Pflichtangaben des § 5 DDG. Auch eine Telefonnummer ist nach dieser Vorschrift nicht ausnahmslos vorgeschrieben. Für bestimmte Verbraucherverträge bestehen allerdings weitergehende Kontaktinformationspflichten, insbesondere nach Art. 246a § 1 EGBGB. [1][5]

Das Impressum muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Ein eindeutig bezeichneter Link in einer dauerhaft erreichbaren Navigation ist dafür regelmäßig zweckmäßig. Ein Postfach ersetzt nicht die erforderliche Anschrift der Niederlassung. Auch eine bloße Kontaktmaske genügt nicht als Ersatz für sämtliche Pflichtinformationen. [1]

Welche zusätzlichen Regeln gelten für redaktionelle Inhalte?

§ 18 MStV enthält eigene Informationspflichten für Telemedien, die nicht ausschließlich persönlichen oder familiären Zwecken dienen. Bei journalistisch-redaktionell gestalteten Angeboten ist nach Maßgabe des § 18 Abs. 2 MStV zusätzlich ein Verantwortlicher mit Namen und Anschrift zu benennen. Werden mehrere Verantwortliche benannt, muss erkennbar sein, für welchen Teil des Angebots sie jeweils verantwortlich sind. [12]

Nicht jede Unternehmensneuigkeit ist bereits ein journalistisch-redaktionelles Angebot. Maßgeblich sind Inhalt und Gestaltung des konkreten Angebots. Nachrichtenbereiche, regelmäßig erscheinende Fachbeiträge oder meinungsbildende Veröffentlichungen sollten deshalb gesondert eingeordnet werden.

Was muss die Datenschutzerklärung leisten?

Art. 13 DSGVO verpflichtet grundsätzlich dazu, betroffene Personen bei der Erhebung personenbezogener Daten über die Verarbeitung zu informieren. Art. 14 DSGVO betrifft Daten, die nicht bei der betroffenen Person erhoben wurden; hierfür gelten eigene Informationsfristen und Ausnahmen. Die Informationen müssen nach Art. 12 DSGVO insbesondere transparent, verständlich und leicht zugänglich sein. [2]

Für eine Website sind insbesondere zu erläutern:

• Verantwortlicher und gegebenenfalls Datenschutzbeauftragter;
• Verarbeitungszwecke und Rechtsgrundlagen;
• gegebenenfalls verfolgte berechtigte Interessen;
• Empfänger oder Empfängerkategorien;
• gegebenenfalls Drittlandübermittlungen und die dafür maßgeblichen Garantien oder sonstigen Voraussetzungen;
• Speicherdauer oder Kriterien für deren Bestimmung;
• Betroffenenrechte, Beschwerderecht und gegebenenfalls Widerrufsrecht.

Je nach Verarbeitung kommen weitere Angaben hinzu, etwa zur Pflicht zur Bereitstellung von Daten oder zu automatisierten Entscheidungen. [2]

Die Angaben müssen zum tatsächlichen Betrieb passen. Wer ein Analysewerkzeug entfernt, sollte dessen Beschreibung überprüfen. Wer einen neuen Zahlungsdienst einbindet, muss prüfen, ob die Informationen ergänzt werden müssen. Eine Datenschutzerklärung legitimiert eine Verarbeitung nicht: Die Informationspflichten und die Anforderungen an die Rechtmäßigkeit der Verarbeitung sind getrennt zu erfüllen. [2]

Cookies, Tracking und technische Datenschutzpflichten

Zwei rechtliche Prüfungen sind auseinanderzuhalten

Bei Cookies, lokalem Browserspeicher und ähnlichen Verfahren greifen häufig zwei unterschiedliche Regelungsebenen.

Erstens: § 25 TDDDG regelt das Speichern von Informationen in Endeinrichtungen und den Zugriff auf bereits gespeicherte Informationen. Die Vorschrift gilt unabhängig davon, ob die Informationen personenbezogen sind. Grundsätzlich ist eine Einwilligung erforderlich. Ausnahmen bestehen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder wenn Speicherung beziehungsweise Zugriff unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. [3]

Zweitens: Werden personenbezogene Daten verarbeitet, bedarf dies zusätzlich einer Rechtsgrundlage nach Art. 6 DSGVO. Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, sind außerdem das grundsätzliche Verarbeitungsverbot und die Ausnahmetatbestände des Art. 9 DSGVO zu beachten. [2]

Eine Ausnahme nach § 25 Abs. 2 TDDDG ist deshalb keine pauschale datenschutzrechtliche Erlaubnis.

Welche Technologien können ohne Einwilligung zulässig sein?

Ein Warenkorb-Cookie kann erforderlich sein, um die vom Nutzer gewünschte Einkaufsfunktion bereitzustellen. Ähnliches kann für bestimmte Sicherheits- oder Anmeldefunktionen gelten. Marketing, Reichweitenmessung oder eine wirtschaftlich nützliche Personalisierung sind dagegen nicht schon deshalb unbedingt erforderlich, weil sie dem Geschäftsmodell dienen. Maßgeblich bleiben die Voraussetzungen des § 25 Abs. 2 TDDDG. [3]

Entscheidend ist die konkrete Funktion. Auch „cookieloses Tracking“ ist nicht automatisch einwilligungsfrei: Andere Speicher- oder Zugriffstechniken können ebenfalls § 25 TDDDG unterfallen. Eine rein serverseitige Verarbeitung ohne Speicherung in oder Zugriff auf eine Endeinrichtung fällt dagegen nicht allein wegen ihrer Analysefunktion unter diese Vorschrift. Die DSGVO bleibt bei personenbezogenen Daten grundsätzlich anwendbar. [2][3]

Wie muss eine Einwilligung gestaltet sein?

Eine Einwilligung muss freiwillig, informiert, für bestimmte Zwecke und durch eine eindeutige bestätigende Handlung erteilt werden, Art. 4 Nr. 11 DSGVO. Vorausgewählte Optionen erfüllen diese Anforderungen nicht. Schweigen oder das bloße Weiterbenutzen der Website genügt ebenfalls nicht. Der Widerruf muss so einfach sein wie die Erteilung, Art. 7 Abs. 3 DSGVO. Diese Anforderungen sind auch für Einwilligungen nach § 25 Abs. 1 TDDDG maßgeblich. [2][3]

Für die Gestaltung bedeutet das insbesondere:

• Einwilligungsbedürftige Technologien dürfen nicht vor Erteilung der erforderlichen Einwilligung aktiviert werden.
• Zwecke und beteiligte Akteure müssen hinreichend bestimmt und verständlich beschrieben sein.
• Eine Ablehnung darf nicht durch irreführende Gestaltung oder Hürden erschwert werden, welche die freie Entscheidung beeinträchtigen.
• Ein erteilter Konsens muss auf einfache Weise widerrufen werden können.

Eine bestimmte Schaltflächenfarbe ist gesetzlich nicht vorgeschrieben. Entscheidend ist, ob die Gesamtgestaltung eine freiwillige, informierte und eindeutige Entscheidung ermöglicht. [2][3]

Der Bundesgerichtshof hat im Urteil vom 28. Mai 2020 – I ZR 7/16, „Cookie-Einwilligung II“, eine voreingestellte Zustimmung zu den dort behandelten Werbe-Cookies nicht genügen lassen. Die Entscheidung betraf die frühere Rechtslage; für die heutige Prüfung sind insbesondere § 25 TDDDG und die Einwilligungsanforderungen der DSGVO maßgeblich. [11][3][2]

Externe Dienste und Sicherheitsmaßnahmen

Eingebettete Videos, Karten, Schriftarten oder Chatfunktionen können bereits beim Seitenaufruf Daten an externe Anbieter übermitteln. Die Aussage „Wir setzen keine Cookies“ beantwortet daher noch nicht die Frage, ob personenbezogene Daten weitergegeben werden.

Zu prüfen sind insbesondere:

• die Rechtsgrundlage der Übermittlung;
• die datenschutzrechtliche Rollenverteilung;
• gegebenenfalls ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO;
• bei Drittlandübermittlungen die Anforderungen der Art. 44 ff. DSGVO;
• angemessene Sicherheitsmaßnahmen nach Art. 32 DSGVO. [2]

Dazu können Transportverschlüsselung, Zugriffsbeschränkungen und Sicherheitsupdates gehören. Speicherbegrenzung und Löschkonzepte sind insbesondere im Hinblick auf Art. 5 Abs. 1 Buchst. e DSGVO zu berücksichtigen. [2]

Ob eine externe Schriftart oder ein anderes Element lokal eingebunden werden sollte, ist technisch und rechtlich zu beurteilen. Die lokale Bereitstellung kann Übermittlungen an externe Anbieter vermeiden, löst aber nicht automatisch alle weiteren Pflichten.

Onlineshops, Buchungen und Barrierefreiheit

Welche Informationen müssen vor dem Vertrag bereitstehen?

Bei Fernabsatzverträgen mit Verbrauchern gelten insbesondere §§ 312c ff. BGB und, soweit einschlägig, Art. 246a EGBGB. Vor Abgabe der Vertragserklärung des Verbrauchers müssen unter anderem die wesentlichen Eigenschaften der Leistung, der Gesamtpreis, zusätzliche Kosten, Zahlungs- und Leistungsbedingungen sowie gegebenenfalls Laufzeit und Kündigungsbedingungen mitgeteilt werden. Für bestimmte Vertragsarten bestehen besondere Vorschriften oder Ausnahmen. [4][5]

Preisangaben gegenüber Verbrauchern richten sich außerdem nach der Preisangabenverordnung. Relevant sind insbesondere Gesamtpreise, gegebenenfalls Grundpreise und Angaben zu zusätzlichen Versandkosten. Bei der Bekanntgabe von Preisermäßigungen für Waren ist nach § 11 PAngV grundsätzlich der niedrigste Gesamtpreis anzugeben, den der Unternehmer innerhalb der letzten 30 Tage vor Anwendung der Preisermäßigung gegenüber Verbrauchern angewendet hat. Gesetzliche Besonderheiten und Ausnahmen sind zu beachten. [6]

Ein pauschaler Hinweis wie „Alle Preise unverbindlich“ beseitigt diese Informationspflichten nicht.

Bestellschaltfläche und Vertragsbestätigung

Bei Verbraucherverträgen im elektronischen Geschäftsverkehr, die eine Zahlungspflicht begründen und unter § 312j BGB fallen, muss die Bestellsituation so gestaltet sein, dass der Verbraucher seine Zahlungspflicht ausdrücklich bestätigt. Wird eine Schaltfläche verwendet, verlangt § 312j Abs. 3 BGB die gut lesbare Beschriftung ausschließlich mit „zahlungspflichtig bestellen“ oder einer entsprechend eindeutigen Formulierung. Bei einem Verstoß gegen diese Pflicht kommt der Vertrag nach § 312j Abs. 4 BGB nicht zustande. Die gesetzlichen Ausnahmen, insbesondere für ausschließlich durch individuelle Kommunikation geschlossene Verträge, sind zu beachten. [4]

Bezeichnungen wie „Weiter“ oder „Anmelden“ reichen für eine solche zahlungspflichtige Bestellung regelmäßig nicht aus. Außerdem müssen die in § 312j Abs. 2 BGB genannten Informationen unmittelbar vor Abgabe der Bestellung klar, verständlich und hervorgehoben bereitgestellt werden. [4]

Die elektronische Eingangsbestätigung nach § 312i BGB ist von der Vertragsbestätigung nach § 312f BGB zu unterscheiden. Letztere muss bei den erfassten Fernabsatzverträgen auf einem dauerhaften Datenträger bereitgestellt werden, beispielsweise per E-Mail. Eine lediglich frei veränderbare Internetseite genügt dafür regelmäßig nicht. [4]

Widerruf, AGB und Kündigungsfunktion

Verbrauchern steht bei Fernabsatzverträgen grundsätzlich ein Widerrufsrecht zu. Die regelmäßige Frist beträgt nach § 355 Abs. 2 BGB 14 Tage. Beginn, Ausnahmen und Erlöschensvoraussetzungen richten sich insbesondere nach dem Vertragstyp und den §§ 312g und 356 BGB. [4]

Bei unterbliebener oder fehlerhafter Widerrufsbelehrung kann sich die Widerrufsmöglichkeit verlängern. Für die von § 356 Abs. 3 BGB erfassten Fälle erlischt das Recht grundsätzlich spätestens zwölf Monate und 14 Tage nach dem dort bezeichneten Zeitpunkt. Diese Höchstgrenze gilt insbesondere nicht für Verträge über Finanzdienstleistungen. [4]

Bei digitalen Inhalten und vorzeitig beginnenden Dienstleistungen sind besondere Voraussetzungen für ein vorzeitiges Erlöschen zu beachten. Ein pauschaler Satz „Mit der Bestellung erlischt das Widerrufsrecht“ genügt nicht. [4]

Allgemeine Geschäftsbedingungen sind nicht für jede Website vorgeschrieben. Werden sie verwendet, müssen sie wirksam einbezogen sein und den jeweils anwendbaren Anforderungen der §§ 305 ff. BGB entsprechen. Eine AGB-Checkbox macht eine unzulässige Klausel nicht wirksam. [4]

Für bestimmte über eine Website abschließbare entgeltliche Dauerschuldverhältnisse mit Verbrauchern verlangt § 312k BGB zusätzlich eine Kündigungsschaltfläche und einen gesetzlich ausgestalteten Kündigungsablauf. Anwendungsbereich und Ausnahmen sind gesondert zu prüfen. [4]

Wann müssen Websites barrierefrei sein?

Das Barrierefreiheitsstärkungsgesetz erfasst bestimmte Produkte und Dienstleistungen nach Maßgabe seines seit dem 28. Juni 2025 geltenden Anwendungsbereichs. Für Websites sind insbesondere Dienstleistungen im elektronischen Geschäftsverkehr gegenüber Verbrauchern relevant. Erfasst werden nicht pauschal alle Internetauftritte, sondern Dienstleistungen, die unter die gesetzlichen Definitionen fallen. [7]

Ein Onlineshop oder eine verbraucherbezogene digitale Buchungsstrecke ist deshalb anders zu beurteilen als eine reine Informationsseite. Ein bloßer Hinweis „nur für Gewerbekunden“ genügt nicht für eine verlässliche rechtliche Einordnung; maßgeblich ist auch die tatsächliche Ausrichtung und Ausgestaltung des Angebots.

Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen, sind nach § 3 Abs. 3 BFSG von den entsprechenden Anforderungen ausgenommen. Die Definition in § 2 Nr. 17 BFSG setzt weniger als zehn Beschäftigte sowie einen Jahresumsatz von höchstens zwei Millionen Euro oder eine Jahresbilanzsumme von höchstens zwei Millionen Euro voraus. Die Ausnahme gilt nicht pauschal für Pflichten im Zusammenhang mit Produkten. [7]

Die konkreten Anforderungen ergeben sich aus dem BFSG und der Verordnung zum Barrierefreiheitsstärkungsgesetz. Bei erfassten Dienstleistungen sind insbesondere auch die Informationspflichten nach § 14 BFSG in Verbindung mit Anlage 3 zu beachten. Die Übergangsregelungen des § 38 BFSG begründen keinen allgemeinen Bestandsschutz für ältere Websites. Für öffentliche Stellen gelten daneben eigenständige Barrierefreiheitsregelungen, deren Anwendbarkeit gesondert zu prüfen ist. [7][13]

Inhalte, Werbung und typische Fallkonstellationen

Texte, Bilder und fremde Kennzeichen

Das Urheberrechtsgesetz schützt insbesondere persönliche geistige Schöpfungen, etwa entsprechend gestaltete Texte, Grafiken und Computerprogramme. Fotografien können auch unabhängig von einer solchen Werkqualität als Lichtbilder nach § 72 UrhG geschützt sein. Die öffentliche Zugänglichmachung geschützter Inhalte setzt grundsätzlich eine entsprechende Berechtigung voraus, sofern keine gesetzliche Erlaubnis eingreift. Eine Quellenangabe allein ersetzt keine Nutzungserlaubnis. [8]

Bei Bildlizenzen sind Nutzungsumfang, Bearbeitungsbefugnisse, Urheberbenennung und mögliche Einschränkungen zu prüfen. Eine Lizenz für die Website deckt nicht zwingend die Verwendung in Anzeigen oder sozialen Netzwerken ab. Bei erkennbaren Personen sind zusätzlich das Recht am eigenen Bild und gegebenenfalls datenschutzrechtliche Anforderungen zu berücksichtigen. Das Verhältnis dieser Regelungen hängt vom Verwendungskontext ab. [8][14][2]

Auch Kundenlogos, Gütesiegel und Bewertungen dürfen nicht beliebig eingesetzt werden. Irreführende Angaben über Qualifikationen, geschäftliche Verbindungen oder Produkteigenschaften können gegen §§ 5 und 5a UWG verstoßen. Wer Verbraucherbewertungen zugänglich macht, muss nach § 5b Abs. 3 UWG darüber informieren, ob und wie sichergestellt wird, dass die Bewertungen von Verbrauchern stammen, die die Waren oder Dienstleistungen tatsächlich genutzt oder erworben haben. Die Vorschrift begründet für sich genommen keine ausnahmslose Pflicht zur Überprüfung jeder Bewertung. [9]

Drei typische Konstellationen

Unternehmenspräsentation ohne Shop: Im Vordergrund stehen Anbieterkennzeichnung, Datenschutz, Inhaltsrechte und gegebenenfalls berufsspezifische Angaben. Eine Website ohne einwilligungsbedürftige Endgerätezugriffe benötigt nicht allein wegen ihrer geschäftlichen Nutzung einen Cookie-Banner. Ob für einzelne personenbezogene Datenverarbeitungen eine Einwilligung benötigt wird, ist gesondert zu prüfen. [1][2][3]

Website mit Kontakt- oder Terminformular: Zusätzlich sind Datenminimierung, sichere Übertragung, Speicherbegrenzung und die Einbindung externer Buchungssysteme zu prüfen. Werden Gesundheitsangaben abgefragt, ist insbesondere Art. 9 DSGVO zu berücksichtigen. Nicht jedes Kontaktformular benötigt eine verpflichtende Einwilligungscheckbox; die passende Rechtsgrundlage richtet sich nach Zweck und Kontext. [2]

Onlineshop oder Vertragsportal: Hinzu kommen insbesondere Verbraucherinformationen, Preisangaben, Bestellgestaltung, Widerruf und gegebenenfalls Kündigungsfunktion sowie Barrierefreiheit. Rechtlich relevant ist der gesamte betroffene Ablauf, nicht nur die Startseite. [4][5][6][7]

Prüfung, Fristen, Nachweise und Risiken

Wie läuft eine belastbare Prüfung ab?

Eine zweckmäßige Prüfung beginnt mit einer Bestandsaufnahme, nicht mit dem Austausch von Mustertexten:

• Angebot einordnen: Betreiber, Zielgruppe, Vertragsfunktionen und Sonderrecht bestimmen.
• Technik erfassen: Hosting, Erweiterungen, externe Verbindungen, Formulare und Speicherzugriffe dokumentieren.
• Rechtsgrundlagen prüfen: Datenverarbeitungen, Einwilligungen und Dienstleisterrollen zuordnen.
• Nutzerwege testen: Erstbesuch, Ablehnung, Zustimmung, Widerruf, Bestellung und Kündigung durchspielen.
• Texte abstimmen: Impressum, Datenschutzinformationen und Vertragsunterlagen an die Ergebnisse anpassen.
• Nachweise sichern: Prüfstand, Änderungen und Verantwortlichkeiten festhalten.

Eine allgemeine gesetzliche Pflicht zu einem jährlich stattfindenden „Website-Rechtscheck“ besteht nicht. Die einschlägigen Anforderungen müssen jedoch zu den jeweils gesetzlich bestimmten Zeitpunkten erfüllt sein. Eine Prüfung empfiehlt sich deshalb besonders vor dem Start, vor technischen Erweiterungen und nach erheblichen rechtlichen Änderungen. Für die Wirksamkeitskontrolle von Datenschutzmaßnahmen können sich weitergehende Pflichten insbesondere aus Art. 24 und Art. 32 DSGVO ergeben. [2]

Welche Belege sollten vorhanden sein?

Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt, dass der Verantwortliche die Einhaltung der dort genannten Datenschutzgrundsätze nachweisen kann. Wer sich auf eine Einwilligung stützt, muss deren Erteilung nach Art. 7 Abs. 1 DSGVO nachweisen können. Daraus folgen Dokumentationsanforderungen, deren konkrete Ausgestaltung von der Verarbeitung abhängt. [2]

Als Prüfungs- und Nachweisunterlagen kommen insbesondere in Betracht:

• eine Übersicht der Datenflüsse und eingebundenen Dienste;
• erforderliche Verträge mit Dienstleistern;
• dokumentierte Einwilligungstexte und geeignete Zustimmungsnachweise;
• Lizenzunterlagen für Bilder, Texte und Software;
• Screenshots beziehungsweise Testprotokolle wesentlicher Nutzerabläufe;
• gegebenenfalls Barrierefreiheitsprüfungen und dokumentierte Korrekturen.

Nicht jede dieser Unterlagen ist für jede Website gesetzlich vorgeschrieben. Die Dokumentation darf ihrerseits nicht zu einer unbegrenzten Sammlung personenbezogener Daten führen. Datenminimierung, Rechtsgrundlage und Speicherbegrenzung sind auch für Nachweisdaten zu beachten. [2]

Welche Fristen können im Betrieb relevant werden?

Über Maßnahmen aufgrund eines Antrags nach Art. 15 bis 22 DSGVO ist die betroffene Person nach Art. 12 Abs. 3 DSGVO unverzüglich, grundsätzlich spätestens innerhalb eines Monats nach Eingang des Antrags zu informieren. Bei Vorliegen der gesetzlichen Voraussetzungen ist eine Verlängerung um zwei weitere Monate möglich; über diese und ihre Gründe muss innerhalb des ersten Monats informiert werden. [2]

Eine nach Art. 33 DSGVO meldepflichtige Verletzung des Schutzes personenbezogener Daten ist der Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden zu melden. Eine spätere Meldung muss begründet werden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Nicht jeder technische Sicherheitsvorfall ist deshalb automatisch meldepflichtig. [2]

Für die Einhaltung dieser Pflichten sind klare Zuständigkeiten und Meldewege zweckmäßig. Ein unbeachtetes Datenschutzpostfach kann die fristgerechte Bearbeitung ebenso gefährden wie ein unzureichendes Verfahren zur Erkennung von Sicherheitsvorfällen.

Kosten und mögliche Rechtsfolgen

Prüfkosten hängen von Umfang, Funktionen, Branche und vorhandener Dokumentation ab. Eine einfache Informationsseite ist anders zu bewerten als ein mehrsprachiger Shop mit zahlreichen externen Diensten. Eine besondere gesetzliche Pauschalgebühr für einen „Website-Check“ gibt es nicht; bei anwaltlicher Tätigkeit können das Rechtsanwaltsvergütungsgesetz und Vergütungsvereinbarungen maßgeblich sein.

Bei Verstößen kommen je nach Rechtsgrundlage behördliche Anordnungen, Bußgelder, Unterlassungsansprüche und Schadensersatz in Betracht. Datenschutzrechtlicher Schadensersatz nach Art. 82 DSGVO setzt insbesondere einen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang mit dem Verstoß voraus. Ein Verstoß allein begründet keinen automatischen Zahlungsanspruch. [2][9]

Wettbewerbsrechtliche Abmahnungen unterliegen den Voraussetzungen und Begrenzungen des UWG. Insbesondere schließt § 13 Abs. 4 UWG den Anspruch bestimmter abmahnender Mitbewerber auf Aufwendungsersatz bei näher bezeichneten Verstößen aus. Daraus folgt weder, dass der Verstoß zulässig wäre, noch dass sämtliche weiteren Ansprüche entfallen. [9]

Bei einer Abmahnung sind die gesetzte Frist, der tatsächliche Website-Zustand, die geltend gemachten Ansprüche und eine verlangte Unterlassungserklärung gesondert zu prüfen. Eine vertraglich übernommene Unterlassungspflicht kann bei späteren Verstößen Vertragsstrafen auslösen. [4]

Typische vermeidbare Fehler

Mögliche Fehlerquellen sind veraltete Gesetzesverweise, unpassend kopierte Datenschutzerklärungen, einwilligungsbedürftiges Tracking vor der Einwilligung, fehlende Nutzungsrechte und unzureichend geprüfte Bestellstrecken.

Auch Informationen zur Verbraucherstreitbeilegung sind zu prüfen: §§ 36 und 37 VSBG enthalten unterschiedliche Informationspflichten. § 36 VSBG betrifft unter anderem Informationen auf Websites und in Allgemeinen Geschäftsbedingungen, § 37 VSBG Informationen nach einer nicht beigelegten Streitigkeit aus einem Verbrauchervertrag. Voraussetzungen und Ausnahmen sind getrennt zu prüfen. [10]

Die praktische Konsequenz lautet: Nicht alle Websites benötigen dieselben Texte und Schaltflächen. Für jede tatsächlich eingesetzte Funktion müssen aber die einschlägigen rechtlichen und technischen Anforderungen bestimmt werden.

Häufige Fragen

Braucht jede Website einen Cookie-Banner?

Nein. Werden keine von § 25 TDDDG erfassten Vorgänge oder ausschließlich nach dessen Absatz 2 ausgenommene Speicher- oder Zugriffsvorgänge eingesetzt, ist dafür keine Einwilligung erforderlich. Ein Banner wird nicht allein dadurch notwendig, dass die Website geschäftlich genutzt wird. Datenschutzinformationen und gegebenenfalls Einwilligungen für andere Datenverarbeitungen können gleichwohl erforderlich sein. [3][2]

Reichen Impressum und Datenschutzerklärung für eine Unternehmenswebsite?

Nicht zwingend. Diese Texte decken nur einen Teil der Anforderungen ab. Zusätzlich können etwa Inhaltsrechte, berufliche Pflichtangaben, Verbraucherinformationen, Preisangaben und Barrierefreiheit relevant sein. Außerdem müssen die beschriebenen Datenschutzabläufe tatsächlich umgesetzt und rechtlich zulässig sein.

Ist eine Einwilligungscheckbox unter jedem Kontaktformular notwendig?

Nein. Eine konkrete Anfrage kann beispielsweise zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person nach Art. 6 Abs. 1 Buchst. b DSGVO oder auf einer anderen einschlägigen Rechtsgrundlage verarbeitet werden. Welche Grundlage passt, hängt von Inhalt und Zweck ab. Eine verpflichtende Checkbox ist kein Ersatz für diese Prüfung. [2]

Muss jede gewerbliche Website seit Juni 2025 barrierefrei sein?

Nein. Maßgeblich sind der sachliche Anwendungsbereich des BFSG und mögliche Ausnahmen. Besonders relevant sind Dienstleistungen im elektronischen Geschäftsverkehr gegenüber Verbrauchern. Für Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen, besteht nach § 3 Abs. 3 BFSG eine Ausnahme. Andere einschlägige Barrierefreiheitsvorschriften sind davon unabhängig zu prüfen. [7]

Sind AGB für einen Onlineshop gesetzlich vorgeschrieben?

Eine allgemeine Pflicht, AGB zu verwenden, besteht nicht. Gesetzliche Informationspflichten müssen jedoch unabhängig davon erfüllt werden. Werden AGB eingesetzt, müssen sie wirksam einbezogen und inhaltlich zulässig sein. [4][5]

Kann die Verantwortung vollständig auf die Webagentur übertragen werden?

Eine Agentur kann Prüfungs-, Umsetzungs- und Wartungsaufgaben übernehmen. Dadurch entfallen eigene gesetzliche Pflichten des Betreibers gegenüber Nutzern oder Behörden nicht automatisch. Datenschutzrechtlich richtet sich die Verantwortlichkeit nach der tatsächlichen Entscheidung über Zwecke und Mittel der Verarbeitung. Vertragliche Zuständigkeiten ersetzen diese Einordnung nicht. [2]

Zusammenfassung

Website-Rechtskonformität ist eine funktionsbezogene Daueraufgabe. Entscheidend sind nicht möglichst viele Rechtstexte, sondern die Übereinstimmung zwischen rechtlichen Anforderungen, Informationen, Technik und tatsächlichem Angebot.

Den Ausgangspunkt bildet eine Bestandsaufnahme: Wer betreibt die Website, welche Daten fließen, welche Inhalte werden verwendet und welche Verträge können zustande kommen? Daraus ergeben sich die einschlägigen Pflichten. Anbieterinformationen, Datenschutz, Einwilligungsmanagement, Verbraucherrechte und gegebenenfalls Barrierefreiheit müssen anschließend gemeinsam umgesetzt und überprüft werden.

Ein dokumentierter Prüf- und Änderungsprozess kann helfen, rechtlich relevante Veränderungen frühzeitig zu erkennen. Er ersetzt jedoch weder die Einzelfallprüfung noch die tatsächliche Umsetzung der erforderlichen Maßnahmen.