// Ratgeber · Technik & Sicherheit
Impressum, Datenschutz, Cookie-Banner: Was eine Firmenwebsite braucht
Rechtliche Pflichtangaben sind kein spannendes Thema — Fehler können aber teuer werden, zum Beispiel durch Abmahnungen. Hier bekommen Sie einen verständlichen Überblick, was auf eine Firmenwebsite gehört und wie Sie sich mit Datensparsamkeit viel Aufwand ersparen.
Hinweis: Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Ob und wie die Regeln auf Ihr Angebot zutreffen, klären Sie im Zweifel mit einer Anwältin oder einem Anwalt.
Das Impressum
Die Impressumspflicht steht seit dem 14. Mai 2024 in § 5 des Digitale-Dienste-Gesetzes (DDG); das frühere Telemediengesetz (TMG) gilt nicht mehr. Inhaltlich hat sich dadurch wenig geändert — wer im Impressum noch auf das TMG verweist, sollte den Hinweis aber aktualisieren.
Ein Impressum braucht jede geschäftsmäßige Website, also praktisch jede Firmenwebsite. Hinein gehören unter anderem:
- vollständiger Name bzw. Firma und eine ladungsfähige Anschrift — ein Postfach reicht nicht,
- bei Gesellschaften die Rechtsform und die vertretungsberechtigten Personen,
- Angaben für eine schnelle Kontaktaufnahme, insbesondere eine E-Mail-Adresse,
- gegebenenfalls Registereintrag mit Registergericht und Nummer,
- die Umsatzsteuer-Identifikationsnummer, falls vorhanden,
- bei bestimmten Berufen Angaben zu Kammer, Berufsbezeichnung und Berufsrecht.
Das Impressum muss leicht erkennbar und von jeder Seite aus unmittelbar erreichbar sein — üblich ist ein Link im Footer.
Die Datenschutzerklärung
Sobald Ihre Website personenbezogene Daten verarbeitet, müssen Sie nach Art. 13 DSGVO darüber informieren. Das ist praktisch immer der Fall, denn schon beim Aufruf verarbeitet der Webserver die IP-Adresse der Besucher. In die Datenschutzerklärung gehören unter anderem:
- der Verantwortliche mit Kontaktdaten,
- welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden — etwa bei Server-Logs, Kontaktformular oder Newsletter,
- eingesetzte Dienstleister und externe Dienste,
- die Speicherdauer,
- die Rechte der Betroffenen und das Beschwerderecht bei der Aufsichtsbehörde — für Unternehmen in Bayern ist das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).
Generatoren sind ein guter Startpunkt. Entscheidend ist aber, dass die Erklärung zu Ihrer tatsächlichen Website passt: Jedes neue Tool, jedes neue Formular muss sich darin wiederfinden.
Cookie-Banner: Wann Sie einen brauchen
Maßgeblich ist § 25 TDDDG (bis Mai 2024 hieß das Gesetz TTDSG). Danach dürfen Informationen auf dem Gerät der Besucher nur gespeichert oder ausgelesen werden, wenn diese eingewilligt haben — es sei denn, es ist für den gewünschten Dienst unbedingt erforderlich. Das betrifft nicht nur Cookies, sondern auch vergleichbare Techniken.
| Beispiel | Einwilligung nötig? |
|---|---|
| Cookie für Warenkorb oder Login | nein (unbedingt erforderlich) |
| Speichern der Cookie-Entscheidung selbst | nein |
| Google Analytics, Meta-Pixel oder ähnliches Tracking | ja |
| Direkt eingebundene YouTube-Videos oder Google Maps | ja — alternativ eine Zwei-Klick-Lösung |
| Statistik, die nichts auf dem Gerät speichert oder ausliest | in der Regel nein |
Wenn ein Banner nötig ist, muss das Ablehnen genauso einfach sein wie das Zustimmen, und es dürfen keine Häkchen vorausgewählt sein. Bis zur Einwilligung darf nichts Einwilligungspflichtiges geladen werden.
Externe Dienste: der häufigste Stolperstein
Viele Probleme entstehen durch Dienste, die beim Seitenaufruf Verbindungen zu fremden Servern aufbauen und dabei die IP-Adresse übertragen. Bekanntestes Beispiel sind Google Fonts: Das Landgericht München I hat am 20. Januar 2022 einem Besucher Schadensersatz zugesprochen, weil eine Website Schriften direkt von Google-Servern geladen hatte. Die Lösung ist einfach — Schriften lokal auf dem eigenen Server einbinden. Ähnliches gilt für Karten, Videos oder Captcha-Dienste.
Auf dieser Website sind zum Beispiel alle Schriften lokal eingebunden, es gibt kein Tracking durch Drittanbieter, und das Kontaktformular kommt ohne externen Captcha-Dienst aus. Deshalb braucht sie keinen Cookie-Banner.
Kontaktformular und Newsletter
Ein Kontaktformular muss in der Datenschutzerklärung beschrieben sein. Die Daten sollten verschlüsselt übertragen werden, und Pflichtfelder sollten sich auf das beschränken, was Sie für die Antwort wirklich brauchen. Eine Einwilligungs-Checkbox ist für ein normales Kontaktformular in der Regel nicht nötig, weil die Verarbeitung der Beantwortung der Anfrage dient — ein Hinweis mit Link zur Datenschutzerklärung genügt.
Anders beim Newsletter: Hier brauchen Sie die Einwilligung der Empfänger und sollten sie nachweisen können. Üblich ist das Double-Opt-in-Verfahren, bei dem die Anmeldung per Bestätigungslink in einer E-Mail abgeschlossen wird.
Typische Abmahnfallen
- ein fehlendes, unvollständiges oder schwer auffindbares Impressum,
- Schriften, Karten oder Videos, die ohne Einwilligung Daten an Drittanbieter übertragen,
- Tracking, das schon vor der Einwilligung startet,
- Fotos und Grafiken ohne passende Lizenz — auch Bilder aus der Google-Suche sind urheberrechtlich geschützt,
- eine Datenschutzerklärung, die nicht zur tatsächlichen Website passt.
Checkliste für Ihre Website
- Impressum vollständig, aktuell und von jeder Seite aus verlinkt
- Verweise auf das TMG durch das DDG ersetzt
- Datenschutzerklärung passt zu allen tatsächlich eingesetzten Diensten und Formularen
- Schriften lokal eingebunden
- Tracking und externe Inhalte nur mit Einwilligung oder per Zwei-Klick-Lösung
- Cookie-Banner nur, wenn wirklich nötig — dann mit gleichwertiger Ablehnen-Option
Bei neuen Websites berücksichtige ich diese Punkte von Anfang an — mehr dazu auf der Seite Webdesign.
Häufige Fragen
Reicht ein Impressum-Generator?
Als Startpunkt ja. Sie müssen die Angaben aber an Ihre Situation anpassen und aktuell halten — ein Beispiel ist der Wechsel vom TMG zum DDG im Mai 2024.
Brauche ich als Verein ein Impressum?
Häufig ja, denn auch Vereine bieten ihre Website oft geschäftsmäßig an, zum Beispiel mit Mitgliedsbeiträgen, Kursen oder Veranstaltungen. Im Zweifel ist ein Impressum die sichere Wahl.
Ist Google Analytics verboten?
Nein, aber es darf nur mit vorheriger Einwilligung der Besucher laufen und muss in der Datenschutzerklärung beschrieben sein. Für viele kleine Websites reichen datensparsamere Statistik-Lösungen völlig aus.
Muss ich mein Impressum wegen des DDG ändern?
Inhaltlich meist nicht. Verweise auf das alte TMG, etwa „Angaben gemäß § 5 TMG“, sollten Sie aber auf § 5 DDG aktualisieren.
