Gesetzliche Pflichten & Datenschutz: Was Unternehmen an ihrer Website prüfen sollten

Gesetzliche Pflichten & Datenschutz Ratgeber · Stand: 24. September 2026 · Nena Celeste UG

Eine Website kann gut aussehen, zuverlässig laden und trotzdem Fragen beim Datenschutz oder bei Pflichtangaben aufwerfen. Vielleicht lädt ein altes Plugin externe Schriftdateien. Vielleicht übermittelt das Kontaktformular bereits beim Öffnen Daten an einen zusätzlichen Anbieter. Oder im Impressum steht noch ein Text, der zu einer früheren Website gehört.

Für Unternehmen entsteht daraus eine praktische Aufgabe: herausfinden, was die eigene Website tatsächlich tut, welche Angaben dazu passen und welche Änderungen sinnvoll sind. Ein automatisierter Website-Check kann dabei helfen. Er kann sichtbare Inhalte, Netzwerkverbindungen und bestimmte technische Einstellungen dokumentieren. Ob daraus im Einzelfall ein Rechtsverstoß folgt, lässt sich mit einem solchen Scan allein nicht feststellen.

Dieser Ratgeber richtet sich an Unternehmen mit Websites für den deutschen Markt. Er erläutert allgemeine Grundlagen und einen technischen Arbeitsablauf. Branchenspezifische Regeln, individuelle Verträge und die rechtliche Bewertung einer konkreten Website sind nicht vollständig erfasst. Die Darstellung ersetzt keine Rechtsberatung.

Die wichtigsten Fragen auf einen Blick

1. Datenschutz beginnt mit einer Bestandsaufnahme

Viele Websites wachsen über Jahre. Eine Agentur baut sie auf, ein Mitarbeiter ergänzt ein Formular, später kommt ein Buchungssystem hinzu. Ein Analysewerkzeug bleibt aktiv, obwohl niemand seine Auswertungen liest. Oft gibt es keine vollständige Übersicht über diese Bestandteile.

Beginnen Sie deshalb mit einer einfachen Frage: Welche Funktionen sind auf unserer Website eingebaut, und wer ist dafür verantwortlich?

Eine brauchbare Bestandsaufnahme erfasst die wichtigsten Seiten und Funktionen: Startseite, Leistungen, Kontakt, Terminbuchung, Newsletter, Karrierebereich und gegebenenfalls Shop. Dazu kommen Dienste, die im Hintergrund arbeiten, etwa Hosting, Spamabwehr, eingebettete Medien oder Reichweitenmessung.

Für jeden Bestandteil empfiehlt sich ein kurzer Eintrag: Anbieter, Zweck, verantwortliche Person im Betrieb, technischer Ansprechpartner und Datum der letzten Prüfung. Ergänzen Sie, ob die Funktion beim Seitenaufruf oder erst nach einer Handlung startet. Schon diese Unterscheidung hilft bei der weiteren Bearbeitung.

Die Liste muss nicht perfekt sein, bevor Sie anfangen. Sie sollte aber eine reale Website beschreiben und nicht bloß die Funktionen, die ursprünglich beauftragt wurden. Ein seit Jahren unbemerktes Plugin kann für die Datenverarbeitung ebenso relevant sein wie ein bewusst eingesetztes Kundenportal.

2. Impressum prüfen: Stimmen Anbieter und Pflichtangaben?

Das Impressum beantwortet die Frage, wer hinter dem Angebot steht. Eine zentrale Vorschrift ist § 5 Digitale-Dienste-Gesetz, kurz DDG. Er verlangt für die erfassten Dienste bestimmte leicht erkennbare, unmittelbar erreichbare und ständig verfügbare Informationen.

Dazu gehören insbesondere Name und Anschrift sowie Angaben zur elektronischen Kontaktaufnahme. Bei Gesellschaften können Rechtsform, Vertretungsberechtigte und Registerdaten hinzukommen. Je nach Tätigkeit sind weitere Angaben erforderlich, etwa zur Aufsichtsbehörde oder zu berufsrechtlichen Regelungen. Auch vorhandene Identifikationsnummern sind nach den gesetzlichen Voraussetzungen zu berücksichtigen.

Warum kopierte Textbausteine problematisch sind

Ein Impressum ist kein Sammelplatz für möglichst viele juristisch klingende Sätze. Ein Text über Softwareprüfungen, fremde Unternehmen oder Leistungen, die Ihr Betrieb gar nicht anbietet, kann eher Unklarheit schaffen.

Prüfen Sie deshalb zuerst die Tatsachen: Ist die Firma richtig geschrieben? Ist die Anschrift aktuell? Stimmen Vertretung und Registerangaben? Bezieht sich jeder zusätzliche Text tatsächlich auf Ihr Angebot?

Eine alte Gesetzesbezeichnung allein beweist noch keinen Pflichtverstoß. Umgekehrt wird ein inhaltlich falsches Impressum nicht dadurch richtig, dass die Überschrift den aktuellen Gesetzesnamen enthält. Entscheidend sind die einschlägigen Pflichten und die tatsächlichen Angaben.

Praktischer Ablauf für die Aktualisierung

Sammeln Sie die aktuellen Unternehmensdaten an einer zentralen Stelle. Lassen Sie klären, welche Angaben für Ihre Tätigkeit erforderlich sind. Danach werden die freigegebenen Inhalte technisch eingepflegt und ihre Erreichbarkeit auf Mobilgeräten und Unterseiten geprüft.

Bei einem Relaunch sollte dieser Punkt ausdrücklich auf der Abnahmeliste stehen. Gerade beim Wechsel von Vorlagen gehen Fußzeilenlinks oder einzelne Pflichtangaben leicht verloren.

3. DSGVO und TDDDG: Zwei unterschiedliche Prüfungen

Beim Datenschutz auf Websites werden häufig zwei Fragen vermischt: Darf eine Website Informationen auf einem Endgerät speichern oder darauf zugreifen? Und darf sie personenbezogene Daten für einen bestimmten Zweck verarbeiten?

Die erste Frage betrifft insbesondere § 25 TDDDG. Grundsätzlich ist für solche Speicherungen und Zugriffe eine Einwilligung erforderlich. Das Gesetz enthält Ausnahmen, unter anderem für Vorgänge, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Die Regelung beschränkt sich nicht auf klassische Cookies.

Die zweite Frage richtet sich insbesondere nach der Datenschutz-Grundverordnung, kurz DSGVO. Für personenbezogene Daten braucht es eine passende Rechtsgrundlage. Einwilligung ist eine mögliche Grundlage, aber nicht die einzige. Die BfDI erläutert diese Unterscheidung in ihren Grundlagen zur Einwilligung.

Für die Praxis heißt das: Die Aussage „Wir setzen keine Cookies“ erledigt nicht automatisch alle Datenschutzfragen. Ebenso wenig lässt sich aus jedem Cookie unmittelbar ein Verstoß ableiten. Entscheidend sind die konkreten Vorgänge, ihre Zwecke und die jeweils anwendbaren Voraussetzungen.

4. Cookie-Banner: Die Auswahl muss zur Technik passen

Ein Cookie-Banner ist eine Bedienoberfläche. Ob die gewählte Einstellung tatsächlich umgesetzt wird, zeigt sich erst beim technischen Verhalten der Website.

Ein sinnvoller Funktionstest betrachtet mehrere Zustände:

1. Erster Besuch ohne gespeicherte Auswahl.
2. Ablehnung optionaler Funktionen.
3. Zustimmung zu einzelnen Kategorien.
4. Zustimmung zu allen angebotenen optionalen Funktionen.
5. Spätere Änderung oder Widerruf einer Auswahl.

Dokumentiert werden dabei beispielsweise Netzwerkverbindungen und gespeicherte Informationen. Der Test sollte relevante Unterseiten einbeziehen. Ein korrektes Verhalten auf der Startseite sagt wenig über ein separat eingebundenes Buchungsformular aus.

„Noch keine Auswahl“ ist etwas anderes als Zustimmung

Wenn eine Funktion auf Einwilligung gestützt wird, darf die nötige Zustimmung nicht durch bloßes Abwarten ersetzt werden. Auch ein zustimmend beschrifteter Button hilft nicht, wenn die betreffende Verarbeitung schon vorher begonnen hat.

Für Besucher sollte außerdem verständlich sein, welche Wahl sie treffen. Unklare Kategorien und schwer auffindbare Einstellmöglichkeiten erschweren eine informierte Entscheidung. Eine technisch saubere Umsetzung beginnt deshalb mit einer klaren Beschreibung der tatsächlich eingesetzten Dienste.

Weniger Dienste können die Website vereinfachen

Nicht jede bestehende Einbindung muss erhalten bleiben. Wenn niemand einen Analysebericht verwendet, lohnt sich die Frage nach dem Nutzen des Werkzeugs. Wenn eine Karte nur die Anschrift wiederholt, kann eine schlichte Wegbeschreibung mit optionalem externem Link genügen.

Das ist eine Gestaltungsentscheidung, keine pauschale Rechtslösung. Sie kann jedoch die Zahl der zu betreuenden Komponenten verringern. Weniger Komponenten bedeuten häufig auch weniger Abstimmungsbedarf bei Updates und Tests.

5. Google Fonts und andere externe Schriftdateien

Webschriften können direkt vom eigenen Server oder von einem externen Dienst geladen werden. Beim externen Abruf entsteht eine Verbindung zwischen dem Browser und diesem Dienst. Welche Daten dabei verarbeitet werden und wie die Einbindung rechtlich einzuordnen ist, muss im konkreten Zusammenhang geprüft werden.

Ein Befund wie „Schriftdatei wurde vor der Banner-Auswahl extern geladen“ beschreibt einen beobachteten Ablauf. Er ist keine vollständige rechtliche Bewertung.

Was eine lokale Einbindung verändert

Bei einer lokalen Einbindung werden die benötigten Schriftdateien über die eigene Website bereitgestellt. Dadurch kann der betreffende externe Schriftabruf entfallen. Voraussetzung ist, dass alle Verweise angepasst werden und die verwendete Lizenz diese Nutzung erlaubt.

Ein sauberer Umbau umfasst mehr als das Hochladen einer Datei. Zu prüfen sind Schriftstärken, Sonderzeichen, mobile Darstellung und mögliche zusätzliche Abrufe aus Plugins. Sonst lädt die Hauptvorlage bereits lokal, während ein anderes Element weiter auf die externe Quelle zugreift.

Anschließend sollte ein erneuter Netzwerkcheck erfolgen. Die überprüfbare Aussage lautet dann beispielsweise: „Auf den geprüften Seiten wurde unter den dokumentierten Bedingungen kein Abruf dieser externen Schriftquelle mehr festgestellt.“ Daraus folgt keine umfassende Aussage über sämtliche Datenschutzfragen der Website.

6. Kontaktformulare, Buchungssysteme und Spamabwehr

Ein Formular kann aus mehreren Diensten bestehen: der sichtbaren Eingabemaske, einem Anbieter für Kundendaten, einem Spamfilter und einem System für die Benachrichtigung per E-Mail. Diese Bestandteile sollten einzeln betrachtet werden.

Bei einem technischen Check sind deshalb mehrere Zeitpunkte wichtig: Öffnen der Seite, Aktivieren des Formulars und Absenden. Ein externer Dienst kann schon beim Laden eingebunden werden, obwohl noch keine Nachricht abgeschickt wurde.

Welche Informationen braucht der Betrieb wirklich?

Für eine erste Rückfrage genügt möglicherweise eine E-Mail-Adresse. Andere Vorgänge benötigen zusätzliche Informationen. Die Pflichtfelder sollten zum konkreten Zweck passen und intern begründet sein.

Auch der Text neben dem Formular verdient Aufmerksamkeit. Eine Bestätigung, die Datenschutzhinweise gelesen zu haben, ist nicht automatisch eine wirksame Einwilligung in sämtliche Verarbeitungsvorgänge. Newsletter-Werbung und die Bearbeitung einer konkreten Anfrage sind unterschiedliche Zwecke und sollten nicht unbemerkt miteinander verbunden werden.

Alternativen technisch vergleichen

Mögliche Ansätze sind ein Formular auf dem eigenen System, eine anders konfigurierte externe Lösung oder eine alternative Spamabwehr. Welche Variante geeignet ist, hängt von Missbrauchsaufkommen, Wartungsaufwand, Barrierefreiheit und den Anforderungen des Betriebs ab.

Wird eine externe Funktion erst nach einer erforderlichen Einwilligung geladen, muss der vorherige Zustand verständlich bleiben. Ein leeres Feld ohne Erklärung hilft niemandem. Besucher sollten erkennen können, warum die Funktion noch nicht angezeigt wird und wie sie den Betrieb gegebenenfalls anders erreichen.

7. Datenschutzhinweise müssen den tatsächlichen Betrieb beschreiben

Die Datenschutzerklärung sollte nicht nur zur sichtbaren Oberfläche passen. Relevant sind auch die Wege hinter dieser Oberfläche: Wo kommt eine Anfrage an? Wer kann sie bearbeiten? Welche Dienstleister sind beteiligt? Wie werden nicht mehr benötigte Informationen behandelt?

Hier hilft die technische Bestandsaufnahme als Grundlage für die rechtliche Ausarbeitung. Ein Techniker kann dokumentieren, welche Komponenten eingebaut sind und welche Verbindungen bei einem Test entstehen. Der Betrieb ergänzt interne Abläufe. Die rechtlich zuständige Stelle bewertet Grundlagen und Informationspflichten.

Eine häufige Fehlerquelle ist die Trennung dieser drei Ebenen. Die Agentur kennt das Formular, die Geschäftsführung kennt den Bearbeitungsprozess und der Rechtstext beschreibt einen dritten, längst überholten Zustand.

Planen Sie deshalb nach größeren Änderungen einen Abgleich ein. Neue Analysewerkzeuge, andere Hostinganbieter oder eine zusätzliche Terminbuchung können Anlass sein, die Dokumentation und die Hinweise zu aktualisieren. Maßgeblich ist die tatsächliche Änderung, nicht ein beliebiger jährlicher Textaustausch.

8. Umweltwerbung auf Websites: Aussagen konkret prüfen

Begriffe wie „nachhaltig“, „grün“ oder „umweltfreundlich“ können Erwartungen an Produkte und Unternehmen auslösen. Bereits das allgemeine Irreführungsverbot des § 5 UWG ist für geschäftliche Aussagen relevant.

Nach der veröffentlichten Umsetzung der EmpCo-Richtlinie gelten ab dem 27. September 2026 zusätzliche Regeln für umweltbezogene Werbung gegenüber Verbrauchern. Das Umweltbundesamt erläutert die Änderungen. Betroffen sind unter anderem allgemeine Umweltaussagen, Nachhaltigkeitssiegel und bestimmte produktbezogene Klimaversprechen auf Grundlage von Kompensation. Eine bloße Ergänzung im Kleingedruckten löst solche Fragen nicht generell.

Für die technische Vorbereitung empfiehlt sich ein Verzeichnis der Aussagen: genauer Wortlaut, Fundstelle, betroffenes Produkt oder Unternehmen und vorhandene Nachweise. Berücksichtigen Sie auch Bildtexte, PDFs und Seitentitel.

Ein Scanner kann entsprechende Wörter finden. Ob eine Aussage als Umweltwerbung zu verstehen ist, welche Nachweise genügen und ob eine Ausnahme greift, braucht eine inhaltliche und rechtliche Prüfung. Das Wort „nachhaltig“ in einer Beschreibung langfristiger Kundenbeziehungen ist beispielsweise nicht automatisch dieselbe Aussage wie ein Umweltversprechen für eine Verpackung.

Die technische Umsetzung folgt anschließend den freigegebenen Formulierungen. Für spätere Veröffentlichungen und mögliche Sonder- oder Übergangsregelungen ist die dann geltende Gesetzesfassung maßgeblich.

9. Barrierefreiheit: Anwendungsbereich und Bedienbarkeit auseinanderhalten

Nicht jede Unternehmenswebsite fällt automatisch unter dieselben gesetzlichen Anforderungen zur Barrierefreiheit. Das BFSG erfasst bestimmte Produkte und Dienstleistungen. Dazu können Dienstleistungen im elektronischen Geschäftsverkehr gegenüber Verbrauchern gehören. Die Bundesfachstelle Barrierefreiheit erläutert diesen Anwendungsbereich.

Für Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen, enthält § 3 Absatz 3 BFSG eine Ausnahme. Die Definition in § 2 Nummer 17 BFSG umfasst weniger als zehn Beschäftigte sowie die dort genannten Umsatz- oder Bilanzgrenzen. Daraus folgt keine allgemeine Ausnahme für sämtliche Produkte oder andere gesetzliche Verpflichtungen.

Unabhängig davon kann schlechte Bedienbarkeit echte Nutzungshürden schaffen. Ein Formular ohne verständliche Beschriftung ist schwerer auszufüllen. Zu geringer Kontrast erschwert das Lesen. Ein Menü, das nur mit der Maus funktioniert, kann Menschen ausschließen.

Automatische Werkzeuge helfen beim Auffinden bestimmter Auffälligkeiten. Eine vollständige Bewertung benötigen sie ergänzend durch menschliche Prüfung; darauf weist auch die W3C Web Accessibility Initiative hin. Ein bestandener Kurztest ist deshalb kein umfassender Nachweis gesetzlicher Konformität.

10. Was ein Website-Report leisten kann

Ein nützlicher Bericht nennt die geprüfte Adresse, den Zeitpunkt, den Umfang und die Testbedingungen. Er trennt den Befund von seiner möglichen Bedeutung und von der vorgeschlagenen Maßnahme.

Diese Trennung schützt vor voreiligen Schlussfolgerungen. „Nicht gefunden“ kann bedeuten, dass ein Element fehlt. Es kann aber auch außerhalb des geprüften Umfangs liegen oder unter anderen Bedingungen erscheinen.

Eine grüne Markierung sollte daher ebenfalls ihren Umfang erkennen lassen. „In der geprüften Antwort vorhanden“ ist nachvollziehbarer als „Website vollständig rechtskonform“.

11. Von der Feststellung zu einer überprüfbaren Änderung

Bearbeiten Sie die Punkte einzeln und mit klaren Zuständigkeiten. Für jeden Punkt sollten Ausgangsbefund, gewünschte Änderung und Abnahmekriterium feststehen.

Bei einer lokalen Schrifteinbindung könnte das Ziel lauten: Die vereinbarten Seiten verwenden die bereitgestellten Schriftdateien ohne die bisherige externe Schriftquelle. Bei einem Formular kann das Ziel sein, eine freigegebene Ladebedingung umzusetzen und die Funktion anschließend zu testen.

Vor der Änderung werden Sicherung und Rückweg geklärt. Nach der Änderung folgen Funktionsprüfung und Dokumentation. Ein aktualisierter Screenshot allein reicht nicht, wenn das eigentliche Ziel eine veränderte Datenverbindung war.

Für die laufende Pflege empfiehlt sich eine einfache Änderungsregel: Wer eine neue externe Funktion ergänzt, informiert die technische und die für Datenschutz zuständige Person. So bleibt die Bestandsaufnahme nutzbar, statt direkt nach dem ersten Umbau wieder zu veralten.

Häufige Fragen zu gesetzlichen Website-Pflichten und Datenschutz

Ist eine Website ohne Cookie-Banner automatisch rechtswidrig?

Nein. Ob ein Banner erforderlich ist, hängt von den eingesetzten Funktionen und deren rechtlichen Voraussetzungen ab. Eine Website kann ohne einwilligungspflichtige optionale Funktionen auskommen. Die übrigen Informations- und Datenschutzpflichten sind davon getrennt zu betrachten.

Sind Google Fonts grundsätzlich verboten?

Eine solche pauschale Aussage ist nicht sachgerecht. Wichtig sind Einbindungsart und tatsächliche Verarbeitung. Eine lokale Bereitstellung kann die betreffende externe Verbindung vermeiden, beantwortet aber nicht sämtliche rechtlichen Fragen der Website.

Muss jedes Kontaktformular bis zur Einwilligung gesperrt werden?

Nein. Die konkrete Ausgestaltung entscheidet. Für einen eingebundenen Zusatzdienst können andere Voraussetzungen gelten als für die Bearbeitung einer gewöhnlichen Anfrage. Zuerst werden die Verarbeitungsvorgänge erfasst, danach wird die passende Umsetzung festgelegt.

Macht ein gekauftes Datenschutz-Plugin die Website automatisch DSGVO-konform?

Nein. Ein Werkzeug kann Einstellungen verwalten oder Hinweise bereitstellen. Es muss zur tatsächlichen Website passen und richtig konfiguriert sein. Interne Abläufe und rechtliche Bewertungen erledigt die Installation allein nicht.

Bedeutet ein Bericht, dass eine Abmahnung bevorsteht?

Nein. Ein technischer Bericht sagt nicht voraus, ob jemand Ansprüche geltend macht oder ob solche Ansprüche bestehen. Solche Folgen dürfen nicht allein aus einer automatisierten Auffälligkeit abgeleitet werden.

Wer entscheidet über die rechtliche Zulässigkeit?

Die konkrete rechtliche Bewertung gehört in fachkundige Hände. Die Grenze zur Rechtsdienstleistung knüpft nach § 2 RDG an die erforderliche rechtliche Prüfung einer konkreten fremden Angelegenheit an. Ein allgemeiner Hinweis „keine Rechtsberatung“ verändert die tatsächlich erbrachte Tätigkeit nicht.

Quellen und redaktioneller Stand

Stand dieses Beitrags: 24. September 2026. Die Links im Text führen zu Gesetzestexten, Behördeninformationen und technischen Primärquellen. Gesetzliche Anforderungen können sich ändern. Der Beitrag behandelt ausgewählte Website-Themen und ist kein vollständiger Pflichtenkatalog für jede Branche, jedes Geschäftsmodell oder jeden Zielmarkt.