Vorschau sichern

Ratgeber

Webseite rechtssicher machen: DSGVO-Checkliste 2026 für Betriebe.

Impressum nach § 5 DDG, Cookie-Banner nach § 25 TDDDG, Schriften, Hoster, Einbettungen: die 12 Punkte, die eine Firmen-Webseite 2026 abmahnsicher machen. Verständlich erklärt, mit Paragraf.

Laptop mit geöffneter Firmen-Webseite, daneben Ausdruck einer Datenschutz-Checkliste

Eine Webseite ist rechtssicher, wenn drei Dinge stimmen: Das Impressum enthält alle Pflichtangaben nach § 5 DDG, die Datenschutzerklärung beschreibt, was auf der Seite wirklich passiert, und die Technik lädt ohne Einwilligung keine Daten zu Dritten. Klingt überschaubar. In der Praxis scheitern die meisten Seiten an Details, die vor zwei Jahren noch richtig waren: ein Link zur EU-Streitschlichtung, der ins Leere führt, Google Fonts vom Google-Server, ein Cookie-Banner, das gar nichts blockiert. Die Checkliste unten ist der Stand September 2026.

Wichtig: Dieser Artikel ist keine Rechtsberatung. Wir sind Webdesigner und beschreiben, was wir bei jeder Seite prüfen. Stand ist September 2026, Gesetze und Rechtsprechung ändern sich. Bei Unsicherheit, bei Onlineshops und bei reglementierten Berufen lass Impressum und Datenschutzerklärung von einem Anwalt prüfen.

Die 12-Punkte-Checkliste für deine Webseite

  1. Impressum nach § 5 DDG. Name, Anschrift, E-Mail plus ein zweiter schneller Kontaktweg (Telefon oder Formular), Handelsregister und Nummer bei eingetragenen Firmen, Umsatzsteuer-Identifikationsnummer falls vorhanden. Reglementierte Berufe (Ärzte, Steuerberater, Handwerksmeister im zulassungspflichtigen Handwerk) nennen zusätzlich Kammer, Berufsbezeichnung und das Land, in dem sie verliehen wurde. Das Telemediengesetz gibt es seit dem 14. Mai 2024 nicht mehr, "gemäß § 5 TMG" ist veraltet.
  2. Datenschutzerklärung. Sie beschreibt jede Stelle, an der Daten anfallen: Server-Logfiles, Kontaktformular, eingebettete Dienste, Newsletter. Ein Generator liefert das Gerüst, prüfen musst du trotzdem, ob er jeden Dienst kennt, der auf der Seite läuft.
  3. Hoster in der EU und AV-Vertrag. Der Hoster verarbeitet Besucherdaten in deinem Auftrag (Art. 28 DSGVO). Dafür braucht es einen Vertrag zur Auftragsverarbeitung. Ohne diesen Vertrag bist du derjenige, der haftet.
  4. Schriften selbst hosten. Google Fonts, Adobe Fonts und ähnliche Dienste nur vom eigenen Server laden. Das Landgericht München I hat für dynamisch geladene Google Fonts Schadensersatz zugesprochen (Az. 3 O 17493/20).
  5. Cookie-Banner nur, wenn nötig. § 25 TDDDG verlangt eine Einwilligung für alles, was nicht technisch notwendig ist: Analytics, Meta-Pixel, Marketing-Cookies. Eine Seite ohne Tracking braucht keinen Banner. Wenn du trackst, muss der Banner den Dienst wirklich blockieren, bis der Besucher zustimmt, und "Ablehnen" muss so leicht erreichbar sein wie "Akzeptieren".
  6. Kontaktformular verschlüsselt und mit Hinweis. Die Seite läuft über HTTPS (TLS), direkt am Formular steht ein kurzer Datenschutzhinweis mit Link zur Datenschutzerklärung.
  7. Social-Media-Icons als Links, nicht als Embeds. Ein Instagram-Feed oder Facebook-Like-Button auf der Seite lädt Daten an Meta, bevor der Besucher irgendetwas anklickt. Ein Icon mit Link zum Profil reicht und ist unproblematisch.
  8. Google Maps und YouTube nur mit Einwilligung. Entweder Zwei-Klick-Lösung (Vorschaubild, Karte lädt erst nach Klick) oder über den Cookie-Banner steuern. Alternative für Anfahrt: statisches Kartenbild mit Link zu Google Maps.
  9. OS-Plattform-Link raus, VSBG-Satz rein. Die EU-Streitschlichtungsplattform ist seit dem 20. Juli 2025 abgeschaltet. Der alte Pflichtlink ist damit abmahnbar. Der Hinweis nach § 36 VSBG, ob du an einer Verbraucherschlichtung teilnimmst, bleibt Pflicht.
  10. Verantwortlicher bei Blog oder News. Sobald du redaktionelle Inhalte veröffentlichst, verlangt § 18 Abs. 2 MStV eine verantwortliche Person mit Name und Anschrift im Impressum.
  11. BFSG prüfen. Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 für Onlineshops und Dienstleistungen an Verbraucher. Kleinstunternehmen unter 10 Mitarbeitern und 2 Millionen Euro Umsatz sind bei Dienstleistungen ausgenommen. Wer online verkauft oder bucht, prüft das mit Anwalt.
  12. Bilder und Lizenzen. Für jedes Foto, jede Grafik und jedes Icon muss klar sein, woher es kommt und ob die Lizenz die Nutzung auf einer Firmen-Webseite erlaubt. Erkennbare Personen auf Fotos brauchen eine Einwilligung.

Impressum Pflichtangaben 2026: die drei Stellen, an denen es hakt

Die meisten Impressen sind zu 90 Prozent richtig. Abgemahnt wird für die restlichen 10. Erstens die Rechtsgrundlage: Wer noch "§ 5 TMG" schreibt, zitiert ein Gesetz, das seit Mai 2024 aufgehoben ist. Die Angaben selbst haben sich kaum geändert, die Fundstelle heißt jetzt § 5 DDG, die Haftungsregeln stehen in §§ 7 bis 10 DDG. Zweitens die Kontaktwege: E-Mail allein reicht nicht, es braucht einen zweiten Weg für schnelle Kontaktaufnahme. Drittens der Beruf: Ein Elektromeister, ein Physiotherapeut oder eine Steuerberaterin muss Kammer und gesetzliche Berufsbezeichnung nennen. Unser Gründer Luca ist selbst Elektromeister. Aus Gesprächen mit Handwerkern wissen wir: Dieser Punkt ist vielen schlicht unbekannt.

Cookie-Banner Pflicht: wann ja, wann nein

Die Frage, ob eine Webseite einen Cookie-Banner braucht, hängt an einem einzigen Punkt: Lädt sie Dienste, die für den Betrieb nicht notwendig sind? Google Analytics, Meta-Pixel, eingebettete YouTube-Videos, Hotjar. Wenn ja, verlangt § 25 TDDDG eine Einwilligung, bevor der Dienst startet. Wenn nein, ist der Banner überflüssig, und ein Banner ohne Funktion ist eher ein Warnsignal als ein Schutz.

Unsere Haltung dazu ist klar. Ein Handwerksbetrieb, eine Praxis oder ein Friseursalon braucht auf der Webseite kein Tracking, um Kunden zu gewinnen. Anrufe und Formularanfragen zählt man auch ohne Google Analytics. Deshalb bauen wir Seiten ohne Tracking-Cookies, und der Banner entfällt. Wer Meta Ads schaltet und den Pixel braucht, bekommt einen Banner, der den Pixel bis zur Zustimmung wirklich blockiert.

Warum Schriften und Einbettungen so oft übersehen werden

Weil man sie nicht sieht. Eine Schrift, die von fonts.googleapis.com geladen wird, sieht exakt so aus wie dieselbe Schrift vom eigenen Server. Der Unterschied passiert im Hintergrund: Bei jedem Seitenaufruf wandert die IP-Adresse des Besuchers zu Google. Dasselbe gilt für Karten, Videos und Social-Feeds. Prüfen kannst du das selbst: Entwicklertools im Browser öffnen (F12), Reiter "Netzwerk", Seite neu laden und schauen, welche fremden Domains auftauchen, bevor du irgendetwas angeklickt hast. Jede fremde Domain in dieser Liste braucht eine Begründung in der Datenschutzerklärung oder eine Einwilligung.

Häufige Abmahn-Fallen

  • Link zur abgeschalteten OS-Plattform im Impressum oder in den AGB
  • Google Fonts, die direkt von Google geladen werden
  • Cookie-Banner, der Analytics und Pixel schon vor dem Klick lädt
  • "§ 5 TMG" als Rechtsgrundlage im Impressum
  • Fehlende Kammer und Berufsbezeichnung bei reglementierten Berufen
  • Kontaktformular ohne HTTPS oder ohne Datenschutzhinweis
  • Eingebettete Google Maps, YouTube-Videos oder Instagram-Feeds ohne Einwilligung
  • Kein AV-Vertrag mit dem Hoster, Hosting außerhalb der EU
  • Stockfotos ohne nachweisbare Lizenz, Fotos von Mitarbeitern ohne Einwilligung
  • Datenschutzerklärung aus dem Generator, in der Dienste fehlen, die auf der Seite laufen

So läuft das bei einer Strivera-Webseite

Alle 12 Punkte sind bei uns Teil jeder Seite, ohne Aufpreis. Impressum, Datenschutzerklärung und der Vertrag zur Auftragsverarbeitung (unsere AVV) liegen beim Go-Live vor. Gehostet wird in Deutschland bei Mittwald, ISO 27001 zertifiziert, ohne Drittlandtransfer. Schriften kommen vom eigenen Server, Social-Icons sind Links, Karten laden erst nach Klick. Tracking-Cookies gibt es standardmäßig keine, damit entfällt der Banner. Was wir dagegen nicht liefern: eine anwaltliche Prüfung. Wer einen Onlineshop betreibt oder in einem reglementierten Beruf arbeitet, lässt die Rechtstexte zusätzlich prüfen. Das sagen wir jedem Kunden vor dem Start.

Auch nach dem Go-Live bleibt das Thema: Gesetze ändern sich, wie der OS-Link 2025 gezeigt hat. In der Betreuung aktualisieren wir Rechtstexte und Technik laufend. Worauf du bei der Auswahl eines Anbieters sonst achten solltest, steht in der Checkliste zum Beauftragen eines Webdesigners. Und wenn du überlegst, die Seite selbst mit einem Baukasten zu bauen: Wie Baukästen mit Schriften, Cookies und Hosting umgehen, vergleichen wir in Baukasten oder Agentur. Ein Beispiel aus der Praxis ist die Seite einer Ferienwohnung: Direktbuchung, Kontaktformular, Karte zur Anfahrt, und trotzdem ohne Cookie-Banner.

Häufige Fragen zur rechtssicheren Webseite

Nur wenn deine Seite Cookies oder Tracking einsetzt, die für den Betrieb der Seite nicht notwendig sind, etwa Google Analytics oder den Meta-Pixel. Dann verlangt § 25 TDDDG eine Einwilligung, bevor irgendetwas geladen wird. Eine Seite ohne Tracking kommt ohne Banner aus. Das ist bei den meisten Handwerker- und Dienstleister-Seiten der bessere Weg.

Die Pflichtangaben stehen seit dem 14. Mai 2024 in § 5 DDG: Name und Anschrift, eine E-Mail-Adresse und ein weiterer schneller Kontaktweg, bei eingetragenen Firmen Register und Registernummer, die Umsatzsteuer-Identifikationsnummer, wenn vorhanden. Reglementierte Berufe wie Ärzte, Steuerberater oder Handwerksmeister nennen zusätzlich Kammer und Berufsbezeichnung. Bei redaktionellen Inhalten kommt die verantwortliche Person nach § 18 Abs. 2 MStV dazu.

Umgekehrt: Die OS-Plattform der EU ist seit dem 20. Juli 2025 abgeschaltet. Ein Impressum, das immer noch darauf verlinkt, führt Besucher ins Leere und ist inzwischen selbst ein Abmahngrund. Der Satz nach § 36 VSBG, ob du an einer Verbraucherschlichtung teilnimmst, bleibt dagegen stehen.

Wenn die Schriften von den Google-Servern geladen werden, geht bei jedem Seitenaufruf die IP-Adresse des Besuchers in die USA. Das Landgericht München I hat das 2022 (Az. 3 O 17493/20) als Verstoß gewertet und Schadensersatz zugesprochen. Die Lösung ist simpel: Schriftdateien auf dem eigenen Server ablegen. Optisch ändert sich nichts.

Ja. Dein Hoster speichert die Daten deiner Besucher und ist damit Auftragsverarbeiter nach Art. 28 DSGVO. Dafür verlangt die DSGVO einen schriftlichen Vertrag zur Auftragsverarbeitung. Seriöse deutsche Hoster stellen ihn im Kundenbereich bereit, oft mit zwei Klicks. Fehlt der Vertrag, haftest du als Betreiber.

Das BFSG gilt seit dem 28. Juni 2025 für Onlineshops und Dienstleistungen, die sich an Verbraucher richten. Kleinstunternehmen mit weniger als 10 Mitarbeitern und unter 2 Millionen Euro Umsatz sind bei Dienstleistungen ausgenommen. Eine reine Visitenkarten-Seite ohne Buchung oder Verkauf fällt meist nicht darunter. Barrierefrei bauen lohnt sich trotzdem, weil Google und Screenreader dieselbe saubere Struktur brauchen.

Du willst eine Webseite, bei der das alles schon drin ist?

Wir bauen dir eine kostenlose Vorschau deiner neuen Webseite in 2 Tagen. Bezahlt wird nur, wenn sie dir gefällt.

Kostenlose Vorschau sichern

Mehr im Ratgeber · Webdesign in der Region: Bad Saulgau · Sigmaringen · Ravensburg · Biberach · Ulm · Friedrichshafen · Reutlingen · Konstanz · Memmingen