Impressum, Datenschutz, Cookie-Banner: Was ist wirklich Pflicht?

Die kurze Antwort

Jede geschäftliche Website in Deutschland braucht zwei Dinge: ein Impressum und eine Datenschutzerklärung. Ein Cookie-Banner, das um Einwilligung bittet, brauchen Sie dagegen nur, wenn Ihre Seite etwas auf dem Gerät der Besucher speichert oder ausliest, das für den Betrieb nicht unbedingt nötig ist — typisch sind Statistik-Tools, Werbe-Pixel, eingebettete Videos oder Karten. Eine schlanke Website ohne solche Dienste kommt oft ohne Einwilligungsbanner aus.

Das Impressum: Wer steht hinter der Seite?

Die Impressumspflicht steht seit Mai 2024 in § 5 Digitale-Dienste-Gesetz (DDG), vorher im Telemediengesetz. Inhaltlich hat sich dadurch kaum etwas geändert — wer noch „§ 5 TMG" im Impressum stehen hat, sollte die Angabe aber aktualisieren. Für die meisten Betriebe gehören hinein:

• Name und ladungsfähige Anschrift — kein Postfach. Bei GmbH, UG & Co. zusätzlich Rechtsform und vertretungsberechtigte Person.
• Schnelle Kontaktmöglichkeit, in der Praxis E-Mail-Adresse plus Telefon oder Kontaktformular.
• Registereintrag mit Gericht und Nummer, falls vorhanden (Handels-, Vereins-, Partnerschaftsregister).
• Umsatzsteuer-Identifikationsnummer, falls Sie eine haben. Die normale Steuernummer gehört nicht hinein.
• Berufsangaben bei reglementierten Berufen — etwa in der Arztpraxis oder Kanzlei: Kammer, gesetzliche Berufsbezeichnung und die geltenden Berufsregeln. Im Handwerk lohnt eine kurze Nachfrage bei der eigenen Kammer; viele bieten dafür Merkblätter an.

Das Impressum muss leicht erkennbar und von jeder Seite aus erreichbar sein. Üblich und sicher ist ein Link „Impressum" im Fußbereich jeder Seite — versteckt unter „Über uns" oder nur als Bild ist es angreifbar.

Die Falle, die viele noch haben: der OS-Plattform-Link

Jahrelang mussten Online-Händler und viele Dienstleister auf die Streitbeilegungsplattform der EU verlinken. Diese Plattform wurde am 20. Juli 2025 abgeschaltet, die Pflicht ist entfallen. Ein Hinweis auf eine Plattform, die es nicht mehr gibt, kann seither selbst als irreführend abgemahnt werden. Wenn in Ihrem Impressum noch „Plattform der EU-Kommission zur Online-Streitbeilegung" steht: entfernen.

Nicht verwechseln: Die Hinweispflicht nach § 36 Verbraucherstreitbeilegungsgesetz gilt weiter. Wer an Verbraucher verkauft und am 31. Dezember des Vorjahres mehr als zehn Personen beschäftigt hat, muss angeben, ob er an Verfahren vor einer Verbraucherschlichtungsstelle teilnimmt. Kleinere Betriebe sind davon ausgenommen.

Die Datenschutzerklärung: Was mit Daten passiert

Auch die einfachste Website verarbeitet personenbezogene Daten: Beim Aufruf landet die IP-Adresse der Besucher in den Protokollen des Servers. Spätestens mit einem Kontaktformular kommen Name und E-Mail dazu. Deshalb braucht praktisch jede Firmenwebsite eine Datenschutzerklärung nach Art. 13 DSGVO. Sie beantwortet im Kern sechs Fragen:

1. Wer ist verantwortlich und wie erreicht man Sie?
2. Welche Daten werden zu welchem Zweck verarbeitet?
3. Auf welcher Rechtsgrundlage?
4. An wen gehen Daten — Hoster, Formular-, Buchungs- oder Kartendienst?
5. Wie lange werden sie gespeichert?
6. Welche Rechte haben Betroffene, inklusive Beschwerde bei der Aufsichtsbehörde?

Der häufigste Fehler ist nicht ein fehlender Absatz, sondern eine Erklärung, die nicht zur Website passt: ein kopierter Text, der Dienste nennt, die gar nicht laufen — oder, schlimmer, Dienste verschweigt, die laufen. Die Erklärung beschreibt Ihre Seite, nicht irgendeine.

Cookie-Banner: Wann Sie eins brauchen — und wann nicht

Maßgeblich ist § 25 TDDDG. Wer Informationen auf dem Gerät der Besucher speichert oder ausliest, braucht dafür eine Einwilligung — es sei denn, das ist unbedingt erforderlich, um den Dienst bereitzustellen, den der Besucher ausdrücklich nutzen will. Das Login, der Warenkorb oder die gespeicherte Spracheinstellung fallen unter diese Ausnahme. Statistik zur Reichweitenmessung, Werbe-Tracking und die meisten eingebetteten Fremdinhalte in der Regel nicht.

Wenn eine Einwilligung nötig ist, muss sie echt sein: vorher eingeholt, freiwillig, mit einer gleichwertigen Möglichkeit abzulehnen. Ein bereits angekreuztes Kästchen zählt nicht — das hat der Bundesgerichtshof schon 2020 entschieden (Az. I ZR 7/16). Ein Banner, das nur „OK" anbietet, während im Hintergrund längst Tracking läuft, ist die schlechteste Kombination: Es nervt die Besucher und schützt Sie trotzdem nicht.

Eine unterschätzte Quelle sind extern geladene Inhalte wie Schriften, Karten oder Videos, weil schon beim Laden die IP-Adresse an den fremden Anbieter geht. Das Landgericht München I hat 2022 einem Besucher 100 € Schadensersatz zugesprochen, weil eine Website Google-Schriften ohne Einwilligung von Googles Servern nachlud (Az. 3 O 17493/20). Die daraus entstandene Abmahnwelle ist abgeebbt, das Prinzip gilt: Was sich lokal ausliefern lässt, sollte lokal ausgeliefert werden. Für Karten und Videos ist eine Zwei-Klick-Lösung üblich — der Inhalt lädt erst, wenn jemand ihn aktiv anklickt.

Woher die Texte kommen

Für Impressum und Datenschutzerklärung gibt es drei realistische Wege: kostenlose Generatoren, kostenpflichtige Rechtstext-Dienste mit Aktualisierungsservice, oder eine Anwältin bzw. ein Anwalt. Generatoren reichen für einfache Seiten oft aus, wenn man die Fragen ehrlich beantwortet. Bei Online-Shop, Buchungssystem oder Terminvergabe mit Gesundheitsdaten lohnt sich professionelle Hilfe. Wichtig bei jeder Variante: Wenn sich die Website ändert, muss der Text mitwachsen.

Wie es bei uns geregelt ist

Wir binden Ihr Impressum, Ihre Datenschutzerklärung und gegebenenfalls AGB und Widerrufsbelehrung technisch ein — also an der richtigen Stelle, von jeder Seite aus erreichbar. Eine inhaltliche Rechtsprüfung schulden wir dabei ausdrücklich nicht und dürfen sie als Webdienstleister auch nicht erbringen; für die Richtigkeit der Texte sind Sie verantwortlich. So steht es in unseren AGB (§ 4 Abs. 3). Das klingt weniger bequem als „Rechtstexte inklusive", ist aber ehrlich: Ein Anbieter, der Ihnen ohne Anwaltszulassung rechtssichere Texte verspricht, verspricht etwas, das er nicht halten kann.

Was wir liefern können, sind die Fakten für Ihre Erklärung: welche Dienste auf Ihrer Seite laufen, wo gehostet wird und welche Daten ein Formular erhebt. Verarbeiten wir dabei Daten in Ihrem Auftrag — etwa aus Kontaktformularen oder Buchungen —, schließen wir dafür einen Vertrag zur Auftragsverarbeitung (§ 15 Abs. 2 AGB).

Fünf Fragen an jeden Website-Anbieter

1. Welche Fremddienste lädt meine Seite? Schriften, Karten, Videos, Statistik — die Liste ist die Grundlage für Datenschutzerklärung und Banner.
2. Werden Schriften lokal ausgeliefert? Kostet nichts und vermeidet die bekannteste Abmahnfalle.
3. Brauche ich überhaupt ein Einwilligungsbanner? Wenn ja: Gibt es „Ablehnen" genauso prominent wie „Zustimmen"?
4. Wo wird gehostet? Ein Server in der EU vereinfacht die Datenschutzerklärung erheblich.
5. Wer passt die Texte an, wenn sich etwas ändert? Neues Formular, neuer Dienst, neue Adresse — und wie schnell?

Fazit

Impressum und Datenschutzerklärung sind Pflicht, ein Cookie-Banner nur bei Bedarf — und der beste Schutz vor Abmahnungen ist eine Website, die von vornherein wenig Fremdes nachlädt. Prüfen Sie heute Ihr Impressum auf den alten OS-Plattform-Hinweis und „§ 5 TMG", und halten Sie die Datenschutzerklärung im Gleichschritt mit der Seite. Wer sonst noch wissen will, welche Pflichten auf ihn zukommen, findet im Ratgeber zur Barrierefreiheit nach BFSG die nächste häufige Frage — und im Handwerk wie in der Gastronomie Beispiele, wie schlanke Betriebsseiten aussehen.