Es kommt selten mit Vorwarnung. Ein Wettbewerber, ein Verband oder ein aufmerksamer Besucher schaut sich Ihre Website an — und plötzlich liegt eine Abmahnung auf dem Tisch: Das Impressum nenne nicht den Vertretungsberechtigten, das Cookie-Banner setze Tracking, bevor jemand zugestimmt hat, die Datenschutzerklärung passe nicht zu dem, was die Seite tatsächlich lädt. Für Sie als Unternehmen ist das ärgerlich und teuer zugleich, denn drei Regelwerke greifen hier ineinander, die viele noch unter ihren alten Namen kennen. Die Impressumspflicht steht seit Mai 2024 im Digitale-Dienste-Gesetz (§ 5 DDG), nicht mehr im TMG. Für Cookies gilt § 25 TDDDG — bis Mai 2024 hieß dieses Gesetz TTDSG. Wer weiß, welche Angabe wohin gehört und wann ein Banner wirklich eine Einwilligung braucht, verhandelt später über Details — nicht über die Frage, ob die Seite überhaupt rechtskonform war.
Ein Schreiben rügt, Ihr Impressum sei unvollständig oder nicht „leicht erkennbar und unmittelbar erreichbar" — etwa weil der Vertretungsberechtigte fehlt oder die Angaben hinter zu vielen Klicks liegen. Für Sie steht die Frage im Raum, ob die Rüge trägt und was ein sauberes Impressum nach § 5 DDG heute enthalten muss. Oft entscheidet sich hier schon, ob die geforderte Unterlassungserklärung in dieser Form überhaupt abzugeben ist.
Jemand wirft Ihnen vor, Ihre Website lade Analyse- oder Marketing-Werkzeuge, bevor der Besucher zugestimmt hat, oder das Banner mache das Ablehnen künstlich schwer. Genau das ist der wunde Punkt: § 25 TDDDG verlangt für nicht technisch erforderliche Cookies eine Einwilligung, die freiwillig und vorher erteilt sein muss. Ob Ihr Banner das leistet, hängt an Technik und Gestaltung — nicht am guten Willen.
Die Erklärung nennt Dienste, die längst nicht mehr laufen — oder verschweigt Werkzeuge, die tatsächlich Daten an Dritte übertragen. Aufsichtsbehörden und Abmahner prüfen genau diesen Abgleich. Für Sie geht es darum, dass Rechtsgrundlage (Art. 6 DSGVO) und Information (Art. 13 DSGVO) zu dem passen, was Ihre Website im Hintergrund wirklich tut.
Die wohl häufigste Fehlerquelle beginnt schon beim falschen Gesetz. Viele Vorlagen, Muster und Ratgeber im Netz verweisen noch auf § 5 TMG — das Telemediengesetz. Das ist überholt: Das TMG wurde abgelöst, und die Impressumspflicht für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste steht seit Mai 2024 in § 5 des Digitale-Dienste-Gesetzes (DDG). An den Inhalten hat sich dabei wenig geändert — an der Fundstelle sehr wohl, und wer im Streit auf die falsche Norm verweist, wirkt schnell schlecht vorbereitet.
§ 5 Abs. 1 DDG verlangt, dass die Pflichtangaben „leicht erkennbar, unmittelbar erreichbar und ständig verfügbar" sind. Dazu gehören insbesondere: der Name und die Anschrift, unter der Sie niedergelassen sind — bei juristischen Personen zusätzlich die Rechtsform und der Vertretungsberechtigte (§ 5 Abs. 1 Nr. 1 DDG); Angaben für eine schnelle elektronische Kontaktaufnahme einschließlich der E-Mail-Adresse (Nr. 2); bei zulassungspflichtigen Tätigkeiten die zuständige Aufsichtsbehörde (Nr. 3); das Register und die Registernummer, in das Sie eingetragen sind (Nr. 4); bei reglementierten Berufen bestimmte berufsrechtliche Angaben (Nr. 5); und, falls vorhanden, die Umsatzsteuer-Identifikationsnummer oder Wirtschafts-Identifikationsnummer (Nr. 6).
Zwei Punkte werden in der Praxis unterschätzt. Erstens die Erreichbarkeit: „Leicht erkennbar und unmittelbar erreichbar" bedeutet, dass das Impressum ohne langes Suchen und ohne viele Zwischenschritte auffindbar sein muss — der übliche, deutlich beschriftete Link im Seitenfußbereich ist der sichere Weg. Zweitens der Vertretungsberechtigte bei Gesellschaften: Eine GmbH, UG oder AG muss ihre gesetzlichen Vertreter benennen; das bloße Firmenschild genügt nicht. Bei journalistisch-redaktionell gestalteten Angeboten kommt zusätzlich die medienrechtliche Pflicht hinzu, einen inhaltlich Verantwortlichen mit Namen und Anschrift zu benennen — ein eigenes Feld, das hier nur der Vollständigkeit halber genannt sei.
Praxis Prüfen Sie Ihr Impressum gegen die aktuelle Norm, nicht gegen eine alte Vorlage. Ersetzen Sie jeden Verweis auf „§ 5 TMG" durch die geltende Grundlage und gehen Sie die Angaben Punkt für Punkt durch — besonders Vertretungsberechtigter, Registernummer und Kontaktadresse. Der teure Fehler ist fast immer derselbe: Ein einmal erstelltes Impressum wird jahrelang nicht mehr angefasst, während sich Firmierung, Vertretung oder Rechtsform längst geändert haben.
Auch beim zweiten großen Thema hat sich der Gesetzesname geändert, ohne dass es viele mitbekommen haben. Die Regeln zum Speichern und Auslesen von Informationen auf dem Endgerät des Besuchers — also Cookies und vergleichbare Techniken — stehen in § 25 TDDDG, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Dieses Gesetz hieß bis Mai 2024 TTDSG; die inhaltliche Regel ist dieselbe geblieben, die Zitierweise nicht.
Der Grundsatz ist streng: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat (§ 25 Abs. 1 TDDDG). Diese Einwilligung muss nach den Maßstäben der DSGVO erfolgen — also insbesondere freiwillig, informiert und durch eine eindeutige bestätigende Handlung. Ein vorangekreuztes Kästchen oder ein bloßes Weitersurfen reicht dafür nicht.
Von der Einwilligung befreit ist nur ein enger Ausnahmebereich. Nach § 25 Abs. 2 TDDDG ist keine Einwilligung nötig, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein Telekommunikationsnetz ist (Nr. 1) oder wenn der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann (Nr. 2). Darunter fallen die klassisch „technisch notwendigen" Cookies — etwa der Warenkorb im Shop oder das Speichern der Cookie-Auswahl selbst. Alles, was der Reichweitenmessung, dem Marketing oder der Einbindung fremder Inhalte dient, fällt nicht darunter und braucht die vorherige Zustimmung.
Praxis Der häufigste, teuerste Bannerfehler: Analyse- oder Marketing-Werkzeuge laden bereits beim Seitenaufruf, während das Banner noch fragt. Damit ist die Zustimmung wertlos, denn der Zugriff auf das Endgerät ist längst passiert. Sorgen Sie dafür, dass nicht technisch erforderliche Dienste erst nach aktiver Zustimmung starten — und dass das Ablehnen genauso einfach ist wie das Annehmen. Ein Banner, das nur einen prominenten „Alle akzeptieren"-Knopf zeigt und die Ablehnung versteckt, gilt als Druckmittel, nicht als freie Wahl.
Wo eine Website personenbezogene Daten verarbeitet — und das tut praktisch jede, sei es über Server-Logs, Kontaktformulare oder eingebundene Dienste —, greift die DSGVO. Zwei Vorschriften bilden das Rückgrat der Datenschutzerklärung. Zunächst braucht jede Verarbeitung eine Rechtsgrundlage: Nach Art. 6 Abs. 1 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn mindestens eine der dort genannten Bedingungen erfüllt ist — insbesondere die Einwilligung der betroffenen Person (Buchstabe a), die Erforderlichkeit zur Erfüllung eines Vertrags (Buchstabe b) oder ein überwiegendes berechtigtes Interesse des Verantwortlichen (Buchstabe f).
Hinzu kommt die Informationspflicht: Werden personenbezogene Daten bei der betroffenen Person erhoben, muss der Verantwortliche sie zum Zeitpunkt der Erhebung über eine ganze Reihe von Punkten informieren (Art. 13 DSGVO) — unter anderem über seinen Namen und seine Kontaktdaten, gegebenenfalls den Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage der Verarbeitung, die Empfänger der Daten, die Speicherdauer und die Rechte der betroffenen Person. Genau das leistet eine ordentliche Datenschutzerklärung.
Der entscheidende Punkt ist der Abgleich mit der Realität: Die Datenschutzerklärung ist nicht das eigentliche Problem, wenn sie ausführlich ist — sondern wenn sie nicht zu dem passt, was die Seite technisch tatsächlich tut. Nennt sie Dienste, die gar nicht mehr laufen, oder verschweigt sie eine Einbindung, die im Hintergrund Daten an einen Dritten überträgt, dann klafft eine Lücke, die Aufsichtsbehörden und Abmahner gezielt suchen. Und die Einwilligung nach § 25 TDDDG greift ineinander mit der DSGVO: Wo Sie für einen Dienst eine Zustimmung einholen, muss die Datenschutzerklärung diesen Dienst auch erklären.
Praxis Behandeln Sie die Datenschutzerklärung nicht als einmaligen Textbaustein, sondern als Spiegel Ihrer Website. Immer wenn ein neues Werkzeug eingebunden oder ein altes entfernt wird — ein Analyse-Tool, eine Karte, ein Videoeinbett, ein Chat —, gehört die Erklärung angepasst und das Cookie-Banner überprüft. Der klassische Fehler ist die eingekaufte Standarderklärung, die nie mit der tatsächlichen Technik der Seite abgeglichen wurde.
Was Website-Recht so unangenehm macht, ist die doppelte Angriffsfläche. Auf der einen Seite droht die wettbewerbsrechtliche Abmahnung: Konkurrenten und bestimmte Verbände können Verstöße gegen marktverhaltensregelnde Vorschriften — und dazu zählen Teile des Website-Rechts — abmahnen und Unterlassung verlangen. Wie eine solche Abmahnung abläuft, welche Fristen laufen und ob eine geforderte Unterlassungserklärung so unterschrieben werden sollte, ist ein eigenes Kapitel; die Grundzüge dazu behandelt der Ratgeber zur wettbewerbsrechtlichen Abmahnung.
Auf der anderen Seite stehen die datenschutzrechtlichen Bußgelder der Aufsichtsbehörden. Die DSGVO gibt dafür einen erheblichen Rahmen vor: Bei Verstößen gegen bestimmte Pflichten der Verantwortlichen sind Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs möglich, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Bei Verstößen gegen die grundlegenden Verarbeitungsgrundsätze und die Betroffenenrechte verdoppelt sich der Rahmen auf bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Das sind Höchstrahmen, keine Regelbeträge — aber sie zeigen, dass hier nicht mit symbolischen Summen gearbeitet wird.
Für Sie als Unternehmen heißt das: Ein Website-Fehler ist selten „nur" das eine oder das andere. Eine fehlende Einwilligung kann zugleich einen abmahnbaren Wettbewerbsverstoß und einen datenschutzrechtlichen Verstoß darstellen. Und wer als Betreiber fremde Inhalte einbindet oder Dienstleister einsetzt, die selbst Daten verarbeiten, sollte die vertragliche Seite dieser Zusammenarbeit im Blick behalten — welche AGB und Auftragsbedingungen dabei tragen, ist eine Frage für sich; die Grundlinien liefert der Ratgeber zu AGB im B2B-Verkehr.
Praxis Reagieren Sie auf eine Abmahnung oder eine Behördenanfrage nicht mit Schweigen und nicht mit reflexhaftem Unterschreiben. Beides ist gefährlich: Wer die Frist verstreichen lässt, riskiert eine einstweilige Verfügung; wer eine zu weit gefasste Unterlassungserklärung abgibt, bindet sich mit hohen Vertragsstrafen für jeden künftigen Verstoß. Lassen Sie zuerst prüfen, ob die Rüge überhaupt trägt — oft ist eine modifizierte oder gar keine Erklärung der richtige Weg.
Ersetzen Sie jeden Verweis auf § 5 TMG und prüfen Sie die Pflichtangaben nach § 5 DDG Punkt für Punkt: Name und Anschrift, bei Gesellschaften Rechtsform und Vertretungsberechtigter, E-Mail-Adresse, Register und Registernummer, gegebenenfalls Aufsichtsbehörde und Umsatzsteuer-Identifikationsnummer. Stellen Sie sicher, dass das Impressum von jeder Seite mit einem Klick erreichbar ist.
Lassen Sie technisch feststellen, welche Cookies und Dienste beim Seitenaufruf starten, bevor der Besucher zugestimmt hat. Alles, was nicht technisch unbedingt erforderlich ist (§ 25 Abs. 2 TDDDG), darf erst nach aktiver Einwilligung laden. Der häufigste Verstoß liegt genau hier — im vorschnellen Start von Analyse- und Marketing-Werkzeugen.
Die Einwilligung nach § 25 Abs. 1 TDDDG muss freiwillig und informiert sein. Das Ablehnen muss so einfach sein wie das Annehmen; Analyse und Marketing dürfen erst nach dem Klick starten. Ein Banner, das nur „Alle akzeptieren" anbietet oder das Ablehnen erschwert, erfüllt die Anforderungen nicht.
Gleichen Sie die Erklärung mit den tatsächlich eingesetzten Diensten ab: Für jede Verarbeitung die richtige Rechtsgrundlage (Art. 6 DSGVO) und die vollständige Information (Art. 13 DSGVO). Entfernte Dienste streichen, neue ergänzen. Die Erklärung ist ein Spiegel der Seite, kein einmaliger Textbaustein.
Weder Frist verstreichen lassen noch vorschnell unterschreiben. Lassen Sie prüfen, ob die Rüge trägt und ob eine geforderte Unterlassungserklärung in dieser Fassung — mit ihren Vertragsstrafen — überhaupt abzugeben ist. Häufig ist eine modifizierte Erklärung oder eine sachliche Zurückweisung der bessere Weg als das reflexhafte Nachgeben.
Der wichtigste Schritt — Impressum, Cookie-Banner und Datenschutzerklärung einmal sauber gegen die geltenden Normen abgleichen — kostet vor allem Sorgfalt und einen prüfenden Blick auf die Technik der Seite, kein Vermögen. Anders sieht es aus, wenn bereits eine Abmahnung oder eine Behördenanfrage im Raum steht: Dann hängt der Aufwand daran, wie berechtigt die Rüge ist, wie weit die geforderte Unterlassungserklärung reicht und ob es um eine wettbewerbsrechtliche oder eine datenschutzrechtliche Front geht — oder um beide zugleich. Häufig lässt sich mit einer klaren, fristgerechten Reaktion mehr erreichen als mit langem Zuwarten, weil die Gegenseite erkennt, dass die Punkte geprüft sind.
Feste Paketpreise nennen wir bewusst nicht: Was angemessen ist, lässt sich seriös erst sagen, wenn wir wissen, ob es um eine vorbeugende Prüfung Ihrer Website geht oder um die Abwehr einer konkreten Abmahnung — und wie umfangreich die eingesetzte Technik ist. Sie erfahren die Größenordnung, sobald wir Ihren Fall kennen, samt einer ehrlichen Einschätzung, welcher Aufwand sich lohnt und welcher nicht. Die gesetzlichen Bußgeldrahmen der DSGVO (Art. 83 DSGVO) zeigen im Übrigen, dass sich eine saubere Aufstellung im Vergleich zum möglichen Schaden schnell rechnet.
Nein. Das Telemediengesetz wurde abgelöst; die Impressumspflicht für geschäftsmäßige digitale Dienste steht seit Mai 2024 in § 5 DDG (Digitale-Dienste-Gesetz). Inhaltlich verlangt § 5 DDG dieselben Kernangaben wie zuvor — Name und Anschrift, bei Gesellschaften Rechtsform und Vertretungsberechtigter, elektronische Kontaktmöglichkeit, Register und Registernummer, gegebenenfalls Aufsichtsbehörde und Umsatzsteuer-Identifikationsnummer. Wer noch auf „§ 5 TMG" verweist, zitiert eine überholte Norm.
Nein, nur für nicht technisch erforderliche. Nach § 25 Abs. 1 TDDDG ist der Zugriff auf das Endgerät grundsätzlich einwilligungspflichtig. § 25 Abs. 2 TDDDG nimmt aber Fälle aus, in denen der Zugriff allein der Nachrichtenübertragung dient oder unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert — etwa der Warenkorb oder das Speichern der Cookie-Auswahl. Analyse, Marketing und die Einbindung fremder Inhalte brauchen dagegen eine vorherige, freiwillige Einwilligung.
TDDDG. Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) wurde im Mai 2024 in Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) umbenannt. Die einschlägige Cookie-Vorschrift ist weiterhin § 25 — nur eben § 25 TDDDG, nicht mehr § 25 TTDSG. Die inhaltliche Regel zur Einwilligung ist dabei gleich geblieben.
Dann ist die Einwilligung wertlos, denn der Zugriff auf das Endgerät ist bereits erfolgt, bevor der Besucher zustimmen konnte. § 25 Abs. 1 TDDDG verlangt die Einwilligung vor dem Speichern oder Auslesen. Ein Banner, das Analyse- oder Marketing-Werkzeuge schon beim Seitenaufruf startet, erfüllt die Anforderungen nicht — und öffnet damit sowohl der wettbewerbsrechtlichen Abmahnung als auch dem datenschutzrechtlichen Vorwurf die Tür.
Die DSGVO gibt erhebliche Höchstrahmen vor. Bei Verstößen gegen bestimmte Pflichten der Verantwortlichen sind Geldbußen bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes möglich (Art. 83 Abs. 4 DSGVO); bei Verstößen gegen die grundlegenden Verarbeitungsgrundsätze und Betroffenenrechte bis zu 20 Millionen Euro oder bis zu 4 Prozent (Art. 83 Abs. 5 DSGVO) — je nachdem, welcher Betrag höher ist. Das sind Höchstwerte, keine Regelbeträge; die konkrete Höhe hängt von vielen Umständen des Einzelfalls ab.
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn eine Abmahnung mit kurzer Frist vorliegt oder eine Aufsichtsbehörde angeschrieben hat, zählt jeder Tag — schildern Sie den Fall lieber früher als später.
„Der teuerste Irrtum im Website-Recht ist, mit einer alten Vorlage zu arbeiten, die noch § 5 TMG und das TTDSG nennt. Impressum und Cookies stehen heute in § 5 DDG und § 25 TDDDG — und der häufigste Fehler ist ein Banner, das Tracking lädt, bevor jemand zugestimmt hat. Wer beides einmal sauber gegen die Technik der eigenen Seite abgleicht, nimmt Abmahnern und Behörden die Angriffsfläche", sagt Rechtsanwalt Sebastian Müller.
Hinweis: Das frühere § 5 TMG und die alte Bezeichnung § 25 TTDSG sind überholt — maßgeblich sind heute § 5 DDG und § 25 TDDDG. Die Angaben ersetzen keine Prüfung Ihres konkreten Internetauftritts.
Schildern Sie kurz, worum es geht — eine vorbeugende Prüfung Ihrer Website oder die Abwehr einer konkreten Abmahnung. Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern