Website-Pflichten 2026: Impressum, Datenschutz, Cookies und Barrierefreiheit

Vier Pflichten betreffen praktisch jede Website, mit der Geld verdient wird. Sie sind alle erfüllbar, und keine davon ist teuer, wenn sie beim Bau mitgedacht wird. Teuer wird das Nachrüsten.

Wichtig vorweg: Ich baue Websites, ich bin kein Anwalt. Was hier steht, ist der Stand, mit dem ich arbeite, mit Quellen zum Nachlesen. Für die Prüfung deines Einzelfalls ist eine Kanzlei zuständig, und das ist gut investiertes Geld, wenn du in einem regulierten Feld arbeitest.

Pflicht 1: Impressum

Grundlage ist Paragraf 5 des Digitale-Dienste-Gesetzes, das im Mai 2024 das Telemediengesetz abgelöst hat. Die Anforderung ist unverändert: wer geschäftsmäßig ein Onlineangebot betreibt, muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar bestimmte Angaben machen.

Das gehört hinein:

• Name und ladungsfähige Anschrift, bei Gesellschaften die Rechtsform und die Vertretungsberechtigten
• Ein zweiter Kontaktweg neben der E-Mail, in der Praxis die Telefonnummer
• Register und Registernummer, falls vorhanden
• Umsatzsteuer-Identifikationsnummer, falls vorhanden. Als Kleinunternehmer nach Paragraf 19 UStG hast du meist keine, dann entfällt die Angabe
• Bei erlaubnispflichtigen Berufen die zuständige Aufsichtsbehörde, die Berufsbezeichnung und die berufsrechtlichen Regelungen. Das betrifft unter anderem Heilberufe, Handwerk mit Meisterpflicht, Finanz- und Versicherungsvermittlung

Zwei Dinge werden regelmäßig übersehen. Erstens: Die Pflicht gilt auch für dein Instagram-Profil, dein Google-Unternehmensprofil und gewerbliche Kleinanzeigen. Zweitens: "Leicht erkennbar" heißt, dass der Link von jeder Seite aus erreichbar ist, üblicherweise im Fuß, und dass er Impressum heißt und nicht Legal oder Über uns.

Pflicht 2: Datenschutzerklärung

Sie muss beschreiben, was deine Seite wirklich tut. Eine Erklärung, die von einer fremden Seite übernommen wurde, ist fast immer falsch, weil dort andere Werkzeuge laufen.

Was in der Praxis geprüft wird:

• Verantwortlicher mit Kontaktdaten, gegebenenfalls Datenschutzbeauftragter
• Hosting, mit Angabe des Anbieters
• Kontaktformular und die Daten, die es erhebt, mit Rechtsgrundlage und Löschfrist
• Jedes eingesetzte Fremdwerkzeug einzeln: Statistik, Kartendienst, Schriftarten, Buchungssystem, CRM, Newsletter
• Rechte der Betroffenen, also Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde

Ein Generator einer seriösen Kanzlei ist für kleine Seiten ein vertretbarer Weg, solange du hinterher jede Passage durchgehst und streichst, was du nicht einsetzt. Eine Datenschutzerklärung, die Google Analytics nennt, obwohl du es nicht nutzt, ist genauso falsch wie eine, die dein CRM verschweigt.

Praktischer Nebeneffekt: Wer beim Bau jedes eingesetzte Werkzeug in eine Liste schreibt, hat die Grundlage für die Erklärung fertig. Ich mache das grundsätzlich so und übergebe die Liste mit.

Pflicht 3: Einwilligung für nicht notwendige Werkzeuge

Die Grundlage steht in Paragraf 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG, das 2024 aus dem TTDSG hervorgegangen ist. Vereinfacht: sobald etwas auf dem Gerät des Besuchers gespeichert oder von dort ausgelesen wird und das nicht technisch notwendig ist, brauchst du vorher eine Einwilligung.

Regeln, an denen Banner regelmäßig scheitern. Sie stehen so nicht im Gesetzestext, sondern folgen aus dem Freiwilligkeitsgebot der DSGVO und der Orientierungshilfe der Datenschutzkonferenz für Anbieter digitaler Dienste:

• Ablehnen muss auf der ersten Ebene stehen und genauso leicht sein wie Zustimmen
• Keine vorausgewählten Häkchen
• Der Widerruf muss so einfach möglich sein wie die Einwilligung, also ein dauerhaft erreichbarer Punkt auf der Seite
• Ohne Einwilligung darf das Werkzeug nicht laden, auch nicht still im Hintergrund

Der unterschätzte Weg für kleine Seiten: den Bedarf vermeiden. Schriftarten selbst ausliefern statt von einem fremden Server, Karten als Bild mit Link statt als eingebettete Karte, Statistik weglassen oder ein Werkzeug ohne personenbezogene Erfassung wählen. Dann brauchst du kein Banner, die Seite lädt schneller, und ein Ärgernis für deine Besucher fällt weg.

Pflicht 4: Barrierefreiheit

Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025. Es betrifft bestimmte Produkte und Dienstleistungen, darunter den elektronischen Geschäftsverkehr, also Onlineshops und Dienstleistungen, die über eine Website abgeschlossen werden. Das Gesetz selbst nennt keine WCAG-Stufe. Die konkreten Anforderungen ergeben sich über die Verordnung zum BFSG und die harmonisierte Norm EN 301 549, die auf WCAG 2.1 Stufe A und AA verweist.

Die Ausnahme für Kleinstunternehmen gilt nur für Dienstleistungen und nur, wenn beides gleichzeitig zutrifft: weniger als zehn Beschäftigte und höchstens zwei Millionen Euro Jahresumsatz oder Bilanzsumme. Produktbezogene Pflichten bleiben unabhängig davon bestehen.

Drei Gründe, sich trotz Ausnahme daran zu halten:

1. Die Ausnahme fällt weg, sobald du wächst. Beim zehnten Mitarbeiter darf die Seite nicht erst umgebaut werden
2. Ein großer Teil deiner Kunden profitiert direkt. Kontraste, Schriftgrößen und Tastaturbedienung helfen jedem, der die Seite abends mit müden Augen auf dem Handy bedient
3. Die Anforderungen überschneiden sich mit gutem Handwerk. Klare Überschriftenstruktur, Beschriftungen an Formularfeldern und ausreichende Kontraste sind ohnehin Voraussetzung für eine Seite, die gefunden und bedient wird

Der Bußgeldrahmen liegt je nach Verstoß bei bis zu 10.000 Euro, in bestimmten Fällen bei bis zu 100.000 Euro. Zuständig sind die Länder, die ihre Marktüberwachung in der gemeinsamen Marktüberwachungsstelle für Barrierefreiheit gebündelt haben.

Ich baue nach WCAG 2.1 AA und prüfe mit axe-core, automatisiert und von Hand. Das ist bei mir kein Aufpreis, sondern Standard. Ein gesondertes Audit einer bestehenden Seite mit Bericht und Maßnahmenliste kostet 990 Euro.

Die Checkliste vor dem Livegang

• Impressum vollständig, von jeder Seite erreichbar, mit ladungsfähiger Anschrift
• Datenschutzerklärung nennt jedes eingesetzte Werkzeug, inklusive CRM und Buchungssystem
• Kontaktformular: verschlüsselte Übertragung, Hinweis mit Link, keine überflüssigen Pflichtfelder, Löschfrist festgelegt und eingehalten
• Nicht notwendige Werkzeuge: entweder entfernt oder mit gleichwertigem Ablehnen-Knopf und Widerrufsmöglichkeit
• Barrierefreiheit: Kontraste geprüft, Tastaturbedienung getestet, Formularfelder beschriftet, Bilder mit Alternativtext
• Rechtstexte auf den eigenen Betrieb angepasst und nicht kopiert
• Bei erlaubnispflichtigen Berufen: Aufsichtsbehörde und Berufsrecht genannt

Diese Punkte kosten beim Bau eine Stunde Aufmerksamkeit. Nach einer Abmahnung kosten sie ein Vielfaches, und zwar nicht wegen der Anwaltskosten, sondern wegen der zwei Wochen, in denen du dich damit beschäftigst statt mit deinen Kunden.

Was ich übernehme und was nicht

Ich setze die technischen Anforderungen um: Struktur, Barrierefreiheit, verschlüsselte Formulare, Datensparsamkeit, Einbindung der Rechtstexte, Werkzeugliste als Grundlage für die Datenschutzerklärung. Was ich nicht mache, ist die rechtliche Bewertung deines Einzelfalls. Wenn du in einem regulierten Bereich arbeitest, etwa Heilberufe, Pflege oder Finanzberatung, gehört diese Prüfung zu einer Kanzlei, und ich sage das vorher und nicht hinterher.

Wenn du wissen willst, wie deine bestehende Seite in diesen vier Punkten dasteht: 15 Minuten, ich gehe sie mit dir durch.