Impressum, Datenschutz und Cookies: was eine deutsche Website braucht.
Eine Firmenwebsite in Deutschland braucht ein paar Dinge, die das Gesetz verlangt: ein Impressum, eine Datenschutzerklärung und das Ja der Besucher, bevor irgendetwas sie trackt. Hier lesen Sie, was jedes davon braucht und was kleinen Unternehmen Abmahnungen einbringt, mit einer Checkliste zum Durchgehen. Ein Ratgeber in klaren Worten, keine Rechtsberatung.
Vom NeuWP-Team · Aktualisiert am 22. Oktober 2026 · 9 Minuten Lesezeit
die kurze Antwort:
ein Impressum per Klick
eine klare Datenschutzerklärung
kein Tracking vor einem Ja
Schriften vom eigenen Server
kein OS-Link mehr
Fotos mit Nutzungsrecht
zuerst
Für wen das ist
Ein Unternehmen mit Sitz in Deutschland, mit Website oder geschäftlichem Profil.
Kurz gesagt: Jede Firmenwebsite in Deutschland braucht ein Impressum und eine Datenschutzerklärung, fragt, bevor sie jemanden trackt, und achtet darauf, was ihre Seiten von anderen Unternehmen laden.
Die Regeln kommen aus drei Quellen. Das Impressum steht in einem deutschen Gesetz von 2024, dem Digitale-Dienste-Gesetz (DDG). Die Datenschutzerklärung steht in der DSGVO, dem Datenschutzrecht der EU. Die Einwilligung für Cookies regelt das TDDDG, ein deutsches Gesetz, das bis Mai 2024 TTDSG hieß.
Nichts davon ist schwer, und das meiste lässt sich an einem Nachmittag prüfen. Dieser Ratgeber sagt, was die Gesetze verlangen, mit den Quellen am Ende. Er ist keine Rechtsberatung: Jedes Unternehmen ist anders, und Gesetze ändern sich. Für Ihre eigene Website fragen Sie einen Anwalt oder Ihre Kammer (die IHK oder die Handwerkskammer), die eigene Leitfäden herausgeben.
wer Sie sind
Das Impressum
Wer hinter der Website steht und wie man Sie erreicht.
Kurz gesagt: Ihr Name, Ihre Anschrift, E-Mail und Registerangaben, auf einer Seite namens Impressum, verlinkt von jeder Seite.
Seit dem 14. Mai 2024 stehen die Regeln in § 5 DDG, der § 5 des alten Telemediengesetzes (TMG) ersetzt hat. Nennt Ihr Impressum noch das TMG, verweisen Sie stattdessen auf § 5 DDG.
Was hinein muss
Wann
Ihr Name und die Anschrift, unter der Ihr Unternehmen niedergelassen ist
Immer
Bei einer Gesellschaft: die Rechtsform und wer sie vertritt, etwa der Geschäftsführer
GmbH, UG, AG und ähnliche
Eine E-Mail-Adresse und eine Möglichkeit, Sie schnell und unmittelbar zu erreichendie Leitfäden der Kammern nennen auch eine Telefonnummer
Immer
Das Register, in dem Sie eingetragen sind, und Ihre Registernummer, etwa das Handelsregister und Ihre HRB-Nummer
Wenn Sie eingetragen sind
Die zuständige Aufsichtsbehörde
Wenn Ihre Tätigkeit zulassungspflichtig ist
Ihre Kammer, Ihre gesetzliche Berufsbezeichnung und der Staat, der sie verliehen hat, sowie die berufsrechtlichen Regelungen und wo sie zu finden sind
Ein reglementierter Beruf, etwa Rechtsanwalt, Architekt oder Steuerberater
Ihre Umsatzsteuer-ID (USt-IdNr.) oder Wirtschafts-ID
Wenn Sie eine haben
Das Stamm- oder Grundkapital und die noch ausstehenden Einlagen
Nur wenn Sie Ihr Kapital überhaupt angeben
Dass die Gesellschaft abgewickelt wird
Eine Gesellschaft in Liquidation
1Wo es hingehört
Laut Gesetz muss es leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Üblich ist ein Link namens „Impressum“ in der Fußzeile jeder Seite. 2006 hat der Bundesgerichtshof zwei Klicks über eine Seite namens „Kontakt“ akzeptiert (BGH, I ZR 228/03). Weniger eindeutige Bezeichnungen wie „Backstage“ oder „Info“ haben Gerichte abgelehnt. Stellen Sie es nicht nur in Ihre AGB und nicht nur in ein Pop-up, das ein Skript braucht.
2Auch Ihre Facebook- und Instagram-Seiten
Auch ein geschäftliches Profil zählt. 2011 entschied ein Gericht, dass die Facebook-Seite eines Unternehmens ein Impressum braucht (LG Aschaffenburg, 2 HK O 54/11). Geben Sie jedem geschäftlichen Profil ein eigenes Impressum oder einen klaren Link zu Ihrem.
3Wenn Sie Artikel wie ein Magazin veröffentlichen
Eine Website mit journalistisch-redaktionellen Inhalten, etwa regelmäßigen Nachrichten oder Artikeln wie in einer Zeitung, muss außerdem eine verantwortliche Person mit Name und Anschrift nennen (§ 18 des Medienstaatsvertrags, MStV). Klären Sie, ob Ihre Website dazuzählt, bevor Sie jemanden benennen.
4Was eine Lücke kosten kann
Fehlt eine Angabe oder ist sie falsch oder unvollständig, droht ein Bußgeld von bis zu 50.000 Euro (§ 33 DDG). Das andere Risiko ist eine Abmahnung, mehr dazu weiter unten auf dieser Seite.
das Kleingedruckte
Zwei Zeilen zur Streitbeilegung
Eine zum Streichen, eine zum Prüfen.
1Den Link zur OS-Plattform der EU streichen
Die Plattform der EU zur Online-Streitbeilegung (die „OS-Plattform“) wurde am 20. Juli 2025 eingestellt, und mit ihr endete die Pflicht, auf sie zu verlinken. Wenn Ihr Impressum, Ihre AGB oder Ihr Shop sie noch erwähnen, nehmen Sie das heraus. Der Link führt ins Leere, und die Kammern warnen, dass ein übrig gebliebener Hinweis als irreführend gelten kann.
2Den Hinweis zur Schlichtung prüfen
Eine Pflicht bleibt. Wenn Sie an Verbraucher verkaufen und mehr als zehn Personen beschäftigen, müssen Ihre Website oder Ihre AGB angeben, ob Sie bereit oder verpflichtet sind, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen (§ 36 VSBG). Mit zehn Personen oder weniger, gezählt am 31. Dezember des Vorjahres, brauchen Sie den Hinweis nicht.
nach Art. 13 DSGVO
Die Datenschutzerklärung
Was Sie mit den Daten Ihrer Besucher tun, in Worten, die sie verstehen.
Kurz gesagt: Sagen Sie, wer Sie sind, was Sie erheben und warum, wer es sonst noch erhält, wie lange Sie es speichern und was Besucher von Ihnen verlangen können.
Artikel 13 der DSGVO zählt auf, was Sie Menschen mitteilen müssen, wenn Sie Daten bei ihnen erheben. Auf der Website eines kleinen Unternehmens heißt das:
Wer verantwortlich ist: Ihr Name und Ihre Kontaktdaten und die Ihres Datenschutzbeauftragten, falls Sie einen haben.
Was Sie erheben und warum, mit der Rechtsgrundlage für jede Verwendung: ein Vertrag, eine Einwilligung oder ein berechtigtes Interesse, das Sie dann benennen.
Wer die Daten erhält: Ihr Hoster, Ihr E-Mail-Anbieter, ein Buchungstool, ein Newsletter-Dienst.
Ob die Daten die EU verlassen und was sie dort schützt.
Wie lange Sie sie speichern oder wie Sie das festlegen.
Was Besucher verlangen können: ihre Daten einsehen, berichtigen und löschen, ihre Verwendung einschränken oder ihr widersprechen und die Daten mitnehmen.
Dass eine Einwilligung jederzeit widerrufen werden kann und dass sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren können.
Ob sie die Daten angeben müssen und was passiert, wenn nicht.
Automatisierte Entscheidungen über sie, falls es welche gibt.
Verlinken Sie sie auf jeder Seite, neben dem Impressum, und neben jedem Formular. Schreiben Sie sie für Ihre eigene Website: Ein generierter Text, der Tools nennt, die Sie nicht nutzen, oder die weglässt, die Sie nutzen, ist eine falsche Datenschutzerklärung.
Ihr Hoster verarbeitet die Daten Ihrer Besucher in Ihrem Auftrag, deshalb verlangt die DSGVO einen schriftlichen Vertrag zur Auftragsverarbeitung mit ihm (Artikel 28). Fragen Sie Ihren Hoster danach.
das Banner
Cookies und Einwilligung
Erst fragen, außer die Website funktioniert ohne es nicht.
Kurz gesagt: Alles, was eine Seite auf dem Gerät eines Besuchers speichert oder von dort ausliest, braucht zuerst sein Ja, außer es ist für das, was er ausdrücklich wünscht, unbedingt erforderlich. Kein Tracking, kein Banner.
§ 25 TDDDG verlangt eine Einwilligung, bevor eine Website Informationen auf dem Gerät eines Besuchers speichert oder dort gespeicherte Informationen ausliest. Das betrifft Cookies und alles, was ähnlich funktioniert. Ausgenommen ist, was unbedingt erforderlich ist, um dem Besucher etwas zu bieten, das er ausdrücklich wünscht, etwa einen Warenkorb.
Die Einwilligung selbst richtet sich nach der DSGVO. Ein vorab angekreuztes Kästchen ist keine wirksame Einwilligung (Europäischer Gerichtshof, Planet49, 1. Oktober 2019). Und wo ein Banner „Alle akzeptieren“ anbietet, gehört nach einem deutschen Urteil von 2025 auch „Alle ablehnen“ auf seine erste Ebene, genauso gut sichtbar (VG Hannover, wie die niedersächsische Datenschutzaufsicht am 20. Mai 2025 mitteilte).
Prüfen Sie, ob Statistiken, Werbepixel und eingebettete Inhalte wirklich auf das Ja warten. Ein Banner, das fragt, während sie schon laufen, fragt zu spät.
Wenn Ihre Website nichts setzt außer dem, was sie unbedingt braucht, braucht sie gar kein Banner. Für viele kleine Unternehmen ist das die einfachste Lösung.
was Ihre Seiten laden
Google Fonts, Karten und Videos
Alles, was eine Seite von den Servern eines anderen Unternehmens holt.
Kurz gesagt: Halten Sie Ihre Schriften auf Ihrem eigenen Server, und fragen Sie bei jeder Karte, jedem Video und jedem Widget, was es wohin sendet.
Viele Websites laden ihre Schriften von Googles Servern. Dabei schickt der Browser des Besuchers dessen IP-Adresse an Google. Am 20. Januar 2022 entschied das Landgericht München I (3 O 17493/20), dass eine Website, die das ohne Einwilligung des Besuchers tut, gegen die DSGVO verstößt. Es verurteilte den Betreiber zur Unterlassung und sprach dem Besucher 100 Euro zu. Das Gericht merkte an, dass die Schriften auch auf dem eigenen Server der Website hätten liegen können, ganz ohne Verbindung zu Google.
Die Lösung ist also, die Schriften herunterzuladen und von Ihrem eigenen Server auszuliefern. Wer Ihre Website betreut, kann das erledigen.
Dieselbe Frage stellt sich bei allem anderen, was eine Seite beim Öffnen von einem anderen Unternehmen lädt: eine Karte, ein Video, ein Buchungs-Widget, ein Chat-Button. Fragen Sie bei jedem, was es an wen sendet und ob es auf das Ja des Besuchers wartet.
1Die Abmahnwelle von 2022
Nach dem Urteil gingen Schreiben an Website-Betreiber, die wegen Google Fonts Geld forderten. Im Dezember 2022 durchsuchte die Berliner Generalstaatsanwaltschaft die Räume eines Anwalts und seines Mandanten wegen des Verdachts des Betrugs und der Erpressung, in mindestens 2.418 Fällen, in denen 170 Euro gefordert worden waren. Nach Angaben der Ermittler stammten die Besuche hinter den Schreiben von einer Software, nicht von Menschen. Ein Schreiben, das Geld fordert, ist kein Gerichtsurteil: Lassen Sie es prüfen, bevor Sie zahlen.
wenn Leute Ihnen schreiben
Kontaktformulare
Fragen Sie, was Sie brauchen, und sagen Sie, was damit passiert.
Kurz gesagt: wenige Felder, eine sichere Verbindung, Ihre Datenschutzerklärung neben dem Button verlinkt, und niemand landet ohne sein eigenes Ja im Newsletter.
Fragen Sie nur ab, was Sie brauchen, um zu antworten. Ein Name und eine E-Mail-Adresse oder Telefonnummer reichen oft. Die DSGVO verlangt, personenbezogene Daten auf das Nötige zu beschränken (Artikel 5).
Nutzen Sie https. Die DSGVO verlangt eine dem Risiko angemessene Sicherheit (Artikel 32), und ein Formular ohne https überträgt, was Menschen eintippen, ungeschützt.
Verlinken Sie Ihre Datenschutzerklärung neben dem Formular, damit man sie genau dann lesen kann, wenn man Ihnen seine Daten gibt.
Halten Sie den Newsletter getrennt. Wer Ihnen schreibt, sagt damit nicht Ja zu Ihrem Newsletter. Dafür braucht es eine eigene Einwilligung.
Löschen Sie Anfragen, sobald Sie sie nicht mehr brauchen, und nennen Sie in der Datenschutzerklärung, wie lange das ist.
Nennen Sie den Dienst, der die E-Mails des Formulars versendet, wenn es nicht Ihr Hoster ist.
wenn Post kommt
Abmahnungen
Was sie sind und was eine auslösen kann.
Kurz gesagt: Eine Abmahnung fordert Sie auf, etwas zu unterlassen und eine Unterlassungserklärung zu unterschreiben. Die Lücken auf dieser Seite können eine auslösen, und jede lässt sich schließen, bevor jemand schreibt.
In Deutschland können ein Mitbewerber, ein Wirtschaftsverband oder ein Verbraucherverband wegen eines Verstoßes gegen die Regeln des fairen Wettbewerbs eine Abmahnung schicken. Sie fordert Sie auf, das Verhalten zu unterlassen und eine Unterlassungserklärung mit Vertragsstrafe für den Wiederholungsfall zu unterschreiben. Seit einem Urteil des Europäischen Gerichtshofs vom 4. Oktober 2024 (C-21/23) können Mitbewerber auch wegen eines Verstoßes gegen die DSGVO vor Gericht ziehen.
Eine Regel hilft kleinen Unternehmen. Ein Mitbewerber kann von Ihnen keinen Ersatz seiner Abmahnkosten verlangen, wenn es um eine fehlende Angabe im Impressum oder in anderen Pflichtinformationen im Internet geht, und auch nicht bei einem DSGVO-Verstoß, wenn Sie weniger als 250 Mitarbeiter beschäftigen (§ 13 UWG). Diese Regel betrifft nur die Kosten eines Mitbewerbers: Für Verbände gilt sie nicht, und beheben müssen Sie den Fehler trotzdem.
Was auf einer kleinen Firmenwebsite eine Abmahnung auslösen kann:
Ein Impressum, in dem eine Angabe fehlt oder das schwer zu finden ist.
Statistiken oder Werbung, die laufen, bevor der Besucher Ja gesagt hat.
Schriften oder andere Inhalte, die ohne Rechtsgrundlage von den Servern eines anderen Unternehmens geladen werden.
Ein übrig gebliebener Link zur eingestellten OS-Plattform der EU.
Ein Foto, das ohne Lizenz von irgendwo im Internet übernommen wurde. Der Anwalt des Fotografen verlangt oft Schadensersatz in Höhe einer Lizenzgebühr und die Erstattung seiner Kosten.
Wenn eine Abmahnung kommt, notieren Sie die Frist und ignorieren Sie sie nicht. Lassen Sie sie von einem Anwalt lesen, bevor Sie die Unterlassungserklärung unterschreiben oder etwas zahlen.
in eigener Sache
Was wir tun
Auf unseren eigenen Seiten und auf den Websites, die wir bauen.
Unsere eigenen Seiten. neuwp.com lädt seine Schriften von unserem eigenen Server, setzt keine Cookies für Besucher und trackt Sie nicht, deshalb zeigt es kein Banner. Wer wir sind, unsere Bedingungen und unsere Datenschutzerklärung stehen auf einer Seite, die von jeder Seite aus verlinkt ist.
Die Websites, die wir bauen. Sie liegen auf unserem Server in der EU, bei Hetzner, und werden jede Nacht gesichert. Wir verarbeiten die Daten Ihrer Besucher als Ihr Auftragsverarbeiter nach Artikel 28 DSGVO, und unser Vertrag zur Auftragsverarbeitung ist Teil des Vertrags jedes Kunden mit uns.
Die Texte für Ihr Impressum und Ihre Datenschutzerklärung liefern Sie oder Ihr Anwalt. Wir sind keine Anwälte und geben keine Rechtsberatung.
Die kostenlose Vorschau ist ein Entwurf zum Ansehen, verborgen vor Suchmaschinen. Sie lädt ihre Schriften von Google Fonts, und unsere Datenschutzerklärung sagt das auch.
