DSGVO + Rechtliches für Mittelstand-Websites – der Praxis-Guide

Hinweis: Dieser Artikel ist eine praktische Übersicht – keine Rechtsberatung. Im Zweifelsfall einen auf IT-Recht spezialisierten Anwalt einbeziehen, besonders bei Online-Shops oder komplexeren Datenverarbeitungen.

Warum diese Punkte überhaupt abgemahnt werden

Formale Verstöße auf Websites werden abgemahnt – von Wettbewerbern und von spezialisierten Kanzleien. Gesucht wird nach dem, was sich von außen prüfen lässt: fehlendes Impressum-Detail, unvollständige Datenschutz-Erklärung, vorgeklickte Cookie-Boxen. Für den Abgemahnten ist das teuer, auch wenn der Fehler in fünf Minuten behoben ist.

Die Angriffspunkte sind dabei meist banal – Google Fonts ohne lokale Einbindung, ein nicht-konformer Cookie-Banner, eine veraltete Datenschutz-Erklärung ohne aktuelle Plugin-Hinweise. Welcher davon der häufigste ist, lässt sich nicht belegen; gemeinsam haben sie, dass sie nach dem Website-Start nie wieder angefasst wurden.

Die Konsequenzen einer Abmahnung sind nicht nur die direkten Kosten. Sie verlieren Zeit, müssen reagieren und unterschreiben in der Regel eine Unterlassungserklärung. Die ist der eigentliche Hebel: Wer danach denselben Fehler wiederholt, zahlt die darin vereinbarte Vertragsstrafe.

Pflicht-Elemente einer deutschen Website

Impressum (§ 5 DDG)

Pflicht für jede geschäftliche Website. Muss leicht erreichbar sein („2-Klick-Regel“ – vom Hauptmenü oder Footer mit maximal zwei Klicks).

Was reinmuss:

• Vollständiger Name oder Firmenbezeichnung
• Vollständige Anschrift (Postfach reicht nicht)
• Vertretungsberechtigter (bei juristischen Personen)
• Kontakt: E-Mail-Adresse plus eine Möglichkeit zur unmittelbaren Kommunikation (meist Telefon)
• Handelsregister-Nummer und Registergericht (bei eingetragenen Unternehmen)
• Umsatzsteuer-ID, soweit eine vergeben ist – ohne USt-ID verlangt § 5 DDG an dieser Stelle nichts; ein Hinweis „Kleinunternehmer gemäß § 19 UStG“ ist verbreitet, aber freiwillig
• Bei reglementierten Berufen (§ 5 Abs. 1 Nr. 5): die Kammer, die gesetzliche Berufsbezeichnung und die Bezeichnung der berufsrechtlichen Regelungen – etwa der Berufsordnung – samt Angabe, wie sie zugänglich sind; die zuständige Aufsichtsbehörde steht in Nr. 3 und ist nur zu nennen, soweit die Tätigkeit einer behördlichen Zulassung bedarf
• Verantwortlich für den Inhalt nach § 18 Abs. 2 MStV: Name + Anschrift – nur bei journalistisch-redaktionell gestalteten Angeboten

Häufige Fehler: Berufsbezeichnung vergessen (besonders bei Steuerberatern, Anwälten, Ärzten), Aufsichtsbehörde nicht genannt, eine vorhandene Umsatzsteuer-ID weggelassen.

Generatoren-Empfehlung: e-recht24, datenschutz.org, anwaltsregister. Aber: nicht blind übernehmen – branchen-spezifische Angaben manuell ergänzen.

Datenschutz-Erklärung (DSGVO Art. 13)

Verpflichtende Informationspflicht. Muss alle Datenverarbeitungen auf der Website transparent dokumentieren.

Was alle eingebundenen Dienste auflisten muss:

• Hosting-Provider (z. B. IONOS) – Serverstandort, Auftragsverarbeitungs-Vertrag
• Google Fonts (selbst lokal eingebunden oder von Google-CDN)
• Google Analytics oder andere Tracking-Tools
• Google Maps Einbindungen
• Social Media Plugins (Facebook, LinkedIn, Instagram-Buttons)
• Calendly oder andere Terminbuchungs-Tools
• Newsletter-Plugin (MailPoet, Newsletter)
• Kontaktformulare (Contact Form 7, Gravity Forms, etc.)
• Cookies – welche, wofür, Speicherdauer
• Hosting-Provider und Drittland-Übermittlungen (US-Dienste)

Aktualisierungs-Rhythmus: Bei neuen Plugins oder Tool-Wechseln sofort – die Erklärung muss zu dem passen, was die Website tatsächlich tut. Einen festen Turnus schreibt die DSGVO nicht vor; einmal im Jahr komplett durchsehen ist ein praktikabler Rhythmus.

Cookie-Banner (§ 25 TDDDG)

Pflicht-Opt-In vor jedem Tracking-Tool, das Cookies setzt oder auf andere Weise Informationen auf dem Endgerät speichert oder ausliest.

Was ein konformer Cookie-Banner können muss:

• „Alle akzeptieren“- und „Alle ablehnen“-Button gleich prominent
• Detail-Auswahl pro Kategorie (notwendig / Statistik / Marketing)
• Keine vorgeklickten Checkboxen außer für „notwendige“ Cookies
• Klarer Hinweis auf Datenschutz-Erklärung mit Link
• Tracking-Tools dürfen erst NACH Zustimmung laden

Häufige Fehler: Vorgeklickte Boxen, „Alle ablehnen“ nur über zwei Klicks erreichbar, Google Analytics lädt schon im Banner-Zustand. All das sind Abmahn-Risiken.

Branchen-spezifische Anforderungen

Steuerberater

Berufsrechtliche Hinweise zwingend: Berufsbezeichnung „Steuerberater“, zuständige Steuerberaterkammer, Berufsordnung der Bundessteuerberaterkammer. Werbung muss sachlich bleiben – keine reißerischen Versprechen.

Anwälte

Berufsordnung der Bundesrechtsanwaltskammer (BORA). Strenges Werbeverbot: keine vergleichende Werbung, keine reißerischen Erfolgsversprechen. Fachanwaltsbezeichnungen genau wie vergeben angeben.

Ärzte

Heilmittelwerbegesetz (HWG) verbietet bestimmte Werbe-Aussagen. Vorsicht bei vor/nach-Bildern oder Heilversprechen. Eigene Datenschutz-Hinweise für Patientenbilder/Behandlungs-Beschreibungen.

Handwerk

Bei Eintragung in die Handwerksrolle: Handwerkskammer-Mitgliedschaft im Impressum nennen. Bei Meisterbetrieb: entsprechende Bezeichnung zulässig (mit Nachweis).

Verlinkung der Pflichtangaben

Footer-Strategie: Impressum und Datenschutz-Erklärung gehören in JEDEN Footer auf jeder Page. Nicht nur auf der Startseite.

2-Klick-Regel: Maximal zwei Klicks von jeder beliebigen Page zum Impressum. Footer-Link erfüllt das.

Mobile Footer: Auch auf Mobile müssen Impressum + Datenschutz klickbar bleiben. Häufiger Fehler: Footer-Links sind so klein, dass sie auf Mobile nicht treffbar sind. Rund 48 × 48 px sind dafür ein empfohlener Mindestwert für die Tap-Fläche.

AGB – wann Pflicht, wann nicht

Reine Service-Sites: Meist keine AGB-Pflicht. Wenn Sie nur Kontaktformular und Telefonnummer anbieten, ist der Vertrag individuell – AGB überflüssig.

Online-Shops: Vorgeschrieben sind die Informationspflichten nach § 312d BGB in Verbindung mit Art. 246a EGBGB – darunter Widerrufsbelehrung, Gesamtpreis und Versandkosten – dazu die Preisangaben nach PAngV. Keine dieser Normen schreibt AGB allgemein vor; üblich sind AGB trotzdem, weil sie Zahlung, Lieferung und Haftung regeln.

Online-Buchungs-Funktionen: Wenn Termine direkt online gebucht werden mit konkreten Preisen, sind AGB sinnvoll. Sie regeln Stornierungsbedingungen, Zahlungsmodalitäten.

Bewertungen rechtssicher darstellen

Eigene Bewertungen: Wenn Sie Bewertungen von Verbrauchern auf der eigenen Site anzeigen, etwa aus Google oder ProvenExpert, gehört die Information dazu, ob und wie Sie sicherstellen, dass sie von Kunden stammen, die die Leistung tatsächlich genutzt haben. So steht es in § 5b Abs. 3 UWG.

Fake-Bewertungen: Strikt verboten. UWG-Verstoß, Abmahn-Risiko durch Wettbewerber und Verbraucherschutz-Zentrale. Auch die eigene Familie oder Bekannte um eine Bewertung zu bitten, ist riskant: Wer die Leistung nicht genutzt hat, ist kein Bewertender im Sinne des Gesetzes.

Negative Bewertungen: Sie dürfen nicht einfach löschen. Sie dürfen aber widersprechen, Sachverhalt klarstellen, bei Falschtatsachen die Bewertung über das Bewertungs-Portal-Verfahren entfernen lassen.

Newsletter + Marketing-Mails

Double-Opt-In Pflicht: Jede Newsletter-Anmeldung muss durch Klick in einer Bestätigungs-Mail validiert werden. Single-Opt-In ist nicht ausreichend.

Werbe-Einwilligungen: Klare Zustimmung erforderlich. Vorausgekreuzte Boxen sind unwirksam. Hinweis auf Widerrufsrecht in jeder Marketing-Mail.

B2B-Mails (§ 7 UWG): Auch B2B-Empfänger müssen zugestimmt haben. Die Ausnahme in Absatz 3 verlangt vier Voraussetzungen zusammen: Sie haben die Adresse beim Verkauf von dem Kunden selbst erhalten, Sie werben damit für eigene ähnliche Waren oder Dienstleistungen, der Kunde hat der Verwendung nicht widersprochen, und Sie weisen ihn bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich auf sein Widerspruchsrecht hin.

Anti-Abmahn-Strategie

Jährliches Site-Audit: Einmal pro Jahr alle rechtlichen Elemente prüfen. Impressum aktuell? Datenschutz-Erklärung listet alle aktuell eingebundenen Tools? Cookie-Banner konform?

Tool-Updates dokumentieren: Jedes neue WordPress-Plugin, jeder Tracking-Pixel, jede Schriftart-Quelle muss in der Datenschutz-Erklärung erscheinen. Best Practice: bei jedem Plugin-Install gleich Datenschutz-Hinweis ergänzen.

Bei Abmahnung – was zu tun:

• Nicht direkt unterschreiben. Vorgefertigte Unterlassungserklärungen sind oft zu weitreichend.
• Anwalt für IT-Recht einbeziehen – meist günstiger als direkt zahlen.
• Beweise dokumentieren (Screenshots der angeblichen Verstöße).
• Verstoß umgehend beheben, auch wenn man die Forderung anficht – zeigt Gutgläubigkeit.

Abmahn-Versicherung: Übernimmt je nach Tarif Anwaltskosten und teilweise Schadensersatz. Beitrag und Deckungsumfang unterscheiden sich je nach Anbieter – vor dem Abschluss vergleichen. Eine Überlegung wert bei aktiver Web-Präsenz.

Häufige Mythen zur DSGVO auf Websites

Mythos 1: „DSGVO gilt nicht für kleine Betriebe.“ Falsch. DSGVO gilt für jede Verarbeitung personenbezogener Daten – also auch für jeden Kontaktformular-Eintrag. Die Unternehmensgröße ändert daran nichts – an sie geknüpft sind nur einzelne Pflichten wie das Verarbeitungsverzeichnis.

Mythos 2: „Ein Standard-Impressum-Generator reicht ewig.“ Falsch. Rechtsprechung und Pflichtangaben ändern sich, und ein einmal erzeugter Text merkt das nicht. Die Angaben müssen zu jedem Zeitpunkt stimmen – dafür muss jemand hinsehen.

Mythos 3: „Privatadresse muss im Impressum stehen.“ Bei Einzelunternehmen ja – die ladungsfähige Anschrift muss angegeben sein. Postfach reicht nicht. Bei juristischen Personen: Geschäftsadresse.

Mythos 4: „Cookie-Banner ist optional.“ Falsch. Die Einwilligungspflicht gilt seit Dezember 2021 – zunächst nach dem TTDSG, das im Mai 2024 in TDDDG umbenannt wurde – und macht Opt-In Pflicht für Tracking-Cookies. Ein häufiger Abmahn-Grund.

Häufige Fragen zu DSGVO und Website-Recht

Was ist der häufigste Abmahn-Grund 2026?

Eine belastbare Rangliste gibt es dafür nicht – die veröffentlichten Abmahn-Übersichten zählen den Online-Handel, nicht Firmen-Websites. Ein bekannter Grund bleibt Google Fonts ohne lokale Einbindung: Werden Schriftarten direkt von Google-Servern geladen, übermitteln Sie IP-Adressen Ihrer Besucher an Google ohne deren Zustimmung. Die Massen-Abmahnungen dazu hat das LG München I am 30.03.2023 als rechtsmissbräuchlich eingestuft (Az. 4 O 13063/22); das Datenschutz-Problem selbst besteht fort.

Wie schnell muss ich nach Plugin-Install die Datenschutz-Erklärung aktualisieren?

Sofort. Im Zweifel vor dem Aktivieren des neuen Plugins. Jede unbeschriebene Datenverarbeitung ist ein DSGVO-Verstoß.

Brauche ich AGB für meine Webagentur-Site?

Wenn Sie nur Anfragen über Kontaktformular sammeln und Verträge individuell aushandeln: nein. Wenn Sie eine direkte Online-Beauftragungs-Funktion haben: ja.

Cookie-Banner und Google Analytics – wie kombinieren?

Analytics darf erst nach expliziter Cookie-Zustimmung laden. Lösung: Consent Management Plattform (CMP) wie Borlabs Cookie oder Cookiebot, die Analytics-Script erst nach Opt-In ausführt.

Was passiert wenn ich die DSGVO-Erklärung von einem Mitbewerber kopiere?

Urheberrechts-Verstoß. Außerdem inhaltlich problematisch, weil die Erklärung dann nicht zu Ihren tatsächlichen Datenverarbeitungen passt. Beides ist abmahnfähig.

Ist eine Abmahn-Versicherung notwendig?

Nicht zwingend. Vor allem bei E-Commerce oder aktiver Web-Werbung ist sie eine Überlegung wert. Ob sich der Jahresbeitrag lohnt, hängt vom Tarif und vom Deckungsumfang ab – beides unterscheidet sich je nach Anbieter.

Verfasst von David Rupa, Inhaber von Bergstraße Digital. Hinweis: Diese Inhalte sind eine praktische Übersicht und ersetzen keine Rechtsberatung.