Impressum, Cookies, DSGVO: Was Betriebe übersehen

Eine Website ist schnell gebaut. Die Texte darunter — Impressum, Datenschutzerklärung, Einwilligungsbanner — entstehen meist zuletzt, oft aus einem Generator, und werden danach nie wieder angefasst. Genau dort entstehen die Abmahnungen. Dieser Beitrag benennt die fünf Stellen, an denen es bei kleinen Betrieben regelmäßig hakt, und erklärt zum Schluss, warum wir als Agentur einen Teil davon bewusst nicht übernehmen.

1. Das Impressum verweist auf ein Gesetz, das es nicht mehr gibt

Der häufigste und am leichtesten prüfbare Fehler. Das Telemediengesetz ist am 14. Mai 2024 außer Kraft getreten. Die Anbieterkennzeichnung steht seitdem in § 5 DDG (Digitale-Dienste-Gesetz). Wer noch „Angaben gemäß § 5 TMG" auf der Seite stehen hat, verweist auf aufgehobenes Recht.

Inhaltlich hat sich nichts geändert — es ist eine redaktionelle Anpassung an die Begriffe des Digital Services Act. Trotzdem lohnt der Blick, denn wer den Verweis nie angefasst hat, hat den Rest vermutlich auch nicht geprüft. Die üblichen Lücken daneben:

• Rechtsform fehlt oder ist falsch. Bei einer GbR müssen alle Gesellschafter genannt werden, nicht nur einer.
• Umsatzsteuer-Identifikationsnummer fehlt, obwohl vorhanden. Die Steuernummer ist nicht dasselbe und gehört nicht ins Impressum.
• Registergericht und Registernummer fehlen bei eingetragenen Unternehmen.
• Bei erlaubnispflichtigen Berufen fehlt die Aufsichtsbehörde.
• Das Impressum ist nur über ein Aufklappfenster erreichbar oder liegt drei Klicks tief. Verlangt wird „leicht erkennbar, unmittelbar erreichbar und ständig verfügbar".

2. Die Datenschutzerklärung beschreibt eine andere Website

Nach Art. 13 DSGVO muss die Erklärung beschreiben, was die Seite tatsächlich tut. Der typische Verlauf: zum Start wird ein Generator befüllt, das passt. Ein halbes Jahr später kommen eine Kartenansicht, ein eingebettetes Video und ein Newsletter dazu — die Erklärung bleibt unverändert.

Damit stimmt sie nicht mehr, und das ist der eigentliche Mangel. Häufig übersehen: eingebundene Schriftarten, Kartendienste, Videoeinbettungen, das Kontaktformular, der Hoster, der Mailversand, Analysewerkzeuge und Chat-Fenster. Jeder dieser Punkte gehört benannt, mit Zweck, Rechtsgrundlage und Speicherdauer.

Eine Fußangel mit Geschichte sind dynamisch nachgeladene Schriftarten von fremden Servern: dabei geht die IP-Adresse des Besuchers an einen Dritten, ohne dass er gefragt wurde. Das Landgericht München I hat dafür 2022 Schadenersatz zugesprochen — und ausgelöst hat es eine Abmahnwelle. Der Aufwand, Schriften selbst auszuliefern, beträgt Minuten.

3. Das Cookie-Banner setzt Cookies, bevor jemand zustimmt

Maßstab ist § 25 TDDDG — das frühere TTDSG, seit dem 14. Mai 2024 umbenannt. Wer noch „TTDSG" in seinen Texten stehen hat, sollte auch das aktualisieren.

Die Regel ist einfacher, als die Banner vermuten lassen: Für jeden Zugriff auf das Endgerät, der nicht unbedingt erforderlich ist, braucht es vorher eine Einwilligung. Unbedingt erforderlich sind Warenkorb, Spracheinstellung, Anmeldesitzung. Reichweitenmessung, Marketing und Tracking sind es nicht.

Was in der Praxis schiefgeht:

• Das Banner lädt Analyse- oder Marketingskripte bereits beim Seitenaufruf. Dann ist die Einwilligung wertlos, weil sie zu spät kommt.
• „Alle akzeptieren" ist ein großer Knopf, „Ablehnen" ein grauer Link im Kleingedruckten. Die Ablehnung muss genauso einfach sein wie die Zustimmung.
• Kästchen sind vorausgewählt. Der Europäische Gerichtshof hat das bereits 2019 kassiert.
• Es gibt keine Möglichkeit, die Einwilligung später zurückzunehmen.
• Ein Banner steht auf einer Seite, die überhaupt keine einwilligungspflichtigen Dienste einsetzt. Auch das ist ein Fehler — nur eben einer, der Besucher kostet statt Bußgelder.

Die Bußgelder nach § 28 TDDDG reichen bis 300.000 Euro; zuständig sind Bundesnetzagentur und Bundesdatenschutzbeauftragter.

4. Analytics wird eingebaut, ohne den Preis mitzurechnen

Google Analytics ist kein Schalter, den man umlegt. Dazugehören eine Einwilligung nach § 25 TDDDG, ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, eine Bewertung der Datenübermittlung in Drittländer und ein passender Abschnitt in der Datenschutzerklärung.

Dazu kommt ein Nebeneffekt, den viele nicht einkalkulieren: Mit Banner lehnt ein erheblicher Teil der Besucher ab. Die Daten sind also ohnehin lückenhaft — und das Banner selbst kostet Abschlüsse. Auf einer Seite mit wenigen hundert Besuchern im Monat steht der Aufwand in keinem Verhältnis zum Erkenntnisgewinn. Die Google Search Console liefert Suchdaten ohne jede Einwilligung, und wer wirklich Verhaltensdaten braucht, kann cookiefreie, selbst betriebene Werkzeuge einsetzen, die ohne Banner auskommen.

Die ehrliche Reihenfolge lautet: erst Besucher, dann Messung.

5. DSGVO ist nicht alles — das BDSG kommt dazu

Die Verordnung lässt den Mitgliedstaaten Spielraum, und Deutschland hat ihn genutzt. Für kleine Betriebe sind vor allem zwei Punkte relevant:

• § 38 BDSG: Ein Datenschutzbeauftragter ist zu benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen — Teilzeitkräfte und Aushilfen zählen mit, sofern sie regelmäßig am Rechner mit personenbezogenen Daten arbeiten.
• § 26 BDSG: Beschäftigtendatenschutz. Betrifft jeden Betrieb mit Angestellten, unabhängig von der Größe.

Unabhängig von der Mitarbeiterzahl gelten außerdem das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO und Auftragsverarbeitungsverträge nach Art. 28 mit jedem Dienstleister, der personenbezogene Daten berührt: Hoster, Mailanbieter, Newsletter-Dienst, Buchhaltungssoftware, Steuerberater-Portal.

Warum wir die Texte nicht schreiben

An dieser Stelle wäre es naheliegend, ein Paket anzubieten: Website, Impressum, Datenschutzerklärung, alles aus einer Hand. Wir tun das nicht — und der Grund ist kein Bescheidenheitsreflex, sondern das Rechtsdienstleistungsgesetz.

Die Prüfung eines konkreten Sachverhalts und die darauf zugeschnittene Empfehlung sind Rechtsberatung. Die dürfen Anwältinnen und Anwälte erbringen, nicht Agenturen. Eine Agentur, die dir sagt, welche Rechtsgrundlage für deinen Newsletter gilt oder ob du einen Datenschutzbeauftragten brauchst, überschreitet diese Grenze — und du hast im Streitfall niemanden, der dafür haftet. Genau das ist der Punkt: Ein Fachanwalt trägt Verantwortung für seine Einschätzung, eine Agentur nicht.

Sinnvoll ist deshalb eine klare Arbeitsteilung:

• Fachanwalt für IT-Recht oder spezialisierter Dienst: die Texte, die Bewertung des Einzelfalls, die Frage nach dem Datenschutzbeauftragten, die Auftragsverarbeitungsverträge.
• Wir: die technische Umsetzung. Schriften selbst ausliefern statt nachladen, Einbettungen erst nach Einwilligung starten, das Banner so bauen, dass Ablehnen genauso einfach ist wie Zustimmen, das Impressum leicht erreichbar platzieren, eine vollständige Liste aller eingesetzten Dienste liefern — damit die anwaltliche Prüfung überhaupt auf einer belastbaren Grundlage steht.

Diese Liste ist übrigens der Teil, den fast alle unterschätzen. Ohne sie schreibt auch der beste Anwalt eine Datenschutzerklärung ins Blaue.

Was du in zehn Minuten selbst prüfen kannst

• Steht im Impressum noch „§ 5 TMG"? Dann ist der Text älter als Mai 2024.
• Steht in der Datenschutzerklärung noch „TTDSG"? Gleiche Diagnose.
• Öffne die Seite in einem frischen Browserfenster und sieh in den Entwicklerwerkzeugen nach, welche fremden Server vor deiner Einwilligung kontaktiert werden. Jeder davon gehört in die Erklärung — oder abgeschaltet.
• Ist „Ablehnen" im Banner genauso leicht zu finden wie „Akzeptieren"?
• Nennt deine Datenschutzerklärung jedes Werkzeug, das seit dem letzten Umbau dazugekommen ist?

Wer bei allen fünf Punkten durchkommt, gehört zur Minderheit. Wer irgendwo hängen bleibt, hat jetzt eine konkrete Frage für den nächsten Termin — und das ist deutlich mehr wert als ein weiterer Generatordurchlauf.

Verwandt und ähnlich oft missverstanden ist die Frage, ob die eigene Seite barrierefrei sein muss. Auch dort lohnt der Blick auf den tatsächlichen Anwendungsbereich, bevor man Geld ausgibt.

Dieser Beitrag ist eine Orientierung, keine Rechtsberatung. Für die Bewertung deines konkreten Falls führt kein Weg an anwaltlicher Prüfung vorbei — genau aus dem oben genannten Grund.