Impressum Datenschutz, Cookie-Banner: Checkliste für Firmen 2026

Stand: Oktober 2026. Für eine Firmenwebsite in Deutschland gibt es drei rechtliche Grundpfeiler: das Impressum nach dem Digitale-Dienste-Gesetz (DDG), die Datenschutzerklärung nach der DSGVO und die Einwilligung für Cookies und Tracking nach dem TDDDG. Dazu kommen kleinere Pflichten, etwa zur Verbraucherschlichtung.

Zwei dieser Gesetze tragen seit 2024 neue Namen. Seit dem 14. Mai 2024 gilt das DDG anstelle des Telemediengesetzes (TMG), und aus dem TTDSG wurde zum selben Datum das TDDDG. Verweise wie „Angaben gemäß § 5 TMG“ oder „§ 25 TTDSG“ sind damit veraltet und sollten ersetzt werden.

Diese Checkliste ist eine technische und praktische Orientierung, keine Rechtsberatung. Bei Besonderheiten, etwa berufsrechtlichen Vorgaben, ziehen Sie eine Anwältin oder einen Anwalt hinzu.

Die Impressumspflicht gilt für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste, also für praktisch jede Unternehmenswebsite. Die Angaben müssen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Die IHK Schwaben empfiehlt dafür einen Link mit dem Titel „Impressum“ in einer Navigationsleiste, die auf jeder Seite sichtbar ist. In der Praxis ist das meist der Footer, auch auf Landingpages und im Shop.

Die Pflichtangaben nach § 5 Abs. 1 DDG, in der Fassung, die gesetze-im-internet.de im Oktober 2026 zeigt:

• Name und Anschrift der Niederlassung, bei juristischen Personen zusätzlich Rechtsform und Vertretungsberechtigte sowie, falls Sie Angaben zum Kapital machen, das Stamm- oder Grundkapital und gegebenenfalls ausstehende Einlagen
• Angaben für eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation, einschließlich der E-Mail-Adresse
• die zuständige Aufsichtsbehörde, wenn die Tätigkeit eine behördliche Zulassung erfordert
• Register und Registernummer, etwa beim Handels-, Vereins-, Partnerschafts- oder Genossenschaftsregister
• berufsrechtliche Angaben bei reglementierten Berufen
• Umsatzsteuer-Identifikationsnummer oder Wirtschafts-Identifikationsnummer, sofern vorhanden
• bei AG, KGaA und GmbH in Abwicklung oder Liquidation ein entsprechender Hinweis

Nummer 8 betrifft nur Anbieter audiovisueller Mediendienste. Die Steuernummer gehört nach dem Hinweis der IHK Schwaben nicht ins Impressum. Bei Sonderkonstellationen lohnt der Blick in den aktuellen Gesetzestext.

Zusatz für redaktionelle Inhalte: § 18 Abs. 2 MStV

Wer journalistisch-redaktionell gestaltete Angebote betreibt, insbesondere mit Inhalten periodischer Druckerzeugnisse in Text oder Bild, muss nach dem Medienstaatsvertrag zusätzlich eine verantwortliche Person mit Namen und Anschrift benennen. Sind mehrere Personen verantwortlich, muss erkennbar sein, wer für welchen Teil zuständig ist. Ob ein Firmenblog oder Kundenmagazin darunterfällt, hängt vom Einzelfall ab.

Verbraucherschlichtung und OS-Plattform

Nach § 36 VSBG müssen Unternehmer, die eine Website unterhalten oder AGB verwenden, Verbraucher darüber informieren, ob sie bereit oder verpflichtet sind, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen. Haben Sie sich zur Teilnahme verpflichtet oder sind Sie gesetzlich dazu verpflichtet, müssen Sie außerdem die zuständige Schlichtungsstelle mit Anschrift und Webseite nennen. Von der Hinweispflicht nach Abs. 1 Nr. 1 ausgenommen ist, wer am 31. Dezember des Vorjahres zehn oder weniger Personen beschäftigt hat.

Der früher vorgeschriebene Link zur EU-Plattform für Online-Streitbeilegung ist dagegen entfallen. Die Verordnung (EU) 2024/3228 hebt die zugrunde liegende Verordnung (EU) Nr. 524/2013 mit Wirkung zum 20. Juli 2025 auf und beendet damit die Plattform samt den daran geknüpften Pflichten. Die IHK Region Stuttgart rät, alle Hinweise aus Impressum, AGB und E-Mail-Signaturen zu entfernen, weil ein Verweis auf eine nicht mehr existierende Plattform als irreführend gewertet werden kann.

Erhebt Ihre Website personenbezogene Daten, etwa über ein Kontaktformular, ein Kundenkonto, einen Newsletter oder Analyse-Tools, müssen Sie die Betroffenen nach Art. 13 DSGVO zum Zeitpunkt der Erhebung informieren, und zwar nach Art. 12 Abs. 1 in präziser, transparenter, verständlicher und leicht zugänglicher Form. Üblich ist eine eigene Seite „Datenschutz“, die wie das Impressum von jeder Seite aus verlinkt ist.

Diese Punkte gehören nach Art. 13 DSGVO hinein:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls seines Vertreters
• Kontaktdaten des Datenschutzbeauftragten, falls einer benannt ist
• Zwecke und Rechtsgrundlage jeder Verarbeitung, bei berechtigtem Interesse auch dieses Interesse
• Empfänger oder Kategorien von Empfängern
• eine etwaige Übermittlung in ein Drittland
• Speicherdauer oder die Kriterien für ihre Festlegung
• die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit
• bei Einwilligungen das Recht, sie jederzeit zu widerrufen
• das Beschwerderecht bei einer Aufsichtsbehörde
• ob die Bereitstellung der Daten vorgeschrieben ist und welche Folgen eine Nichtbereitstellung hätte
• gegebenenfalls automatisierte Entscheidungen einschließlich Profiling

In der Praxis veraltet eine Datenschutzerklärung schnell. Gleichen Sie sie deshalb bei jeder Änderung an Plugins, Formularen oder Tracking mit dem tatsächlichen Stand der Website ab. Ein Generator-Text, der Dienste beschreibt, die Sie gar nicht nutzen, hilft ebenso wenig wie einer, dem neue Tools fehlen.

Dienstleister, die personenbezogene Daten in Ihrem Auftrag verarbeiten, sind Auftragsverarbeiter. Die Datenschutzkonferenz nennt im Kurzpapier Nr. 13 als typische Beispiele unter anderem Cloud-Computing ohne inhaltlichen Datenzugriff und die Betreuung von Kontaktformularen. Mit solchen Dienstleistern brauchen Sie einen Vertrag nach Art. 28 DSGVO, schriftlich oder in elektronischem Format.

§ 25 Abs. 1 TDDDG regelt jeden Zugriff auf das Endgerät der Nutzer: Informationen dürfen dort nur gespeichert oder ausgelesen werden, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Information und Einwilligung richten sich nach der DSGVO. Das betrifft nach der Orientierungshilfe der Aufsichtsbehörden Cookies ebenso wie Web-Storage-Objekte, also Local und Session Storage im Browser.

Ohne Einwilligung ist der Zugriff nach § 25 Abs. 2 TDDDG nur in zwei Fällen zulässig: wenn er allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dient, oder wenn er unbedingt erforderlich ist, damit Sie einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen können, etwa einen Warenkorb.

Was ein Einwilligungsbanner leisten muss

• Keine Vorauswahl: Der Bundesgerichtshof hat mit Urteil vom 28. Mai 2020 (I ZR 7/16, „Cookie-Einwilligung II“) entschieden, dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung in Cookies darstellt.
• Aktive Handlung: Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine unmissverständliche Willensbekundung durch Erklärung oder eindeutige bestätigende Handlung.
• Gleichwertige Ablehnung: Nach der Orientierungshilfe der Aufsichtsbehörden für Anbieter digitaler Dienste (Version 1.2, November 2024) muss die Ablehnung der Zustimmung gleichwertig sein, etwa als Button in vergleichbarer Größe, Farbe, Kontrast und Schrift. Eine Ablehnmöglichkeit auf erster Ebene halten die Aufsichtsbehörden dann für erforderlich, wenn Nutzer mit dem Banner interagieren müssen, um den Besuch der Seite fortzusetzen. Ein Button „Einstellungen oder Ablehnen“, der nur zu einer weiteren Ebene führt, genügt nicht.
• Widerruf so einfach wie Zustimmung: Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf so einfach ist wie die Erteilung. Wird die Einwilligung auf der Website erteilt, muss sie dort auch widerrufen werden können, etwa über einen dauerhaft erreichbaren Link „Cookie-Einstellungen“.

Technisch entscheidend ist die Reihenfolge: Einwilligungspflichtige Skripte dürfen erst nach der Zustimmung laden. Prüfen Sie das in den Entwicklerwerkzeugen Ihres Browsers. Nach dem ersten Aufruf und nach „Ablehnen“ dürfen keine Tracking-Cookies gesetzt und keine Anfragen an Analyse- oder Werbedienste zu sehen sein.

Dienste zur Einwilligungsverwaltung (EinwV)

Seit dem 1. April 2025 gilt die Einwilligungsverwaltungsverordnung. Sie regelt anerkannte Dienste, über die Nutzer ihre Entscheidungen zu Einwilligungen verwalten können. Die Anerkennung erteilt die BfDI als unabhängige Stelle; anerkannte Dienste werden in ein öffentliches Register aufgenommen. Die BfDI-Seite führt einen anerkannten Dienst mit Anerkennung vom 17. Oktober 2025. Für Anbieter digitaler Dienste ist die Einbindung solcher Dienste freiwillig.

Das LG München I hat am 20. Januar 2022 (Az. 3 O 17493/20) einem Websitebesucher 100 Euro Schadensersatz sowie einen Unterlassungsanspruch zugesprochen. Die Website hatte Google Fonts von Google-Servern nachgeladen und dabei die dynamische IP-Adresse des Besuchers an Google übermittelt. Ein berechtigtes Interesse verneinte das Gericht, weil sich die Schriften auch ohne Verbindung zu Google-Servern nutzen lassen.

Die Lehre gilt über Schriftarten hinaus. Jede Ressource, die beim Seitenaufruf von fremden Servern geladen wird – Schriften, Icon-Bibliotheken, Karten, Videos, Chat-Widgets –, übermittelt technisch bedingt die IP-Adresse an den Anbieter. Hosten Sie Schriften und Icons deshalb selbst, binden Sie Karten und Videos erst nach Klick oder Einwilligung ein und beschreiben Sie die verbleibenden Dienste in der Datenschutzerklärung.

Die DSGVO kennt zwei Stufen: Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres nach Art. 83 Abs. 4 DSGVO und bis zu 20 Millionen Euro oder 4 % nach Art. 83 Abs. 5, jeweils der höhere Betrag. Verstöße gegen die Rechte der betroffenen Person nach Art. 12 bis 22, also auch gegen die Informationspflichten aus Art. 13, und gegen die Einwilligungsbedingungen aus Art. 7 fallen in die obere Stufe. Das sind Obergrenzen, keine Regelbeträge.

Wer vorsätzlich oder fahrlässig ohne erforderliche Einwilligung Informationen auf Endgeräten speichert oder ausliest, handelt nach § 28 Abs. 1 Nr. 13 TDDDG ordnungswidrig. Die Geldbuße kann nach § 28 Abs. 2 TDDDG bis zu 300.000 Euro betragen.

Auch das Impressum ist bußgeldbewehrt: Wer die Informationen nach § 5 Abs. 1 DDG nicht, nicht richtig oder nicht vollständig verfügbar hält, handelt nach § 33 Abs. 2 Nr. 1 DDG ordnungswidrig; dafür sieht § 33 Abs. 6 Nr. 3 DDG eine Geldbuße bis zu 50.000 Euro vor. Daneben können Betroffene, wie das Münchner Urteil zeigt, zivilrechtlich Unterlassung und Schadensersatz verlangen.

Gehen Sie die Punkte einmal vollständig durch und wiederholen Sie die Prüfung nach jedem größeren Website-Update.

Nicht Teil dieser Checkliste, aber für viele Websites wichtig: Wenn Sie über Ihre Website Verträge mit Verbrauchern anbahnen, etwa in einem Onlineshop, kann für Dienstleistungen, die nach dem 28. Juni 2025 für Verbraucher erbracht werden, zusätzlich das Barrierefreiheitsstärkungsgesetz gelten; Kleinstunternehmen, die Dienstleistungen erbringen, nimmt § 3 Abs. 3 BFSG von den Barrierefreiheitsanforderungen aus. Auch Impressum, Datenschutzerklärung und Cookie-Banner sollten dann per Tastatur und Screenreader bedienbar sein.

Viele Punkte der Liste sind technische Aufgaben: Schriften lokal einbinden, Skripte erst nach Einwilligung laden, Footer-Links und Banner sauber umsetzen. Wenn Sie dabei Unterstützung möchten, finden Sie unter Leistungen unser Angebot rund um Webentwicklung. Für Fragen zu Ihrer Website erreichen Sie uns über Kontakt.

• § 5 DDG – Allgemeine Informationspflichten (gesetze-im-internet.de)
• Digitale-Dienste-Gesetz (DDG) – Volltext mit Stand-Angabe und Inkrafttreten (gesetze-im-internet.de)
• § 33 DDG – Bußgeldvorschriften (gesetze-im-internet.de)
• IHK für Oberfranken Bayreuth: Telemediengesetz (TMG) ist jetzt Digitale-Dienste-Gesetz (DDG)
• TDDDG – Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten (§§ 25, 28)
• IHK Schwaben: Impressum für Unternehmen – was auf Ihrer Website Pflicht ist
• Medienstaatsvertrag: § 18 Informationspflichten und Auskunftsrechte (gesetze-bayern.de)
• § 36 VSBG – Allgemeine Informationspflicht
• Europäisches Parlament, Legislative Observatory: Zusammenfassung der Verordnung (EU) 2024/3228 (Einstellung der OS-Plattform)
• IHK Region Stuttgart: OS-Plattform zur Streitbeilegung wird eingestellt
• BfDI: DSGVO – BDSG, Texte und Erläuterungen (Stand März 2026) – Art. 4, 7, 12, 13, 83 DSGVO
• BfDI: Basiswissen zum Datenschutz – Informationspflichten
• DSK Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO
• Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten, Version 1.2 (November 2024)
• Bundesgerichtshof, Pressemitteilung Nr. 67/2020: Einwilligung in telefonische Werbung und Cookie-Speicherung (I ZR 7/16)
• LG München I, Endurteil vom 20.01.2022 – 3 O 17493/20 (Google Fonts)
• Einwilligungsverwaltungsverordnung (EinwV), gesetze-im-internet.de
• BfDI: Dienste zur Einwilligungsverwaltung nach § 26 TDDDG
• Barrierefreiheitsstärkungsgesetz (BFSG) – Volltext