Impressum und Datenschutzerklärung für die eigene Website

Maßgeblich ist § 5 Digitale-Dienste-Gesetz (DDG, seit 2024 Nachfolger des TMG). Er gilt für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste. Entscheidend ist nicht der Umsatz, sondern die Ausrichtung: Wer Leistungen darstellt, Kontakt für Aufträge anbietet oder Werbung schaltet, handelt geschäftsmäßig. Rein private Seiten ohne jeden geschäftlichen Bezug bleiben außen vor – diese Ausnahme ist enger, als viele annehmen.

Die Pflicht gilt gleichermaßen für Landingpages, Blogs, Onlineshops und geschäftliche Profile in sozialen Netzwerken. Bei Profilen genügt ein klar bezeichneter Link auf das Impressum der eigenen Website, sofern er ohne Suche auffindbar ist.

• Vollständiger Name beziehungsweise Firmierung inklusive Rechtsformzusatz
• Ladungsfähige Anschrift – ein Postfach genügt nicht
• Vertretungsberechtigte Personen bei Gesellschaften (Geschäftsführung, Vorstand)
• E-Mail-Adresse und ein zweiter Weg zur schnellen Kontaktaufnahme
• Register und Registernummer, sofern eingetragen (Handels-, Vereins-, Partnerschaftsregister)
• Umsatzsteuer-Identifikationsnummer, falls vorhanden – die Steuernummer gehört nicht ins Impressum
• Bei reglementierten Berufen: Kammer, Berufsbezeichnung, Verleihungsstaat, berufsrechtliche Regelungen
• Bei journalistisch-redaktionellen Inhalten: verantwortliche Person nach § 18 Abs. 2 MStV

Das Impressum muss von jeder Seite aus mit maximal zwei Klicks erreichbar und eindeutig bezeichnet sein. „Impressum“ oder „Kontakt und Impressum“ sind sichere Bezeichnungen; kreative Alternativen sind es nicht. Welche Angaben du brauchst, hängt an deiner Rechtsform – die Unterschiede zeigt der Rechtsform-Finder.

Die Informationspflichten stehen in Art. 13 und 14 DSGVO. Die Erklärung beschreibt nicht abstrakt Datenschutz, sondern konkret deine Verarbeitungen. Der schnellste Weg zu einem brauchbaren Text ist deshalb eine Bestandsaufnahme: Welche Dienste laufen tatsächlich auf der Seite?

1. Verantwortlicher mit Kontaktdaten, gegebenenfalls Datenschutzbeauftragter
2. Server-Logfiles beim Hoster inklusive Rechtsgrundlage und Speicherdauer
3. Kontaktformular, Terminbuchung, Newsletter – je mit Zweck und Aufbewahrung
4. Cookies und Analyse- oder Marketingdienste, jeweils mit Einwilligungsbezug
5. Schriftarten, Karten, Videos und Zahlungsdienstleister als eigene Empfänger
6. Drittlandtransfers und die dafür genutzte Grundlage
7. Betroffenenrechte, Widerspruch, Widerruf, Beschwerderecht bei der Aufsichtsbehörde

Zwei Punkte werden regelmäßig übersehen: Google Fonts oder ähnliche Ressourcen, die vom fremden Server geladen werden, und ein Consent-Banner, das Dienste bereits vor der Einwilligung startet. Beides ist ein technisches, kein Textproblem – ein perfekter Datenschutztext heilt es nicht.

Mit Hoster, Newsletter-Tool, Terminsoftware und Analysedienst brauchst du in der Regel einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die meisten Anbieter stellen ihn im Kundenkonto zum Abschluss bereit; erledigt ist das in wenigen Minuten pro Dienst.

Zusätzlich verlangt Art. 30 DSGVO ein Verzeichnis von Verarbeitungstätigkeiten. Die viel zitierte Ausnahme für Unternehmen unter 250 Beschäftigten greift praktisch nie, weil die Verarbeitung regelmäßig erfolgt. Eine Tabelle mit Zweck, Datenkategorien, Empfängern, Löschfristen und Maßnahmen reicht als Format aus.

Selbst schreiben kostet nur Zeit und zwingt dich, die eigenen Verarbeitungen zu verstehen. Ohne Vorkenntnisse dauert es realistisch einen Arbeitstag, und die Aktualisierung bleibt vollständig bei dir. Für eine sehr einfache Seite ohne externe Dienste ist es vertretbar.

Ein Generator deckt Standardfälle strukturiert ab und ist der übliche Weg für eine Website mit Hosting, Kontaktformular und einer Handvoll gängiger Dienste. Der Nutzen steht und fällt mit deinen Eingaben: Nicht angegebene Dienste tauchen im Text nicht auf. Achte auf einen Update-Service, sonst veraltet der Text mit der nächsten Rechtsprechung.

Anwaltliche Erstellung oder Prüfung ist die richtige Wahl, sobald der Fall vom Standard abweicht – und zwar unabhängig davon, dass sie teurer ist. Klare Anlässe: Onlineshop mit Versand ins Ausland, Verarbeitung von Gesundheits- oder anderen besonderen Datenkategorien, Tracking über mehrere Domains, eigene App, Plattform mit Nutzerkonten oder nutzergenerierten Inhalten, Beschäftigtendaten in größerem Umfang, reglementierte Berufe mit eigenen Verschwiegenheitspflichten. In diesen Fällen ist ein Generatortext der falsche Weg, auch wenn er schneller fertig wäre.

Eine Zwischenlösung funktioniert gut: Text per Generator erstellen, dann einmalig anwaltlich prüfen lassen. Das begrenzt die Kosten und fängt die Lücken ab. Wie sich solche Posten in die Startkalkulation einfügen, rechnest du im Kapitalbedarf-Rechner durch.

• Impressum nur auf der Startseite verlinkt statt sitewide im Footer
• Rechtsformzusatz oder Vertretungsberechtigte fehlen
• Datenschutzerklärung nennt Dienste, die gar nicht laufen – oder umgekehrt
• Consent-Banner lädt Analyse- und Marketingdienste vor der Einwilligung
• Kein Ablehnen-Button auf derselben Ebene wie das Akzeptieren
• Fehlender Auftragsverarbeitungsvertrag mit dem Hoster
• Umzug oder Firmierungswechsel nicht in den Rechtstexten nachgezogen

1. Alle eingesetzten Dienste und Empfänger auflisten
2. Impressumsangaben anhand der Rechtsform zusammenstellen
3. Datenschutzerklärung anhand der Liste erstellen oder erstellen lassen
4. Auftragsverarbeitungsverträge abschließen
5. Verarbeitungsverzeichnis als Tabelle anlegen
6. Consent-Banner technisch prüfen: Nichts lädt vor der Einwilligung
7. Beide Seiten sitewide im Footer verlinken
8. Termin für die jährliche Prüfung setzen

Wenn Kundenverträge und AGB als Nächstes anstehen, geht es im Ratgeber Kundenverträge & AGB weiter.