Datenschutz und Impressum auf der Website: was wirklich Pflicht ist
Datenschutzerklärung, Impressum, Cookie-Banner: was davon Pflicht ist, welche Angaben Art. 13 DSGVO und § 5 DDG verlangen und warum viele Seiten ein Banner zeigen, das sie gar nicht brauchen.
Datenschutz auf der Website ist kein Text, den man einmal einbaut und dann vergisst. Er besteht aus drei Bausteinen, von denen nur zwei immer Pflicht sind: eine Datenschutzerklärung (Art. 13 DSGVO), ein Impressum (§ 5 DDG) und, je nach eingesetzter Technik, ein Cookie-Banner (§ 25 TDDDG). Online-Shops brauchen darüber hinaus mehr, etwa eine Widerrufsbelehrung.
Das Banner ist der Baustein, den die meisten falsch einschätzen. Es wird erst nötig, wenn deine Seite Cookies oder Tracking einsetzt, die für den Betrieb technisch nicht notwendig sind. Viele Websites könnten also ohne auskommen und zeigen trotzdem eins.
Dieser Artikel sortiert die drei Bausteine, damit du beim Start nichts vergisst. Er ist Orientierung aus der Webdesign-Praxis, keine Rechtsberatung: Was hier steht, ist die sachliche Rechtslage mit Stand Sommer 2026.
Datenschutzerklärung für die Website: Pflichtangaben nach Art. 13 DSGVO
„Ich sammle doch gar keine Daten" ist der häufigste Irrtum beim Thema Datenschutzerklärung. Schon beim ersten Seitenaufruf verarbeitet dein Server personenbezogene Daten: IP-Adressen landen in Server-Logs, ganz ohne Formular und ohne Cookies. Deshalb braucht praktisch jede Website eine Datenschutzerklärung nach Art. 13 DSGVO.
Diese Angaben verlangt Art. 13 DSGVO unter anderem:
Verantwortlicher
wer über die Datenverarbeitung entscheidet, mit Name und Kontaktdaten, und falls einer benannt ist, der Datenschutzbeauftragte.
Zwecke und Rechtsgrundlage
wofür die Daten verarbeitet werden und worauf sich das stützt, etwa Vertragserfüllung, berechtigtes Interesse oder Einwilligung.
Empfänger
wer die Daten außerdem zu sehen bekommt, also Hosting-Anbieter, eingebundene Dienste, Newsletter-Werkzeug.
Übermittlung in Drittländer
ob Daten außerhalb der EU verarbeitet werden und auf welcher Grundlage.
Speicherdauer
wie lange die Daten bleiben, oder nach welchen Kriterien sich das bestimmt.
Rechte der Besucher
Auskunft, Berichtigung, Löschung, Widerspruch und die Beschwerde bei der Aufsichtsbehörde.
Die praktische Regel dahinter: Für jedes Werkzeug auf deiner Seite, also Kontaktformular, Karten-Einbindung, Analyse-Tool, Newsletter, braucht die Erklärung einen passenden Abschnitt. Und sie muss mitwachsen. Wer ein neues Tool einbaut, muss auch die Erklärung anfassen.
Was auf einer Website überhaupt Daten verarbeitet
Abstrakt bleibt das Thema nur so lange, bis du deine eigene Seite durchgehst. Fast immer sind es dieselben fünf Stellen:
Der Server
Jeder Aufruf landet mit IP-Adresse im Log, ohne dass jemand etwas anklickt. Das ist die Stelle, wegen der auch eine reine Visitenkarten-Seite eine Erklärung braucht.
Formulare
Kontakt, Rückruf, Newsletter. Ein einziges Freitextfeld kann alles Mögliche enthalten, bei Heilberufen bis hin zu Gesundheitsdaten. Was daraus folgt, steht im Beitrag zur DSGVO auf der Praxis-Website.
Eingebundene Schriften
Lädt die Seite Google Fonts direkt von Google-Servern, geht die IP-Adresse des Besuchers mit. Liegen die Schriftdateien auf dem eigenen Server, passiert das nicht: Google Fonts selbst hosten.
Karten, Videos, Social-Widgets
Jede Einbettung von fremden Servern ist eine Datenübermittlung, bei vielen Bausteinen schon beim Laden der Seite und nicht erst beim Klick.
Statistik
Hier entscheidet sich, ob du überhaupt ein Banner brauchst. Besucher zählen geht auch ohne Cookies.
Wer diese fünf Punkte für die eigene Seite beantworten kann, hat den Rohstoff für die Datenschutzerklärung beisammen. Der Text formuliert nur aus, was die Technik ohnehin tut.
Das Impressum: Pflichtangaben nach § 5 DDG
Seit Mai 2024 regelt das Digitale-Dienste-Gesetz (DDG) die Impressumspflicht; es hat das alte Telemediengesetz (TMG) abgelöst. Inhaltlich hat sich dabei wenig geändert, nur der Rahmen ist neu. Impressumspflichtig ist praktisch jede geschäftsmäßige Website, also auch die kleine Portfolio-Seite eines Selbstständigen. Ausgenommen sind nur rein private Seiten ohne geschäftlichen Charakter.
Ins Impressum gehören nach § 5 DDG unter anderem:
Name und Rechtsform
dein voller Name bzw. der Unternehmensname samt Rechtsform, bei juristischen Personen auch die Vertretungsberechtigten.
Ladungsfähige Anschrift
eine echte Adresse, unter der Post dich erreicht. Ein Postfach reicht nicht.
Zwei Kontaktwege
eine E-Mail-Adresse plus ein weiterer Weg für schnelle Kontaktaufnahme. Eine Telefonnummer ist dafür üblich, aber nicht mehr zwingend vorgeschrieben.
Register und Steuernummer
falls vorhanden Handelsregister mit Registernummer sowie die Umsatzsteuer-Identifikationsnummer (nicht die normale Steuernummer, die gehört nicht ins Netz).
Berufsspezifisches
für reglementierte Berufe zusätzlich Kammer und gesetzliche Berufsbezeichnung.
Genauso wichtig wie der Inhalt ist die Auffindbarkeit: Das Gesetz verlangt, dass die Angaben „leicht erkennbar, unmittelbar erreichbar und ständig verfügbar" sind. In der Praxis heißt das: ein Link namens „Impressum" im Footer, auf jeder Seite, maximal zwei Klicks entfernt. Ein Impressum, das nur in einem PDF oder hinter einem Menü-Labyrinth liegt, erfüllt das nicht.
Cookie-Banner: wann ja, wann nein
Das Banner ist der am meisten missverstandene Baustein. Die Regel aus § 25 TDDDG ist eigentlich einfach: Eine Einwilligung braucht nur, wer Informationen auf dem Gerät des Besuchers speichert oder ausliest, die für den Betrieb der Seite nicht technisch notwendig sind. Also: Tracking-Cookies, Marketing-Pixel, Analyse-Tools mit Cookies → Banner nötig, und zwar bevor die Daten fließen. Nur technisch notwendige Cookies (etwa ein Warenkorb oder ein Login) → kein Banner, die Cookies gehören aber in die Datenschutzerklärung.
Daraus folgt eine Design-Entscheidung, die ich bei meinen eigenen Projekten konsequent treffe: Seiten ohne Tracking bauen. Besucherzahlen lassen sich auch cookielos und anonym zählen; genau so mache ich es auf dieser Website. Das Ergebnis ist keine juristische Spitzfindigkeit, sondern bessere Nutzererfahrung: kein Banner, kein Klick-Hindernis, kein Absprung im ersten Moment. Wie so ein Aufbau von Grund auf aussieht, zeigt der Guide Webseite selbst erstellen.
Häufige Praxis-Fehler
Aus Projekten und Website-Checks zeigen sich immer wieder dieselben Bilder: Das Impressum fehlt auf Unterseiten oder Landingpages, die außerhalb der Hauptnavigation laufen. Die Anschrift ist ein Postfach. Die Datenschutzerklärung stammt aus einem Generator von vor drei Jahren und kennt das aktuelle Kontaktformular nicht. Oder umgekehrt: Die Seite zeigt ein volles Consent-Banner, obwohl sie gar keine einwilligungspflichtigen Cookies setzt, und verschenkt damit grundlos Besucher.
Rechtstexte sind kein Einmal-Projekt, sondern Teil des Website-Betriebs. Deshalb sind die Impressum- und Datenschutz-Seiten bei meinen Webseiten von Anfang an technisch eingerichtet, und wenn später ein neues Formular oder Tool dazukommt, sage ich Bescheid, dass die Erklärung angepasst werden muss. Die Texte selbst und ihre inhaltliche Prüfung bleiben Sache von Anwalt oder Datenschutzbeauftragtem; das saubere Einbauen und Aktuell-Halten auf der Seite übernehme ich.
Übrigens gilt seit Ende Juni 2025 mit dem Barrierefreiheitsstärkungsgesetz für bestimmte Angebote an Verbraucher, vor allem Online-Shops und Buchungsfunktionen, eine weitere Pflicht neben den Rechtstexten. Was dahintersteckt, steht im Beitrag zur Barrierefreiheits-Pflicht für Websites.
Häufige Fragen
Was muss in eine Datenschutzerklärung?
Nach Art. 13 DSGVO unter anderem: wer verantwortlich ist (mit Kontaktdaten), zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeitet wird, wer die Daten empfängt, ob sie in Drittländer gehen, wie lange sie gespeichert bleiben und welche Rechte Besucher haben.
Brauche ich ein Cookie-Banner?
Nur wenn deine Seite Cookies oder Tracking einsetzt, die technisch nicht notwendig sind (§ 25 TDDDG). Eine Seite ohne Tracking braucht kein Banner; technisch notwendige Cookies gehören trotzdem in die Datenschutzerklärung.
Braucht jede Website ein Impressum?
Jede geschäftsmäßige Website ja, auch die kleine Portfolio-Seite eines Selbstständigen. Ausgenommen sind nur rein private Seiten ohne geschäftlichen Charakter (§ 5 DDG).
Reicht eine Datenschutzerklärung aus dem Generator?
Ein Generator liefert eine Basis. Entscheidend ist, dass die Erklärung zur konkreten Seite passt und aktuell bleibt: Jedes Formular, Analyse-Tool oder eingebundene Widget braucht einen passenden Abschnitt. Die inhaltliche Prüfung gehört zu Anwalt oder Datenschutzbeauftragtem.
Pappelbaum Design
Deine eigene Website — ab 49 €/Monat
Professionelles Webdesign, persönlich gebaut und ohne Agenturumweg — vom Onepager bis zum Relaunch. 549 € Einrichtungsgebühr, dann 49 €/Monat, monatlich kündbar. Der erste Schritt kostet nichts.