Impressum und Datenschutz für kleine Betriebe: Was wirklich Pflicht ist

Impressum und Datenschutzerklärung sind die beiden Seiten, die fast jede Website braucht und die trotzdem oft falsch sind: abgeschrieben von einem Nachbarbetrieb, mit Platzhaltern, mit Diensten, die es auf der eigenen Seite gar nicht gibt. Dieser Artikel sagt, was das Gesetz verlangt, wo es nur Faustregeln gibt und wann Sie besser jemanden fragen.

Er ersetzt keine Rechtsberatung. Er fasst zusammen, was in Gesetzen, Gerichtsurteilen und Hinweisen der Aufsichtsbehörden steht, Stand 1. Oktober 2026.

Wer braucht ein Impressum?

Das Gesetz spricht von „geschäftsmäßigen, in der Regel gegen Entgelt angebotenen digitalen Diensten“ (§ 5 Abs. 1 DDG). Für die Website eines Betriebs, einer Praxis oder eines Selbstständigen trifft das zu, auch wenn Sie über die Seite nichts verkaufen. Das Digitale-Dienste-Gesetz hat im Mai 2024 das Telemediengesetz abgelöst; die meisten Angaben sind gleich geblieben.

Für Vereine und andere Anbieter ohne wirtschaftliche Tätigkeit gilt eine Grundregel im Medienstaatsvertrag: Wer Telemedien anbietet, die nicht ausschließlich persönlichen oder familiären Zwecken dienen, muss nach § 18 Abs. 1 MStV mindestens Name und Anschrift nennen, bei juristischen Personen auch den Vertretungsberechtigten. Ein Verein nennt also Vereinsnamen, Anschrift und Vorstand, leicht erkennbar und ständig erreichbar.

Das Impressum muss „leicht erkennbar und unmittelbar erreichbar“ sein und „ständig verfügbar“ (§ 5 Abs. 1 DDG). In der Praxis heißt das: ein Link im Fuß jeder Seite, der „Impressum“ heißt.

Was ins Impressum gehört

§ 5 Abs. 1 DDG nennt die Pflichtangaben. Für einen Einzelunternehmer oder einen kleinen Betrieb sind es in der Regel diese:

• Name und Anschrift, unter der Sie niedergelassen sind. Bei einer GmbH zusätzlich Rechtsform, Vertretungsberechtigte und, wenn Sie Angaben zum Kapital machen, das Stammkapital.
• Zwei Wege zur schnellen Kontaktaufnahme, darunter die E-Mail-Adresse. Dazu unten mehr.
• Handelsregister und Registernummer, wenn Sie eingetragen sind. Ohne Eintrag entfällt die Angabe.
• Umsatzsteuer-Identifikationsnummer oder Wirtschafts-Identifikationsnummer, wenn Sie eine haben. Die Steuernummer vom Finanzamt ist damit nicht gemeint und gehört nicht ins Impressum.
• Aufsichtsbehörde, wenn Ihre Tätigkeit einer behördlichen Zulassung bedarf.
• Kammer, Berufsbezeichnung und berufsrechtliche Regelungen, wenn Sie einen reglementierten Beruf ausüben (§ 5 Abs. 1 Nr. 5 DDG). Ob Ihr Gewerk dazu zählt, erfahren Sie bei Ihrer Handwerkskammer oder Kammer.

Wer das nicht oder nicht richtig angibt, handelt ordnungswidrig. Das Gesetz sieht dafür Geldbußen bis zu 50.000 Euro vor (§ 33 Abs. 2 Nr. 1 und Abs. 6 Nr. 3 DDG). Das ist der Rahmen, nicht der Normalfall, aber ein guter Grund, die fünf Minuten für die Angaben zu investieren.

Telefonnummer: Pflicht oder nicht?

Ein Missverständnis hält sich hartnäckig: Im Impressum müsse eine Telefonnummer stehen. Das Gesetz verlangt Angaben, die „eine schnelle elektronische Kontaktaufnahme und eine unmittelbare Kommunikation“ ermöglichen, „einschließlich der Adresse für die elektronische Post“.

Der Europäische Gerichtshof hat dazu 2008 entschieden: Die Informationen „müssen nicht zwingend eine Telefonnummer umfassen“. Sie können eine elektronische Anfragemaske betreffen, auf die der Anbieter per E-Mail antwortet. Anders sei es, wenn ein Nutzer keinen Zugang zum Netz hat und um einen nichtelektronischen Weg bittet; den muss der Anbieter dann anbieten (EuGH C-298/07).

Die Anfragemaske genügt aber nur, wenn die Kommunikation „effizient“ ist. Das heißt nach dem Urteil nicht, dass jede Anfrage sofort beantwortet wird. Der Nutzer muss jedoch „angemessene Informationen innerhalb einer Frist“ erhalten, „die mit seinen Bedürfnissen oder berechtigten Erwartungen vereinbar ist“ (Rn. 30). Im entschiedenen Fall antwortete der Anbieter nach den Akten innerhalb von 30 bis 60 Minuten; unter dieser Voraussetzung hielt das Gericht die Anfragemaske für ausreichend (Rn. 35). Eine allgemeine Höchstfrist nennt das Urteil nicht. Wer Anfragen erst nach einem Tag oder später beantwortet, liegt über dem entschiedenen Fall. Ob die Maske dann noch genügt, hat das Gericht nicht entschieden.

Für Verträge mit Verbrauchern hat der EuGH 2019 nachgelegt: Ein Unternehmer muss keinen Telefonanschluss neu einrichten, um Verbrauchern eine Nummer nennen zu können. Er muss ihnen aber einen Kommunikationsweg bieten, der direkte und effiziente Kommunikation ermöglicht; ein Kontaktformular kann dazu gehören. Hat er eine Telefonnummer und nutzt sie mit Verbrauchern, muss er sie angeben (EuGH C-649/17).

Nicht alle Merkblätter sehen das so. Das Merkblatt der IHK Dresden nennt die Telefonnummer für Online-Händler als Pflicht. Wer ausschließlich an Privatpersonen verkauft, sollte das im Zweifel mit Kammer oder Rechtsanwalt klären. Die einfachste Lösung für viele Betriebe: die Nummer nennen, unter der Sie ohnehin erreichbar sind.

Was Sie sich sparen können

• Haftungsausschluss für Links. Die IHK-Checkliste für rechtssichere Webseiten weist darauf hin, dass ein Disclaimer die Haftung nicht pauschal ausschließen kann. Verlangt wird er von § 5 DDG nicht.
• Den Link zur EU-Plattform für Online-Streitbeilegung. Die Plattform ist am 20. Juli 2025 abgeschaltet worden. Wer noch darauf verweist, verweist auf etwas, das nicht mehr existiert. Prüfen Sie Impressum und Geschäftsbedingungen.
• Ein Foto, Ihr Geburtsdatum, Ihre Steuernummer. Nichts davon steht im Gesetz.

Verbraucherstreitbeilegung

Anders als die OS-Plattform besteht die Pflicht nach § 36 Verbraucherstreitbeilegungsgesetz weiter: Wer eine Website unterhält oder Allgemeine Geschäftsbedingungen verwendet, muss Verbraucher informieren, ob er bereit ist, an einem Schlichtungsverfahren teilzunehmen. Ausgenommen von dieser Hinweispflicht ist, wer am 31. Dezember des Vorjahres zehn oder weniger Personen beschäftigt hat (§ 36 Abs. 3 VSBG). Wer zur Teilnahme verpflichtet ist oder sich dazu verpflichtet hat, muss außerdem die zuständige Schlichtungsstelle mit Anschrift und Webseite nennen; diese Pflicht nimmt die Ausnahme für kleine Betriebe nicht aus (§ 36 Abs. 1 Nr. 2 und Abs. 3 VSBG). Weil die Beschäftigtenzahl zum 31. Dezember entscheidet, prüfen Sie den Satz im Impressum einmal im Jahr.

Wenn Sie Inhalte veröffentlichen

Bietet eine Website „journalistisch-redaktionell gestaltete Angebote“ an, muss nach § 18 Abs. 2 Medienstaatsvertrag zusätzlich zu den Angaben nach dem Digitale-Dienste-Gesetz ein Verantwortlicher mit Name und Anschrift genannt werden. Das Gesetz denkt dabei vor allem an Angebote, die Inhalte periodischer Druckerzeugnisse wiedergeben. Ob ein Firmenblog oder ein Ratgeberbereich darunter fällt, hängt vom Einzelfall ab; im Zweifel nennen Sie sicherheitshalber einen Verantwortlichen. Als Verantwortlicher darf nur benannt werden, wer:

• seinen ständigen Aufenthalt im Inland hat,
• die Fähigkeit, öffentliche Ämter zu bekleiden, nicht durch Richterspruch verloren hat,
• unbeschränkt geschäftsfähig ist und
• unbeschränkt strafrechtlich verfolgt werden kann.

Für eine Firmenseite mit ein paar Fachartikeln wird das in der Regel der Inhaber sein.

Datenschutzerklärung: Was sie leisten muss

Die Datenschutzgrundverordnung gilt für jede Website, die auch nur eine IP-Adresse verarbeitet, also für praktisch jede. Nur rein private Seiten ohne jeden Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit sind ausgenommen, und die Niedersächsische Aufsichtsbehörde macht klar: Schon die Auffindbarkeit über Suchmaschinen genügt, damit die Ausnahme entfällt. Es spielt keine Rolle, ob Sie gewerblich, freiberuflich oder als Verein handeln.

Die Datenschutzerklärung erfüllt die Informationspflicht nach Art. 13 DSGVO. Die Niedersächsische Behörde zählt auf, was sie enthalten muss. Für eine kleine Betriebsseite kommt es auf diese Punkte an:

• Wer ist verantwortlich? Name und Kontaktdaten, meist wie im Impressum.
• Welche Daten, wofür, auf welcher Grundlage? Zum Beispiel Server-Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Seite), Anfragen über das Kontaktformular, E-Mails.
• Wer bekommt die Daten? Hosting-Anbieter, E-Mail-Dienst, eingebundene Dienste.
• Wie lange werden sie gespeichert?
• Welche Rechte haben Besucher? Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit und das Recht, sich bei einer Aufsichtsbehörde zu beschweren. In Sachsen ist das die Sächsische Datenschutz- und Transparenzbeauftragte in Dresden.

Zwei Sätze der Aufsicht sind wichtiger als jede Vorlage. Erstens: Die Informationen „müssen der konkreten Ausgestaltung der Webseite oder App entsprechen.“ Es ist darüber zu informieren, ob Cookies von Dritten gesetzt werden, ob Inhalte anderer Seiten eingebunden sind (etwa Schriften, Karten, Videos) und ob Besucher selbst Daten eingeben, etwa über ein Kontaktformular. Zweitens: Art. 12 DSGVO verlangt eine „klare und einfache Sprache“.

Ein Generator kann den Anfang machen. Er kann aber nicht wissen, welche Dienste Ihre Seite lädt. Wer eine Erklärung übernimmt, muss jeden Absatz gegen die eigene Seite prüfen und streichen, was nicht zutrifft.

Einen Datenschutzbeauftragten müssen Sie nur benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG), oder wenn Sie Verarbeitungen vornehmen, die eine Datenschutz-Folgenabschätzung erfordern. Für die meisten Kleinbetriebe entfällt das.

Mit Dienstleistern, die in Ihrem Auftrag Daten verarbeiten, etwa Hosting oder ein Terminbuchungssystem, schließen Sie einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Fragen Sie den Anbieter danach; üblicherweise stellt er einen solchen Vertrag bereit.

Kontaktformular richtig umsetzen

Ein Kontaktformular ist der häufigste Fall, in dem Besucher selbst Daten eingeben. Drei Punkte genügen:

• Verschlüsselt senden. Laut Niedersächsischer Aufsicht dürfen eingegebene Daten nur verschlüsselt übertragen werden, also über HTTPS.
• Nur fragen, was Sie brauchen. Name, E-Mail, Nachricht. Wenn Sie einen Rückruf anbieten, die Nummer freiwillig.
• Im Text erklären, was passiert. Ein Satz am Formular mit Link zur Datenschutzerklärung, und dort steht, wie lange Sie Anfragen aufbewahren.

Cookie-Banner: Wann Sie einen brauchen

Der Banner ist kein Pflichtbestandteil jeder Website. § 25 TDDDG verlangt eine Einwilligung, wenn Informationen auf dem Gerät des Besuchers gespeichert oder dort ausgelesen werden. Davon gibt es eine Ausnahme: wenn das „unbedingt erforderlich“ ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann (§ 25 Abs. 2 Nr. 2 TDDDG).

Ohne Einwilligung geht:

• technisch notwendige Speicherung, etwa ein Sitzungscookie für einen Login
• Schriften, die auf Ihrem eigenen Server liegen

Mit Einwilligung, und zwar vor dem Laden:

• Besucherstatistik wie Google Analytics. Die sächsische Aufsicht hat im Mai 2024 rund 30.000 sächsische Websites untersucht und 2.300 Betreiber angeschrieben, weil sie Google Analytics ohne ausreichende Einwilligung nutzten. Drohende Folge bei Nichtbeachtung nach erneuter Prüfung: ein förmliches Verwaltungsverfahren. Bis Oktober 2024 war die Zahl der beanstandeten Seiten nach Angaben der Behörde um 65 Prozent gesunken (von 2.304 auf 803); wer weiterhin ohne Einwilligung trackte, musste mit Sanktionen rechnen.
• Werbe- und Tracking-Dienste allgemein.

Bei eingebetteten Schriften hat die sächsische Aufsicht 2022 geraten, auf dynamisch eingebundene Web-Schriften zu verzichten und sie lokal zu hosten. Bei jedem Seitenaufruf würden sonst IP-Adressen und Gerätedaten an den Schrift-Server übertragen. Auslöser war ein Urteil des Landgerichts München I vom 20. Januar 2022 zu Google Fonts.

Bei Karten, Videos und Social-Media-Plugins verlangt die Niedersächsische Aufsicht, dass Sie in der Datenschutzerklärung darauf hinweisen und § 25 TDDDG prüfen. Eine pragmatische Lösung: Karte und Video erst nach einem Klick laden oder nur verlinken.

Wer die Seite so baut, dass sie nichts davon braucht, braucht auch keinen Banner und hat weniger zu erklären. Wenn doch einer nötig ist, gelten strenge Regeln für seine Gestaltung. Verdeckt der Banner Inhalte, sodass Besucher ihn beantworten müssen, darf die Ablehnung nicht mehr Aufwand machen als die Zustimmung; ein „Einstellungen“-Knopf auf der ersten Ebene und das Ablehnen erst dahinter gelten den Aufsichtsbehörden als Mehraufwand. Auch der Widerruf muss so einfach sein wie die Einwilligung. So steht es in der Orientierungshilfe der Datenschutzkonferenz für digitale Dienste (Version 1.2, November 2024).

Die häufigsten Fehler

• Platzhalter wie „[Name]“ oder „Musterstraße“ im Text
• Impressum nur von der Startseite verlinkt oder nur im Menü versteckt
• Noch ein Hinweis auf die abgeschaltete OS-Plattform
• Kein zweiter Kontaktweg neben der E-Mail-Adresse
• Datenschutzerklärung nennt Analytics, Facebook-Pixel oder YouTube, die Website lädt sie aber nicht (oder umgekehrt)
• Schriften von einem fremden Server geladen, ohne Einwilligung
• Kontaktformular ohne HTTPS
• Angaben aus der Zeit vor einem Umzug, einer Umfirmierung oder einem Rechtsformwechsel

Wann Sie jemanden fragen sollten

Für die Standardfälle reichen Merkblätter Ihrer Kammer. IHK und Handwerkskammern beantworten Fragen zum Impressum für ihre Mitglieder. Zu einem Rechtsanwalt mit Schwerpunkt Datenschutz oder IT-Recht gehen Sie, wenn Sie Gesundheitsdaten verarbeiten, Newsletter versenden, einen Online-Shop betreiben, Mitarbeiterfotos veröffentlichen oder eine Abmahnung bekommen haben.

Wer eine Website bauen lässt, sollte vorher klären, wer die Rechtstexte verantwortet. Der Dienstleister bindet sie technisch ein. Verantwortlich für den Inhalt bleiben Sie als Betreiber.