1. Vier konkrete Pflichten eines Webseitenverantwortlichen

1.1 Anbieterkennzeichnung und Pflichtinformationen

Der Verantwortliche muss prüfen, ob die Webseite ein Impressum nach § 5 des Digitale-Dienste-Gesetzes (DDG, bis Mai 2024: § 5 TMG) und gegebenenfalls nach § 18 des Medienstaatsvertrags (MStV) benötigt. Es muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Je nach Angebot sind insbesondere erforderlich:

• Name beziehungsweise Firma
• ladungsfähige Anschrift
• vertretungsberechtigte Person
• Kontaktdaten
• Register- und Umsatzsteuerangaben
• gegebenenfalls berufsrechtliche Informationen

Bei einem Onlineshop kommen umfangreiche Verbraucherinformationen hinzu, etwa zu Preisen, Versandkosten, Zahlung, Lieferung, Gewährleistung und Widerrufsrecht. Seit dem 19.06.2026 ist zusätzlich eine elektronische Widerrufsfunktion („Vertrag widerrufen“) nach § 356a BGB vorzuhalten. Für Angebote an Verbraucher sind außerdem die Barrierefreiheitsanforderungen des Barrierefreiheitsstärkungsgesetzes (BFSG) zu prüfen, die seit dem 28.06.2025 gelten.

1.2 Datenschutz

Der Betreiber muss transparent darüber informieren, welche personenbezogenen Daten verarbeitet werden. Dazu gehören beispielsweise:

• Serverprotokolldaten
• Kontaktformularangaben
• Bestell- und Kundendaten
• Newsletterdaten
• Analyse- und Marketingdaten
• Datenübermittlungen an externe Anbieter

Für jede Verarbeitung muss eine tragfähige Rechtsgrundlage bestehen (Art. 6 DSGVO). Außerdem sind Betroffenenrechte, Speicherdauer, Empfänger und gegebenenfalls Drittlandübermittlungen zu berücksichtigen (Art. 13 DSGVO).

1.3 Cookies und externe Dienste

Vor dem Einsatz von Cookies oder vergleichbaren Technologien ist zu prüfen, ob diese technisch unbedingt erforderlich sind. Nach § 25 TDDDG ist die Speicherung von Informationen auf einem Endgerät oder der Zugriff auf dort gespeicherte Informationen grundsätzlich einwilligungsbedürftig. Ausgenommen sind insbesondere Vorgänge, die unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann (§ 25 Abs. 2 Nr. 2 TDDDG).

Dies betrifft nicht nur klassische Cookies, sondern gegebenenfalls auch:

• Local Storage
• Tracking-Pixel
• Geräte-Fingerprinting
• eingebettete Karten
• Videos
• Social-Media-Plugins
• Analyse- und Werbedienste

1.4 Technische Sicherheit

Der Betreiber muss die Webseite dem Risiko angemessen absichern (Art. 32 DSGVO, § 19 Abs. 4 TDDDG). Dazu gehören insbesondere:

• regelmäßige Sicherheitsupdates
• sichere Passwörter und Mehrfaktor-Authentisierung
• minimale Benutzerrechte
• verschlüsselte Übertragung mittels TLS
• regelmäßige, getrennte Datensicherungen
• Protokollierung und Überwachung
• Schutz des Administrationsbereichs
• Notfall- und Wiederherstellungsplanung

Die bloße Installation eines CMS genügt nicht. Auch Themes, Plugins, Server, Datenbanken und Benutzerkonten müssen laufend gepflegt werden.