Impressum, Cookie-Banner, Barrierefreiheit, KI-Kennzeichnung, Produktangaben im Shop: Die Zahl der Regeln, die an einer Unternehmens-Website hängen, ist in den letzten vier Jahren deutlich gewachsen, und die Fristen liegen inzwischen hinter uns statt vor uns. Für Mittelständler ist das weniger ein juristisches als ein Organisationsproblem — niemand hat einen Überblick, wer im Haus wofür zuständig ist. Dieser Beitrag listet den Stand zum 30. September 2026 auf, getrennt nach dem, was jede Website betrifft, und dem, was zusätzlich für Webshops gilt.
1. Vorweg: Was dieser Beitrag ist und was nicht
Jede Unternehmenswebsite unterliegt 2026 einem Bündel rechtlicher Pflichten: Impressum, Datenschutz, Cookie-Einwilligung, Barrierefreiheit und seit August auch KI-Transparenz. Dieser Beitrag fasst die wichtigsten Pflichten für Website- und Shop-Betreiber zusammen, damit Sie wissen, worüber Sie mit Ihrem Anwalt sprechen müssen und was Ihre Agentur technisch umsetzen kann. Wir sind eine WordPress-Agentur, keine Kanzlei. Jede Angabe ist verlinkt. Wo unsere Recherche keine belastbare Quelle fand, steht das ausdrücklich dort.
2. Impressum: § 5 DDG statt § 5 TMG
Ersetzen Sie jeden Verweis auf „§ 5 TMG“ oder das TTDSG sofort durch § 5 DDG. Die Kanzlei Härting beschreibt, dass die frühere Regelung seit dem Inkrafttreten des Digitale-Dienste-Gesetzes (DDG) im Mai 2024 in § 5 DDG steht und inhaltlich unverändert geblieben ist. Die IHK Nürnberg für Mittelfranken weist darauf hin, dass Verweise auf nicht mehr existierende Gesetze abgemahnt werden können.
Zu den Mindestangaben zählt e-recht24 Name des Betreibers, eine ladungsfähige Anschrift und Kontaktdaten. Für Personengesellschaften und Kammerberufe kommen weitere Angaben hinzu; Rechtsgrundlage ist neben dem DDG auch § 18 Medienstaatsvertrag.
3. Rechtliche Pflichten Website: Cookies und Einwilligung nach § 25 TDDDG
Ohne aktive Einwilligung dürfen keine nicht notwendigen Cookies gesetzt werden. Nach § 25 TDDDG ist für alle nicht notwendigen Cookies und vergleichbaren Zugriffe auf das Endgerät eine aktive Einwilligung erforderlich. Die IHK Köln hält fest, dass unter digitale Dienste auch einfache Webseiten mit Informationen über ein Unternehmen fallen.
Neu ist der Weg neben dem Banner. Die IT-Recht Kanzlei beschreibt, dass die Bundesregierung mit der Einwilligungsverwaltungsverordnung (EinwV) vom 20.12.2024 einen Rahmen für zentrale Nutzerpräferenzen geschaffen hat. Die Verordnung trat am 1. April 2025 in Kraft. Weil die Einbindung freiwillig ist, könnten Anbieter weiterhin auf herkömmliche Banner setzen. Prüfen Sie, ob Ihr Banner wirklich blockiert, bevor eingewilligt wurde. Der häufigste Fehler in unseren Audits ist ein Banner, hinter dem das Tracking längst läuft.
4. Barrierefreiheit: BFSG seit dem 28. Juni 2025
Die IHK Region Stuttgart fasst zusammen, dass seit dem 28. Juni 2025 elektronische Dienstleistungen über Websites erfasst sind und sich die Anforderungen auf die AA-Standards der WCAG 2.1 beziehen.
Die Bundesfachstelle Barrierefreiheit hält fest, dass Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens 2 Millionen Euro Jahresumsatz ausgenommen sind, soweit sie Dienstleistungen anbieten. Die Schwellen gelten kumulativ. Zudem gilt das BFSG nur für den B2C-Bereich.
Wer betroffen ist, sollte sich nicht auf ein Overlay-Werkzeug verlassen. Kontrast, Tastaturbedienbarkeit, Formularbeschriftungen, Fokusreihenfolge: Das steckt im Theme und in den Templates, nicht in einem nachträglich geladenen Skript.
5. KI-Transparenz: Artikel 50 AI Act ist seit August 2026 anwendbar
Auch kleine Unternehmen sind betroffen, sobald sie KI-generierte Inhalte veröffentlichen oder einen Chatbot einsetzen. Haufe berichtet, dass die Transparenzpflichten wie geplant ab dem 2. August 2026 gelten. Für die maschinenlesbare Markierung generativer KI greift eine Übergangsfrist bis zum 2. Dezember 2026.
Konkret: Inventarisieren Sie alle Stellen Ihrer Website, an denen KI im Einsatz ist. Kennzeichnen Sie jeden KI-generierten Inhalt sichtbar. Stellen Sie bei Chatbots sicher, dass der Nutzer vor Gesprächsbeginn erfährt, dass er mit einer KI spricht. Bereiten Sie bis Dezember 2026 die maschinenlesbare Markierung vor, etwa über C2PA-Metadaten. So fasst es auch eine Praxisdarstellung zu Artikel 50 zusammen.
6. Urheberrecht, Bildrechte und KI-generierte Bilder
Für jedes Bild auf Ihrer Website brauchen Sie eine klare Lizenzgrundlage. Bei KI-generierten Bildern entsteht nach herrschender juristischer Einschätzung kein Urheberrecht, weil eine persönliche geistige Schöpfung fehlt. Sie können sich also nicht auf eigenen Schutz berufen, müssen aber prüfen, ob das KI-Modell geschütztes Trainingsmaterial reproduziert hat. Dokumentieren Sie für jedes KI-generierte Bild Tool, Prompt und Erstellungsdatum. Verzichten Sie auf KI-Bilder, die erkennbar bestehende Werke, Marken oder Persönlichkeiten nachahmen, und kennzeichnen Sie sie sichtbar (siehe Abschnitt 5).
7. Shop, Teil 1: Widerrufsrecht und Widerrufsbutton
Webshops müssen seit dem 19. Juni 2026 einen Widerrufsbutton bereitstellen. Bei online geschlossenen Verträgen besteht nach ordnungsgemäßer Widerrufsbelehrung innerhalb von vierzehn Tagen eine Widerrufsmöglichkeit nach §§ 312g, 355 BGB. Fehlerhafte Belehrungen verlängern diese Frist.
Platzieren Sie einen deutlich beschrifteten Button („Widerruf“ oder „Vertrag widerrufen“) im eingeloggten Kundenbereich, ohne Scrollen erreichbar. Dahinter muss ein Formular liegen, das die Vertragsdaten vorausfüllt und den Widerruf mit einem Klick absendet.
Für die Bestellschaltfläche gilt: Nach § 312j Abs. 4 BGB muss der Verbraucher ausdrücklich bestätigen, dass er sich zur Zahlung verpflichtet. Der Händlerbund nennt als zulässige Beschriftungen u. a. „Kostenpflichtig bestellen“ und „Jetzt kaufen“. Prüfen Sie den Button nach jedem Update Ihres Shop-Themes.
8. Shop, Teil 2: Preisangaben und der 30-Tage-Bestpreis
Seit dem 28. Mai 2022 verpflichtet § 11 PAngV Händler dazu, bei jeder Preisermäßigung den niedrigsten Preis der letzten 30 Tage anzugeben. Gemeint ist laut IT-Recht Kanzlei der niedrigste Preis, der innerhalb der letzten 30 Tage von Verbrauchern gefordert wurde. Ein Streichpreis aus dem Feld „UVP“ erfüllt die Vorgabe nicht. Ob § 11 PAngV bei Rabattcodes und personalisierten Nachlässen greift, wird juristisch gesondert diskutiert. Diese Frage gehört vor der nächsten Kampagne zum Anwalt.
9. Shop, Teil 3: Produktsicherheit nach der GPSR
Die GPSR-Informationspflichten gelten seit dem 13. Dezember 2024. Der Händlerbund listet als Pflichtangaben Name, Postanschrift und elektronische Adresse des Herstellers auf. Diese Angaben müssen „eindeutig und gut sichtbar“ im Angebot stehen. Produkte, die bereits vor dem 13. Dezember 2024 in Verkehr gebracht wurden, dürfen ohne GPSR-Angaben weitervertrieben werden.
10. Shop, Teil 4: Geoblocking
Die Verordnung (EU) 2018/302 verpflichtet Händler, an alle Kunden im EWR zu den gleichen Bedingungen zu verkaufen wie an nationale Kunden. Kein Verkaufszwang, aber ein Diskriminierungsverbot beim Zugang und Vertragsschluss. Typische Stolperstellen: ein Länderauswahlfeld, das nur Deutschland und Österreich kennt, oder für ausländische Karten gesperrte Zahlungsarten.
11. Webshop vs. normale Website: wo die Pflichten auseinandergehen
Impressum (§ 5 DDG), DSGVO-Datenschutzerklärung und Cookie-Consent (§ 25 TDDDG) gelten für jede Website. Webshops gehen darüber hinaus: Widerrufsbelehrung, Widerrufsbutton, Bestellbutton nach § 312j BGB, Preisangaben nach PAngV, Herstellerangaben nach GPSR und Geoblocking-Konformität kommen hinzu. Erstellen Sie eine Vergleichstabelle mit den Spalten „allgemeine Website“ und „Webshop“ und tragen Sie für jede Pflicht ein, ob sie für Sie gilt. Die Shop-exklusiven Pflichten sind Ihr Mehrbedarf, den Sie mit Agentur und Anwalt separat abarbeiten.
12. Datenschutz: die erwartete Entlastung ist noch keine
Viele Häuser haben das Cookie-Thema auf Wiedervorlage gelegt, weil Brüssel Vereinfachung angekündigt hat. Die Kanzlei GSK datiert den Vorschlag der EU-Kommission auf den 19. November 2025; er sieht Änderungen an der DSGVO und neue Regeln für Cookies vor. Wichtiger für Ihre Planung: e-recht24 hält fest, dass das Paket bislang in keine geltenden Rechtsvorschriften überführt wurde und DSGVO sowie KI-Verordnung unverändert anwendbar bleiben. Für den KI-Teil gibt es laut der Kanzlei Noerr eine vorläufige Einigung von Mai 2026; die Einigung zum Datenrecht stand zu diesem Zeitpunkt noch aus.
Auch die Einwilligungsverwaltungsverordnung ist nach Darstellung von e-recht24 am 1. April 2025 in Kraft getreten, die zentralen Einwilligungsdienste brauchen aber eine behördliche Anerkennung, und eine Pflicht zur Einbindung besteht derzeit nicht. Planen Sie nicht mit einer Entlastung, die den Gesetzgebungsprozess noch nicht verlassen hat.
13. Die Reihenfolge, die sich in Projekten bewährt hat
- Bestandsaufnahme in einer Tabelle. Jede Seite, jedes Formular, jedes eingebettete Werkzeug, jeder Dienstleister mit Datenzugriff.
- Schnelle Textkorrekturen. Verweise auf TMG und TTDSG austauschen, Impressum prüfen, Button-Beschriftung und Widerrufsbelehrung kontrollieren.
- Cookie-Banner technisch prüfen. Nicht die Optik, sondern ob vor der Einwilligung wirklich nichts lädt.
- Barrierefreiheit einordnen. Kleinstunternehmen-Ausnahme prüfen, dann messen, dann planen.
- KI-Einsatz inventarisieren und Chatbots sowie KI-erzeugte Medien kennzeichnen.
- Bei Shops: die Datenfelder. Preishistorie für § 11 PAngV, Herstellerangaben für die GPSR, Länder- und Zahlungseinstellungen für Geoblocking.
- Einen Termin im Kalender. Zweimal im Jahr eine Stunde, in der jemand die Liste durchgeht.
14. Fazit
Legen Sie jetzt fest, wer im Haus diese Liste besitzt: eine Person mit Namen, nicht „das Marketing“. Diese Person braucht zwei Zugänge, einen zur Kanzlei für die juristische Bewertung und einen zur Agentur für die technische Umsetzung. Zwischen beiden liegt der Teil, an dem es scheitert: die Übersetzung eines Paragrafen in ein Feld im Shop oder eine Zeile im Template.
Und wo die Rechtslage unklar ist, halten Sie das schriftlich fest. Eine dokumentierte offene Frage mit Datum ist im Zweifel ein besserer Nachweis Ihrer Sorgfalt als eine Website, an der seit drei Jahren niemand etwas geprüft hat.