Rechtssichere Firmenwebseite 2026: Impressum, Datenschutz, AI-Act und BFSG

Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung. Stand: August 2026.

Eine Firmenwebseite ist rechtlich betrachtet kein Aushang, sondern ein digitaler Dienst mit Informationspflichten. Wer diese Pflichten übersieht, riskiert Abmahnungen — und in den vergangenen drei Jahren sind mehrere Regelwerke dazugekommen, die vorher niemand auf dem Zettel hatte. Dieser Text sortiert, was heute wirklich auf eine gewerbliche Webseite gehört.

Warum das Thema gerade jetzt drängt

Drei Entwicklungen kommen zusammen. Erstens wurde das Telemediengesetz abgelöst: Die Impressumspflicht steht seit 2024 im Digitale-Dienste-Gesetz, kurz DDG. Wer noch „Angaben gemäß § 5 TMG“ auf der Seite stehen hat, verweist auf eine Norm, die es nicht mehr gibt. Das ist für sich genommen kein Beinbruch, aber ein verlässlicher Hinweis darauf, dass die Seite seit Jahren nicht geprüft wurde.

Zweitens ist die Barrierefreiheit für viele Betriebe erstmals verpflichtend geworden. Drittens greifen inzwischen die Transparenzregeln der europäischen KI-Verordnung — und praktisch jeder Betrieb setzt heute irgendwo KI ein, sei es beim Schreiben von Texten oder bei einem Chat-Assistenten auf der Seite.

Dazu kommt ein struktureller Punkt: Abmahnungen im Wettbewerbsrecht treffen selten die grossen Anbieter. Sie treffen kleine Betriebe, deren Seite vor Jahren einmal gebaut und seitdem nicht angefasst wurde.

Impressum nach § 5 DDG

Das Impressum muss von jeder Seite aus mit einem Klick erreichbar sein, klar als solches bezeichnet und ohne Umwege lesbar. Ein Link im Fussbereich erfüllt das; ein Impressum, das nur über ein Kontaktformular erreichbar ist, nicht.

Hineingehören mindestens:

• Name und Anschrift. Bei juristischen Personen die vollständige Firmierung inklusive Rechtsform, dazu die Vertretungsberechtigten. Ein Postfach genügt nicht — es muss eine ladungsfähige Anschrift sein.
• Zwei Kontaktwege. Die E-Mail-Adresse allein reicht nicht aus. Verlangt ist ein zweiter Weg, über den eine unmittelbare Kommunikation möglich ist. In der Praxis ist das die Telefonnummer; ein Kontaktformular mit zugesicherter kurzer Reaktionszeit wird ebenfalls diskutiert, ist aber der riskantere Weg.
• Register und Registernummer, sofern eingetragen — Handelsregister, Vereinsregister, Partnerschaftsregister.
• Umsatzsteuer-Identifikationsnummer nach § 27a UStG, sofern vorhanden. Wichtig: die USt-IdNr., nicht die Steuernummer. Die Steuernummer gehört nicht ins Impressum.
• Berufsrechtliche Angaben bei reglementierten Berufen: Berufsbezeichnung, Kammer, Verleihungsstaat und ein Hinweis auf die berufsrechtlichen Regelungen.
• Aufsichtsbehörde, wenn die Tätigkeit einer behördlichen Zulassung bedarf.

Typische Fehler sind schnell aufgezählt: fehlende Rechtsform, die Steuernummer statt der USt-IdNr., ein „Impressum“ als Grafik statt als Text, und Angaben, die nur auf der Startseite stehen statt auf einer eigenen Seite.

Ein Punkt hat sich zuletzt bewegt: Der lange übliche Hinweis auf die Online-Streitbeilegungsplattform der EU ist überholt, nachdem die Plattform ihren Betrieb eingestellt hat. Die Pflicht, auf die Bereitschaft oder Nichtbereitschaft zur Teilnahme an einem Verbraucherschlichtungsverfahren hinzuweisen, besteht davon unabhängig fort, wenn Sie Verbraucher beliefern. Prüfen Sie hier den aktuellen Stand, bevor Sie einen Textbaustein übernehmen.

Datenschutzerklärung: weniger ist zulässig, wenn Sie weniger verarbeiten

Die Datenschutzerklärung ist keine Sammlung von Textbausteinen, sondern eine Beschreibung dessen, was Ihre Seite tatsächlich tut. Eine Erklärung, die Google Analytics, Facebook-Pixel und Newsletter-Versand beschreibt, obwohl nichts davon eingesetzt wird, ist selbst ein Mangel — sie informiert falsch.

Für eine schlanke Firmenwebseite genügen in der Regel:

1. Verantwortlicher mit Kontaktdaten, gegebenenfalls Datenschutzbeauftragter.
2. Server-Logfiles: welche Daten der Webserver speichert, auf welcher Rechtsgrundlage (regelmässig das berechtigte Interesse an Betriebssicherheit) und wie lange.
3. Kontaktformular: welche Felder erhoben werden, wozu, auf welcher Grundlage und wie lange die Anfrage aufbewahrt wird.
4. Reichweitenmessung, falls vorhanden — mit ehrlicher Angabe, ob dabei Cookies gesetzt werden.
5. Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch.
6. Beschwerderecht bei einer Aufsichtsbehörde.
7. Drittlandübermittlung — oder die klare Aussage, dass keine stattfindet.

Der letzte Punkt ist der wertvollste. Wenn Sie keine Dienste aus Drittländern einbinden, können Sie das schreiben. Das erspart Ihnen die gesamte Diskussion um Standardvertragsklauseln.

Cookie-Banner: wann er Pflicht ist — und wie man ihn vermeidet

Hier liegt das grösste Missverständnis. Ein Einwilligungsbanner ist keine allgemeine Pflicht für Webseiten. Massgeblich ist § 25 TDDDG: Für das Speichern von Informationen auf dem Endgerät des Nutzers oder den Zugriff auf dort gespeicherte Informationen braucht es grundsätzlich eine Einwilligung.

Ausgenommen ist, was unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert. Darunter fallen etwa das Session-Cookie eines Warenkorbs oder ein Token zum Schutz vor Cross-Site-Request-Forgery in einem Formular.

Daraus folgt die entscheidende Erkenntnis: Wer nichts Einwilligungspflichtiges einsetzt, braucht kein Banner. Praktisch heisst das:

• Schriften selbst hosten. Werden Schriften von einem externen Server geladen, geht dabei die IP-Adresse des Besuchers dorthin. Liegen die Dateien auf dem eigenen Server, entfällt das.
• Keine externen Skripte, Karten oder Videoplayer ohne vorgeschaltete Einwilligung. Eine eingebettete Karte oder ein eingebettetes Video lädt beim Seitenaufruf Daten beim Anbieter — das ist genau der Fall, für den ein Banner nötig wäre.
• Reichweitenmessung cookiefrei betreiben. Es gibt selbst gehostete Statistiklösungen, die sich ohne Cookies und ohne Wiedererkennung über Tage betreiben lassen. Die Datenbasis ist etwas gröber, dafür entfällt die Einwilligungspflicht.

Zwei Hinweise zur Ehrlichkeit: Erstens ersetzt Cookiefreiheit nicht die Datenschutzerklärung — auch eine cookiefreie Messung verarbeitet Daten und muss beschrieben werden. Zweitens ist die Frage, ob eine bestimmte Messmethode wirklich einwilligungsfrei ist, in Einzelfällen umstritten. Wer maximale Sicherheit will, misst nur mit Serverlogs.

Kontaktformular: sparsam erheben, sauber löschen

Ein Kontaktformular ist die häufigste Datenverarbeitung auf einer Firmenwebseite — und die am schlechtesten dokumentierte.

• Datensparsamkeit. Pflichtfelder sind Name, E-Mail und Nachricht. Telefonnummer, Firma und Branche dürfen freiwillig sein. Ein Pflichtfeld „Geburtsdatum“ wäre für eine Angebotsanfrage nicht zu rechtfertigen.
• Rechtsgrundlage. Für die Beantwortung einer Anfrage brauchen Sie streng genommen keine Einwilligung; die Verarbeitung stützt sich auf vorvertragliche Massnahmen oder ein berechtigtes Interesse. Eine Checkbox mit Verweis auf die Datenschutzerklärung ist trotzdem üblich und schadet nicht — sie darf nur nicht vorausgewählt sein.
• Aufbewahrung. Legen Sie eine Frist fest und halten Sie sie ein. Anfragen, aus denen kein Auftrag wurde, brauchen Sie nach einigen Monaten nicht mehr. Wird ein Vertrag daraus, greifen die handels- und steuerrechtlichen Aufbewahrungsfristen.
• Spamschutz ohne Fremddienste. Ein Captcha eines US-Anbieters bindet einen Drittdienst ein, bevor der Besucher überhaupt einwilligen konnte. Serverseitige Verfahren erreichen fast dasselbe: ein verstecktes Feld, das nur Bots ausfüllen, eine Mindestzeit zwischen Aufruf und Absenden, eine Begrenzung der Anfragen je Verbindung und eine inhaltliche Prüfung des Textes.

AI-Act: was Transparenz konkret bedeutet

Die europäische KI-Verordnung ist ein umfangreiches Regelwerk, das den allermeisten Betrieben in nur einem Punkt begegnet: den Transparenzpflichten. Sie gelten seit August 2026.

Für eine normale Firmenwebseite heisst das im Kern zweierlei. Erstens: Wenn Besucher mit einem KI-System interagieren — typischerweise ein Chat-Assistent —, muss erkennbar sein, dass sie nicht mit einem Menschen sprechen. Das ist erfüllt, wenn es offensichtlich ist oder deutlich dabeisteht. Zweitens: Bestimmte künstlich erzeugte oder manipulierte Inhalte sind zu kennzeichnen. Für synthetische Bild-, Ton- und Videoinhalte, die echten Personen, Orten oder Ereignissen ähneln, ist die Offenlegung ausdrücklich vorgesehen.

Was daraus nicht folgt: Ein Text, den Sie mit KI-Unterstützung geschrieben und anschliessend redaktionell überarbeitet haben, muss nicht wie ein Warnhinweis gekennzeichnet werden. Trotzdem ist eine kurze, ehrliche Transparenzseite sinnvoll — sie beantwortet die Frage, bevor sie gestellt wird, und kostet nichts.

Barrierefreiheit nach dem BFSG

Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz. Es setzt eine EU-Richtlinie um und betrifft unter anderem im elektronischen Geschäftsverkehr erbrachte Dienstleistungen für Verbraucher — praktisch also Webseiten, über die Verbraucher Verträge abschliessen oder Leistungen buchen können.

Zwei Einschränkungen sind für kleine Betriebe wichtig:

• Eine reine Visitenkartenseite ohne Möglichkeit, online etwas zu bestellen oder zu buchen, ist in der Regel nicht erfasst.
• Für Kleinstunternehmen, die Dienstleistungen erbringen, sieht das Gesetz eine Ausnahme vor. Als Kleinstunternehmen gilt, wer weniger als zehn Personen beschäftigt und dabei einen Jahresumsatz oder eine Jahresbilanzsumme von höchstens zwei Millionen Euro hat. Beide Bedingungen müssen zusammen erfüllt sein. Wichtig: Für Produkte gilt diese Ausnahme nicht.

Auch wer nicht erfasst ist, sollte ein praktisches Mindestmass umsetzen — es kostet bei einer neuen Seite fast nichts und nützt allen Besuchern:

• ausreichende Farbkontraste zwischen Text und Hintergrund,
• sichtbare Fokusmarkierung, sodass Tastaturnutzer sehen, wo sie sind,
• vollständige Bedienbarkeit ohne Maus,
• Alternativtexte für Bilder mit Informationsgehalt,
• eine saubere Überschriftenhierarchie und Formularfelder mit dauerhaft sichtbaren Beschriftungen,
• Fehlermeldungen, die nicht nur farblich, sondern auch als Text erscheinen.

In eigener Sache

Die Punkte dieser Liste sind in unseren Branchenvorlagen bereits umgesetzt: Rechtsseiten sind angelegt, es werden keine externen Ressourcen geladen, die Statistik arbeitet ohne Cookies. Was wir Ihnen nicht abnehmen können, sind Ihre eigenen Angaben — Firmierung, Anschrift, Register und USt-IdNr. tragen Sie selbst ein.

Zurück zur Übersicht