Fünf Gesetze für Webmaster: Rechtliche Anforderungen an den Betrieb von Websites in Deutschland

Wer eine Website betreibt, gestaltet nicht nur einen technischen Informationskanal. Bereits die Veröffentlichung von Kontaktdaten, die Einbindung eines Analysewerkzeugs oder die Verwendung eines fremden Fotos kann rechtliche Pflichten berühren. Bei Onlineshops, Mitgliederbereichen und werbefinanzierten Angeboten kommen weitere Anforderungen hinzu. Verstöße können insbesondere Unterlassungsansprüche, Schadensersatzforderungen, behördliche Maßnahmen und Bußgelder auslösen. Welche Rechtsfolge tatsächlich eintritt, hängt vom jeweiligen Tatbestand und seinen Voraussetzungen ab.

Die häufig verwendete Formel „fünf Gesetze für Webmaster“ ist deshalb als Orientierung zu verstehen, nicht als abschließende Beschreibung des Internetrechts. Im Mittelpunkt stehen fünf Regelungswerke: das Digitale-Dienste-Gesetz, die Datenschutz-Grundverordnung, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das Urheberrechtsgesetz und das Gesetz gegen den unlauteren Wettbewerb. Die Datenschutz-Grundverordnung ist dabei kein deutsches Gesetz, sondern eine unmittelbar geltende Verordnung der Europäischen Union.

Der Beitrag erläutert, welche Anforderungen sich daraus für Websites in Deutschland ergeben, wie sie ineinandergreifen und welche organisatorischen Konsequenzen daraus folgen. Entscheidend sind die konkrete Funktion des Angebots, die beteiligten Personen und der räumliche Anwendungsbereich der jeweiligen Vorschriften. Eine persönliche Informationsseite, ein Unternehmensauftritt und eine Plattform mit Nutzerbeiträgen unterliegen nicht in jeder Hinsicht denselben Pflichten.

Begriffsklärung: Wer ist rechtlich für eine Website verantwortlich?

Webmaster, Betreiber und Diensteanbieter

„Webmaster“ ist keine einheitliche gesetzliche Verantwortlichkeitskategorie. Gemeint sein können die technisch betreuende Person, eine Agentur, die redaktionelle Leitung oder der wirtschaftliche Betreiber. Rechtlich muss dagegen für jede Pflicht gesondert festgestellt werden, wer ihr Adressat ist. Eine bloße Funktionsbezeichnung im Arbeitsvertrag oder im Impressum beantwortet diese Frage nicht abschließend.

Diensteanbieter im Sinne des Digitale-Dienste-Gesetzes ist nicht automatisch die Person, die Inhalte in ein Redaktionssystem einpflegt. Datenschutzrechtlich kommt es nach Art. 4 Nr. 7 DSGVO darauf an, wer allein oder gemeinsam mit anderen über Zwecke und Mittel einer Verarbeitung personenbezogener Daten entscheidet. Urheberrechtlich ist insbesondere maßgeblich, wer eine rechtlich relevante Nutzungshandlung vornimmt oder unter den jeweiligen Voraussetzungen für eine Rechtsverletzung einzustehen hat. Mehrere Beteiligte können nebeneinander verantwortlich sein.

Ein Vertrag mit einer Webagentur beseitigt eine gesetzlich bestehende Außenverantwortung des Betreibers nicht. Er kann Zuständigkeiten, Kontrollpflichten und interne Ausgleichsansprüche regeln. Gegenüber geschädigten Dritten oder Aufsichtsbehörden lässt sich eine gesetzliche Verantwortlichkeit jedoch grundsätzlich nicht allein durch eine abweichende interne Aufgabenverteilung ausschließen.

Private, geschäftsmäßige und geschäftliche Angebote

Diese Begriffe sind auseinanderzuhalten. „Geschäftsmäßig“ bedeutet nicht ohne Weiteres „gewinnorientiert“. Für § 5 DDG muss allerdings zusätzlich dessen Bezug auf in der Regel gegen Entgelt angebotene digitale Dienste berücksichtigt werden. Aus der bloßen Dauerhaftigkeit einer Website folgt deshalb noch nicht ohne weitere Prüfung eine Informationspflicht nach dieser Vorschrift.

Eine „geschäftliche Handlung“ nach dem Wettbewerbsrecht setzt wiederum den gesetzlich bestimmten Zusammenhang mit der Förderung des Absatzes oder Bezugs von Waren oder Dienstleistungen beziehungsweise mit entsprechenden Verträgen voraus. Nicht jede öffentliche Äußerung fällt darunter.

Auch eine als privat bezeichnete Website kann rechtlich relevante Außenwirkungen entfalten. Wer Affiliate-Links verwendet, Produkte vermarktet oder personenbezogene Daten öffentlich zugänglich macht, kann sich nicht allein auf eine private Motivation berufen. Die datenschutzrechtliche Ausnahme für ausschließlich persönliche oder familiäre Tätigkeiten nach Art. 2 Abs. 2 Buchst. c DSGVO ist eng auszulegen. Eine an einen unbestimmten Personenkreis gerichtete Veröffentlichung im Internet ist nicht ohne Weiteres von ihr erfasst.

Erstes Regelungswerk: Das Digitale-Dienste-Gesetz

Anbieterkennzeichnung nach § 5 DDG

Das Digitale-Dienste-Gesetz, kurz DDG, enthält zentrale Informationspflichten für digitale Dienste. § 5 DDG betrifft geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste. Dass Besucher eine Website kostenlos aufrufen können, schließt die Anwendung nicht aus. Ein Unternehmensauftritt kann beispielsweise der Anbahnung entgeltlicher Leistungen dienen; auch eine Finanzierung durch Werbung kann für die Einordnung von Bedeutung sein.

Zu den erforderlichen Angaben gehören insbesondere Name und Anschrift des Anbieters sowie Informationen, die eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation ermöglichen, einschließlich der E-Mail-Adresse. Ein bloßes Postfach ersetzt die erforderliche Anschrift grundsätzlich nicht. Bei juristischen Personen sind insbesondere die Rechtsform und die Vertretungsberechtigten anzugeben.

Abhängig vom Anbieter und seiner Tätigkeit kommen Registerangaben, Informationen über eine zuständige Aufsichtsbehörde oder berufsrechtliche Angaben hinzu. Für reglementierte Berufe, etwa Rechtsanwälte, sind die besonderen Anforderungen des § 5 DDG zu beachten. Dazu können Angaben über Kammerzugehörigkeit, Berufsbezeichnung und zugängliche berufsrechtliche Regelungen gehören.

§ 5 DDG sieht außerdem Angaben zu bestimmten vorhandenen Identifikationsnummern vor. Eine Umsatzsteuer-Identifikationsnummer ist dabei nicht mit der gewöhnlichen steuerlichen Steuernummer gleichzusetzen. Die Anbieterkennzeichnung darf nicht schematisch aus einem fremden Impressum übernommen werden, sondern muss die rechtlichen Verhältnisse des konkreten Anbieters abbilden.

Erreichbarkeit und Aktualisierung

Die Informationen müssen nach § 5 DDG leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Ein eindeutig bezeichneter Link „Impressum“, der auch auf mobilen Geräten funktioniert, ist regelmäßig eine geeignete Gestaltung. Entscheidend ist jedoch die tatsächliche Zugänglichkeit, nicht allein die Beschriftung.

Versteckte Angaben, defekte Verlinkungen oder ausschließlich innerhalb eines geschützten Kundenkontos zugängliche Informationen können den gesetzlichen Anforderungen widersprechen. Änderungen der Anschrift, der Vertretungsberechtigten oder relevanter Registerangaben sind in der Anbieterkennzeichnung zu berücksichtigen. Eine allgemeine gesetzliche Schonfrist für die Aktualisierung sollte nicht unterstellt werden.

Eine Telefonnummer ist nicht für jede Website allein aufgrund des § 5 DDG ausnahmslos vorgeschrieben. Die vorhandenen Kommunikationswege müssen allerdings die gesetzlichen Anforderungen insgesamt erfüllen. Zusätzliche verbraucherrechtliche Informationspflichten können weitergehende Kontaktangaben verlangen.

Ergänzende Vorschriften und europäischer Rahmen

Die Anbieterkennzeichnung ist nicht ausschließlich im DDG geregelt. § 18 Medienstaatsvertrag enthält ergänzende Informationspflichten. Bereits für Angebote, die nicht ausschließlich persönlichen oder familiären Zwecken dienen, können danach Angaben zu Name und Anschrift erforderlich sein. Bei journalistisch-redaktionell gestalteten Angeboten ist unter den Voraussetzungen des § 18 Abs. 2 Medienstaatsvertrag zusätzlich eine verantwortliche Person zu benennen.

Daneben gilt die Verordnung über digitale Dienste, häufig als Digital Services Act oder DSA bezeichnet. Ihre besonderen Pflichten richten sich an Anbieter von Vermittlungsdiensten; für Hostingdienste und Onlineplattformen bestehen jeweils zusätzliche Regelungen. Nicht jede Unternehmenswebsite ist deshalb eine Onlineplattform oder auch nur ein Vermittlungsdienst.

Wer Nutzerinhalte speichert oder verbreitet, muss die Einordnung gesondert prüfen. Dabei sind die gesetzlichen Definitionen, der wirtschaftliche Charakter des Dienstes und mögliche Ausnahmen zu berücksichtigen. Hinweise auf das frühere Telemediengesetz dürfen nicht ungeprüft weiterverwendet werden. Das DDG und der DSA haben dessen frühere Regelungsbereiche nicht lediglich unter unveränderten Paragrafennummern fortgeführt.

Zweites Regelungswerk: Die Datenschutz-Grundverordnung

Verarbeitung personenbezogener Daten erkennen

Die Datenschutz-Grundverordnung, kurz DSGVO, kann auch technisch unauffällige Vorgänge erfassen. Personenbezogene Daten werden beispielsweise in Kontaktformularen, Bestellungen, Nutzerkonten, Serverprotokollen und Analyseverfahren verarbeitet. Auch IP-Adressen können personenbezogene Daten sein. Maßgeblich ist, ob die Informationen einer identifizierten oder unter Berücksichtigung der rechtlich relevanten Mittel identifizierbaren natürlichen Person zugeordnet werden können.

Eine vollständige Prüfung beginnt deshalb mit einer Bestandsaufnahme: Welche Daten gelangen beim Aufruf an den eigenen Server, den Hostinganbieter und eingebundene Dritte? Welche Informationen werden gespeichert oder miteinander verknüpft? Bestehen Zugriffs- oder Übermittlungsmöglichkeiten in Staaten außerhalb des Europäischen Wirtschaftsraums?

Die Datenschutzerklärung erfüllt Informationspflichten, ersetzt aber nicht die Prüfung der Verarbeitung. Ein unzulässiges Trackingverfahren wird nicht dadurch zulässig, dass es zutreffend beschrieben wird. Ebenso sind pseudonymisierte Daten nicht allein wegen des Ersatzes von Namen durch Kennungen vom Datenschutzrecht ausgenommen.

Rechtsgrundlagen und Zweckbindung

Art. 6 Abs. 1 DSGVO enthält die zentralen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Für die Bearbeitung einer konkreten Vertragsanfrage kann Art. 6 Abs. 1 Buchst. b DSGVO einschlägig sein, wenn die Verarbeitung für vorvertragliche Maßnahmen auf Anfrage der betroffenen Person erforderlich ist. Gesetzliche Aufbewahrungspflichten können bestimmte Speicherungen nach Art. 6 Abs. 1 Buchst. c DSGVO rechtfertigen. Bei Sicherheitsprotokollen kommt Art. 6 Abs. 1 Buchst. f DSGVO in Betracht, sofern die Voraussetzungen erfüllt sind.

Die Berufung auf berechtigte Interessen ist keine pauschale Erlaubnis. Zu prüfen sind ein berechtigtes Interesse, die Erforderlichkeit der Verarbeitung und die entgegenstehenden Interessen oder Grundrechte und Grundfreiheiten betroffener Personen. Datenumfang, Speicherdauer, vernünftige Erwartungen der Nutzer und Schutzmaßnahmen beeinflussen die Bewertung.

Eine Einwilligung muss insbesondere freiwillig, informiert, für bestimmte Zwecke und durch eine eindeutige bestätigende Handlung erteilt werden. Nach Art. 7 Abs. 3 DSGVO muss ihr Widerruf so einfach wie ihre Erteilung sein. Der Widerruf wirkt nicht rückwirkend auf die Rechtmäßigkeit einer zuvor wirksam auf die Einwilligung gestützten Verarbeitung.

Zusätzlich sind die Grundsätze des Art. 5 DSGVO zu beachten, insbesondere Zweckbindung, Datenminimierung und Speicherbegrenzung. Für besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, gelten außerdem die Anforderungen des Art. 9 DSGVO. Eine Rechtsgrundlage nach Art. 6 DSGVO genügt dann nicht allein.

Transparenz und Rechte betroffener Personen

Art. 13 DSGVO verlangt bei der Erhebung bei der betroffenen Person unter anderem Informationen über den Verantwortlichen, die Verarbeitungszwecke, Rechtsgrundlagen, Empfänger und Speicherdauer beziehungsweise deren Bestimmungskriterien. Hinzu kommen Hinweise auf Betroffenenrechte und das Beschwerderecht bei einer Aufsichtsbehörde. Werden Daten nicht bei der betroffenen Person erhoben, ist insbesondere Art. 14 DSGVO zu prüfen.

Die Informationen müssen die tatsächlichen Verarbeitungen abbilden und nach Art. 12 DSGVO in verständlicher und leicht zugänglicher Form bereitgestellt werden. Allgemeine Muster, die nicht eingesetzte Dienste aufzählen oder vorhandene Datenflüsse verschweigen, erfüllen diese Aufgabe nicht zuverlässig.

Betroffene können insbesondere Auskunft und Berichtigung sowie unter den jeweiligen gesetzlichen Voraussetzungen Löschung, Einschränkung der Verarbeitung oder Datenübertragbarkeit verlangen. Daneben kann ein Widerspruchsrecht bestehen. Die Voraussetzungen und Ausnahmen unterscheiden sich je nach Recht und Verarbeitung.

Eine Löschung ist beispielsweise nicht grenzenlos geschuldet. Gesetzliche Aufbewahrungspflichten oder die erforderliche Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können entgegenstehen. Daraus folgt jedoch keine allgemeine Befugnis, sämtliche Daten vorsorglich unbegrenzt aufzubewahren.

Dienstleister, Sicherheit und Auslandstransfers

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag des Betreibers, sind insbesondere die Anforderungen des Art. 28 DSGVO zu beachten. Dazu gehört ein Vertrag oder ein anderes zulässiges Rechtsinstrument mit den vorgeschriebenen Inhalten. Nicht jeder Dienstleister ist allerdings Auftragsverarbeiter. Entscheiden mehrere Beteiligte gemeinsam über Zwecke und Mittel, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen; andere Anbieter können eigenständig Verantwortliche sein.

Art. 32 DSGVO verlangt dem Risiko angemessene technische und organisatorische Maßnahmen. Dazu können Zugriffsbeschränkungen, Verschlüsselung, Sicherheitsaktualisierungen, Datensicherungen und geregelte Berechtigungen gehören. Welche Maßnahmen erforderlich sind, hängt unter anderem von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie den Risiken für betroffene Personen ab.

Für Übermittlungen in Drittländer gelten zusätzlich Art. 44 ff. DSGVO. Als Instrumente kommen unter den gesetzlichen Voraussetzungen insbesondere Angemessenheitsbeschlüsse oder geeignete Garantien in Betracht. Ein gewöhnlicher Dienstleistungsvertrag oder eine pauschale Zusicherung des Anbieters ersetzt diese Prüfung nicht. Auch ein Serverstandort innerhalb der Europäischen Union beantwortet mögliche Drittlandzugriffe nicht abschließend.

Drittes Regelungswerk: Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz

Endgeräteschutz nach § 25 TDDDG

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, schützt unter anderem Informationen in Endeinrichtungen. § 25 Abs. 1 TDDDG verlangt grundsätzlich eine Einwilligung, wenn Informationen in der Endeinrichtung eines Endnutzers gespeichert werden oder auf bereits dort gespeicherte Informationen zugegriffen wird. Die Einwilligung muss auf klaren und umfassenden Informationen beruhen; für Information und Einwilligung verweist die Vorschrift auf die Anforderungen der DSGVO.

Die Vorschrift betrifft nicht nur personenbezogene Daten. Sie kann deshalb einschlägig sein, obwohl die verarbeiteten Informationen keinen Personenbezug aufweisen. Ebenso ist sie nicht auf klassische Cookies beschränkt. Andere Speichertechniken und bestimmte Verfahren zur Wiedererkennung können ebenfalls erfasst sein.

Nicht jede technisch anfallende Information ist allerdings ohne nähere Prüfung mit einem einwilligungsbedürftigen Endgerätezugriff gleichzusetzen. Maßgeblich sind der konkrete technische Vorgang und der Anwendungsbereich der Vorschrift. Die Bezeichnung eines Werkzeugs als „cookielos“ ist für sich genommen kein rechtlicher Freibrief.

Ausnahmen für bestimmte notwendige Vorgänge

§ 25 Abs. 2 TDDDG enthält zwei Ausnahmen. Eine betrifft Vorgänge, deren alleiniger Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist. Die andere erfasst unbedingt erforderliche Speicherungen oder Zugriffe, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann.

Die zweite Ausnahme ist funktionsbezogen auszulegen. Die Speicherung eines Warenkorbs oder die Aufrechterhaltung einer angeforderten Anmeldung kann darunter fallen, soweit der jeweilige Vorgang tatsächlich unbedingt erforderlich ist. Nicht jede mit einer solchen Funktion verbundene zusätzliche Analyse ist ebenfalls privilegiert.

Dass ein Werkzeug für den Betreiber wirtschaftlich nützlich ist, genügt nicht. Reichweitenmessung, Werbeoptimierung oder profilbezogene Vermarktung sind nicht schon deshalb unbedingt erforderlich, weil sie das Geschäftsmodell unterstützen.

Auch ausgenommene Endgerätezugriffe müssen datenschutzrechtlich geprüft werden, wenn personenbezogene Daten verarbeitet werden. Die Ausnahme vom Einwilligungserfordernis des TDDDG liefert nicht automatisch eine Rechtsgrundlage nach der DSGVO.

Anforderungen an Einwilligungsoberflächen

Eine Einwilligungsoberfläche muss eine tatsächliche, informierte Entscheidung ermöglichen. Vorangekreuzte Kästchen und die bloße Fortsetzung der Seitennutzung reichen nicht als wirksame Zustimmung. Einwilligungsbedürftige Speicherungen und Zugriffe dürfen erst nach wirksamer Einwilligung erfolgen.

Ablehnung und späterer Widerruf müssen praktisch möglich sein. Eine Gestaltung, die Nutzer durch unklare Schaltflächen, irreführende Aussagen oder versteckte Alternativen zur Zustimmung drängt, kann die Wirksamkeit der Einwilligung infrage stellen. Eine unmittelbar zugängliche Ablehnungsmöglichkeit trägt zu einer freien Entscheidung bei. Ob eine konkrete Oberfläche die gesetzlichen Anforderungen erfüllt, ist anhand ihrer gesamten Gestaltung zu beurteilen.

Besonders wichtig ist die technische Umsetzung: Ein optisch korrektes Banner hilft nicht, wenn einwilligungsbedürftige Vorgänge bereits beim ersten Seitenaufruf stattfinden. Nicht jede Datenübertragung vor einer Einwilligung ist jedoch automatisch rechtswidrig. Entscheidend bleibt, ob der konkrete Vorgang eine Einwilligung benötigt und ob gegebenenfalls eine andere datenschutzrechtliche Rechtsgrundlage besteht.

Auswahl, Widerruf und Nachweisbarkeit müssen zuverlässig funktionieren. Eine Website benötigt nicht allein deshalb ein Einwilligungsbanner, weil sie existiert. Werden ausschließlich Vorgänge eingesetzt, die keiner Einwilligung bedürfen, kann ein Banner entbehrlich sein. Informationspflichten bleiben davon unberührt.

Viertes Regelungswerk: Das Urheberrechtsgesetz

Geschützte Inhalte und Nutzungshandlungen

Das Urheberrechtsgesetz, kurz UrhG, schützt Werke, die persönliche geistige Schöpfungen im Sinne des § 2 Abs. 2 UrhG sind. Bei Websites können insbesondere Texte, Grafiken, Videos, Musik und Computerprogramme betroffen sein. Nicht jede kurze Formulierung oder rein sachliche Information erreicht die erforderliche Schutzschwelle. Fotografien können unabhängig von der Werkqualität als Lichtbilder nach § 72 UrhG geschützt sein.

Wer ein geschütztes fremdes Bild auf den eigenen Server lädt und öffentlich zugänglich macht, berührt regelmäßig das Vervielfältigungsrecht nach § 16 UrhG und das Recht der öffentlichen Zugänglichmachung nach § 19a UrhG. Die Nutzung benötigt eine Berechtigung, sofern keine gesetzliche Erlaubnis eingreift.

Die freie Abrufbarkeit im Internet begründet keine allgemeine Nutzungserlaubnis. Auch eine Quellenangabe ersetzt die erforderliche Berechtigung nicht. Umgekehrt kann trotz vorhandener Nutzungslizenz eine Pflicht zur Urheberbenennung bestehen, insbesondere aufgrund des § 13 UrhG oder der vereinbarten Lizenzbedingungen.

Lizenzen und Rechteketten

Vor einer Nutzung ist zu klären, wer die Rechte einräumen darf und welchen Umfang die Erlaubnis hat. Eine Lizenz für einen bestimmten Internetauftritt muss nicht zugleich Werbung in sozialen Netzwerken, Bearbeitungen oder die Weitergabe an Geschäftspartner gestatten.

Nach § 31 UrhG können Nutzungsrechte insbesondere inhaltlich, räumlich und zeitlich beschränkt eingeräumt werden. Ist ihr Umfang nicht ausdrücklich festgelegt, kann der Vertragszweck für die Auslegung maßgeblich sein. Gerade bei Agenturen, freien Mitarbeitenden und Bilddatenbanken sollte deshalb nachvollziehbar dokumentiert werden, welche Rechte für welche Nutzungen erworben wurden.

Auch kostenlos angebotene Inhalte können Bedingungen unterliegen. Bei standardisierten Lizenzen kommen beispielsweise Namensnennung, ein Hinweis auf die Lizenz, die Kennzeichnung von Änderungen oder Beschränkungen kommerzieller Nutzung in Betracht. Die Bedingungen unterscheiden sich je nach Lizenztyp und Fassung. Welche Folgen ihre Verletzung hat, ist anhand der konkreten Lizenz und der Nutzung zu bestimmen.

Zitate, Verlinkungen und Einbettungen

Das Zitatrecht nach § 51 UrhG erlaubt keine beliebige Bebilderung. Erforderlich sind insbesondere ein zulässiger Zitatzweck und ein dadurch gerechtfertigter Umfang. Zwischen dem übernommenen Inhalt und der eigenen Auseinandersetzung muss ein entsprechender Zusammenhang bestehen. Hinzu treten grundsätzlich die Anforderungen an die Quellenangabe nach § 63 UrhG.

Ein fremdes Foto lediglich zur Auflockerung eines Beitrags einzusetzen, ist regelmäßig kein zulässiges Bildzitat. Auch die Bezeichnung eines Textes als wissenschaftlich ersetzt die gesetzlichen Voraussetzungen nicht.

Bei Links und eingebetteten Inhalten hängt die urheberrechtliche Bewertung wesentlich vom Einzelfall ab. Bedeutung haben unter anderem die Rechtmäßigkeit der Ausgangsveröffentlichung, eine erforderliche Kenntnis von deren Rechtswidrigkeit, bestehende Zugangsbeschränkungen und die Umgehung technischer Schutzmaßnahmen. Verlinkung, Einbettung und erneutes Hochladen sind rechtlich nicht gleichzusetzen.

Daneben können Persönlichkeitsrechte, Datenschutzrecht und das Recht am eigenen Bild betroffen sein. Eine urheberrechtliche Lizenz beantwortet daher nicht automatisch, ob eine abgebildete Person in dem vorgesehenen Zusammenhang gezeigt werden darf.

Fünftes Regelungswerk: Das Gesetz gegen den unlauteren Wettbewerb

Transparenz geschäftlicher Kommunikation

Das Gesetz gegen den unlauteren Wettbewerb, kurz UWG, schützt insbesondere Mitbewerber, Verbraucher und sonstige Marktteilnehmer vor unlauteren geschäftlichen Handlungen. Für Websites sind vor allem Irreführungsverbote, Informationspflichten und Werbebeschränkungen relevant.

§ 5 UWG erfasst irreführende geschäftliche Handlungen, etwa durch täuschungsgeeignete Angaben über Eigenschaften einer Leistung, Preise oder Qualifikationen. § 5a UWG betrifft das Vorenthalten wesentlicher Informationen unter den dort genannten Voraussetzungen. Nach § 5a Abs. 4 UWG kann außerdem die fehlende Kenntlichmachung eines kommerziellen Zwecks unlauter sein, sofern sich dieser nicht unmittelbar aus den Umständen ergibt und die weiteren gesetzlichen Voraussetzungen vorliegen.

Bei bezahlten Beiträgen, Affiliate-Verknüpfungen und produktspezifischen Empfehlungen ist deshalb zu prüfen, ob der kommerzielle Zweck für die angesprochenen Nutzer hinreichend deutlich wird. Nicht jede private Empfehlung ist Werbung. Für Handlungen zugunsten fremder Unternehmen enthält § 5a Abs. 4 UWG besondere Regeln zur Bedeutung einer Gegenleistung und zu deren Vermutung.

Preise, Bestellstrecken und Verbraucherinformationen

Bei Onlineshops wirken Wettbewerbsrecht, Bürgerliches Gesetzbuch, Einführungsgesetz zum Bürgerlichen Gesetzbuche und Preisangabenverordnung zusammen. Unklare Zusatzkosten, missverständliche Preisermäßigungen oder unvollständige wesentliche Produktinformationen können rechtliche Risiken begründen. Welche Angaben erforderlich sind, richtet sich nach Angebot, Zielgruppe und Vertragsart.

Für bestimmte Verbraucherverträge im elektronischen Geschäftsverkehr enthält § 312j BGB besondere Anforderungen an die Bestellsituation. Nach § 312j Abs. 3 BGB muss der Unternehmer die Bestellsituation so gestalten, dass der Verbraucher ausdrücklich bestätigt, sich zu einer Zahlung zu verpflichten.

Erfolgt die Bestellung über eine Schaltfläche, muss diese gut lesbar ausschließlich mit „zahlungspflichtig bestellen“ oder einer entsprechend eindeutigen Formulierung beschriftet sein. Wird die Pflicht des § 312j Abs. 3 BGB nicht erfüllt, kommt der Vertrag nach § 312j Abs. 4 BGB nicht zustande. Die gesetzlichen Anwendungsgrenzen und Ausnahmen sind dabei zu beachten; die Vorschrift gilt nicht unterschiedslos für jede elektronische Kontaktaufnahme.

Ein ordnungsgemäßes Impressum kann eine fehlerhafte Bestellstrecke nicht ausgleichen. Die Informationsarchitektur der gesamten Website ist zu prüfen, einschließlich mobiler Ansichten und eingebundener Zahlungswege.

Newsletter und Direktwerbung

Werbung per elektronischer Post setzt nach § 7 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung des Adressaten voraus. Für bestimmte Bestandskundenkonstellationen enthält § 7 Abs. 3 UWG eine Ausnahme mit kumulativ zu erfüllenden Voraussetzungen.

Erforderlich ist insbesondere, dass der Unternehmer die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten hat und sie für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet. Der Kunde darf nicht widersprochen haben. Außerdem muss bei der Erhebung und bei jeder Verwendung klar und deutlich auf die gesetzlich vorgesehene Widerspruchsmöglichkeit hingewiesen werden.

Ein bloßer früherer Kontakt genügt daher nicht. Ebenso ist die Angabe einer E-Mail-Adresse im Rahmen einer Anfrage keine allgemeine Newsletter-Einwilligung.

Das Double-Opt-in-Verfahren kann dem Nachweis einer Anmeldung und ihrer Bestätigung über die angegebene Adresse dienen. Es beweist jedoch nicht automatisch die Identität der handelnden Person und ersetzt weder eine hinreichend bestimmte Einwilligungserklärung noch die Prüfung weiterer Voraussetzungen. Die datenschutzrechtliche Zulässigkeit der Adressverarbeitung ist zusätzlich zu beurteilen.

Rechtsprechungslinien mit Bedeutung für Websites

Aktive Einwilligung und begrenzte gemeinsame Verantwortlichkeit

Der Bundesgerichtshof bestätigte mit Urteil vom 28. Mai 2020, Aktenzeichen I ZR 7/16, in der Entscheidung „Cookie-Einwilligung II“ wesentliche Anforderungen an eine aktive Zustimmung. Eine voreingestellte Auswahl genügte den im Verfahren maßgeblichen Anforderungen nicht. Die Entscheidung betraf die damalige Rechtslage, insbesondere die unionsrechtskonforme Auslegung des früheren Telemediengesetzes. Sie ist deshalb nicht als unmittelbare Anwendung des heutigen § 25 TDDDG darzustellen. Die Abgrenzung zwischen aktiver Entscheidung und bloßer Untätigkeit bleibt jedoch bedeutsam.

Der Gerichtshof der Europäischen Union entschied am 29. Juli 2019, Aktenzeichen C-40/17, im Verfahren „Fashion ID“ zur Einbindung eines sozialen Plugins. Danach konnte der Websitebetreiber für die Erhebung personenbezogener Daten und deren Übermittlung an den Plugin-Anbieter gemeinsam verantwortlich sein. Eine Verantwortlichkeit für spätere Verarbeitungsvorgänge, über deren Zwecke und Mittel er nicht entschied, folgte daraus nicht.

Auch diese Entscheidung erging zur damaligen europäischen Datenschutzrichtlinie. Ihre Aussagen sind für das Verständnis gemeinsamer Verantwortlichkeit bedeutsam, erlauben aber keine pauschale Gleichsetzung sämtlicher Einbindungen externer Dienste.

Erneute Veröffentlichung fremder Werke

Mit Urteil vom 7. August 2018, Aktenzeichen C-161/17, behandelte der Gerichtshof der Europäischen Union im Verfahren „Renckhoff“ die erneute Veröffentlichung einer Fotografie auf einer anderen Website. Das Foto war zuvor mit Zustimmung des Rechteinhabers auf einer Ausgangswebsite frei zugänglich gewesen. Daraus folgte nach der Entscheidung keine allgemeine Erlaubnis, es auf einen anderen Server zu kopieren und dort erneut öffentlich bereitzustellen.

Für die Praxis ergibt sich daraus eine klare Prüfungsrichtung: Nicht die leichte technische Kopierbarkeit ist entscheidend, sondern die rechtliche Reichweite der Erlaubnis oder einer einschlägigen gesetzlichen Schranke. Ein redaktioneller oder pädagogischer Zweck begründet für sich allein keine umfassende Nutzungsbefugnis.

Typische Fallkonstellationen

Unternehmenswebsite mit Analysewerkzeug

Eine Unternehmenswebsite enthält ein korrektes Impressum und eine Datenschutzerklärung, aktiviert jedoch unmittelbar beim Aufruf ein Analysewerkzeug. Ob darin ein Rechtsverstoß liegt, lässt sich nicht allein aus der Bezeichnung „Analyse“ ableiten.

Speichert das Werkzeug Informationen im Endgerät oder greift es auf dort gespeicherte Informationen zu, ohne dass eine Ausnahme nach § 25 Abs. 2 TDDDG eingreift, ist eine vorherige Einwilligung erforderlich. Fehlt sie, beseitigen vorhandene Rechtstexte den Verstoß nicht.

Zusätzlich zu prüfen sind die datenschutzrechtliche Rechtsgrundlage, die Datenempfänger, die Rollen der Beteiligten und gegebenenfalls Drittlandübermittlungen. Die Abhilfe kann deshalb eine technische Sperre bis zur wirksamen Einwilligung, eine datensparsamere Konfiguration oder den Verzicht auf das Werkzeug erfordern.

Blog mit fremden Bildern und Affiliate-Links

Ein Blog verwendet Bilder aus einer Suchmaschine und finanziert sich über Verkaufsprovisionen. Hier können urheberrechtliche Nutzungsrechte, Urheberbenennung, Anbieterkennzeichnung und die Erkennbarkeit kommerzieller Kommunikation gleichzeitig relevant werden.

Die Suchmaschine vermittelt grundsätzlich keine eigene Nutzungserlaubnis für angezeigte Bilder. Auch die Bezeichnung als Hobbyprojekt schließt gesetzliche Pflichten nicht aus. Maßgeblich bleiben die tatsächliche Nutzung und die wirtschaftlichen Zusammenhänge.

Werden zusätzlich Kommentare veröffentlicht, entstehen weitere Fragen zur Verarbeitung der Kommentardaten und zum Umgang mit rechtsverletzenden Nutzerbeiträgen. Daraus folgt nicht automatisch eine uneingeschränkte Haftung für jede fremde Äußerung; die jeweiligen Haftungsvoraussetzungen sind gesondert zu prüfen.

Nutzerforum oder Bewertungsangebot

Wer fremde Beiträge speichert, muss zwischen eigenen Inhalten und der Speicherung fremder Informationen unterscheiden. Bei einem Hostingdienst im Anwendungsbereich des DSA enthält Art. 6 DSA eine Haftungsprivilegierung unter bestimmten Voraussetzungen. Dazu gehört insbesondere der dort geregelte Umgang mit Kenntnis von rechtswidrigen Inhalten.

Art. 8 DSA schließt allgemeine Überwachungs- und aktive Nachforschungspflichten aus. Daraus folgt jedoch nicht, dass konkrete Hinweise auf rechtswidrige Inhalte unbeachtet bleiben dürften. Die Bedeutung einer Meldung hängt insbesondere von ihrer Bestimmtheit und den einschlägigen Pflichten ab.

Art. 16 DSA verpflichtet Hostingdienste im Anwendungsbereich der Verordnung zur Einrichtung eines Melde- und Abhilfeverfahrens. Welche weiteren Pflichten hinzukommen, hängt unter anderem davon ab, ob eine Onlineplattform vorliegt und ob für bestimmte Pflichten gesetzliche Ausnahmen greifen.

Rechtsfolgen und wirtschaftliche Risiken

Unterlassung, Beseitigung und Schadensersatz

Urheberrechtliche Ansprüche können sich insbesondere aus § 97 UrhG ergeben. Neben Beseitigung und Unterlassung kommt bei vorsätzlichem oder fahrlässigem Handeln Schadensersatz in Betracht. Dessen Höhe ist einzelfallabhängig; sie lässt sich nicht seriös allein aus der Zahl verwendeter Bilder ableiten.

Nach § 8 UWG können bei Vorliegen der Voraussetzungen insbesondere Unterlassungs- und Beseitigungsansprüche bestehen. Anspruchsberechtigt sind nur die gesetzlich bestimmten Personen und Einrichtungen unter den jeweils vorgesehenen Bedingungen.

Nicht jeder Rechtsverstoß ist zugleich ein Wettbewerbsverstoß. Bei § 3a UWG sind insbesondere der marktverhaltensregelnde Charakter der verletzten Norm und die Eignung zur spürbaren Beeinträchtigung der geschützten Interessen zu prüfen.

Datenschutzrechtlicher Schadensersatz richtet sich nach Art. 82 DSGVO. Ein bloßer Verstoß begründet nicht automatisch einen Zahlungsanspruch. Erforderlich sind auch ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang. Für immaterielle Schäden besteht jedoch keine zusätzliche allgemeine Erheblichkeitsschwelle.

Behördenmaßnahmen und Bußgelder

Datenschutzaufsichtsbehörden verfügen nach Art. 58 DSGVO über Untersuchungs- und Abhilfebefugnisse. Sie können beispielsweise Auskünfte verlangen, Verarbeitungen beschränken oder verbieten. Die konkrete Maßnahme muss sich innerhalb der gesetzlichen Voraussetzungen bewegen.

Art. 83 DSGVO sieht je nach Verstoß unterschiedliche Bußgeldrahmen vor. Die Bemessung hängt unter anderem von Art, Schwere und Dauer des Verstoßes, vorsätzlichem oder fahrlässigem Handeln sowie ergriffenen Abhilfemaßnahmen ab. Nicht jede festgestellte Unregelmäßigkeit führt zwangsläufig zu einem Bußgeld.

Auch Verstöße gegen andere internetbezogene Pflichten können bußgeldbewehrt sein. Aus einem gesetzlichen Höchstbetrag lässt sich keine typische Sanktion für eine einzelne Website ableiten.

Praktisch bedeutsam sind außerdem mögliche Folgekosten: technische Umstellungen, Rechtsverteidigung, Betriebsunterbrechungen und die Untersuchung betroffener Datenbestände. Fehlende Dokumentation kann die rechtliche Bewertung und den Nachweis ordnungsgemäßer Abläufe erschweren.

Verfahren und Fristen

Abmahnungen richtig einordnen

Eine Abmahnung dient regelmäßig dazu, einen behaupteten Verstoß außergerichtlich zu beanstanden und dessen Beendigung zu verlangen. Im Urheberrecht enthält § 97a UrhG besondere Anforderungen; im Wettbewerbsrecht ist insbesondere § 13 UWG relevant.

Die vom Abmahnenden gesetzte Antwortfrist ist von gesetzlichen Fristen zu unterscheiden. Es gibt keine für sämtliche Website-Abmahnungen einheitliche gesetzliche Reaktionsfrist. Auch die Berechtigung einer Kostenerstattung hängt von den jeweiligen Voraussetzungen und gesetzlichen Begrenzungen ab.

Eine strafbewehrte Unterlassungserklärung kann langfristige vertragliche Bindungen und bei späteren Verstößen Vertragsstrafen auslösen. Ihr Inhalt bedarf deshalb einer sorgfältigen Prüfung. Umgekehrt beseitigt das bloße Löschen eines Inhalts eine bereits entstandene Wiederholungsgefahr regelmäßig nicht ohne Weiteres. Bei gerichtlichen Eilverfahren können kurzfristige Reaktionen erforderlich werden.

Datenschutzanfragen und Sicherheitsvorfälle

Nach Art. 12 Abs. 3 DSGVO ist über Maßnahmen auf einen Antrag zur Ausübung der dort erfassten Betroffenenrechte unverzüglich, jedenfalls innerhalb eines Monats nach Eingang zu informieren. Die Frist kann unter Berücksichtigung der Komplexität und Anzahl der Anträge erforderlichenfalls um zwei weitere Monate verlängert werden. Über die Verlängerung und ihre Gründe ist innerhalb des ersten Monats zu unterrichten.

Wird der Verantwortliche auf einen Antrag nicht tätig, gelten die Informationsanforderungen des Art. 12 Abs. 4 DSGVO. Die Monatsfrist ist keine allgemeine Erlaubnis, einfach gelagerte Anliegen ohne Grund bis zum letzten Tag unbearbeitet zu lassen.

Bei einer Verletzung des Schutzes personenbezogener Daten kann Art. 33 DSGVO eine Meldung an die Aufsichtsbehörde verlangen. Diese hat unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu erfolgen. Erfolgt sie später, ist die Verzögerung zu begründen. Keine Meldung ist erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Bei voraussichtlich hohem Risiko kann zusätzlich eine unverzügliche Benachrichtigung betroffener Personen nach Art. 34 DSGVO erforderlich sein, soweit keine gesetzliche Ausnahme greift. Für diese Benachrichtigung gilt nicht pauschal dieselbe 72-Stunden-Vorgabe. Nicht jeder technische Ausfall ist eine meldepflichtige Datenschutzverletzung; auch ein Verlust der Verfügbarkeit personenbezogener Daten kann aber relevant sein.

Beweissicherung und Verjährung

Der beanstandete Zustand und die technischen Abläufe sollten, soweit rechtlich zulässig und ohne notwendige Abhilfe zu verzögern, nachvollziehbar dokumentiert werden. Dazu können Bildschirmaufnahmen, Protokolle, Lizenzunterlagen und Einwilligungsnachweise gehören. Auch die Beweissicherung selbst muss insbesondere Datenschutz und Zugriffsschutz berücksichtigen.

Eine einheitliche Verjährungsfrist für alle Websiteverstöße existiert nicht. Wettbewerbsrechtliche Ansprüche unterliegen teilweise Sonderfristen nach § 11 UWG. Im Urheberrecht verweist § 102 UrhG auf das Bürgerliche Gesetzbuch und enthält eine ergänzende Regelung für bestimmte Bereicherungsansprüche.

Anspruchsart, Entstehung, Kenntnis sowie mögliche Hemmungs- oder Neubeginnstatbestände beeinflussen die Berechnung. Eine pauschale Fristangabe für sämtliche Forderungen aus einem Websiteverstoß wäre deshalb irreführend.

Praktische Handlungsschritte für den laufenden Betrieb

Rechtliche Prüfung als wiederkehrender Prozess

Eine Überprüfung vor der Veröffentlichung und nach wesentlichen Änderungen ist ein zweckmäßiges organisatorisches Vorgehen. Daraus folgt keine allgemeine, für sämtliche Rechtsgebiete identische gesetzliche Prüfungsfrist. Die konkreten Kontrollpflichten richten sich nach Angebot, Risiken und einschlägigen Vorschriften.

Ein geordneter Prüfablauf kann folgende Schritte umfassen:

• Betreiber, Angebotstyp und anwendbare Rechtsgebiete bestimmen.
• Anbieterkennzeichnung und gegebenenfalls redaktionelle Verantwortlichkeit prüfen.
• Datenflüsse einschließlich externer Dienste und möglicher Drittlandzugriffe erfassen.
• Rechtsgrundlagen, Dienstleisterrollen, Verträge und Löschregeln dokumentieren.
• Endgerätezugriffe technisch untersuchen.
• Einwilligungsoberflächen, Ablehnung und Widerruf testen.
• Rechte an Bildern, Texten und sonstigen Inhalten nachvollziehbar sichern.
• Werbung, Preisangaben und Bestellprozesse kontrollieren.
• Zuständigkeiten für Beschwerden, Betroffenenanträge und Sicherheitsvorfälle festlegen.

Die Prüfung muss den tatsächlichen Betrieb erfassen. Ein nachträglich installiertes Plugin kann zusätzliche Datenempfänger einführen oder einen Einwilligungsmechanismus umgehen. Änderungen an Dienstleisterverträgen oder wirksam vereinbarten Nutzungsbedingungen können ebenfalls eine erneute Bewertung erforderlich machen.

Zuständigkeiten und Nachweise

Verantwortlichkeiten sollten zwischen Geschäftsleitung, Redaktion, Technik und externen Dienstleistern nachvollziehbar festgelegt werden. Hilfreich sind Freigabeprozesse für neue Werkzeuge und fremde Inhalte. Die interne Aufgabenverteilung muss mit tatsächlichen Entscheidungs- und Zugriffsmöglichkeiten zusammenpassen.

Nachweise sollten geordnet und auffindbar bleiben. Dazu gehören insbesondere Lizenzbelege, datenschutzrechtliche Vereinbarungen, Einwilligungsnachweise und dokumentierte Interessenabwägungen. Art. 5 Abs. 2 DSGVO begründet die datenschutzrechtliche Rechenschaftspflicht. Ein Verzeichnis von Verarbeitungstätigkeiten ist nach Maßgabe des Art. 30 DSGVO erforderlich; mögliche Ausnahmen sind anhand der gesetzlichen Voraussetzungen zu prüfen.

Dokumentation verhindert nicht jeden Verstoß. Sie erleichtert aber Kontrolle, Fehlerbehebung und rechtliche Bewertung. Auch für Nachweisdokumente sind angemessene Aufbewahrungszeiten und Schutzmaßnahmen festzulegen.

Offene Streitfragen und zusätzliche Anforderungen

Technische Entwicklung und Auslegungsfragen

Nicht jede neue Analysemethode lässt sich ohne technische Untersuchung rechtlich einordnen. Fragen stellen sich beispielsweise bei Wiedererkennungsverfahren, serverseitigem Tracking oder komplexen Einbindungen externer Inhalte. Die Verlagerung eines Verarbeitungsschritts auf den Server bedeutet weder automatisch Datenschutzkonformität noch zwangsläufig die Unanwendbarkeit des § 25 TDDDG.

Auch die Grenzen gemeinsamer Verantwortlichkeit und die Freiwilligkeit bestimmter Einwilligungsmodelle verlangen eine differenzierte Betrachtung. Technische Konfiguration, wirtschaftliche Beziehungen und tatsächliche Entscheidungsmöglichkeiten können das Ergebnis beeinflussen.

Bei der wettbewerbsrechtlichen Durchsetzung datenschutzrechtlicher Pflichten sind insbesondere die verletzte Vorschrift, der Anspruchsgrund und die Anspruchsberechtigung auseinanderzuhalten. Pauschale Aussagen, Datenschutzverstöße seien stets oder niemals wettbewerbsrechtlich verfolgbar, sind nicht tragfähig.

Barrierefreiheit und besondere Angebotstypen

Die fünf dargestellten Regelungswerke erfassen nicht sämtliche Pflichten. Das Barrierefreiheitsstärkungsgesetz, kurz BFSG, erfasst bestimmte Produkte und Dienstleistungen nach Maßgabe seines § 1. Für die erfassten Dienstleistungen ist grundsätzlich der 28. Juni 2025 maßgeblich; gesetzliche Übergangsregelungen sind gesondert zu berücksichtigen.

Zu den erfassten Angeboten können Dienstleistungen im elektronischen Geschäftsverkehr gehören. Nicht jede Website fällt allein wegen ihrer öffentlichen Abrufbarkeit darunter. Entscheidend sind die gesetzliche Definition, insbesondere der Bezug zu einem Verbrauchervertrag, und mögliche Ausnahmen.

Nach § 3 Abs. 3 BFSG sind Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen, von den entsprechenden Anforderungen des Gesetzes ausgenommen. Ob ein Unternehmen als Kleinstunternehmen gilt, bestimmt sich nach der gesetzlichen Definition, nicht nach einer bloßen Selbsteinschätzung.

Zusätzlich können Jugendschutzrecht, Berufsrecht, Verbraucherschutzrecht und besondere Barrierefreiheitsvorgaben für öffentliche Stellen relevant werden. Die rechtliche Einordnung muss deshalb stets am konkreten Angebot ansetzen.

Zusammenfassung

Für Webmaster bilden DDG, DSGVO, TDDDG, UrhG und UWG einen wesentlichen rechtlichen Orientierungsrahmen. Sie regeln unterschiedliche Fragen: die Erkennbarkeit des Anbieters, den Umgang mit personenbezogenen Daten, Zugriffe auf Endgeräte, die Nutzung geschützter Inhalte und die Lauterkeit geschäftlicher Kommunikation.

Diese Anforderungen gelten gegebenenfalls nebeneinander. Eine Datenschutzerklärung ersetzt keine Rechtsgrundlage, ein Einwilligungsbanner keine technische Kontrolle und eine Quellenangabe keine erforderliche Nutzungserlaubnis. Ebenso beseitigt die Beauftragung einer Agentur nicht automatisch eine gesetzliche Verantwortung des Betreibers.

Ein belastbarer Websitebetrieb verlangt daher mehr als standardisierte Rechtstexte. Er benötigt eine funktionsbezogene Prüfung, dokumentierte Berechtigungen, nachvollziehbare Datenflüsse und geregelte Reaktionen auf Beschwerden oder Sicherheitsvorfälle. Entscheidend ist, rechtliche Anforderungen dauerhaft mit dem tatsächlichen technischen und redaktionellen Betrieb in Einklang zu halten.