Impressum und Datenschutz mit dem tatsächlichen Webseitenbetrieb abgleichen

Impressum und Datenschutzhinweise erfüllen unterschiedliche Aufgaben. Das Impressum macht den Anbieter und die einschlägigen Kontaktdaten erkennbar. Die Datenschutzhinweise erklären die tatsächliche Verarbeitung personenbezogener Daten. Beide müssen zur veröffentlichten Webseite und zum verantwortlichen Betrieb passen. Ein aktueller Firmenname hilft wenig, wenn eine neue Newsletteranbindung fehlt. Eine lange Datenschutzerklärung behebt wiederum keine falsche Anbieteridentität.

Rechtsraum und Stand: Deutschland und Europäische Union, geprüft am 9. November 2026. Dieser Leitfaden beschreibt eine Bestandsaufnahme und redaktionelle Umsetzung. Er ist keine individuelle Rechtsberatung und kein vollständiges Audit einer bestimmten Webseite. Die Beispiele sind erfunden. Rechtsgrundlagen und erforderliche Angaben müssen für den konkreten Betrieb geprüft werden.

Mit dem tatsächlichen Anbieter beginnen

Die sichtbare Marke ist nicht immer identisch mit dem rechtlichen Anbieter. Ein Produktname, eine Agenturbezeichnung oder eine Domain kann zu einem Einzelunternehmen, einer Gesellschaft oder einer anderen Organisation gehören. Vor dem Schreiben ist deshalb zu klären, wer den digitalen Dienst tatsächlich anbietet. Die Angaben sollten auf überprüfbaren Unternehmensunterlagen beruhen.

Bei Gesellschaften sind insbesondere die richtige Rechtsform, Vertretung, Anschrift und einschlägige Registerangaben abzugleichen. Eine frühere Geschäftsführung oder ein alter Unternehmenssitz kann durch das Kopieren einer vorhandenen Seite unbemerkt erhalten bleiben. Ein Impressum eines anderen Projekts ist kein verlässlicher Stammdatensatz. Auch mehrere Marken derselben Gruppe müssen nicht automatisch denselben Anbieter haben.

Eine hilfreiche interne Zuordnung verbindet Domain, Dienst, rechtlichen Anbieter und die zuständige Person für Änderungen. Das ist eine organisatorische Empfehlung und keine zusätzliche Pflicht zur Veröffentlichung eines internen Projektregisters. Besucher benötigen die erforderlichen Anbieterinformationen. Sie brauchen nicht die gesamte interne Zuständigkeitsstruktur des Unternehmens.

Die einschlägigen Impressumsangaben konkret prüfen

§ 5 Digitale-Dienste-Gesetz enthält allgemeine Informationspflichten für die dort bezeichneten Dienste. Die Informationen müssen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Der aktuelle Bezug ist das DDG. Ein unverändert aus einer älteren Vorlage übernommener Verweis auf das frühere Telemediengesetz sollte deshalb geprüft werden.

Zum Inhalt gehören abhängig vom Fall insbesondere Name und Anschrift, bei juristischen Personen Rechtsform und Vertretungsberechtigung sowie einschlägige Registerangaben. Die Norm verlangt außerdem Angaben für eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation einschließlich einer E-Mail-Adresse. Welche Kontaktgestaltung im konkreten Angebot ausreichend ist, sollte nicht allein durch ein unüberwachtes Formular beantwortet werden.

Weitere Angaben betreffen unter ihren jeweiligen Voraussetzungen etwa Aufsichtsbehörden, bestimmte reglementierte Berufe, vorhandene Umsatzsteuer- oder Wirtschafts-Identifikationsnummern und einen Liquidationsstatus. Nicht jede im Unternehmen verfügbare Nummer gehört deshalb öffentlich auf die Seite. Die private Steuernummer ist nicht mit einer solchen Identifikationsnummer gleichzusetzen. Auch eine Aufsichtsbehörde oder Berufsbezeichnung darf nicht aus einer fremden Vorlage übernommen werden.

Zusätzliche medienrechtliche Verantwortung einordnen

Der § 18 Medienstaatsvertrag enthält weitere Informationspflichten. Die verlinkte amtliche Fassung zeigt die Vorschrift des Länderstaatsvertrags. Für journalistisch-redaktionell gestaltete Angebote sieht Absatz 2 unter seinen Voraussetzungen zusätzlich einen Verantwortlichen mit Namen und Anschrift vor. Die betreffende Person muss die gesetzlichen Anforderungen erfüllen.

Ein Unternehmensblog wird nicht allein durch das Wort Blog automatisch abschließend eingeordnet. Inhalt, Gestaltung und Funktion des Angebots sind zu betrachten. Ebenso ist die redaktionell verantwortliche Person nicht ohne Weiteres identisch mit einer beliebigen Kontaktperson aus dem Projekt. Bei mehreren Verantwortlichen muss der jeweils betroffene Teil des Dienstes erkennbar sein.

Die Prüfung ist von der Anbieteridentität zu trennen. Ein rechtlich korrekt benannter redaktioneller Verantwortlicher ersetzt nicht die erforderlichen Angaben zur Gesellschaft. Umgekehrt beantwortet ein Gesellschaftsimpressum nicht automatisch sämtliche medienrechtlichen Fragen eines umfangreichen redaktionellen Angebots.

Alte Hinweise zur OS-Plattform nicht weiterkopieren

Viele ältere Impressumsvorlagen enthalten noch einen Link zur europäischen Plattform für Online-Streitbeilegung. Die Verordnung (EU) 2024/3228 hat die zugrunde liegende Verordnung mit Wirkung zum 20. Juli 2025 aufgehoben. Die Einreichung neuer Beschwerden endete bereits am 20. März 2025. Die alte Plattform ist damit kein aktuell verfügbarer Beschwerdeweg, den eine heutige Vorlage unverändert bewerben sollte.

Daraus folgt kein pauschaler Wegfall anderer Pflichten zur Verbraucherstreitbeilegung. § 36 VSBG enthält unter seinen Voraussetzungen allgemeine Informationen über Teilnahmebereitschaft oder Teilnahmeverpflichtung und gegebenenfalls die zuständige Schlichtungsstelle. Die Ausnahme für kleinere Unternehmen in Absatz 3 ist auf die dort bezeichnete Informationspflicht begrenzt. Sie befreit nicht automatisch von allen Vorschriften des VSBG.

§ 37 VSBG betrifft wiederum Informationen nach einer nicht beigelegten Streitigkeit über einen Verbrauchervertrag. Das ist eine andere Situation als der allgemeine Text auf der Webseite. Eine Pflicht zur Information und eine Pflicht zur Teilnahme sind ebenfalls verschiedene Fragen. Die tatsächliche betriebliche Entscheidung darf nicht durch einen zufällig angekreuzten Textbaustein ersetzt werden.

Verarbeitungsvorgänge statt einer bloßen Werkzeugliste erfassen

Für die Datenschutzhinweise beginnt die Arbeit bei den Vorgängen. Welche Daten entstehen beim Seitenabruf? Was passiert mit einer Kontaktanfrage? Wer erhält eine Newsletteranmeldung? Wird eine externe Karte direkt geladen oder erst nach einer gesonderten Handlung? Die Antwort sollte den vollständigen Ablauf erfassen und nicht beim sichtbaren Formular enden.

Ein Kontaktformular kann etwa eine Nachricht an ein Postfach übermitteln, zusätzlich einen Datensatz speichern und einen Dienst zur Missbrauchserkennung einbeziehen. Ob das tatsächlich geschieht, muss ermittelt werden. Eine Formularbeschreibung darf keine Datenbank nennen, die gar nicht verwendet wird. Ebenso wenig dürfen vorhandene Kopien und Empfänger verschwinden, nur weil sie im Browser nicht sichtbar sind.

Die Bestandsaufnahme verbindet daher Technik, Verträge und die Auskunft der verantwortlichen Personen. Eine Netzwerkanalyse zeigt bestimmte Browseranfragen. Sie beweist nicht allein, welche Verarbeitung anschließend auf einem Server stattfindet. Umgekehrt zeigt ein Vertrag nicht automatisch, ob ein Dienst tatsächlich in der veröffentlichten Seite aktiviert ist. Beide Seiten sind abzugleichen.

Die Informationspflichten verständlich abbilden

Die Datenschutz-Grundverordnung verlangt in Artikel 12 präzise, transparente, verständliche und leicht zugängliche Informationen in klarer Sprache. Artikel 13 regelt die Information bei der Erhebung personenbezogener Daten bei der betroffenen Person. Die Angaben sind dort grundsätzlich zum Zeitpunkt der Erhebung bereitzustellen. Eine allgemeine nachträgliche Monatsfrist ist dafür nicht vorgesehen.

Zu den relevanten Angaben zählen unter anderem der Verantwortliche, gegebenenfalls Vertreter und Datenschutzbeauftragter, Zwecke und Rechtsgrundlagen sowie Empfänger oder Empfängerkategorien. Hinzu kommen die Speicherdauer oder ihre Kriterien, die einschlägigen Rechte der betroffenen Personen und das Beschwerderecht. Bei einwilligungsbasierter Verarbeitung ist auch der Widerruf zu berücksichtigen.

Je nach Vorgang sind weitere Angaben erforderlich, etwa zu berechtigten Interessen, Drittlandübermittlungen, der Verpflichtung zur Bereitstellung von Daten oder bestimmten automatisierten Entscheidungen. Ein kurzer Abschnitt kann gut verständlich sein. Er darf aber die für den konkreten Vorgang notwendigen Informationen nicht dadurch verlieren, dass nur noch der Name eines Werkzeugs übrig bleibt.

Werden Daten nicht bei der betroffenen Person erhoben, ist Artikel 14 mit seinen zusätzlichen Angaben, Fristen und Ausnahmen gesondert zu prüfen. Das bloße Auffinden einer Adresse in einer öffentlichen Quelle ist keine pauschale Befreiung. Auch ein Wechsel des Verarbeitungszwecks kann zusätzliche Information vor der weiteren Verarbeitung erfordern.

Zweck und Rechtsgrundlage nicht nach Gefühl zuordnen

Eine Rechtsgrundlage wird nicht dadurch passend, dass sie häufig in Vorlagen vorkommt. Eine konkrete Anfrage zur Vertragsanbahnung ist anders zu beurteilen als eine freiwillige Werbeanmeldung. Sicherheitsprotokolle verfolgen wiederum einen anderen Zweck als detaillierte werbliche Nutzungsprofile. Ein einziger Sammelsatz für sämtliche Datenflüsse kann diese Unterschiede verdecken.

Die rechtliche Bewertung muss zum tatsächlichen Ablauf passen. Wenn eine Einwilligung vorgesehen ist, sollte erkennbar sein, wofür sie abgegeben wird und wie sie später widerrufen werden kann. Wird ein berechtigtes Interesse herangezogen, sind die einschlägigen Voraussetzungen und die benötigten Informationen zu betrachten. Das bloße Hinzufügen der Worte berechtigtes Interesse macht eine Verarbeitung nicht zulässig.

Die Datenschutzhinweise beschreiben außerdem keine Erlaubnis, die außerhalb des Textes fehlt. Ein offener Rechtsgrundlagenpunkt gehört in die interne Klärung. Er darf nicht durch eine selbstsicher klingende Formulierung überdeckt werden. Gerade bei zusätzlichen Werbe- und Analysefunktionen kann auch die Begrenzung oder Entfernung unnötiger Verarbeitung eine sinnvolle betriebliche Entscheidung sein.

Endeinrichtungszugriff und weitere Verarbeitung trennen

§ 25 TDDDG betrifft die Speicherung von Informationen in Endeinrichtungen und den Zugriff auf dort gespeicherte Informationen. Der Anwendungsbereich ist nicht allein auf klassische Cookies oder personenbezogene Informationen beschränkt. Die Norm enthält ein Einwilligungserfordernis und zwei begrenzte Ausnahmen. Die anschließende Verarbeitung personenbezogener Daten ist daneben nach der DSGVO zu beurteilen.

Die Ausnahme für unbedingt erforderliche Vorgänge knüpft an einen vom Nutzer ausdrücklich gewünschten digitalen Dienst an. Eine Funktion wird nicht allein deshalb erforderlich, weil sie für die wirtschaftliche Auswertung des Betreibers nützlich ist. Umgekehrt muss eine Webseite nicht allein wegen ihrer Existenz ein Einwilligungsfenster anzeigen. Entscheidend sind die tatsächlich verwendeten Techniken und Zwecke.

Die Hinweise der niedersächsischen Datenschutzaufsicht zum TDDDG erläutern diese getrennten Prüfungen und die Anforderungen an wirksame Einwilligung. Bei älteren Erläuterungen ist deren Stand mitzulesen. Maßgeblich bleibt die aktuelle Norm. Ein Hinweis auf ein berechtigtes Interesse ersetzt keine nach § 25 benötigte Einwilligung, wenn keine Ausnahme greift.

Die veröffentlichte Seite in mehreren Zuständen ansehen

Ein Textabgleich allein erkennt nicht, ob ein externer Dienst schon vor der vorgesehenen Auswahl startet. Die technische Prüfung sollte deshalb mit einem frischen Browserzustand beginnen. Danach werden Ablehnung, Zustimmung und ein späterer Widerruf als getrennte Zustände untersucht. Eine bereits gespeicherte frühere Entscheidung darf den Erstbesuch nicht unbemerkt verfälschen.

Dabei sind Netzwerkverbindungen, Cookies und andere verwendete Speicherformen zu betrachten. Die Prüfung muss zu den tatsächlichen Funktionen passen. Eine aufgeschobene Karte kann sich anders verhalten als eine Schriftdatei oder ein Analyseaufruf. Ein einzelner zufällig unauffälliger Seitenabruf beweist keine vollständige technische oder rechtliche Konformität.

Hilfreich ist eine nachvollziehbare Beobachtung: Welche Seite wurde mit welchem Zustand geprüft, welche Verbindung wurde ausgelöst und welcher Vorgang ist ihr zugeordnet? Personenbezogene Inhalte aus Formularen oder vollständige Sitzungskennungen gehören dafür nicht unnötig in öffentliche Nachweise. Bei echten Anfragen sind Umfang und Umgang mit den Prüfdaten zu begrenzen.

Eine fiktive Betriebsaufnahme mit offenen Feldern

Das folgende Beispiel ist ein interner Arbeitsdatensatz für einen erfundenen Kontaktvorgang. Unbekannte Empfänger und Aufbewahrungsregeln bleiben offen. Der Datensatz ist kein veröffentlichungsfertiger Datenschutzhinweis und erteilt keine rechtliche Freigabe.

{
  "lernfall": true,
  "vorgang": "KONTAKT-01",
  "ausloeser": "bewusstes Absenden des Kontaktformulars",
  "daten": ["Rueckmailadresse", "Nachricht"],
  "browser_beobachtung": "noch zu pruefen",
  "server_und_mailweg": "noch zu ermitteln",
  "empfaenger": null,
  "aufbewahrung": null,
  "rechtsgrundlage": "offen",
  "hinweisabschnitt": "Kontaktanfragen",
  "entscheidung": null
}

Nach der Ermittlung werden die Angaben durch belegte Tatsachen ersetzt. Die Zuständigkeit für eine Antwort sollte erkennbar sein. Entwicklung kann den technischen Versandweg erklären, während der Betrieb die tatsächliche Bearbeitung und Aufbewahrung kennt. Die rechtliche Bewertung wird daraus abgeleitet und nicht von einer vermeintlich vollständigen Liste automatisch berechnet.

Für die Veröffentlichung werden die relevanten Informationen verständlich zusammengeführt. Interne Dateipfade, Zugangsdaten und Herstellungsnotizen gehören nicht in die öffentliche Erklärung. Das Publikum benötigt den tatsächlichen Ablauf und seine Rechte. Die verantwortliche Stelle benötigt intern zusätzlich die Nachweise, auf denen diese Aussagen beruhen.

Aufbewahrung und Empfänger wirklich ermitteln

Eine bequem gewählte Zahl von Tagen ist kein Ersatz für einen vorhandenen Löschprozess. Bei einer Kontaktanfrage können Nachricht, Mailkopie, Sicherung und späterer Vertragsvorgang unterschiedliche Zusammenhänge haben. Die Erklärung sollte den wirklichen Zweck und die maßgeblichen Fristen oder Kriterien nachvollziehbar beschreiben. Eine überall identische Frist ist dafür nicht automatisch geeignet.

Ebenso müssen Empfänger und ihre Rollen stimmen. Hosting, Mailversand, Analyse und Kartenanzeige können von verschiedenen Stellen erbracht werden. Die bloße Rechtsform eines Dienstleisters entscheidet nicht abschließend über dessen datenschutzrechtliche Rolle. Erforderliche Vereinbarungen, Unterauftragnehmer und mögliche Drittlandbezüge sind anhand des tatsächlichen Dienstes zu prüfen.

Ein Link zur Datenschutzerklärung eines anderen Unternehmens kann ergänzen. Er ersetzt nicht automatisch die eigenen Informationen zur Verarbeitung. Auch die Aussage, alle Daten blieben in Deutschland, darf nicht aus einem einzelnen Serverstandort abgeleitet werden, wenn weitere beteiligte Verarbeitungsschritte unbekannt sind.

Erreichbarkeit und Widerspruchsfreiheit kontrollieren

Impressum und Datenschutzhinweise sollten über verständlich benannte Verweise erreichbar sein. Der Test umfasst Startseite, Unterseiten, schmale Ansichten und die im Angebot tatsächlich vorhandenen Sprachfassungen. Ein Einwilligungsfenster oder eine andere Überlagerung darf den Zugang zu erforderlichen Informationen nicht praktisch verhindern.

Auch weitere Kontaktstellen sind abzugleichen. Nennt das Formular eine andere verantwortliche Gesellschaft als die Datenschutzhinweise? Führt der Abmeldelink zum richtigen Newsletterdienst? Wird eine neue Formularfunktion bereits genutzt, obwohl nur der frühere Ablauf beschrieben ist? Solche Widersprüche sind konkrete Hinweise auf auseinanderlaufende Bestände.

Die Überprüfung sollte nach Änderungen wiederholt werden. Ein neuer Dienst, ein anderer Versandweg, eine neue Gesellschaft oder ein veränderter Analysezweck kann den Text betreffen. Ein aktuelles Datum allein ist kein Nachweis, dass diese Prüfung stattgefunden hat. Sinnvoll sind eine kurze Änderungsliste und eine nachvollziehbare Zuordnung zur veröffentlichten Fassung.

Checkliste für den nächsten Abgleich

Bei Formularen lohnt sich eine besondere Kontrolle der Pflichtfelder. Nicht jede allgemeine Kontaktaufnahme benötigt dieselben Angaben wie eine konkrete Bestellung. Ein zusätzliches Geburtsdatum oder eine vollständige Postanschrift sollte einen erklärbaren Zweck haben. Ein pauschales Pflichtkästchen mit der Aussage, man stimme der Datenschutzerklärung zu, ersetzt keine passende Rechtsgrundlage. Eine Datenschutzerklärung informiert zunächst. Wenn für eine bestimmte zusätzliche Verarbeitung tatsächlich eine Einwilligung benötigt wird, muss diese gesondert zu ihrem Zweck passen. Die technische Möglichkeit, ein Formular erst nach einem Häkchen abzusenden, beantwortet diese rechtliche Frage nicht.

Auch eine Newsletterfunktion darf nicht aus dem Kontaktablauf abgeleitet werden. Wenn eine Anfrage nur beantwortet werden soll, ist damit nicht automatisch eine Anmeldung für spätere Werbung verbunden. Die Bestandsaufnahme sollte deshalb prüfen, ob Daten tatsächlich in eine Versandliste gelangen und welche Handlung dies auslöst. Ebenso sind Bestätigungsnachweise und Abmeldungen im realen Dienst zu betrachten. Ein Hinweis auf einen dokumentierten Anmeldeprozess wäre falsch, wenn die Anwendung diesen Prozess gar nicht durchführt. Umgekehrt gehört eine tatsächlich vorhandene zusätzliche Verarbeitung in die Bewertung, auch wenn sie nur durch eine unauffällige Voreinstellung aktiviert wurde.

Bei externen Einbettungen reicht die Untersuchung eines auffälligen Hauptaufrufs häufig nicht aus. Bereits ein Vorschaubild, eine Schriftdatei oder ein Skript kann eine Verbindung zu einem anderen Dienst auslösen. Ein optisch ruhiger Platzhalter ist daher nicht automatisch ein Beleg dafür, dass vor einer Auswahl keine relevante Verbindung besteht. Für den Nachweis sollte der gesamte tatsächlich beobachtete Ablauf betrachtet werden. Das bedeutet keine pauschale Aussage, jede solche Verbindung benötige dieselbe Einwilligung. Es bedeutet, dass die technische Tatsachengrundlage zuerst vollständig genug sein muss, bevor die passende rechtliche Einordnung erfolgt.

Genauso sorgfältig ist die Aussage zu prüfen, eine Statistik sei anonym oder verwende keine Cookies. Die fehlende Verwendung einer bestimmten Speichertechnik beschreibt nur einen Teil des Vorgangs. Welche Ereignisse, Adressen oder sonstigen Merkmale verarbeitet werden und ob Personenbezug besteht, muss gesondert betrachtet werden. Eine passende datensparsame Konfiguration kann die Bewertung verändern. Sie darf jedoch nicht behauptet werden, weil lediglich der Produktname bekannt ist. Die verwendete Konfiguration und ihr tatsächliches Verhalten sind wichtiger als ein Werbeversprechen des Werkzeugs.

Für die laufende Pflege hilft schließlich ein klarer Änderungsanlass. Wer eine Karte ergänzt oder den Maildienst wechselt, sollte die zugehörigen Hinweise und Nachweise in derselben Änderung mitdenken. Der Vorgang braucht eine erreichbare Zuständigkeit und einen Abschlussvermerk zur betrachteten Fassung. So kann später unterschieden werden, ob nur ein Schreibfehler verbessert oder ein neuer Datenfluss bewertet wurde. Das schützt auch vor dem umgekehrten Fehler: Eine entfernte Funktion sollte nicht auf Dauer als weiterhin aktive Verarbeitung beschrieben werden.

• Rechtlichen Anbieter und zugehörige Domains eindeutig bestimmen.
• Rechtsform, Vertretung, Anschrift und einschlägige Registerdaten prüfen.
• Zusätzliche berufs-, medien- und verbraucherrechtliche Angaben konkret einordnen.
• Veraltete Hinweise zur eingestellten OS-Plattform erkennen.
• Verarbeitungsvorgänge von der Erhebung bis zu Empfängern und Löschung erfassen.
• Zweck, Rechtsgrundlage und mögliche Einwilligung je Vorgang prüfen.
• Erstbesuch, Ablehnung, Zustimmung und Widerruf technisch auseinanderhalten.
• Speicherdauern, Dienstleister und Datenwege anhand wirklicher Nachweise beschreiben.
• Erforderliche Informationen verständlich und rechtzeitig zugänglich machen.
• Nach Änderungen Technik, Betrieb und veröffentlichte Texte gemeinsam abgleichen.

Ein belastbarer Stand entsteht durch diese Verbindung von Tatsachen und verständlicher Information. Die Texte passen dann zum tatsächlichen Angebot und bleiben bei Änderungen gezielt wartbar.