Pflichten von Webseitenbetreibern nach EU-Recht

Pflichten von Webseitenbetreibern nach EU-Recht und nach Themen gegliedert: Impressum und Transparenz, Datenschutz, Cookies und Tracking, Urheberrecht, Barrierefreiheit sowie besondere Pflichten bei kommerziellen Angeboten. Wichtig ist: Nicht jede Pflicht gilt für jede Website. Entscheidend sind unter anderem der Sitz des Betreibers, die Art der Website, die verwendeten Technologien, die angebotenen Leistungen und die Zielgruppe. Für Österreich sind zusätzlich die einschlägigen nationalen Gesetze zu berücksichtigen, mit denen EU-Vorgaben umgesetzt werden.

1. Impressum und Anbieterkennzeichnung

Wer eine Website betreibt, muss unter bestimmten Voraussetzungen Angaben zur Identität des Betreibers leicht zugänglich bereitstellen. Die konkreten Anforderungen hängen vom Angebot und vom jeweiligen nationalen Recht ab.

Für geschäftliche Websites sind insbesondere Angaben wie folgende relevant:

• Name bzw. Firma des Betreibers
• Geografische Anschrift
• Kontaktmöglichkeiten, insbesondere eine E-Mail-Adresse
• Gegebenenfalls Registerdaten, Umsatzsteuer-Identifikationsnummer
• Angaben zur zuständigen Aufsichtsbehörde

Für Österreich gilt: Hier sind insbesondere das E-Commerce-Gesetz (ECG), das Mediengesetz (MedienG) und gegebenenfalls die Gewerbeordnung zu beachten. Ob und welche zusätzlichen Angaben erforderlich sind, hängt von der konkreten Website und der Tätigkeit des Betreibers ab.

Ein rein privater Blog ohne wirtschaftlichen Bezug ist rechtlich anders zu beurteilen als eine kommerzielle Website. Auch bei Blogs können jedoch medienrechtliche Offenlegungspflichten bestehen.

2. Datenschutz und Datenschutzerklärung

Die Datenschutz-Grundverordnung (DSGVO) ist eine der wichtigsten Rechtsgrundlagen für Websitebetreiber. Sie ist insbesondere dann relevant, wenn personenbezogene Daten verarbeitet werden, etwa durch Kontaktformulare, Newsletter, Analysewerkzeuge, Serverprotokolle oder eingebundene Dienste Dritter.

Zu den zentralen Pflichten gehören:

• Rechtsgrundlage: Für jede Verarbeitung personenbezogener Daten muss eine geeignete Rechtsgrundlage bestehen.
• Informationspflicht: Besucher müssen transparent darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und wie lange die Daten gespeichert werden.
• Betroffenenrechte: Die Rechte der betroffenen Personen, beispielsweise auf Auskunft, Berichtigung und unter bestimmten Voraussetzungen Löschung, müssen gewährleistet sein.
• Datensicherheit: Personenbezogene Daten müssen durch angemessene technische und organisatorische Maßnahmen geschützt werden.
• Auftragsverarbeitung: Werden externe Dienstleister eingesetzt, beispielsweise für Hosting oder Newsletterversand, müssen die datenschutzrechtlichen Voraussetzungen geprüft und gegebenenfalls Auftragsverarbeitungsverträge abgeschlossen werden.

Eine Datenschutzerklärung sollte auf die tatsächlich eingesetzten Technologien und Verarbeitungsprozesse abgestimmt sein. Eine allgemeine Vorlage reicht nicht unbedingt aus.

Wichtig: Eine Datenschutzerklärung allein macht eine Website noch nicht datenschutzkonform. Entscheidend ist, dass die Datenverarbeitung selbst rechtmäßig erfolgt.

3. Cookies, Tracking und Einwilligungen

Beim Einsatz von Cookies und vergleichbaren Technologien sind insbesondere die Datenschutz-Grundverordnung und die europäischen Vorgaben zum Schutz der Privatsphäre in der elektronischen Kommunikation relevant, die in nationales Recht umgesetzt wurden.

Für Österreich ist hier insbesondere § 165 Abs. 3 des Telekommunikationsgesetzes 2021 (TKG 2021) zu beachten.

Grundsätzlich gilt:

• Technisch nicht notwendige Cookies und vergleichbare Technologien dürfen regelmäßig erst nach einer wirksamen Einwilligung eingesetzt werden.
• Für technisch notwendige Technologien kann eine Ausnahme greifen, wenn sie ausschließlich der Übertragung einer Nachricht dienen oder unbedingt erforderlich sind, um einen ausdrücklich gewünschten Dienst bereitzustellen.
• Die Einwilligung muss freiwillig, informiert und eindeutig sein.
• Eine Ablehnung darf nicht unnötig erschwert werden.
• Nutzer müssen ihre Einwilligung grundsätzlich ebenso einfach widerrufen können, wie sie diese erteilt haben.

Das betrifft beispielsweise viele Werbe- und Tracking-Cookies sowie bestimmte Analysewerkzeuge und Marketing-Pixel.

Ob eine Einwilligung erforderlich ist, muss anhand der konkreten Technologie und ihres Einsatzes geprüft werden. Nicht jedes Cookie benötigt automatisch ein Cookie-Banner, und nicht jedes Analysewerkzeug ist automatisch einwilligungsfrei.

4. Urheberrecht und verwendete Inhalte

Websitebetreiber müssen darauf achten, dass die veröffentlichten Inhalte keine Rechte Dritter verletzen. Dies betrifft insbesondere:

• Fotos, Grafiken und Illustrationen
• Texte und redaktionelle Beiträge
• Videos und Musik
• Schriftarten und andere geschützte Gestaltungselemente

Die bloße Verfügbarkeit eines Bildes im Internet bedeutet nicht, dass es frei verwendet werden darf. Auch die Nennung des Urhebers ersetzt nicht automatisch eine erforderliche Nutzungserlaubnis.

Wer Inhalte von Dritten verwenden möchte, sollte daher prüfen, ob eine Lizenz, eine gesetzliche Erlaubnis oder eine andere ausreichende Rechtsgrundlage vorliegt.

Darüber hinaus müssen auch Persönlichkeitsrechte und gegebenenfalls Markenrechte berücksichtigt werden. Das ist insbesondere bei Fotos erkennbarer Personen, Zitaten und der Verwendung fremder Logos relevant.

5. Werbung, Affiliate-Links und kommerzielle Inhalte

Wer eine Website zur Vermarktung eigener oder fremder Produkte nutzt, muss zusätzliche Transparenzpflichten beachten.
Werbliche Inhalte dürfen nicht irreführend sein und müssen, soweit erforderlich, als Werbung erkennbar sein. Das betrifft unter anderem:

• Bezahlte Kooperationen und gesponserte Beiträge
• Affiliate-Links, über die Provisionen erzielt werden
• Bezahlte Produktplatzierungen
• Werbeanzeigen und kommerzielle Empfehlungen

Auch bei einem Blog, der überwiegend redaktionelle Inhalte veröffentlicht, können diese Pflichten relevant sein.

Die konkrete Kennzeichnung hängt vom Einzelfall ab. Sie sollte so gestaltet sein, dass Leser den kommerziellen Charakter eines Beitrags ohne Weiteres erkennen können.

Rechtliche Grundlagen finden sich unter anderem im EU-Recht über unlautere Geschäftspraktiken und in den entsprechenden nationalen Vorschriften.

6. Barrierefreiheit von Websites

Barrierefreiheit soll sicherstellen, dass Menschen mit Behinderungen digitale Inhalte und Dienstleistungen nutzen können. Auf EU-Ebene sind dabei zwei Regelungsbereiche zu unterscheiden.

• Öffentliche Stellen: Die EU-Richtlinie über die Barrierefreiheit von Websites und mobilen Anwendungen öffentlicher Stellen verpflichtet die erfassten Behörden und öffentlichen Einrichtungen zu bestimmten Barrierefreiheitsstandards.
• Private Unternehmen: Der European Accessibility Act (EAA) gilt seit dem 28. Juni 2025 für bestimmte Produkte und Dienstleistungen. Dazu gehören unter anderem bestimmte Dienstleistungen im elektronischen Geschäftsverkehr. Für Kleinstunternehmen, die Dienstleistungen anbieten, bestehen Ausnahmen, wenn sie weniger als zehn Personen beschäftigen und entweder ihr Jahresumsatz oder ihre Jahresbilanzsumme zwei Millionen Euro nicht übersteigt. Digital

Für Websitebetreiber bedeutet das: Sie sollten prüfen, ob ihr konkretes Angebot unter die einschlägigen Vorschriften fällt.

Unabhängig von einer gesetzlichen Verpflichtung sind barrierefreie Gestaltung und verständliche Inhalte sinnvoll. Dazu zählen beispielsweise:

• Aussagekräftige Alternativtexte für Bilder
• Eine klare Überschriftenstruktur
• Gute Lesbarkeit und ausreichende Farbkontraste
• Tastaturbedienbarkeit
• Verständliche Beschriftungen von Formularen

Wichtig: Nicht jede private Website muss allein aufgrund des EU-Rechts sämtliche Barrierefreiheitsanforderungen erfüllen. Entscheidend sind insbesondere die Art der angebotenen Dienstleistung und mögliche Ausnahmen.

7. Der Digital Services Act (DSA)

Der Digital Services Act ist eine EU-Verordnung, die seit dem 17. Februar 2024 grundsätzlich vollständig anwendbar ist. Er regelt die Pflichten digitaler Vermittlungsdienste und Onlineplattformen.

Für gewöhnliche Websites, auf denen ausschließlich eigene redaktionelle Inhalte veröffentlicht werden, stehen andere Rechtsvorschriften im Vordergrund. Der DSA kann jedoch relevant werden, wenn eine Website beispielsweise Nutzerbeiträge hostet, Inhalte Dritter verbreitet oder eine Onlineplattform betreibt.

Je nach Art des Dienstes können unter anderem folgende Pflichten bestehen:

• Bereitstellung geeigneter Kontaktstellen
• Transparente und verständliche Nutzungsbedingungen
• Verfahren zur Meldung rechtswidriger Inhalte, soweit vorgeschrieben
• Beachtung besonderer Transparenzpflichten bei der Moderation von Inhalten
• Zusätzliche Anforderungen an Onlineplattformen und Marktplätze

Die Pflichten sind nach Art, Größe und Funktion des Dienstes abgestuft. Kleine Unternehmen und Kleinstunternehmen sind von bestimmten zusätzlichen Pflichten ausgenommen, jedoch nicht pauschal von sämtlichen DSA-Vorgaben.

8. Online-Shops und kommerzielle Websites

Wer über seine Website Waren oder Dienstleistungen verkauft, muss zusätzliche verbraucherrechtliche Anforderungen beachten. Neben den allgemeinen Informationspflichten kommen je nach Geschäftsmodell insbesondere Vorschriften zum Fernabsatz und zum elektronischen Geschäftsverkehr hinzu.

Dazu gehören beispielsweise:

• Klare Angaben zu Preisen, Steuern und zusätzlichen Kosten
• Informationen über die wesentlichen Eigenschaften der angebotenen Waren oder Dienstleistungen
• Transparente Vertragsbedingungen
• Informationen über Widerrufsrechte, sofern diese bestehen
• Ein rechtskonformer Bestellprozess
• Beachtung der Regeln gegen irreführende Geschäftspraktiken

Je nach Angebot können außerdem besondere Vorschriften gelten, etwa für digitale Inhalte, Abonnements oder Online-Marktplätze.

Die konkreten Anforderungen hängen unter anderem davon ab, ob sich das Angebot an Verbraucher oder ausschließlich an Unternehmen richtet und in welchem Land die Kunden ansässig sind.

9. Technische Sicherheit und laufende Wartung

Websitebetreiber sollten angemessene technische und organisatorische Maßnahmen ergreifen, um ihre Website und die darüber verarbeiteten Daten zu schützen.

Insbesondere wenn personenbezogene Daten verarbeitet werden, ist die Sicherheit der Verarbeitung eine ausdrückliche Anforderung der DSGVO. Welche Maßnahmen angemessen sind, hängt vom jeweiligen Risiko ab. Eur-Lex

Zu den sinnvollen Maßnahmen gehören:

• Regelmäßige Updates des Content-Management-Systems und seiner Erweiterungen
• Sichere Passwörter und gegebenenfalls Mehr-Faktor-Authentifizierung
• Regelmäßige Back-ups
• Verschlüsselte Datenübertragung mittels HTTPS
• Beschränkung von Zugriffsrechten
• Ein geregelter Umgang mit Sicherheitsvorfällen

Diese Maßnahmen sind nicht in jedem Einzelfall in identischer Form gesetzlich vorgeschrieben. Sie dienen jedoch dazu, Sicherheitsrisiken zu reduzieren und einschlägige gesetzliche Pflichten zu erfüllen.

10. Welche Pflichten gelten für einen einfachen Blog?

Wer einen Blog betreibt, muss nicht automatisch sämtliche Vorschriften erfüllen, die für große Plattformen oder Online-Shops gelten.

Die folgende Übersicht bietet eine erste Orientierung und ist bewusst vereinfacht. Sie ersetzt keine Prüfung des konkreten Einzelfalls.

Fazit: Welche Verantwortung haben Websitebetreiber?

Die rechtlichen Anforderungen an Websites in der EU hängen wesentlich davon ab, welche Inhalte veröffentlicht werden, welche Daten verarbeitet werden und ob kommerzielle oder interaktive Funktionen angeboten werden.

Für Betreiber eines gewöhnlichen Blogs empfiehlt es sich, insbesondere die Anbieterkennzeichnung, den Datenschutz, den Einsatz von Cookies und Tracking-Technologien, das Urheberrecht sowie die Kennzeichnung kommerzieller Inhalte zu überprüfen. Bei zusätzlichen Funktionen wie Kommentaren, Newslettern, Nutzerkonten oder einem Online-Shop können weitere Verpflichtungen hinzukommen.

Rechtssicherheit entsteht nicht allein durch das Einfügen eines Impressums oder einer Datenschutzerklärung. Entscheidend ist, dass die tatsächliche Gestaltung und der Betrieb der Website mit den jeweils anwendbaren Vorschriften übereinstimmen.

Offizielle Quellen zur weiteren Recherche

Für einen Blogbeitrag mit juristischem Anspruch empfehle ich insbesondere folgende Primär- und Behördenquellen:

DSGVO: Volltext der Datenschutz-Grundverordnung auf EUR-Lex^[1]
Anbieterkennzeichnung in Österreich: §5 E-Commerce-Gesetz (RIS)^[2]
Cookies und Tracking in Österreich: §165 Telekogesetz 2021 (RIS)^[3]
Medienrechtliche Offenlegung in Österreich: §25 Mediengesetz (RIS)^[4]
Digital Services Act: Europäische Kommission – Überblick zum DSA^[5]
Barrierefreiheit: Europäische Kommission – European Accessibility Act^[6]

 

Hinweis für die Veröffentlichung: Dieser Beitrag dient der allgemeinen Information und stellt keine individuelle Rechtsberatung dar. Da EU-Vorschriften teilweise durch nationales Recht ergänzt oder umgesetzt werden und Ausnahmen bestehen können, sollten die Aussagen vor der Veröffentlichung anhand des konkreten Anwendungsfalls überprüft werden.