Website-Pflichten 2027: Barrierefreiheit, DSGVO, Cookies und KI

Welche EU-Regeln die Website eines Unternehmens betreffen: die Karte für 2027

Die Website einer Firma in der EU oder mit Kunden aus der EU fällt gleich unter mehrere Regelwerke. Sie ersetzen sich nicht und betreffen verschiedene Teile der Website. Wir fassen sie in einer Karte zusammen, damit Sie wissen, was Sie Ihren Juristen fragen sollten.

• Barrierefreiheit. Richtlinie (EU) 2019/882, European Accessibility Act (EAA): gilt seit dem 28. Juni 2025, in Deutschland umgesetzt durch das Barrierefreiheitsstärkungsgesetz (BFSG).
• Personenbezogene Daten. Die Datenschutz-Grundverordnung (DSGVO): was Sie erheben, wozu, wie Sie darüber informieren und wie Sie es schützen.
• Cookies und Tracker. Die ePrivacy-Richtlinie und die Praxis der nationalen Aufsichtsbehörden: Einwilligung vor dem Einschalten von Analyse und Werbung.
• Künstliche Intelligenz. Verordnung (EU) 2024/1689, EU AI Act: Transparenzpflichten für Chatbots und erzeugte Inhalte.
• Anbieterangaben und Verbraucherbedingungen. Zum Beispiel das Impressum für Websites mit Ziel Deutschland und Österreich sowie Informationen zu Zahlung, Rückgabe und Widerruf.

Wichtig: Wir sind keine Juristen und geben keine Rechtsgutachten ab. Hier steht, was die offiziellen Dokumente und die Übersichten von Kanzleien im Oktober 2026 sagen, und wo die Quellen auseinandergehen, vermerken wir das. Jede Entscheidung zu Ihrer Website sollten Sie mit einem Juristen abstimmen, der Ihren Markt kennt. Beginnen Sie erst mit der Firma, lesen Sie den Artikel Firma im Ausland gründen, und zur Website für die Bank den Artikel Welche Website Bank und Stripe brauchen.

Barrierefreie Website Pflicht: Was der European Accessibility Act verlangt

Der Accessibility Act gilt seit dem 28. Juni 2025. Zu den erfassten Diensten gehört der elektronische Geschäftsverkehr: Dienstleistungen, die im Fernabsatz auf Verlangen eines Verbrauchers zum Abschluss eines Verbrauchervertrags erbracht werden. Nach Übersichten von Kanzleien betrifft das auch Unternehmen außerhalb der EU, wenn sie an Verbraucher in der EU verkaufen. Websites, die nur für Unternehmen (B2B) arbeiten und keine Verbraucherverträge abschließen, fallen in der Regel nicht darunter, doch die Grenze hängt davon ab, wie die Website aufgebaut ist.

Was in der Praxis verlangt wird

• Informationen und Oberflächen müssen wahrnehmbar, bedienbar, verständlich und robust sein. Orientierung für die Prüfung bieten die Standards WCAG und die europäische Norm EN 301 549.
• Der ganze Weg des Kunden: Katalog, Produktbeschreibung, Warenkorb, Zahlung, Support.
• Eine veröffentlichte Erklärung zur Barrierefreiheit und Verfahren, die die Konformität sichern.
• Zusammenarbeit mit der nationalen Marktüberwachung bei Anfragen.

Ausnahmen

Für Kleinstunternehmen, die Dienstleistungen erbringen (weniger als 10 Beschäftigte und Umsatz oder Bilanzsumme von höchstens €2 Mio.), ist eine Ausnahme vorgesehen. Die Übersichten gehen aber auseinander, wie sie im Online-Handel angewendet wird, und die EU-Länder haben die Richtlinie unterschiedlich in nationales Recht umgesetzt. Es gibt außerdem eine eigene Ausnahme für Fälle, in denen die Erfüllung unverhältnismäßig belastet oder das Wesen der Leistung verändert. Diese Fragen entscheidet ein Jurist, nicht die Überschrift eines Artikels.

Was der Entwickler tut: Kontrast, Bildbeschreibungen, Überschriftenstruktur, Formulare mit beschrifteten Feldern, Tastaturbedienung, sichtbarer Fokus, keine Fallen im Menü. Das legt man besser schon beim Design an. Das Gesamtbild weiterer Veränderungen in der Entwicklung haben wir im Artikel Webdesign Trends 2027 beschrieben.

DSGVO Website Checkliste: Pflichtangaben im Überblick

Die DSGVO gilt, wenn Sie personenbezogene Daten von Menschen in der EU verarbeiten: über Anfrageformular, Newsletter, Konto, Zahlung, Analyse, Chat oder Video. Größe und Land der Firma ändern daran nichts, wenn Sie Menschen in der EU Waren und Dienstleistungen anbieten oder ihr Verhalten beobachten. Das Minimum für eine Website:

• Datenschutzerklärung. Wer Sie sind, welche Daten Sie erheben, wozu, auf welcher Grundlage, an wen Sie sie weitergeben, wie lange Sie sie speichern, wie Menschen ihre Rechte nutzen. In einfacher Sprache.
• Information am Formular. Neben dem Formular ein verständlicher Link zur Erklärung und, falls nötig, ein eigenes Kästchen für die Einwilligung; es darf nicht vorangekreuzt sein.
• Liste der Dienste, an die Sie Daten weitergeben. E-Mail, CRM, Analyse, Hosting, Zahlungsdienst. Mit ihnen brauchen Sie Verträge zur Auftragsverarbeitung.
• Datensparsamkeit. Fragen Sie nicht, was für die Aufgabe nicht nötig ist.
• Sicherheit. HTTPS, beschränkter Zugriff, Sicherungskopien, Schutz der Formulare.
• Kanäle für Anfragen von Menschen. Eine E-Mail-Adresse für Fragen zu Daten und ein verständlicher Prozess für die Antwort.

Diese Punkte legen wir in Websites standardmäßig an, die Texte der Erklärungen erstellen wir als Vorlagen für die Rechtsordnung: die endgültige Prüfung übernimmt der Jurist des Kunden. In den EU-Ländern gibt es eigene Nuancen und Bezeichnungen: In Deutschland ist es die Datenschutzerklärung, in Polen RODO, in Spanien LOPDGDD. Sie ändern den Sinn nicht, beeinflussen aber die Formulierungen.

Cookie-Banner: Was die Aufsichtsbehörden prüfen

Cookies und ähnliche Technologien (Pixel, SDKs) erfordern die Einwilligung des Besuchers, wenn sie für den Betrieb der Website nicht nötig sind. Die Praxis der Aufsichtsbehörden ist in den letzten Jahren strenger geworden. Die französische CNIL betont, dass das Ablehnen von Cookies so einfach sein muss wie das Zustimmen, und hat Herausgebern aufgetragen, Banner zu ändern, bei denen die Ablehnung versteckt oder so gestaltet war, dass der Nutzer „Akzeptieren“ wählt. Der Ansatz der Länder unterscheidet sich: zum Beispiel, ob ein Ablehnen-Button schon auf der ersten Ebene des Banners nötig ist. Die französische und die britische Behörde sprechen das ausdrücklich an, andere, wie die spanische, formulieren milder. Orientieren Sie sich daher an den Anforderungen des Landes, auf das Ihre Website zielt. In Deutschland regelt zusätzlich das TDDDG den Zugriff auf Informationen im Endgerät.

So sieht eine ordentliche Umsetzung aus

• Vor der Einwilligung werden weder Analyse noch Werbung noch Drittvideos mit Tracking geladen.
• Die Buttons „Akzeptieren“ und „Ablehnen“ sehen gleich aus und stehen nebeneinander.
• Es gibt detaillierte Einstellungen nach Kategorien und eine Liste der verwendeten Cookies.
• Die Auswahl wird gespeichert und lässt sich später leicht ändern.
• Die Sprache des Banners entspricht der Sprache der Seite.

Brauchen Sie keine Tracker, ist die einfachste Lösung, auf sie zu verzichten und eine Analyse ohne Cookies zu nutzen. Dann kann der Banner minimal sein. Die Entscheidung, ob ein Banner nötig ist, treffen Sie aber gemeinsam mit einem Juristen in Ihrem Land.

EU AI Act und KI auf der Website: Was schon gilt

Die Verordnung (EU) 2024/1689 wurde in Stufen eingeführt. Nach Übersichten von Kanzleien ist das wichtigste Datum der 2. August 2026: Ab dann gelten die Transparenzpflichten aus Artikel 50. Läuft auf der Website ein KI-Assistent oder Chatbot, muss der Mensch informiert werden, dass er mit einer KI kommuniziert, wenn das nicht offensichtlich ist. Von KI erzeugte Inhalte (Bilder, Ton, Video, Text) müssen maschinenlesbar gekennzeichnet werden, und Deepfakes sowie bestimmte Texte, die zur Information der Öffentlichkeit veröffentlicht werden, müssen ausdrücklich markiert sein. Für Systeme, die vor dem 2. August 2026 auf den Markt kamen, nennen die Übersichten eine Übergangsfrist für die Kennzeichnung bis zum 2. Dezember 2026.

Die Anforderungen an „Hochrisiko“-Systeme (zum Beispiel bei Einstellung oder Bewertung von Menschen) wurden laut denselben Übersichten durch den „Digital-Omnibus“ (laut Übersichten Verordnung (EU) 2026/1744, im Juli 2026 veröffentlicht) auf den 2. Dezember 2027 für einzelne Kategorien und auf den 2. August 2028 für in Produkte eingebaute Systeme verschoben. Auf der Website eines kleinen Unternehmens kommen Hochrisiko-Systeme kaum vor. Da wir uns auf Übersichten und nicht auf den Text der Änderungen stützen, gleichen Sie die aktuellen Daten im Amtsblatt und mit einem Juristen ab.

Was Sie auf der Website tun: Kennzeichnen Sie den Bot in der ersten Nachricht als KI, geben Sie an, wie man einen Menschen erreicht, veröffentlichen Sie keine erzeugten Bilder von Menschen als „echte Kunden“ und führen Sie intern eine Liste der KI-Werkzeuge, die Sie nutzen. Über Kosten und Arbeit von Bots haben wir im Artikel Was kostet ein Chatbot oder KI-Assistent? geschrieben, und wie eine Website in Antworten von KI-Diensten auftaucht, im Artikel In ChatGPT-Antworten erscheinen.

Impressum, Firmenangaben und Bedingungen für Verbraucher

Für Websites mit Ziel Deutschland und Österreich ist ein Impressum nötig: Angaben zum Anbieter der Website, die ohne Mühe erreichbar sein müssen. Das Merkblatt der IHK Ostwestfalen verweist auf § 5 DDG. Üblicherweise gehören zum Impressum Name und Rechtsform, Anschrift, Kontaktmöglichkeit (E-Mail und ein zweiter Kanal), Registerdaten und, falls zutreffend, die Umsatzsteuer-Identifikationsnummer und die verantwortliche Person. Der Umfang hängt von der Tätigkeit ab, deshalb prüft ihn ein Jurist.

Verkaufen Sie an Verbraucher, müssen auf der Website verständliche Bedingungen stehen: Preise mit Steuern, Zahlungs- und Lieferarten, Frist und Ablauf der Rückgabe, Information über das Widerrufsrecht, Kontakt für Beschwerden. Das ist keine „schöne Formalität“: Banken und Zahlungsdienste schauen genau hierauf, und Fehler führen zu Streit und Bußgeldern. Was die Bank prüft, haben wir im Artikel zur Website für Bank und Stripe beschrieben. Für eine neue Website mit Rechtsseiten passend zur Rechtsordnung eignet sich die „Website in 24 Stunden“ für €599, für eine Website mit Blog und zwei Sprachen die „Website für Unternehmen“ für €2.490.

Praktischer Rat: Legen Sie ein „Dossier der Website“ an, ein Dokument mit der Liste der Seiten, Formulare, Dienste, an die Daten gehen, verwendeten Cookies und KI-Werkzeuge, dem Datum der letzten Prüfung und dem Namen des Verantwortlichen. Ein solches Dossier spart dem Juristen Zeit, hilft, schnell auf eine Anfrage von Bank oder Behörde zu antworten, und zeigt, dass Sie die Anforderungen ernst nehmen. Aktualisieren Sie es bei jeder spürbaren Änderung der Website: neues Formular, neuer Analysedienst, neues Widget. Verstöße entstehen oft nicht beim Bau der Website, sondern später, wenn jemand ein Skript einbindet, von dem der Jurist nichts wusste.

Checkliste: Erfüllt Ihre Website die EU-Anforderungen?

Haken Sie die Punkte ab, die Sie erfüllen. Die Checkliste ist ein Werkzeug zur Selbstprüfung, kein Rechtsgutachten und kein Konformitätszertifikat. Sind einige Punkte nicht abgehakt, ist das ein Anlass für ein Gespräch mit Jurist und Entwickler.

So haben wir die Checkliste aufgebaut: Wir haben die Punkte genommen, die sich aus den oben genannten Dokumenten und der Praxis der Aufsichtsbehörden ergeben. Die Gewichte zeigen, wie stark ein Punkt das Risiko beeinflusst. Für die Bankprüfung gibt es eine eigene Checkliste im Artikel zu Bank und Stripe.

Was Sie in Ihrer Situation wählen sollten

• Sie verkaufen an Verbraucher in der EU. Beginnen Sie mit Barrierefreiheit und Kaufbedingungen, danach Cookies und Erklärungen. Das prüfen Kunden und Banken am häufigsten.
• Ihre Website ist nur eine Visitenkarte mit Anfrageformular. Es genügen eine Datenschutzerklärung, ein korrektes Formular und ein sauberer Banner; Barrierefreiheit legen Sie trotzdem besser an.
• Auf der Website läuft ein KI-Chat. Kennzeichnen Sie ihn als KI und bieten Sie einen Kanal zu einem Menschen.
• Die Website ist alt. Bestellen Sie ein Audit: Das SEO-Audit für €490 zeigt die technische Basis, Barrierefreiheit und rechtliche Punkte werden separat mit einem Juristen geprüft.
• Sie wählen, wer die Website baut. Lesen Sie Webagentur finden: Fragen Sie, wie der Dienstleister Barrierefreiheit und Datenschutz anlegt.
• Sie wollen wissen, ob das ganze Projekt bereit ist. Schreiben Sie uns kurz, was Sie vorhaben: Wir sagen Ihnen, welche der Pflichten bei Ihnen zuerst anstehen.

Regeln und Auslegungen ändern sich, prüfen Sie daher den aktuellen Stand zum Zeitpunkt Ihrer Entscheidung. Die Anforderungen für Kunden in Ihrem Land klären Sie mit einem Juristen; Rechtsgutachten geben wir nicht ab.