Welche gesetzlichen Vorgaben müsst ihr im Marketing beachten? DSGVO, DSA und Kennzeichnung

Wer Online-Marketing betreibt, bewegt sich in mehreren Gesetzen gleichzeitig: Datenschutz, Wettbewerbsrecht, Telemedienrecht, neuerdings EU-Regeln für Plattformen und KI. Das meiste davon ist weniger kompliziert, als es klingt, wenn ihr es nach Maßnahmen sortiert. Dieser Beitrag tut das, mit Stand Oktober 2026.

Eine Einschränkung vorweg: Wir sind eine Agentur und keine Kanzlei. Was hier steht, hilft euch, die richtigen Fragen zu stellen und Risiken zu erkennen. Für eure konkrete Seite, Kampagne oder Datenschutzerklärung holt ihr rechtlichen Rat ein.

Der Überblick: Maßnahme, Gesetz, Pflicht

Die folgenden Abschnitte gehen die Zeilen einzeln durch.

Cookies und Tracking: Einwilligung nach § 25 TDDDG

Das Gesetz, das früher TTDSG hieß, heißt seit Mai 2024 TDDDG. Sein § 25 ist die Grundlage für das Cookie-Banner: Wer Informationen auf dem Gerät eines Menschen speichert oder dort ausliest, braucht dessen Einwilligung. Es gibt nur zwei Ausnahmen: die reine Übertragung einer Nachricht und Dinge, die für einen ausdrücklich gewünschten Dienst unbedingt nötig sind. Reichweitenmessung und Werbung stehen nicht auf dieser Liste. Dass es dabei nicht nur um Cookies geht, sondern auch um Local Storage und ähnliche Techniken, gehört zum Standardverständnis der Aufsichtsbehörden.

Für das Banner selbst gilt: Das Verwaltungsgericht Hannover hat im März 2025 ein Banner beanstandet, bei dem Ablehnen deutlich umständlicher war als Zustimmen (Az. 10 A 5385/22). Die Datenschutzaufsicht in Niedersachsen, die das Verfahren geführt hat, liest das Urteil so, dass neben „Alle akzeptieren“ schon auf der ersten Ebene eine gut sichtbare Schaltfläche „Alles ablehnen“ stehen muss. Über die genaue Reichweite wird gestritten, aber die sichere Gestaltung ist klar: Ablehnen kostet genau einen Klick, wie Zustimmen.

Und der Digital Omnibus, der Cookie-Regeln in die DSGVO verschieben und einige Zwecke einwilligungsfrei stellen soll? Er ist Stand Ende Oktober 2026 weiter ein Vorschlag in Verhandlung. Planen müsst ihr mit dem geltenden Recht. Wie ihr Messung aufsetzt, ohne bei jedem Besuch ein Banner zu brauchen, beschreibt der Beitrag Tracking und KPIs ohne Datenfriedhof.

Zwei Praxisfehler tauchen immer wieder auf: Skripte, die vor der Einwilligung laden, und Drittanbieter, die nicht in der Datenschutzerklärung stehen. Auch Schriften gehören dazu: Das Landgericht München I sprach 2022 einem Kläger 100 Euro zu, weil eine Website Google Fonts von Googles Servern nachlud (Az. 3 O 17493/20). Die Lösung ist einfach: Schriften lokal hosten.

E-Mail-Werbung: ohne Einwilligung nur in engen Grenzen

Werbe-E-Mails ohne vorherige ausdrückliche Einwilligung sind nach § 7 UWG eine unzumutbare Belästigung. Eine Ausnahme gibt es für Bestandskunden, aber nur, wenn alle vier Bedingungen zusammenkommen: Ihr habt die Adresse beim Verkauf bekommen, ihr bewerbt eigene ähnliche Produkte, der Kunde hat nicht widersprochen, und er wurde bei der Erhebung und in jeder Mail auf sein Widerspruchsrecht hingewiesen.

Für den Newsletter heißt das in der Praxis: Anmeldung mit Bestätigungsmail (Double-Opt-in), Protokoll der Einwilligung, Abmeldelink in jeder Mail. Das Double-Opt-in schreibt das Gesetz nicht wörtlich vor, aber ihr müsst im Streitfall beweisen können, dass jemand zugestimmt hat, und das gelingt damit am besten.

Werbung kennzeichnen: Anzeigen und Influencer

Werbung muss als Werbung erkennbar sein. Das gilt für Anzeigen, Advertorials und Beiträge von Creator:innen. Der Bundesgerichtshof hat 2021 in drei Urteilen entschieden, dass bezahlte Beiträge gekennzeichnet werden müssen und dass ein unbezahlter Beitrag nur dann Werbung ist, wenn er einen werblichen Überschuss hat, also etwa unkritisches Lob oder einen Link zum Hersteller. 2022 kam hinzu: Auch ein geschenktes Produkt zählt als Gegenleistung. Eine Verfassungsbeschwerde gegen eines der Urteile von 2022 hat das Bundesverfassungsgericht nach Berichten von Fachmedien 2025 nicht zur Entscheidung angenommen.

Daraus folgt für eure Kooperationen: Schreibt die Kennzeichnung in den Vertrag. Verlangt „Werbung“ oder „Anzeige“ gleich am Anfang des Beitrags, nicht versteckt zwischen Hashtags. Und prüft, ob die Plattform eigene Kennzeichnungsfunktionen bietet. Das UWG regelt die Frage inzwischen ausdrücklich in § 5a Abs. 4: Wer für einen Beitrag zugunsten eines fremden Unternehmens weder Entgelt noch eine ähnliche Gegenleistung erhält, verfolgt damit keinen kommerziellen Zweck. Eine Gegenleistung wird aber vermutet, bis die Person glaubhaft macht, dass sie keine erhalten hat.

DSA: Was sich für Werbung auf Meta, Instagram und TikTok ändert

Der Digital Services Act richtet sich an Plattformen, nicht an eure Marketingabteilung. Trotzdem merkt ihr ihn bei bezahlter Werbung. Nach dem Gesetzestext gilt unter anderem:

• Anzeigen müssen als Werbung erkennbar sein, und Nutzer:innen sollen sehen können, wer wirbt, wer zahlt und nach welchen Hauptkriterien sie ausgespielt wird (Art. 26).
• Werbung auf Grundlage besonders sensibler Daten, etwa zu Gesundheit oder politischer Haltung, ist verboten.
• Gegenüber Minderjährigen darf nicht mit Profiling geworben werden (Art. 28).
• Sehr große Plattformen führen öffentliche Werbearchive (Art. 39). Dort sehen Mitbewerber, welche Anzeigen ihr schaltet.

Für eure Kampagnen heißt das vor allem: Targeting-Optionen verschwinden oder werden enger. Dazu kommt ein zweites EU-Gesetz, der Digital Markets Act: Nach einem Verfahren der EU-Kommission hat Meta im Dezember 2025 zugesagt, Menschen in der EU ab Januar 2026 bei Facebook und Instagram die Wahl zwischen voll und weniger personalisierter Werbung zu geben. Plant für Paid Social breitere Zielgruppen, besseres Kreativ und saubere eigene Daten ein, statt auf feinstes Targeting zu bauen. Mehr zum Thema bei Sichtbarkeit.

Ob bezahlte Influencer-Kooperationen unter die DSA-Werbedefinition fallen, ist übrigens nach wissenschaftlichen Analysen unklar. Das UWG greift hier ohnehin.

KI-Inhalte: Was der AI Act von Marketing verlangt

Die Transparenzpflichten des AI Act (Art. 50) gelten seit dem 2. August 2026. Der Digital Omnibus, der Ende Juli 2026 in Kraft trat, hat sie nicht verschoben, sondern die Fristen für Hochrisiko-Systeme. Für KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, haben die Anbieter für die maschinenlesbare Markierung ihrer Ergebnisse bis zum 2. Dezember 2026 Zeit.

Für euch als Nutzer von ChatGPT, Claude und Gemini sind drei Dinge praktisch relevant:

1. Chatbots auf eurer Website müssen sich als KI zu erkennen geben.
2. Deepfakes, also realistisch wirkende KI-Bilder, Audio oder Video von Personen, Orten oder Ereignissen, müsst ihr als künstlich erzeugt offenlegen.
3. KI-Texte über Themen von öffentlichem Interesse müssen offengelegt werden, es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Ein Ratgeber, den ein Mensch redigiert und verantwortet, fällt in der Regel nicht darunter.

Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für kleine und mittlere Unternehmen gilt der niedrigere der beiden Beträge. Unabhängig vom Gesetz empfiehlt Google selbst, Lesern zu erklären, wie ein Inhalt entstanden ist, und KI-Texte von Hand auf Fakten zu prüfen. Wie das in eine Content-Strategie passt, steht in Content-Strategie mit KI.

Zum Urheberrecht: Das Landgericht München I hat im November 2025 entschieden, dass ein Sprachmodell geschützte Liedtexte nicht einfach speichern und ausgeben darf (Az. 42 O 14139/24, nicht rechtskräftig). Ob rein per Prompt erzeugte Bilder und Texte überhaupt urheberrechtlich geschützt sind, ist für Deutschland nicht abschließend geklärt. Ihr solltet deshalb in euren Verträgen mit Dienstleistern festhalten, wer Nutzungsrechte an KI-Material hat.

Impressum und Barrierefreiheit

Das Impressum richtet sich seit 2024 nach § 5 DDG, früher TMG. Es muss leicht erkennbar, direkt erreichbar und ständig verfügbar sein. Pflichtangaben sind unter anderem Name und Anschrift, Rechtsform, Vertretungsberechtigte, eine schnelle Kontaktmöglichkeit mit E-Mail-Adresse, Registernummer und USt-IdNr. Prüft nach Relaunches, ob nichts verloren gegangen ist.

Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt seit dem 28. Juni 2025. Es betrifft Verbraucher-Dienstleistungen im Netz, vor allem Online-Shops und Buchungs- oder Bestellstrecken, nicht jede Unternehmens-Website und keine reinen B2B-Angebote. Kleinstunternehmen mit weniger als 10 Beschäftigten und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme sind bei Dienstleistungen ausgenommen. Nach § 37 BFSG drohen Bußgelder bis 100.000 Euro, wenn eine Dienstleistung die Anforderungen an die Barrierefreiheit nicht erfüllt, und bis 10.000 Euro, wenn vorgeschriebene Informationen oder Auskünfte fehlen, falsch sind oder zu spät kommen. Unabhängig davon ist barrierearm zu bauen auch ohne Pflicht sinnvoll. Mehr dazu im Beitrag Barrierefreie Website: was das BFSG verlangt.

Ein Beispiel aus einem Onlineshop

Rechtliche Pflichten ändern sich laufend, und im Shop merkt man das zuerst. Beim Shopify-Shop von Bettina Barty haben wir die Pflicht zum Widerrufsbutton geprüft und umgesetzt, außerdem einen Fragebogen auf Vorgaben des KI-Gesetzes geprüft. Das sind keine großen Projekte, aber sie fallen schnell durch, wenn niemand zuständig ist. Legt deshalb fest, wer bei euch neue Pflichten beobachtet: eine Person im Haus, die Agentur oder die Rechtsberatung. Und plant nach jeder Gesetzesänderung einen Termin ein, an dem ihr Shop, Formulare und Datenschutzerklärung durchgeht.

Die fünf häufigsten Fehler und eine Prüfliste

Aus der Praxis tauchen diese Fehler am häufigsten auf:

1. Tracking-Skripte laden vor der Einwilligung.
2. Das Cookie-Banner macht Ablehnen schwerer als Zustimmen.
3. Newsletter-Adressen stammen aus Visitenkarten oder Einkaufslisten, nicht aus Einwilligungen.
4. Kooperationsbeiträge sind nicht gekennzeichnet.
5. Die Datenschutzerklärung nennt nicht alle eingesetzten Dienste, besonders nach Relaunch oder neuem Werkzeug.

Eine kurze Prüfliste für die nächste Kampagne:

• Welche Daten sammelt die Landingpage, und steht das in der Datenschutzerklärung?
• Laden Skripte erst nach Einwilligung?
• Gibt es für jeden Newsletter-Empfänger einen Einwilligungsnachweis?
• Sind Anzeigen und Kooperationen erkennbar gekennzeichnet?
• Ist das Impressum vollständig und von jeder Seite erreichbar?
• Sind KI-Bilder von realen Personen oder Orten offengelegt?

Wenn ihr nach dieser Liste Lücken seht, ist das normal. Die meisten lassen sich mit wenig Aufwand schließen. Wir bauen consent-konformes Tracking und saubere Formulare bei Relaunches von Anfang an mit ein. Wenn ihr dabei Hilfe wollt, meldet euch für eine kostenlose Erstberatung.