Webdesign und Haftung für Recht

Aktualisiert am 10. August 2026

Webdesign und Haftung für die DSGVO und sonstige rechtliche Fehler

Haftest Du als Ersteller einer Website für die Anforderungen der DSGVO und sonstige Rechtsvorschriften?

Was passiert, wenn auf der Website Deines Kunden

• Urheberrechte verletzt werden,
• Markenrechte verletzt werden,
• der Datenschutz nicht beachtet ist,
• die Datenschutzerklärung nicht vollständig ist,
• das Impressum fehlt oder Angaben nicht enthält,
• Analysetools nicht richtig eingebunden sind,
• Kontaktformulare nicht rechtssicher gestaltet sind,
• das Consent-Banner falsch konfiguriert ist,
• Informationspflichten fehlen,
• Disclaimer falsch formuliert sind

und Dein Kunde daraufhin abgemahnt wird, Abmahnkosten und gegebenenfalls Prozesskosten erstatten, Schadensersatz leisten und die Website umarbeiten muss?

Wer haftet dann? Der Kunde allein? Du als Webdesigner, Webentwickler oder Programmierer? Oder beide?

Kurz gesagt

• Ja, Du kannst haften — über das Werkvertragsrecht im Innenverhältnis zu Deinem Kunden.
• Nach außen haftet immer Dein Kunde. Adressat der DSGVO ist der Verantwortliche. Der Regress gegen Dich ist eine Frage des Innenverhältnisses.
• Achtung: Ob ein Bußgeld überhaupt regressfähig ist, ist bis heute ungeklärt. Abmahnkosten und Schadensersatz an Betroffene sind es sehr wohl.
• Die Hürde für Schadensersatz ist gesunken. Nach dem BGH genügt der bloße Kontrollverlust über Daten als immaterieller Schaden.
• Seit dem 04.10.2024 dürfen Mitbewerber Datenschutzverstöße abmahnen (EuGH), der BGH hat das am 27.03.2025 für Deutschland umgesetzt.
• Zwei neue Themen für Deinen Verantwortungsbereich: Barrierefreiheit seit 28.06.2025 und die KI-Transparenzpflichten seit 02.08.2026.

Die folgenden Grundsätze gelten in gleicher Weise für Internetagenturen, Werbeagenturen und sonstige Dienstleister, die Websites erstellen oder betreuen.

Einleitung: Zwei Anspruchsrichtungen

Zunächst gibt es unterschiedliche Anspruchsrichtungen. Urheberrecht und Markenrecht sind absolute Rechte und wirken gegenüber jedermann. Es kann also zu direkten Ansprüchen der Rechteinhaber gegen Dich kommen. Gleichzeitig stellt sich die Frage, ob Dein Kunde bei Dir Regress nehmen kann, wenn er Aufwendungen durch die Abmahnung hatte.

Dieser Beitrag behandelt schwerpunktmäßig den Datenschutz und die neueren Pflichten. Die Grundlagen zur Haftung für Urheber- und Markenrechtsverletzungen, zur Wirksamkeit von Haftungsklauseln und zum Rechtsdienstleistungsgesetz findest Du ausführlich in unserem Beitrag Webdesign und Haftung für rechtliche Fragen.

I. Kurz zum Urheberrecht: Du haftest doppelt

Verletzt die Website Deines Kunden Urheber- oder Markenrechte Dritter, haftest Du dem Rechteinhaber direkt, wenn Du den Inhalt selbst ausgewählt und eingebracht hast (LG Bochum, Urt. v. 16.08.2016, Az. 9 S 17/16).

Aber auch wenn der Kunde das Material geliefert hat, bist Du nicht frei. Die Rechtsprechung unterstellt bei professionellen Anbietern eine weitgehende Kenntnis und knüpft daran Hinweispflichten. Du haftest bereits, wenn Du den Kunden nicht darauf hinweist, dass an dem gelieferten Inhalt Rechte Dritter bestehen können (AG Oldenburg, Urt. v. 17.04.2015, Az. 8 C 8028/15; LG Oldenburg, Urt. v. 13.01.2016, Az. 5 S 224/15).

Und im Oldenburger Fall half dem Webdesigner nicht einmal seine AGB-Klausel — Amts- und Landgericht hielten sie nach § 307 BGB für unwirksam.

Merke: Die Haftung im Außenverhältnis teilst Du Dir mit dem Kunden. Amts- und Landgericht Oldenburg nahmen im Grundsatz eine hälftige Haftung an (§ 426 BGB) — das Landgericht reduzierte den Betrag in der Berufung allerdings auf 574,72 Euro. Eine feste Rechenregel ist die Quote nicht.

II. Haftungsrisiko nach der DSGVO

Auch wenn die Anforderungen der Datenschutz-Grundverordnung nicht eingehalten werden, kannst Du haften. Auch hier bist Du verpflichtet, die Website gem. § 633 Abs. 2 Nr. 2 BGB so zu erstellen, wie Dein Kunde es erwarten darf, und so, dass Dritte gem. § 633 Abs. 3 BGB keine Rechte geltend machen können. Erhält Dein Kunde dann eine Abmahnung oder ein Bußgeld, kannst Du in der Haftung sein.

Ein ehrlicher Befund vorweg: Es gibt bis heute kein veröffentlichtes Urteil, in dem ein Website-Betreiber erfolgreich beim Webdesigner Regress für einen DSGVO-Verstoß genommen hat. Die belastbare Rechtsprechung zur Agenturhaftung ist urheberrechtlich. Alles Weitere ist Übertragung aus dem Werkvertragsrecht — eine naheliegende Übertragung, aber eben keine gesicherte.

Die plausibelste Erklärung dafür: Die Streitwerte sind typischerweise vierstellig, und man einigt sich außergerichtlich.

1. Haftung für Fehler im Funnel

Nicht nur die Gestaltung von Websites steht im Fokus, es kann auch um den Aufbau eines Funnels gehen. Ein teures Beispiel steckt im Sachverhalt der EuGH-Entscheidung zum Like-Button (Urt. v. 29.07.2019, C-40/17 "Fashion ID"). Dort verwies das abgemahnte Unternehmen auf die Agentur, die nicht dafür gesorgt hatte, dass Kunden rechtssicher mit Werbung angesprochen werden durften.

Eine sicher wenigstens sechsstellige Haftung für die Agentur. Stell Dir vor, Du musst nicht nur die Abmahnung bezahlen, sondern die Anwälte beider Seiten und die Gerichte für einen Prozess bis zum EuGH.

Aus der Entscheidung selbst folgt außerdem: Der Websitebetreiber ist für die Erhebung und Übermittlung an den Drittanbieter gemeinsam verantwortlich — und die Einwilligung muss vor der Erhebung eingeholt werden. Wer ein Drittanbieter-Skript ohne Consent-Blocking einbaut, produziert genau diesen Fehler.

2. Haftung für das Consent-Banner

Die Gestaltung von Consent-Bannern ist unverändert ein Dauerthema — und die Anforderungen sind gestiegen:

• Keine vorangekreuzten Kästchen (EuGH, Urt. v. 01.10.2019, C-673/17 "Planet49"; BGH, Urt. v. 28.05.2020, I ZR 7/16 "Cookie-Einwilligung II").
• Ein Banner ohne gleichwertige Ablehnungsmöglichkeit ist wettbewerbswidrig (OLG Köln, Urt. v. 19.01.2024, Az. 6 U 80/23).
• Die Einwilligung muss nachweisbar sein (Art. 7 Abs. 1 DSGVO) — also protokolliert werden.

Neu und für Dich besonders relevant: Das OLG Frankfurt hat entschieden, dass auch ein Drittanbieter, der technisch an einer einwilligungslosen Cookie-Setzung mitwirkt, als "Anbieter" im Sinne des § 25 TDDDG haftet (Urt. v. 11.12.2025, Az. 6 U 81/23; Revision zum BGH zugelassen). Zuvor schon für einen Technologieanbieter: Urt. v. 27.06.2024, Az. 6 U 192/23.

Heißt für dich: Wenn Du eigene Tracking- oder Tool-Bausteine über mehrere Kundenwebsites ausrollst, kannst Du selbst in die Rolle des Anbieters rutschen. Die vertragliche Zusage des Kunden, er hole die Einwilligungen ein, entlastet Dich dann nicht.

Alles zu den Rechtsfragen und Einstellungen findest Du in meinem ausführlichen Beitrag zum Opt-in-Cookie-Banner.

Hast Du keine konkreten Hinweise erteilt — allgemeine AGB-Klauseln genügen nicht —, werden viele Gerichte annehmen, dass der Kunde als Laie von einer rechtssicheren Website ausgehen durfte. Nach dem allgemeinen Grundsatz des BGH zu Werbeagenturen (Urt. v. 25.05.1972, Az. VII ZR 49/71) muss ein professioneller Anbieter die umgebenden rechtlichen Kenntnisse haben oder sich verschaffen und den Kunden in geeigneter Weise darauf hinweisen.

3. Wie Du in den Fokus von Massenabmahnungen geraten kannst

Immer wieder schwappen Abmahnwellen durch die Republik. Der bekannteste Fall waren die Massenabmahnungen wegen der Nutzung von Google Fonts. Nachdem das Landgericht München I mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) einem Websitebesucher 100 Euro Schadensersatz zugesprochen hatte, setzte es tausendfache Abmahnungen.

Wie die Geschichte ausging — und warum sie noch nicht vorbei ist:

• Mehrere Gerichte stuften das massenhafte, crawlergestützte Vorgehen als rechtsmissbräuchlich ein (LG München I, Urt. v. 30.03.2023, Az. 4 O 13063/22; AG Ludwigsburg, Urt. v. 28.02.2023, Az. 8 C 1361/22). Das Landgericht München I begründete das unter anderem damit, dass bei einem reinen Crawler-Aufruf schon keine persönliche Betroffenheit entstehen kann.
• Die Generalstaatsanwaltschaft Berlin ließ am 21.12.2022 durchsuchen; Gegenstand waren Ermittlungen wegen versuchten Betrugs und versuchter Erpressung in 2.418 Fällen, mit Arrestbeschlüssen über 346.000 Euro. Der Ausgang des Strafverfahrens ist öffentlich nicht dokumentiert.
• Und nun das Wichtigste: Der BGH hat die Grundsatzfrage am 28.08.2025 dem EuGH vorgelegt (Az. VI ZR 258/24). Geklärt werden soll unter anderem, ob ein immaterieller Schaden vorliegen kann, wenn die betroffene Person den Verstoß bewusst und allein zu dem Zweck herbeiführt, ihn geltend zu machen — und ob der Anspruch bei massenhafter, automatisierter Provokation ausgeschlossen ist.

Heißt für dich: Die Frage, ob dynamisch eingebundene Google Fonts heute noch Schadensersatz auslösen, liegt in Luxemburg und ist offen. In all diesen Fällen haftest Du Deinem Kunden auf Schadensersatz, wenn Du es warst, der die Website so gebaut hat. Der Fall ist glimpflich ausgegangen — das muss beim nächsten Mal nicht so sein. Mehr dazu hier.

4. Neu: Mitbewerber dürfen Datenschutzverstöße abmahnen

Das ist die wichtigste Änderung seit der Erstfassung dieses Beitrags.

Der EuGH hat entschieden, dass die DSGVO einer nationalen Regelung nicht entgegensteht, die Mitbewerbern erlaubt, wegen Datenschutzverstößen wettbewerbsrechtlich vorzugehen (Urt. v. 04.10.2024, C-21/23 "Lindenapotheke"). Der BGH hat das für das deutsche Recht umgesetzt (Urteile v. 27.03.2025, I ZR 222/19 und I ZR 223/19).

Wichtig — das heißt nicht, dass jetzt jeder Datenschutzverstoß abmahnfähig ist. Der BGH hat ausdrücklich formuliert, dass sich die Frage, ob eine Datenschutznorm eine Marktverhaltensregelung ist, nicht pauschal beantworten lässt — jede Vorschrift ist einzeln zu prüfen. Aber die Tür, die viele Gerichte jahrelang zugehalten hatten, ist auf.

5. Wie weit die Haftung nach der DSGVO reicht

Wie weit die Anforderungen genau gehen, ist schwer zu beurteilen. Je eindeutiger der Rechtsverstoß von Dir selbst stammt — Analysetool ohne Anonymisierung eingebunden, Kontaktformular unverschlüsselt — und je bekannter die Rechtsfrage ist, desto eher haftest Du.

Beim Schadensersatz hat sich die Linie deutlich zu Lasten der Verantwortlichen entwickelt:

Heißt für dich: Der Anspruchsteller muss keinen konkreten Missbrauch mehr nachweisen. Ein dokumentierter Datenabfluss reicht. Und Dein Kunde muss beweisen, dass seine technischen Maßnahmen angemessen waren — nicht umgekehrt.

Und noch etwas, das gern übersehen wird: Sobald Du Zugriff auf personenbezogene Daten hast — Server-Logs, Analytics, Formulardaten, Fernwartung —, bist Du Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist dann zwingend. Deine eigene Außenhaftung ist dabei begrenzt: Nach Art. 82 Abs. 2 Satz 2 DSGVO haftest Du nur bei Verletzung Deiner spezifischen Auftragsverarbeiterpflichten oder bei weisungswidrigem Handeln.

Rat: Achte auf das Vertragsende. Der BGH verlangt, dass der Verantwortliche aktiv sicherstellt, dass beim Auftragsverarbeiter nach Beendigung keine Daten verbleiben — eine Vertragsklausel allein genügt nicht (Urt. v. 11.11.2025, Az. VI ZR 396/24). Wenn Du ein Mandat abgibst, dokumentiere die Löschung.

6. Was ist mit dem Bußgeld?

Das wird oft zu schnell beantwortet. Ob ein Bußgeld überhaupt regressfähig ist, ist ungeklärt.

Im Kartellrecht hat das OLG Düsseldorf den Regress für ein Unternehmensbußgeld abgelehnt, weil sonst der Sanktionszweck unterlaufen würde (Urt. v. 27.07.2023, Az. VI-6 U 1/22 (Kart)). Der BGH hat die Frage dem EuGH vorgelegt (Beschl. v. 11.02.2025, Az. KZR 74/23) und dabei angedeutet, dass er den Regress nach nationalem Recht bejahen würde — offen ist die unionsrechtliche Sperre. Für DSGVO-Bußgelder gibt es dazu bislang gar nichts.

Heißt für dich: Abmahnkosten, Prozesskosten, Schadensersatz an Betroffene und die Kosten der Umarbeitung sind ganz normal regressfähig. Beim Bußgeld selbst ist die Rechtslage offen — verlass Dich weder auf das eine noch auf das andere.

III. Neu seit 2025 und 2026: zwei Themen, die auf Deinem Tisch landen

1. Barrierefreiheit seit dem 28.06.2025

Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt seit dem 28.06.2025. Für Dich ist das dieselbe Dogmatik wie beim Urheberrecht 2015, nur auf ein neues Thema angewandt.

Nicht jede Website ist erfasst. Es geht um "Dienstleistungen im elektronischen Geschäftsverkehr" — also Websites, über die ein Verbrauchervertrag angebahnt werden kann (§ 1 Abs. 3 Nr. 5, § 2 Nr. 26 BFSG). Reine Informations- und B2B-Seiten fallen heraus. Kleinstunternehmen — weniger als 10 Beschäftigte und höchstens 2 Mio. Euro Umsatz oder Bilanzsumme — sind bei Dienstleistungen ausgenommen (§ 3 Abs. 3 BFSG).

Normadressat ist Dein Kunde, nicht Du. Ihm drohen Bußgelder bis 100.000 Euro (§ 37 BFSG). Aber: Fehlende Barrierefreiheit kann ein Sachmangel nach § 633 Abs. 2 Nr. 2 BGB sein, wenn sie als übliche Beschaffenheit erwartet werden darf. Und wer eine Bestandswebsite betreut, ohne auf die neue Pflicht hinzuweisen, ist wieder bei der Hinweispflicht-Haftung.

Wichtig: Ob BFSG-Normen nach § 3a UWG abmahnfähig sind, hat noch kein Gericht entschieden. Abmahnungen laufen trotzdem seit etwa August 2025. Mehr dazu hier.

2. KI-Transparenzpflichten seit dem 02.08.2026

Baust Du KI-Funktionen in Kundenwebsites ein — Chatbots, generierte Texte, generierte Bilder —, gilt seit dem 02.08.2026 Art. 50 der KI-Verordnung (EU) 2024/1689. Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren; KI-generierte Inhalte und Deepfakes sind zu kennzeichnen. Verstöße können nach Art. 99 Abs. 4 mit bis zu 15 Mio. Euro oder 3 Prozent des Jahresumsatzes geahndet werden.

Achtung bei der Rollenverteilung: Baust Du ein fremdes Chatbot-Tool ein, ist Dein Kunde in der Regel der Betreiber. Lieferst Du eine eigene KI-Lösung unter Deinem Namen oder Deiner Marke aus, wirst Du selbst zum Anbieter mit erheblich weiter gehenden Pflichten.

Rat: Leg vertraglich fest, wer Anbieter und wer Betreiber ist. Das ist in einem halben Absatz erledigt und erspart im Ernstfall eine sehr unangenehme Diskussion. Zur Haftung für KI-generierte Inhalte hier mehr.

IV. Haftung vermeiden — wie?

Insgesamt hilft es Webdesignern, Webentwicklern und Agenturen wenig, rechtliche Fragen zu ignorieren. "Unkenntnis schützt jedenfalls im hier betroffenen Zivilrecht vor Strafe nicht." Du musst Dir die Kenntnis verschaffen und den Kunden im Einzelfall zumindest grob hinweisen — sonst haftest Du.

1. Vertragliche Regelung

Eine Haftungsbeschränkung hilft nur begrenzt. Wie oben beim Urheberrecht gesehen, sind normale Haftungsbeschränkungen unwirksam. Das heißt aber nicht, dass Du vertraglich gar nichts tun kannst.

Viel eher zulässig als eine Haftungsbeschränkung ist es, die Leistung von vornherein einzuschränken. Einen Webdesign-Vertrag, der genau das berücksichtigt, findest Du bei uns.

Aber Achtung — die Grenze, die viele übersehen: "Wir machen die Rechtstexte gegen Aufpreis selbst" ist keine gute Lösung. Wer für Kunden Impressum, Datenschutzerklärung oder AGB individuell erstellt oder prüft, erbringt regelmäßig eine Rechtsdienstleistung nach § 2 Abs. 1 RDG — und die ist nach § 3 RDG nur erlaubt, soweit ein Gesetz sie erlaubt. Der BGH hat eine vergleichbare Konstruktion bei einem Architekten für nach § 134 BGB nichtig erklärt (Urt. v. 09.11.2023, Az. VII ZR 190/22), und das OLG Frankfurt hat bereits die Werbung einer Online-Agentur für rechtsgestaltende Leistungen beanstandet (Urt. v. 07.11.2024, Az. 6 U 90/24).

Die Folge ist doppelt unangenehm: Du kannst für diesen Teil nicht abrechnen — haftest aber trotzdem. Ausführlich dazu im Grundlagenbeitrag.

2. Aufklärung

Besonders wichtig ist, dass Du den Kunden tatsächlich über die Anforderungen aufklärst. Das geht einfach, indem Du ihn veranlasst, selbst den easyRechtssicher Komplett-Schutz zu buchen und so die erforderlichen Texte beizusteuern. Kommt er dem nicht nach, musst Du ihn selbst über die einzuhaltenden Anforderungen aufklären.

Und dokumentiere das. Im Streitfall ist ein datierter Hinweis in der Projektkommunikation mehr wert als jede AGB-Klausel.

V. Ergebnis

Die Antwort auf die Frage "Haftet der Webdesigner für rechtliche Fehler?" lautet: ja.

Als Webdesigner, Webentwickler oder Agentur musst Du zumindest die grundsätzlichen rechtlichen Anforderungen kennen und Deine Leistungen rechtlich richtig abliefern. Eine Haftung kannst Du vor allem vermeiden, indem Du die vertraglichen Leistungen einschränkst — und die rechtlich problematischen Teile über einen anwaltlich verantworteten Weg löst statt selbst.

Bucht der Kunde diese Leistung nicht bei Dir, kannst Du hinterher darauf verweisen, dass sie nicht Vertragsgegenstand war.

Wir haben für Dich vorbereitet:

• eine Musterklausel für Deinen Webdesign-Vertrag,
• eine Anleitung für Deinen Prozessablauf und
• eine Checkliste über die auf einer Website zu beachtenden Rechtsfragen.

Trag Dich kurz ein, und wir schicken Dir alle drei, damit Du eine Haftung von vornherein besser vermeidest.

Zur Agenturmitgliedschaft bei easyRechtssicher

Melde Dich gern auch unter mail@easyRechtssicher.de — ich helfe Dir, Deinen Prozess zur Haftungsvermeidung ein für alle Mal zu gestalten.

Zur DSGVO im Webdesign findest Du hier weitere Informationen, zum Agenturvertrag hier. Mehr über die DSGVO auf der Website erfährst Du hier.

Stand: 09.08.2026

Wichtiger Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Bei konkreten Vertrags- oder Haftungsfragen wende Dich an einen Fachanwalt für IT-Recht.

Wir verarbeiten Deine Daten im Rahmen unserer Datenschutzerklärung. Du kannst der Verwendung Deiner E-Mail-Adresse jederzeit durch Betätigen des Abmeldelinks in von uns gesendeten E-Mails oder durch eine formlose Mail an mail@easyRechtssicher.de widersprechen.

Titelbild: Christopher Gower / Unsplash