Online-Marketing unterliegt in Deutschland einem dichten Geflecht aus Datenschutzrecht, Wettbewerbsrecht und seit 2025 auch KI-Regulierung. Wer Anzeigen schaltet, Newsletter versendet oder Tracking-Tools einsetzt, bewegt sich in einem Rechtsrahmen, der sich laufend verschiebt. Die rechtlichen Aspekte im Online-Marketing betreffen dabei nicht nur Großkonzerne, sondern jedes Unternehmen mit einer Website oder einem Social-Media-Auftritt.
KI-Kennzeichnungspflicht im Online-Marketing: Wo die neuen Regeln greifen
Mit dem EU AI Act sind Transparenzpflichten für künstlich erzeugte Inhalte verbindlich geworden. Manipulierte Bilder, Audio- und Videoinhalte müssen unter bestimmten Bedingungen als künstlich erzeugt oder manipuliert gekennzeichnet werden. Für Marketing-Abteilungen stellt sich damit eine Frage, auf die es bisher keine einheitliche Branchenpraxis gibt: Ab wann genau ist ein Inhalt kennzeichnungspflichtig?
Auch lesenswert: Lokales Marketing für kleine und mittlere Unternehmen in Deutschland
Die Antwort fällt differenzierter aus, als viele Kurzanleitungen vermuten lassen. Nicht jeder KI-generierte Text im Marketing ist kennzeichnungspflichtig. Die Pflicht greift bei Texten typischerweise nur dann, wenn sie der Information über Angelegenheiten von öffentlichem Interesse dienen. Ein Produkttext, der redaktionell geprüft und freigegeben wurde, fällt in der Regel nicht darunter.
Anders sieht es bei Deepfakes und synthetisch erzeugten Medien aus. Hier verlangt die Regulierung, dass die Kennzeichnung klar, eindeutig und maschinenlesbar erfolgt. Wasserzeichen, Metadaten oder sichtbare Hinweise sind als technische Umsetzungswege im Gespräch. Wie genau die Durchsetzung in der Praxis aussehen wird, bleibt abzuwarten, da Behörden und Branche noch Erfahrungen sammeln.
Auch interessant: SEO-Trends 2026: Aktuelle Entwicklungen im Online Marketing
Besonders relevant ist die Abgrenzung bei Werbeanzeigen, die KI-generierte Bilder verwenden. Sobald ein Bild den Eindruck erweckt, eine reale Szene oder Person zu zeigen, obwohl es synthetisch erzeugt wurde, greift die Kennzeichnungspflicht. Rein dekorative Grafiken oder offensichtlich stilisierte Illustrationen fallen dagegen nicht unter die Transparenzanforderungen des EU AI Act.
Cookie-Einwilligung und Tracking-Compliance: DSGVO trifft TDDDG
Die datenschutzrechtliche Grundlage für Cookies und Tracking im Online-Marketing ergibt sich aus dem Zusammenspiel von DSGVO und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Letzteres hat das frühere TTDSG abgelöst und schützt nicht nur personenbezogene Daten, sondern alle Informationen auf Endgeräten, unabhängig davon, ob sie einer natürlichen oder juristischen Person zuzuordnen sind.
In der Praxis bedeutet das eine zweistufige Prüfung für jedes Tracking-Tool:
- Erste Stufe: Wird auf Informationen in der Endeinrichtung des Nutzers zugegriffen oder werden dort Informationen gespeichert? Falls ja, greift das TDDDG, und eine Einwilligung ist grundsätzlich erforderlich, sofern keine Ausnahme vorliegt.
- Zweite Stufe: Werden dabei personenbezogene Daten verarbeitet? Falls ja, muss zusätzlich eine Rechtsgrundlage nach der DSGVO vorliegen, in den meisten Fällen die ausdrückliche Einwilligung.
- Dritte Prüfebene: Findet ein Drittlandtransfer statt, etwa zu Servern in den USA? Dann sind ergänzende Schutzmaßnahmen oder ein Angemessenheitsbeschluss nachzuweisen.
Tracking ohne gültige Einwilligung ist abmahnfähig. Unternehmen, die auf serverseitiges Tracking oder cookielose Analyse-Ansätze umstellen, reduzieren ihr Risiko, müssen aber prüfen, ob die gewählte Lösung tatsächlich einwilligungsfrei betrieben werden darf.
Cookie-Banner richtig gestalten
Ein Cookie-Banner, das die Ablehnung absichtlich erschwert (etwa durch versteckte Buttons oder irreführende Farbgebung), verstößt gegen die Anforderungen an eine informierte und freiwillige Einwilligung. Zustimmung und Ablehnung müssen gleichwertig erreichbar sein. Was in der Theorie klar klingt, wird in der Gestaltung häufig unterlaufen. Die Datenschutzaufsichtsbehörden gehen zunehmend gegen sogenannte Dark Patterns in Consent-Bannern vor.
Wettbewerbsrechtliche Stolperfallen bei Werbung und Kennzeichnung
Neben dem Datenschutz stellt das Gesetz gegen den unlauteren Wettbewerb (UWG) Anforderungen an die Transparenz von Werbemaßnahmen. Die wichtigste Regel: Werbung muss als solche erkennbar sein. Das gilt für bezahlte Social-Media-Kooperationen ebenso wie für Advertorials auf Nachrichtenportalen.
Bei Influencer-Kooperationen hat sich die Rechtslage durch mehrere Gerichtsurteile in den vergangenen Jahren konkretisiert. Entscheidend ist, ob ein kommerzieller Zweck hinter einem Beitrag steht. Sobald eine Gegenleistung fließt (Geld, kostenlose Produkte, Provisionen), ist eine Kennzeichnung erforderlich, die auf den ersten Blick sichtbar sein muss.
Informationspflichten auf Websites
Die Impressumspflicht nach § 5 des Digitale-Dienste-Gesetzes (DDG) betrifft jede geschäftsmäßig betriebene Website. Fehlerhafte oder unvollständige Impressen gehören nach wie vor zu den häufigsten Abmahngründen. Neben dem Impressum verlangt die DSGVO eine Datenschutzerklärung, die alle eingesetzten Tools, Cookies und Datenverarbeitungsprozesse vollständig und verständlich beschreibt.
- Das Impressum muss von jeder Unterseite aus mit maximal zwei Klicks erreichbar sein.
- Die Datenschutzerklärung muss konkret benennen, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden.
- Änderungen an den eingesetzten Tools (neues Analyse-Tool, neuer Newsletter-Dienstleister) erfordern eine sofortige Aktualisierung der Datenschutzerklärung.
Drittlandtransfers und internationale Marketing-Tools
Viele der gängigen Marketing-Werkzeuge, von E-Mail-Plattformen über CRM-Systeme bis zu Werbeanzeigen-Netzwerken, übertragen Daten an Server außerhalb der EU. Jeder Drittlandtransfer braucht eine eigene rechtliche Absicherung. Der EU-US Data Privacy Framework bietet derzeit eine Grundlage für zertifizierte US-Unternehmen, doch seine Stabilität ist rechtlich umstritten.
Für Unternehmen, die auf US-basierte Tools setzen, empfiehlt sich eine Prüfung, ob der jeweilige Anbieter unter dem Data Privacy Framework zertifiziert ist. Ergänzend sollten Standardvertragsklauseln (SCCs) und eine dokumentierte Datentransfer-Folgenabschätzung (Transfer Impact Assessment) vorliegen. Die Datenschutzkonferenz der Länder hat wiederholt darauf hingewiesen, dass allein die Nutzung eines zertifizierten Anbieters nicht von der eigenen Sorgfaltspflicht entbindet.
Die rechtlichen Aspekte im Online-Marketing verändern sich mit jeder neuen Verordnung, jedem Urteil und jeder technischen Entwicklung. Unternehmen, die ihre Prozesse regelmäßig überprüfen und Rechtsänderungen aktiv verfolgen, statt nur auf Abmahnungen zu reagieren, stehen deutlich besser da. Die KI-Regulierung wird diesen Aktualisierungsdruck in den kommenden Jahren noch verstärken.