BFSG und DSGVO: Gemeinsamkeiten, Unterschiede und doppelte Pflichten

Warum BFSG und DSGVO verglichen werden

Beide Gesetze betreffen praktisch jeden Webseitenbetreiber in Deutschland. Beide kommen aus EU-Richtlinien. Beide drohen mit Bußgeldern. Und bei beiden hat es eine Phase gegeben, in der viele Unternehmen das Thema unterschätzt haben – bis die ersten Abmahnungen kamen.

Die DSGVO (Datenschutz-Grundverordnung, Verordnung 2016/679) regelt den Schutz personenbezogener Daten und gilt seit dem 25. Mai 2018. Das BFSG (Barrierefreiheitsstärkungsgesetz, § 1–§ 37 BFSG, nationale Umsetzung der EU-Richtlinie 2019/882 – European Accessibility Act) regelt den barrierefreien Zugang zu digitalen Produkten und Dienstleistungen und ist seit dem 28. Juni 2025 verpflichtend.

Trotz unterschiedlicher Schutzziele gibt es erstaunlich viele Parallelen – und gerade dort, wo sich die Pflichten überschneiden, können Unternehmen Synergien nutzen.

Was sich ähnelt: Gemeinsamkeiten im Überblick

1. Pflicht zur Erklärung: Beide Gesetze verlangen eine öffentlich zugängliche Erklärung auf der Webseite. Die DSGVO fordert eine Datenschutzerklärung (Art. 13/14 DSGVO), das BFSG eine Barrierefreiheitserklärung (§ 3 BFSG i.V.m. EN 301 549). Beide müssen leicht auffindbar, verständlich formuliert und aktuell sein. Weitere Informationen finden Sie im BFSG-Glossar.

2. Bußgelder und Abmahnrisiko: Verstöße gegen die DSGVO können mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden. Das BFSG sieht Bußgelder bis 100.000 EUR pro Verstoß vor (§ 37 BFSG). Beide Gesetze ermöglichen zusätzlich wettbewerbsrechtliche Abmahnungen.

3. Dokumentationspflicht: Wer dokumentiert, dass er sich aktiv um Compliance bemüht, fährt bei beiden Gesetzen besser. Die DSGVO verlangt ein Verarbeitungsverzeichnis (Art. 30 DSGVO) und Datenschutz-Folgenabschätzungen. Das BFSG erwartet eine Konformitätsbewertung und laufende Überwachung.

4. Accountability-Prinzip: Bei beiden Gesetzen liegt die Beweislast faktisch beim Unternehmen. Ihr müsst nachweisen können, dass ihr die Anforderungen erfüllt – nicht die Behörde muss den Verstoß beweisen.

BFSG vs. DSGVO — Vergleichstabelle

Wo sich BFSG und DSGVO unterscheiden

Schutzziel: Die DSGVO schützt personenbezogene Daten – das BFSG schützt den gleichberechtigten Zugang zu digitalen Diensten. Die DSGVO fragt: "Werden Daten rechtmäßig verarbeitet?" Das BFSG fragt: "Kann jeder Mensch den Dienst nutzen?"

Aufsichtsbehörde: Für die DSGVO sind die Landesdatenschutzbeauftragten zuständig (z.B. der Hamburger Beauftragte für Datenschutz). Für das BFSG ist die Marktüberwachungsbehörde des jeweiligen Bundeslandes verantwortlich – also völlig andere Stellen mit anderen Prüfverfahren.

Größenausnahme: Das BFSG befreit Kleinstunternehmen (unter 10 Mitarbeiter UND unter 2 Mio. EUR Umsatz) von den Barrierefreiheitsanforderungen für Dienstleistungen (§ 2 Abs. 3 BFSG). Die DSGVO kennt keine generelle Größenausnahme – sie gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet.

Bußgeld-Dimension: Die BFSG-Bußgelder von maximal 100.000 EUR wirken im Vergleich zu DSGVO-Strafen moderat. In der Praxis sind es aber vor allem die wettbewerbsrechtlichen Abmahnungen, die für mittelständische Unternehmen teuer werden.

Technischer Rahmen: Das BFSG verweist auf einen konkreten technischen Standard (WCAG 2.1 AA / EN 301 549) mit prüfbaren Erfolgskriterien. Die DSGVO spricht allgemein vom "Stand der Technik" bei technischen und organisatorischen Maßnahmen (TOM) – deutlich vager und im Einzelfall auslegungsbedürftig.

Doppelpflichten: Wo sich BFSG und DSGVO überschneiden

In mehreren Bereichen müsst ihr beide Gesetze gleichzeitig erfüllen. Hier die wichtigsten Überschneidungspunkte:

Cookie-Banner und Consent-Manager

Der Cookie-Banner ist der häufigste Ort, an dem BFSG und DSGVO kollidieren. Die DSGVO verlangt eine informierte, freiwillige Einwilligung (Art. 7 DSGVO) – das BFSG verlangt, dass der Consent-Manager für alle Nutzer bedienbar ist:

• Tastatur-Bedienbarkeit: Alle Buttons müssen per Tab erreichbar und per Enter/Space aktivierbar sein (WCAG SC 2.1.1).
• Screenreader-Kompatibilität: Der Banner braucht role="dialog" und aria-modal="true". Der Fokus muss beim Öffnen in den Dialog wandern.
• Kontrast und Lesbarkeit: Der "Ablehnen"-Button darf nicht durch geringeren Kontrast benachteiligt werden (WCAG SC 1.4.3).
• Gleichwertige Optionen: "Akzeptieren" und "Ablehnen" müssen gleich prominent sein – sowohl visuell (BFSG) als auch funktional (DSGVO).

Formulare: Datenschutz + Barrierefreiheit

Kontaktformulare, Registrierungen und Bestellprozesse müssen Daten schützen und zugänglich sein:

• Pflichtfelder klar kennzeichnen – visuell und per aria-required="true" (BFSG: WCAG SC 1.3.1)
• Fehlermeldungen verständlich formulieren und per aria-describedby an das Feld binden (BFSG: WCAG SC 3.3.1)
• Einwilligung zur Datenverarbeitung per Checkbox abfragen – diese Checkbox muss tastatur-bedienbar und für Screenreader beschriftet sein
• SSL-Verschlüsselung bei der Übertragung (DSGVO: Art. 32)

Datenschutzerklärung barrierefrei gestalten

Die Datenschutzerklärung selbst muss barrierefrei sein – ein oft übersehener Punkt. Das bedeutet:

• Korrekte Überschriften-Hierarchie (h1, h2, h3) für Screenreader-Navigation
• Keine reinen PDF-Datenschutzerklärungen ohne HTML-Alternative
• Verständliche Sprache (soweit juristisch möglich)
• Ausreichend Kontrast und lesbare Schriftgröße

Impressum und Kontaktdaten

Die Impressumspflicht (§ 5 TMG / § 5 DDG) verlangt, dass die Kontaktdaten leicht auffindbar und erreichbar sind. Das BFSG ergänzt: Sie müssen auch für Menschen mit Behinderungen zugänglich sein. Die E-Mail-Adresse darf also nicht als Bild eingebettet sein, und die Telefonnummer sollte als klickbarer tel:-Link vorliegen.

Synergien nutzen: Beide Themen zusammen umsetzen

Wer DSGVO und BFSG als getrennte Projekte betrachtet, macht doppelte Arbeit. In der Praxis lassen sich viele Maßnahmen bündeln:

1. Audit kombinieren: Prüft bei eurem nächsten Website-Audit sowohl Datenschutz als auch Barrierefreiheit. Nutzt den kostenlosen BFSG-Scanner als Einstieg für den Barrierefreiheits-Check.

2. Consent-Manager sorgfältig auswählen: Viele gängige Consent-Management-Plattformen (CMPs) sind nicht barrierefrei. Prüft vor der Auswahl, ob der Anbieter WCAG-2.1-AA-Konformität nachweisen kann. Ein barrierefreier CMP löst beide Probleme gleichzeitig.

3. Dokumentation zentralisieren: Führt ein zentrales Compliance-Register, das sowohl DSGVO-Verarbeitungsverzeichnis als auch BFSG-Konformitätsbewertung enthält. So habt ihr bei Prüfungen alles an einem Ort.

4. Schulungen bündeln: Wenn ihr euer Team zum Datenschutz schult, nehmt Barrierefreiheit gleich mit. Die Grundprinzipien (Nutzerrechte respektieren, transparent kommunizieren, dokumentieren) sind bei beiden Themen identisch.

5. Regelmäßig prüfen: Sowohl DSGVO als auch BFSG sind keine einmaligen Projekte. Plant quartalsweise Überprüfungen ein – besonders nach Website-Updates, Relaunchs oder der Einführung neuer Features.

Dieser Artikel ersetzt keine Rechtsberatung. Für verbindliche Aussagen zur BFSG- und DSGVO-Konformität eurer Webseite empfehlen wir die Konsultation eines spezialisierten Anwalts.

Häufig gestellte Fragen

Verantwortlichkeiten im Unternehmen klären

In den meisten Betrieben liegt die Zuständigkeit für die DSGVO klar beim Datenschutzbeauftragten oder einer benannten Person, während die Barrierefreiheit oft niemandem konkret zugeordnet ist. Das führt dazu, dass BFSG-Anforderungen zwischen IT, Marketing und Webagentur hin- und hergeschoben werden, ohne dass jemand die Umsetzung verantwortet. Sinnvoll ist es, eine Person oder ein kleines Team zu benennen, das beide Themen im Blick behält und regelmäßig prüft, ob neue Inhalte, Formulare oder Plugins beiden Anforderungen genügen.

Diese Person muss nicht zwingend Jurist sein, sollte aber Zugriff auf die Webseite haben und mit Screenreadern sowie den gängigen WCAG-Kriterien vertraut sein. Ohne klare Zuständigkeit bleiben Mängel oft monatelang unentdeckt, bis eine Prüfung oder Abmahnung darauf aufmerksam macht. Eine kurze, schriftliche Zuordnung im Rahmen einer bestehenden Stellenbeschreibung reicht dafür meist schon aus.

Fallstricke bei der gemeinsamen Umsetzung

Ein häufiger Fehler ist, DSGVO und BFSG als zwei getrennte, nacheinander abzuarbeitende Projekte zu behandeln. Dabei werden Überschneidungen übersehen und Arbeit doppelt gemacht, etwa wenn Formulare erst auf Datenschutz und Monate später erneut auf Barrierefreiheit geprüft werden. Ein weiterer Stolperstein sind eingebundene Drittanbieter-Tools wie Cookie-Banner, Chat-Widgets oder Buchungssysteme: Sie unterliegen beiden Gesetzen, werden aber oft nicht vom eigenen Team, sondern vom externen Anbieter gepflegt.

Wer solche Komponenten einsetzt, sollte beim Anbieter aktiv nachfragen, ob eine Barrierefreiheitserklärung oder Konformitätsnachweise vorliegen, und die Antworten dokumentieren. Auch interne Schulungen lohnen sich: Wenn Redakteure wissen, wie sie datenschutzkonform und gleichzeitig barrierefrei Inhalte einpflegen, sinkt der Nachbesserungsaufwand über die Zeit spürbar. So entsteht mit der Zeit ein gemeinsamer Workflow statt zweier paralleler Baustellen.