Impressum, политика конфиденциальности и cookie-баннер: что обязательно на сайте бизнеса в Германии, Австрии и Чехии

Сайту компании в Германии, Австрии или Чехии почти всегда нужны данные о компании, политика конфиденциальности и согласие на cookies, если на сайте есть что-то сверх технически необходимого. Ниже разбираю каждое требование по странам.

Для маркетинга это тоже важно: пиксели и аналитика собирают данные только после согласия на cookies, поэтому от баннера зависит, что увидят реклама и отчёты.

Impressum (импрессум) — это раздел сайта с обязательными сведениями о владельце: кто он, где находится и как с ним быстро связаться. Impressum в Германии нужен почти любому сайту бизнеса. С 14 мая 2024 года его регулирует § 5 Digitale-Dienste-Gesetz (DDG), Telemediengesetz отменён, поэтому ссылка «§ 5 TMG» устарела. § 5 DDG касается «geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste», то есть сервисов, которые предлагаются на деловой основе и, как правило, за плату. Обычно сюда относят и бесплатный сайт компании, хотя дословно закон этого не говорит. Минимум в любом случае задаёт § 18 Abs. 1 Medienstaatsvertrag (MStV): имя и адрес (у юрлица имя и адрес представителя) на любом сайте, который служит не только личным или семейным целям.

Данные должны быть «leicht erkennbar und unmittelbar erreichbar» и «ständig verfügbar», то есть их легко найти, можно открыть напрямую и они доступны постоянно. Популярного правила «не дальше двух кликов» в законе нет. Его вывели из решения BGH 2006 года, принятого ещё по старому закону (§ 6 TDG): суд признал, что путь из двух ссылок («Kontakt» → «Impressum») может быть допустим. Немецкие надзорные органы (DSK) отдельно указывают, что cookie-баннер не должен закрывать доступ к Impressum и политике конфиденциальности.

Штраф за отсутствующий, неверный или неполный Impressum составляет до 50 000 € (§ 33 DDG), причём наказывают и за умысел, и за небрежность. Это максимальная сумма, а не фиксированный штраф.

Ещё может прийти Abmahnung, письмо с требованием прекратить нарушение. С 2 декабря 2020 года конкурент не может взыскать с вас расходы на такое письмо, если речь о нарушении обязанностей по информированию в цифровых сервисах, к ним относятся и ошибки в Impressum (§ 13 Abs. 4 UWG). Требовать прекратить нарушение конкурент по-прежнему может: исключение касается только возмещения расходов. Если в письме всё же требуют оплатить расходы, вы сами вправе потребовать возмещения своих затрат на защиту (§ 13 Abs. 5 UWG). На ассоциации и Verbraucherzentralen (центры защиты прав потребителей) исключение не распространяется, а штраф по § 33 DDG остаётся в силе.

Если блог на сайте ведётся как издание (новости, обзоры рынка), § 18 Abs. 2 MStV может потребовать назвать ответственного за содержание. Им может быть только человек, который постоянно живёт в Германии, полностью дееспособен и не лишён судом права занимать публичные должности. С какого момента блог компании считается таким изданием, закон не уточняет, здесь лучше спросить юриста.

В Австрии сведения о компании требуют сразу несколько законов. По § 5 Abs. 1 E-Commerce-Gesetz (ECG) на сайте должны быть постоянно, легко и напрямую доступны: имя или Firma, географический адрес места деятельности (адрес, где фирма реально находится), данные для быстрой прямой связи, включая e-mail, номер в Firmenbuch и суд Firmenbuch, надзорный орган, если деятельность поднадзорна, для регулируемых профессий палата, звание и профессиональные правила, а также UID-Nummer, если она есть. Штраф за нарушение § 5 Abs. 1 ECG составляет до 3 000 €. Если на сайте указаны цены, по § 5 Abs. 2 нужно ясно показать, с НДС ли они и включена ли доставка.

Отдельно § 25 Mediengesetz требует Offenlegung (раскрытие сведений о владельце): имя или наименование, предмет деятельности, место жительства или Sitz (юридический адрес), структуру собственности и Blattlinie (заявление об основной направленности сайта). Для «малого сайта», на котором нет ничего сверх представления владельца (или его личной жизни), что способно влиять на общественное мнение, достаточно имени или наименования, при необходимости предмета деятельности, и места жительства или Sitz. Структуру собственности и Blattlinie такой сайт не указывает (§ 25 Abs. 5 MedienG).

Штраф до 20 000 € (§ 27 Abs. 1 Z 1 MedienG) грозит, если данные по § 25 Abs. 2–3 (имя, предмет деятельности, место нахождения, структура собственности) или Impressum по § 24 не опубликованы, опубликованы с опозданием, неверно или неполно. Impressum по § 24 MedienG касается регулярно повторяющихся электронных медиа. Кроме того, компании, внесённые в Firmenbuch, по § 14 UGB указывают на сайте наименование, правовую форму, Sitz, номер Firmenbuch и суд.

На чешском сайте компании указывают имя или наименование и sídlo. Этого требует § 435 Гражданского кодекса Чехии (občanský zákoník, 89/2012 Sb.): каждый предприниматель указывает имя и sídlo на деловых документах и в информации, доступной публике дистанционно, в том числе на сайте. Компании, внесённые в obchodní rejstřík (торговый реестр), указывают на деловых документах (obchodní listina) ещё данные записи, включая oddíl a vložka. IČO, если он присвоен, на деловых документах указывает любой предприниматель, в том числе živnostník. На сайте данные регистрации и IČO обычно указывают тоже. Единого перечня в духе немецкого Impressum в законе 480/2004 Sb. нет.

Для рассылок важен § 7 закона 480/2004 Sb.: коммерческие письма по e-mail отправляют только с предварительного согласия. Исключение составляют свои клиенты и похожие товары, если в каждом письме есть простой бесплатный отказ.

В политике конфиденциальности (Datenschutzerklärung, zásady ochrany osobních údajů) должно быть всё, что статья 13 GDPR требует сообщить человеку, когда вы собираете его данные. Например, когда он оставляет заявку в форме или когда на сайте работает аналитика. Список ниже.

Типичная ошибка — шаблон, скачанный из интернета: в нём не названы реальные получатели данных (хостинг, Google, Meta), нет сведений о передаче данных в США, сроков хранения и права пожаловаться. Отсутствие или неполнота такой информации относится к верхней категории штрафов GDPR: до 20 млн € или до 4 % мирового годового оборота за предыдущий год, в зависимости от того, что больше (ст. 83(5) GDPR). Это потолки: конкретную сумму определяют по критериям ст. 83(2).

Баннер нужен, если сайт ставит cookies или похожие технологии, которые не строго необходимы: аналитику, рекламные пиксели, сторонние сервисы. Правило во всех трёх странах идёт из директивы ePrivacy (ст. 5(3)): записывать что-либо на устройство посетителя или читать оттуда можно только с его согласия. Исключений два: это нужно только для передачи сообщения по сети или строго необходимо для услуги, которую посетитель явно запросил. В Германии штраф за нарушение § 25 TDDDG (до 14 мая 2024 года закон назывался TTDSG) составляет до 300 000 €. В Чехии до 2022 года было достаточно сообщить о cookies и дать возможность отказаться, а с 1 января 2022 года нужно предварительное и доказуемое согласие (předem prokazatelný souhlas).

Суд ЕС в деле Planet49 (2019) решил, что заранее проставленная галочка согласием не является. Правило действует, даже если данные не персональные. Посетителю нужно сообщить, сколько живут cookies и есть ли к ним доступ у третьих лиц.

Если на сайте только технические cookies, баннер, по позиции чешского ÚOOÚ, не нужен, но сообщить о них посетителю (например, в политике конфиденциальности) всё равно надо.

Google Analytics и пиксель Meta, по позиции надзорных органов, загружают только после согласия, а шрифты Google проще хранить у себя. Европейский совет по защите данных (EDPB) в руководстве 2/2023 (версия от октября 2024 года) указал, что правило ePrivacy касается не только cookies, но и трекинг-пикселей. По этой логике пиксель Meta и похожие теги требуют согласия, если не действует исключение. Немецкие надзорные органы (DSK) общего исключения для аналитики без согласия не признают. Австрийское ведомство (DSB) в 2025 году решило, что даже аналитический cookie Matomo нельзя ставить до согласия.

Отдельно о шрифтах. В 2022 году земельный суд Мюнхена (LG München I) решил, что шрифты Google, подгружаемые с серверов Google, передают Google IP-адрес посетителя без согласия. Суд запретил это и присудил посетителю 100 € компенсации. Это решение одного земельного суда (Landgericht), а не BGH. Но проблему проще убрать, чем спорить о ней: шрифты можно хранить на своём сервере. В Next.js модуль next/font так и работает.

Теперь о передаче данных в США. Решение Еврокомиссии о Data Privacy Framework от 10 июля 2023 года действует для американских компаний, которые участвуют в DPF. 3 сентября 2025 года Общий суд ЕС отклонил иск о его отмене (дело Latombe). По вторичным источникам, подана апелляция; решения по ней на 19 октября 2026 года я не нашёл.

Если у вас идёт реклама в Google на пользователей из ЕЭЗ, есть ещё требование самого Google. Чтобы использовать их данные для измерений, персонализации рекламы и ремаркетинга, нужно получить согласие и передавать его в Google через Consent Mode v2 (параметры ad_user_data и ad_personalization). Для списков клиентов (Customer Match) в ЕЭЗ с марта 2024 года оба параметра должны иметь значение GRANTED, иначе Google считает, что согласия нет. Согласие Google требует для ЕЭЗ, Великобритании и Швейцарии. Сам Consent Mode баннера не показывает, баннер или платформа согласий (CMP) нужны отдельно.

Баннер посмотрите с телефона: на маленьком экране видно, закрывает ли он контент и есть ли кнопка отказа. Загрузку скриптов удобнее проверить на компьютере.

Пока правила прежние: действуют директива ePrivacy и национальные законы, описанные выше. В ЕС обсуждают Digital Omnibus: предложение Еврокомиссии от 19 ноября 2025 года частично перенести правила о cookies в GDPR, в том числе отказ в один клик. На 19 октября 2026 года это только предложение на стадии комитета, а не закон.

Освобождение от реестра обработки данных (ст. 30 GDPR) для организаций до 750 сотрудников (Omnibus IV) согласовано, пленарное голосование ожидается 23 ноября 2026 года. Действовать это начнёт только после публикации в Официальном журнале ЕС, а этого пока нет.

В Германии в 2025 году приняли постановление о признанных сервисах управления согласием (PIMS). Подключаться к таким сервисам добровольно, обычный cookie-баннер постановление не отменяет.

Юридических консультаций я не даю. Тексты Impressum и политики конфиденциальности стоит проверить у юриста, особенно если у вас медицина, финансы или право.

Я отвечаю за техническую часть: настраиваю баннер и теги так, чтобы аналитика и пиксели включались только после согласия, а вы всё равно видели, откуда приходят заявки. Если хотите, на бесплатной диагностике я посмотрю, что загружается на вашем сайте до согласия и как это сказывается на рекламе. 30 минут, без обязательств. Как пиксель и серверная передача событий связаны с рекламой, разобрал в статье про Pixel и CAPI.