Eine Website bauen kann heute fast jeder. Sie beschreiben, was Sie brauchen, und ein KI-Tool erstellt die Seiten, das Kontaktformular und den Warenkorb. Die Verantwortung für alles, was auf der Website läuft, trägt aber ihr Betreiber. Ein Bußgeld der tschechischen Handelsinspektion (ČOI) oder der Datenschutzbehörde (ÚOOÚ) bekommt das Unternehmen, dem die Website gehört.

Dazu kommt, dass KI-Code weniger sicher ist, als er aussieht. Veracode hat 2025 mehr als 100 Sprachmodelle mit 80 Programmieraufgaben getestet. Bei 45 % der Aufgaben enthielt der generierte Code eine Sicherheitslücke aus der OWASP Top 10. Bei Java scheiterten die Modelle in über 70 % der Fälle, gegen Cross-Site-Scripting (XSS) schützten sie den Code in 86 % der Fälle nicht.

Dieser Überblick richtet sich an Betreiber von Websites und Onlineshops in Tschechien, die ihre Website selbst gebaut haben (oft mit KI) oder sie länger nicht aktualisiert haben. Jeder Abschnitt endet mit einer kurzen Liste „Was prüfen“. Die konkreten Einstellungen und Korrekturen hängen von der jeweiligen Website ab, deshalb besprechen wir sie in der Beratung.

Google hat angekündigt, mit Chrome 154 (Oktober 2026) die Funktion „Immer sichere Verbindungen verwenden“ für alle Nutzer standardmäßig einzuschalten. Wer dann eine öffentliche Website ohne HTTPS aufruft, sieht zuerst eine Warnung, dass die Verbindung nicht sicher ist, und wird gefragt, ob er fortfahren möchte. Nutzer mit erweitertem Schutz (Enhanced Safe Browsing) haben dieses Verhalten schon seit Chrome 147 vom April 2026.

Für einen Onlineshop heißt das: Ein Teil der Kunden sieht die Warnung, bevor er Ihr Sortiment sieht. Außerdem werden auf einer Website ohne HTTPS Formulardaten (Name, E-Mail, Passwort) unverschlüsselt übertragen.

Ein häufiges Problem ist eine Website, die nur halb auf HTTPS läuft. Die Startseite ist in Ordnung, aber die Blog-Subdomain, ein altes Bild oder ein Skript wird noch über http:// geladen.

Mit KI generierte Websites haben eine wiederkehrende Schwachstelle: API-Schlüssel und Passwörter direkt im Code. Alles, was im JavaScript steht, das an den Browser geht, kann jeder Besucher über „Seitenquelltext anzeigen“ oder die Entwicklertools lesen. Das betrifft Schlüssel für das Zahlungsgateway, den E-Mail-Dienst, die Datenbank oder eine kostenpflichtige KI-API. Gelangt Ihr KI-API-Schlüssel nach außen, bezahlen Sie für fremde Nutzung.

Dasselbe Risiko besteht bei einem öffentlichen GitHub-Repository. Ein Schlüssel, den Sie in einer neueren Version gelöscht haben, bleibt in der Commit-Historie.

Die zweite Schwachstelle sind Formulare. Ein ungeschütztes Kontaktformular missbrauchen Bots für Spam, ein Registrierungsformular für Fake-Konten. Eine Prüfung, die nur per JavaScript im Browser läuft, hält einen Angreifer nicht auf, weil er die Anfrage direkt an den Server schicken kann.

Ein Backup ist nur etwas wert, wenn sich die Website daraus tatsächlich wiederherstellen lässt. Herausfinden kann man das nur mit einer Testwiederherstellung. Viele Betreiber merken erst nach einem Ausfall, dass zwar die Dateien gesichert wurden, die Datenbank mit den Bestellungen aber nicht, oder dass das letzte funktionierende Backup ein halbes Jahr alt ist.

Der zweite Punkt ist eine Testumgebung. Plugin-Updates, ein neues Theme oder Codeänderungen von der KI sollten zuerst auf einer Kopie der Website ausprobiert werden, nicht am Freitagabend im Live-Shop.

Mehr zu Backups lesen Sie in einem eigenen Artikel.

Seit dem 1. 1. 2022 gilt in Tschechien für Cookies das Opt-in-Prinzip (Änderung von § 89 Abs. 3 des Gesetzes Nr. 127/2005 Slg. über elektronische Kommunikation). Analyse- und Marketing-Cookies dürfen Sie erst nach der Einwilligung des Besuchers speichern. Ohne Einwilligung sind nur technisch notwendige Cookies erlaubt, etwa für den Warenkorb oder das Login.

Die Einwilligung muss freiwillig sein, also muss das Ablehnen genauso einfach sein wie das Zustimmen. Der Gerichtshof der EU hat im Urteil Planet49 (C-673/17, 2019) bestätigt, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung ist.

Dass die Behörde das tatsächlich kontrolliert, zeigt ein Bescheid der ÚOOÚ vom 18. 7. 2023 mit einem Bußgeld von 602.000 CZK. Die Behörde stellte fest, dass die Website schon vor der Entscheidung des Besuchers nicht-technische Cookies mit einer Laufzeit von mehreren Jahren speicherte (eines davon bis zu zehn Jahre). Bei einem Teil der Cookies fehlte der Zweck, und die Beschreibungen waren nicht auf Tschechisch. Bei der ersten Prüfung 2022 stand die Option „Ablehnen“ erst in der zweiten Ebene des Banners, was die Behörde als Verstoß gegen die Freiwilligkeit der Einwilligung wertete. Der Betreiber änderte den Banner später, die Cookies wurden aber weiterhin vor der Einwilligung gespeichert.

Jedes Formular, das Name, E-Mail oder Telefonnummer abfragt, verarbeitet personenbezogene Daten. Nach Art. 13 DSGVO müssen Sie der Person in dem Moment, in dem sie ihre Daten eingibt, mitteilen, wer der Verantwortliche ist und wie man ihn erreicht, zu welchem Zweck und auf welcher Rechtsgrundlage die Daten verarbeitet werden, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte die Person hat.

In der Praxis reicht ein kurzer Satz am „Senden“-Button mit einem Link zur Datenschutzerklärung. Ein Einwilligungs-Kästchen ist oft gar nicht nötig: Wenn jemand bei Ihnen ein Angebot anfragt, verarbeiten Sie seine Daten, um seine Anfrage zu bearbeiten. Bei Newsletter oder Marketing sieht es anders aus.

Bei KI-gebauten Websites ist oft unklar, wohin die Formulardaten eigentlich gehen. Das kann ein E-Mail-Postfach sein, eine Datenbank, ein externer Formulardienst oder ein CRM. Jeder dieser Dienste ist Auftragsverarbeiter, und mit jedem brauchen Sie einen Auftragsverarbeitungsvertrag (bei großen Diensten ist er meist Teil der Nutzungsbedingungen).

Nach § 435 des tschechischen Bürgerlichen Gesetzbuchs muss jeder Unternehmer auf seiner Website Namen oder Firma, Sitz, IČO (Identifikationsnummer) und bei eingetragenen Unternehmen auch die Eintragung im öffentlichen Register samt Abteilung und Einlage angeben. Dazu gehört auch ein Kontakt, unter dem Kunden Sie erreichen.

Ein Onlineshop hat mehr Pflichten. Vor Vertragsschluss muss der Kunde den Preis inklusive Steuern, die Versandkosten, die Zahlungsart und die Bedingungen für den Widerruf kennen (§ 1820 BGB-CZ). Das tschechische Verbraucherschutzgesetz verlangt außerdem Informationen darüber, wie und wo man Mängel reklamiert (§ 13), meist geregelt in einer Reklamationsordnung (reklamační řád), und einen Hinweis auf die außergerichtliche Streitbeilegung, die bei gewöhnlichen Onlineshops die ČOI übernimmt (§ 14).

Seit dem 6. 1. 2023 gilt § 12a des tschechischen Verbraucherschutzgesetzes. Wenn Sie einen Rabatt ankündigen, müssen Sie den niedrigsten Preis angeben, zu dem Sie die Ware in den 30 Tagen vor dem Rabatt angeboten haben, und den Rabatt von diesem Preis aus berechnen. Einen „ursprünglichen“ Preis durchzustreichen, zu dem nie verkauft wurde, ist nicht zulässig.

Die ČOI kontrolliert das systematisch. 2025 führte sie 1.432 Kontrollen von Rabatten durch und fand bei 734 davon Verstöße, also in 51 % der Fälle. Unlautere Geschäftspraktiken stellte sie in 368 Fällen fest, Verstöße gegen § 12a selbst in 324 Fällen. Im Laufe des Jahres wurden 380 Bußgelder über insgesamt 38.661.500 CZK rechtskräftig.

Die Inspektion achtet auch auf Umgehungsversuche. Laut ČOI verzichten Händler immer häufiger auf das Wort „Rabatt“ und arbeiten stattdessen mit farbigen Preisschildern und Slogans wie „Ušetřete 50 %“ („Sparen Sie 50 %“), „SUPER cena“, „Preis mit App“ oder „unverbindliche Preisempfehlung des Herstellers“. Die ČOI weist außerdem darauf hin, dass Ware, die mehrere Monate am Stück „reduziert“ ist, keinen echten Rabatt mehr darstellt.

Das Gesetz Nr. 159/2026 Slg., verkündet am 2. 9. 2026, fügt dem tschechischen Bürgerlichen Gesetzbuch einen neuen § 1830a hinzu. Ab dem 1. 1. 2027 muss jeder, der mit Verbrauchern Verträge über eine Website oder App schließt, den Widerruf per Button ermöglichen. Das betrifft den Verkauf von Waren, Dienstleistungen und digitalen Inhalten, ausgenommen Verträge, bei denen der Verbraucher kein Widerrufsrecht hat (§ 1840).

Das Gesetz beschreibt den Ablauf genau:

Die Gesetzesbegründung lässt zu, dass der Button dauerhaft auf der Website steht, ohne Bindung an die Frist einer konkreten Bestellung, und hält das für Unternehmer möglicherweise einfacher. Wer Button oder Bestätigung nicht bereitstellt, begeht eine Ordnungswidrigkeit nach dem Verbraucherschutzgesetz. Die Information über den Button und seinen Ort muss auch in die vorvertraglichen Informationen, also in die AGB (§ 1820 Abs. 1 Buchst. i).

Das Gesetz Nr. 424/2023 Slg. über die Barrierefreiheitsanforderungen für Produkte und Dienstleistungen gilt seit dem 28. 6. 2025. Es ist die tschechische Umsetzung des European Accessibility Act. Zu den erfassten Dienstleistungen gehören auch Dienstleistungen im elektronischen Geschäftsverkehr für Verbraucher, also Onlineshops.

Ausgenommen sind Kleinstunternehmen: Firmen mit weniger als 10 Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens 2 Millionen Euro. Wenn Sie nicht in diese Kategorie fallen, muss Ihr Shop auch für Menschen mit Seh-, Hör- oder motorischen Einschränkungen nutzbar sein. In der Praxis ist der Maßstab die harmonisierte Norm EN 301 549, die auf WCAG 2.1 Stufe AA verweist. Die Aufsicht über Onlineshops führt die ČOI, bei den schwersten Verstößen droht ein Bußgeld von bis zu 10 Millionen CZK.

Typische Probleme bei schnell gebauten Websites: geringer Textkontrast, Bilder ohne Alternativtext, Formularfelder ohne Beschriftung, Elemente, die sich nicht per Tastatur bedienen lassen, und Fehlermeldungen, die ein Screenreader nicht versteht.

Seit dem 2. 8. 2026 gelten die Transparenzpflichten nach Art. 50 der EU-Verordnung über künstliche Intelligenz (AI Act). Ein System, das direkt mit Menschen kommuniziert, muss so gestaltet sein, dass sie wissen, dass sie mit einer KI sprechen. Die Ausnahme gilt nur, wenn das aus den Umständen offensichtlich ist, und die Europäische Kommission legt sie in ihren Leitlinien eng aus. Dass Menschen allgemein wissen, dass es Chatbots gibt, reicht nicht. Bei Verstößen gegen Art. 50 drohen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Neben der Kennzeichnung geht es auch um die Haftung für die Antworten des Bots. 2024 entschied ein Tribunal in Kanada über die Beschwerde eines Kunden, dem der Chatbot von Air Canada fälschlich eine teilweise Erstattung seines Tickets zugesagt hatte. Die Airline argumentierte, sie sei für die Informationen des Chatbots nicht verantwortlich. Das Tribunal wies das zurück und verpflichtete sie, die Preisdifferenz zu zahlen, mit Zinsen und Gebühren insgesamt rund 812 kanadische Dollar. Ein Unternehmen haftet nach Ansicht des Tribunals für alle Informationen auf seiner Website, egal ob ein Mensch oder ein Chatbot sie geschrieben hat.

Deshalb lohnt es sich, dem Bot Grenzen zu setzen: worauf er antworten darf, wann er auf die AGB verweisen muss und wann er das Gespräch an einen Menschen übergibt.

Diese Liste sagt Ihnen, was Sie prüfen sollten. Wie genau Cookie-Banner, Consent Mode oder Zugriffsrechte auf die Datenbank einzurichten sind, hängt von der Technologie ab, auf der Ihre Website läuft. Das gehen wir gemeinsam in der Beratung durch.