News
Barrierefreiheitsstärkungsgesetz (Teil 3) – Was bedeutet Barrierefreiheit für meine Website oder App?
Nachdem wir uns in Teil 2 unserer Beitragsreihe zum Barrierefreiheitsstärkungsgesetz (BFSG) damit befasst haben für welche Apps und Websites das BFSG gilt, stellen wir Ihnen in Teil 3 vor, welche konkreten Anforderungen an die Barrierefreiheit gelten.
Was bedeutet eigentlich Barrierefreiheit?
Die Vorgaben des BFSG sollen Menschen mit den funktionellen Einschränkungen (vor allem Menschen mit einer Behinderung) den Zugang zu digitalen Dienstleistungen zu erleichtern. Doch wie genau soll das in der Praxis funktionieren?
Nach dem BFSG ist ein Produkt oder Dienst barrierefrei, wenn er von „Menschen mit Behinderungen in der allgemein üblichen Weise, ohne besondere Erschwernis und grundsätzlich ohne fremde Hilfe auffindbar, zugänglich und nutzbar“ ist. Dazu muss dieser die Vorgaben aus der Verordnung zum BFSG (BFSGV) einhalten.
Einhaltung des BFSG durch Umsetzung der abstrakten Vorgaben der BFSGV
In der BFSGV hat das Bundesministerium für Arbeit und Soziales die eher abstrakt gehaltenen Vorgaben zur Barrierefreiheit aus dem European Accessibility Act (Richtlinie (EU) 2019/882) übernommen. Nach den Vorgaben des BFSGV müssen Dienstleister ihre Websites und Apps entsprechend der vier Grundprinzipien der Barrierefreiheit „wahrnehmbar, bedienbar, verständlich und robust“ gestalten. Das bedeutet Folgendes:
- Wahrnehmbarkeit – Funktionen und Inhalte einer Website sollen durch alle Menschen wahrgenommen werden können. Grundlage hierfür ist das Zwei-Kanal-Prinzip, nach dem alle Inhalte mindestens über zwei Sinneskanäle wahrgenommen werden müssen. Das bedeutet z.B. das alles, was sehend erfasst werden kann, auch hörbar sein sollte, z.B. in dem man ein Bild durch einen Beschreibungstext vorlesbar macht (wie das funktioniert, beschreibt der Deutsche Blinden- und Sehbehindertenverband).
- Bedienbarkeit – Menschen mit funktioneller Beeinträchtigung sollen alle Elemente des Dienstes uneingeschränkt bedienen könne. Menschen mit einer motorischen Einschränkung sollten daher z.B. eine Website nur mit der Tastatur bedienen können (ein Umsetzungsbeispiel finden sie auf der Seite des Bundesbeauftragten der Bundesregierung zur Barrierefreiheit).
- Verständlichkeit – Die Inhalte der Website und App sollten sprachlich gut verständlich sein. Zu diesem Zweck sollte möglichst durchgehend leichte Sprache verwendet und unbekannte Fachbegriffe erklärt werden (die Berliner Datenschutzbeauftrage bietet daher z.B. eine alternative Version ihrer Website in leichter Sprache an).
- Robustheit – Die Website muss über den Browser und unterstützende Technologien gut auslesbar sein. Soweit HTML verwendet wird, sollte das regelmäßig der Fall sein (ob eine Website wirklich maschinenlesbar ist, lässt sich mit entsprechender Screenreader-Software testen).
Darüber hinaus gelten besondere Vorgaben in Bezug auf Art und Funktionen der erbrachten Dienstleistung. Websites und Apps, über die online Produkte und Dienstleistungen an Verbraucher verkauft werden, müssen daher:
- Informationen zur Barrierefreiheit der zum Verkauf angebotenen Produkte und / oder Dienstleistungen weitergeben;
- die Barrierefreiheit der Identifizierungs-, Sicherheits- und Zahlungsfunktionen gewährleisten und
- Identifizierungsmethoden, elektronischen Signaturen und Zahlungsdiensten anbieten, die „wahrnehmbar, bedienbar, verständlich und robust“ sind.
Websites und Apps sollen darüber hinaus für Menschen ohne und mit eingeschränktem Seh- oder Hörvermögen sowie Menschen mit motorischen oder kognitiven Einschränkungen nutzbar sein.
Das BFSGV legt nicht verbindlich fest, wie diese Vorgaben umgesetzt werden müssen. Insoweit besteht zumindest theoretisch ein weiter rechtlicher Interpretationsspielraum. Das BFSGV verlangt allerdings, dass die Umsetzung der Barrierefreiheit dem Stand der Technik entsprechen muss. Das bedeutet praktisch, dass Diensteanbieter sich bei der Umsetzung der Anforderungen des BFSGV an etablierten technischen Standards und Richtlinien zur Barrierefreiheit orientieren sollten (mehr dazu im Abschnitt Konformitätsvermutung).
Konformitätsvermutung: Einhaltung des BFSG durch Umsetzung technischer Standards
Um die Einhaltung der Vorgaben der BFSGV praktisch zu erleichtern, enthält das BFSG eine Konformitätsvermutung. Bei Einhaltung einschlägiger Normen, die im Amtsblatt der europäischen Union veröffentlichten wurden, gilt die Vermutung, dass die Anforderungen des BFSG erfüllt werden.
Für Websites und Apps gibt es eine solche Norm bereits, die EN 301 549 mit dem Titel “Accessibility requirements for ICT products and services”. Die Norm ist für sich betrachtet und ohne Expertenwissen zwar nur schwer nachvollziehbar. Im Zusammenhang mit Webinhalten verweist sie aber auf die weit verständlicheren Web Content Accessibility Guidelines (WCAG - aktuell noch in der Version 2.1). Bei der WCAG handelt es sich um ein mehrstufiges Modell zur Umsetzung der Barrierefreiheit, das auf den vier Grundprinzipien der Barrierefreiheit basiert, die Dienstleister auch nach der BFSGV umsetzen müssen.
Informations- und Hinweispflichten
Darüber hinaus müssen Unternehmen barrierefrei darüber informieren, wie die Barrierefreiheit auf ihrer Website oder App umgesetzt wurde. Dienstleister müssen grundlegende Informationen zur Einhaltung der Barrierefreiheit barrierefrei bereitstellen, die eine allgemeine Beschreibung der Dienstleistung, Angaben zur zuständigen Marktüberwachungsbehörde sowie zur Umsetzung der Barrierefreiheitsanforderungen der BFSGV enthalten. Konkret müssen Dienstleister beschreiben welche Anforderungen an die Barrierefreiheit gelten und wie diese umgesetzt wurden. Soweit die Anforderungen der BFSGV nicht oder nicht vollständig umgesetzt wurden, muss darüber hinaus die zuständige Marktüberwachungsbehörde aktiv darüber informiert werden.
Besondere Anforderungen an den Schutz personenbezogener Daten
Bei der barrierefreien Gestaltung einer Website oder App muss nach Vorgaben der BFSGV außerdem die Privatsphäre der Nutzer geschützt werden. Hintergrund ist vermutlich, dass infolge der Umsetzung BFSGV unter Umständen Daten zum Gesundheitszustand der Nutzer verarbeitet, werden könnten. Ermöglicht ein Dienstleister seinen Nutzern z.B. eine Website allein mit der Tastatur zu nutzen, kann aus den zur Nutzung der Website erhobenen Trackingdaten gefolgert werden, welche Nutzer die Funktion einsetzen und daher sehr wahrscheinlich einer funktionellen Beeinträchtigung unterliegen. Hier könnte auch der Schutz besonderer personenbezogener Daten im Sinne von Art. 9 DSGVO relevant werden.
Entsprechend sollten Website- und Appbetreiber darauf achten, dass sie bei der Umsetzung BFSG auch der Datenschutz mitgedacht wird, indem z.B. auch der Cookiebanner barrierefrei gestaltet wird.
Praktische Empfehlungen zur Umsetzung
Um die oben beschriebenen Anforderungen umsetzen zu können, muss das entsprechende Fachwissen im Unternehmen vorhanden sein. Wir empfehlen ihnen daher:
- Den Anpassungsbedarf ihrer Website oder App durch ein externes Audit überprüfen zu lassen.
- Die internen Teams in Bezug auf die Anforderungen an die Barrierefreiheit (insbesondere der EN 301 549 und des WCAG) schulen zu lassen.
- Die Anforderungen des BFSG stufenweise auf der Website / in der App umzusetzen.
- Barrierefreiheit langfristig in den internen Konzepten zu verankern.
Ausblick
Wie der Beitrag zeigt, sind die Anforderungen des BFSG komplex und lassen sich in keinem Fall kurzfristig umsetzen. Was aber kann passieren, wenn Unternehmen nicht in der Lage sind die Anforderungen des BFSG bis zum 28. Juni 2025 umzusetzen? Damit werden wir uns in Teil 4 unserer Beitragsreihe zum BFSG befassen.
News
OLG Frankfurt: Schmerzensgeld bei Cookie-Einsatz ohne Einwilligung – auch für Drittanbieter
Nach § 25 Abs. 1 TDDDG müssen Websitebetreiber grundsätzlich eine Einwilligung vom Nutzer einholen, wenn sie eigene oder Cookies von Drittanbietern einsetzen. Die Einwilligung wird über Cookie-Banner eingeholt, in denen Nutzer über den Einsatz der Cookies umfassend informiert werden müssen. Die konkrete Ausgestaltung der Banner und ob die Informationen ausreichend sind, um eine wirksame Einwilligung in das Speichern und die anschließende Verarbeitung personenbezogener Daten einzuholen, waren bereits Gegenstand zahlreicher Gerichtsentscheidungen. Nun hat sich das OLG Frankfurt (Urteil vom 11.12.2025 – Az. 6 U 81/23) in einem Fall mit der Haftung für eine nicht eingeholte Einwilligung beschäftigt und den Drittanbieter zu einem Unterlassen und Zahlung von Schadensersatz i.H.v. 100 EUR gegenüber dem Nutzer verurteilt.
Umsetzung von Risikomanagementmaßnahmen im Zusammenhang mit der NIS-2-Richtlinie und Rückgriff auf Maßnahmen nach Art. 32 DSGVO
Die Umsetzung der Risikomanagementmaßnahmen nach der NIS-2-Richtlinie und dem BSIG als Umsetzungsgesetz scheint für viele betroffene Organisationen im ersten Moment herausfordernd. Dies liegt häufig daran, dass die eher abstrakt wirkenden Vorgaben wie z.B. „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“ Organisationen abschrecken, da nicht auf Anhieb erkennbar ist, was konkret zu tun ist.
NIS-2: Pflicht zur Benennung eines Vertreters für Einrichtungen im Drittland
Im Anwendungsbereich der NIS-2-Richtlinie (NIS-2-RL) kann es zu Situationen kommen, in denen Anbieter bestimmter NIS-2-relevanter Dienste, wie etwa ein Managed Service Provider, seinen Sitz ausschließlich in einem Drittland hat, jedoch Dienste innerhalb der EU anbietet. Der territoriale Anwendungsbereich ist nach Art. 2 Abs. 1 NIS-2-RL eröffnet, sobald ein Unternehmen einen Dienst in der EU erbringt oder dort Tätigkeiten ausübt. Art. 26 NIS-2-RL konkretisiert diesen Anwendungsbereich dahingehend, dass grundsätzlich der Mitgliedstaat und damit dessen jeweiliges Umsetzungsgesetz für eine Einrichtung anwendbar ist, in dem die Einrichtung niedergelassen ist. Hierzu haben wir bereits einen Beitrag verfasst.
Territorialer Anwendungsbereich von NIS-2 – Wann gilt das BSIG für Managed Service Provider (MSP) aus Drittländern?
In einem früheren Beitrag haben wir uns mit der Frage auseinandergesetzt, wer nach dem geänderten Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) als Managed Service Provider (MSP) oder Managed Security Service Provider (MSSP) einzuordnen ist. Ist also ein Unternehmen eines Unternehmensverbundes zentral für den Betrieb der IT des Verbundes zuständig, kann es als MSP und damit als wichtige oder besonders wichtige Einrichtung i. S. v. § 28 Abs. 1 Nr. 4 und / oder § 28 Abs. 2 Nr. 3 BSIG einzuordnen sein – sofern es in den Anwendungsbereich des BSIG fällt.
Der CRA – Was sollten Unternehmen 2026 und darüber hinaus beachten?
Der Cyber Resilience Act (CRA) zielt darauf ab, dass auf dem europäischen Markt bereitgestellte Produkte mit digitalen Elementen ein einheitliches Cybersicherheitsniveau aufweisen. Zu diesem Zweck legt der CRA Pflichten für sämtliche Wirtschaftsakteure der Produktlieferkette fest, insbesondere für den Hersteller, aber auch für die Händler von Produkten mit digitalen Elementen.
Bestandskundenwerbung (nur) nach UWG: EuGH-Entscheidung Inteligo Media
Der EuGH hat in der Rechtssache C-654/23 (Inteligo Media) klargestellt, dass bei Bestandskundenwerbung nach Art. 13 Abs. 2 ePrivacy-RL die Rechtmäßigkeitsvoraussetzungen des Art. 6 Abs. 1 DSGVO nicht zur Anwendung kommen. Damit weicht das Urteil von der bislang vielfach vertretenen Behördenpraxis ab. Zugleich erweitert der EuGH durch seine Auslegung des Begriffs „Verkauf“ den Anwendungsbereich der Bestandskundenausnahme.