Blog

Legal Compliance

Gilt das BFSG für Ihre SaaS? Was B2B-Softwareunternehmen jetzt wissen müssen

Viele B2B-SaaS-Anbieter gehen davon aus, dass das BFSG nur den B2C-Bereich betrifft. Das ist falsch. Wer Software an EU-Unternehmen ab 10 Mitarbeitern verkauft, hat Login-Seite, Abrechnungsportal und Admin-Panel im Anwendungsbereich — inklusive Abmahnrisiko durch Mitbewerber.

15. Mai 2026

Updated 16 May 2026

10 min read

Ravid, Webply

Also in:

EN

DE

Was das BFSG tatsächlich abdeckt

Das Barrierefreiheitsstärkungsgesetz (BFSG, BGBl. 2021 I S. 2970) setzt die EU-Richtlinie 2019/882 (European Accessibility Act) in deutsches Recht um. Software fällt unter zwei Kategorien:

„Dienstleistungen" — Die Richtlinie definiert Dienstleistungen als Tätigkeiten im Sinne des EU-Dienstleistungsrechts, was SaaS, Webanwendungen, mobile Apps und digitale Dienste umfasst, die sowohl an Unternehmen als auch an Verbraucher verkauft werden.

„Produkte" — Physische Produkte mit digitalen Schnittstellen (Terminals, Kioske, Selbstbedienungsautomaten) haben gesonderte Pflichten. Die meisten SaaS-Unternehmen sind auf dem Dienstleistungspfad relevant.

Für Dienstleistungen ist die zentrale Pflicht: Ihr Dienst muss die funktionalen Barrierefreiheitsanforderungen in Anhang I der Richtlinie erfüllen, was in der Praxis WCAG 2.1 Level AA entspricht (dem Standard, auf den EN 301 549 verweist, auf den das BFSG wiederum Bezug nimmt).

Was ausdrücklich nicht im Anwendungsbereich liegt:

• Inhalte in Intranets, die ausschließlich von Mitarbeitern genutzt werden (manche Mitgliedstaaten weiten dies freiwillig aus)
• Archivierte Inhalte, die nach Juni 2025 nicht aktualisiert wurden
• Livestreaming (eingeschränkte Pflichten gelten)
• Kleinstunternehmen-Dienstleistungen — Sie müssen aber nachweisen können, dass Sie die Voraussetzungen erfüllen

Die kritischen Touchpoints für SaaS

1. Login und Authentifizierungsflows

Ihre Login-Seite ist ein Formular. Enthält es unbeschriftete Felder, kommuniziert es Fehlerzustände nur über Farbe oder bricht es bei reiner Tastaturnavigation zusammen, scheitert sie an WCAG schon beim ersten Nutzerkontakt. Das ist auch die sichtbarste Schwachstelle: Sie ist das, was ein Abmahnanwalt oder Wettbewerbsbeobachter zuerst prüft — denn es dauert keine zwei Minuten.

Häufige Verstöße:

• Passwortfeld visuell beschriftet, aber nicht programmatisch (<input type="password"> ohne <label> oder aria-label)
• „Falsches Passwort"-Fehler nicht per aria-describedby mit dem Eingabefeld verknüpft
• „Angemeldet bleiben"-Checkbox ohne zugänglichen Namen
• „Mit Google anmelden"-Schaltfläche verliert Fokus-Umrandung beim Klick

2. Onboarding-Wizards und mehrstufige Formulare

Schrittanzeigen, die ausschließlich Farbe verwenden („Schritt 3 von 5" als farbige Kreise ohne Text), verstoßen gegen 1.4.1 (Verwendung von Farbe). Fortschrittsbalken ohne Textalternative verstoßen gegen 1.1.1. Inline-Validierung, die Fehler ankündigt bevor der Nutzer zu Ende getippt hat, kann gegen 4.1.3 (Statusmeldungen) verstoßen.

Das funktionierende Muster:

<!-- Schrittanzeige mit programmatischem Zustand, nicht nur visuell -->
<ol aria-label="Einrichtungsfortschritt">
  <li aria-current="step">
    <span class="sr-only">Aktueller Schritt: </span>Domain-Konfiguration
  </li>
  <li>Team-Einrichtung</li>
  <li>Abrechnung</li>
</ol>

3. Dashboard-Tabellen und Datengrids

Datenintensive SaaS-Produkte haben häufig komplexe Tabellen — Analytics-Dashboards, Nutzerverwaltungsgrids, Abrechnungshistorie. Diese benötigen:

• <th scope="col"> für Spaltenüberschriften
• <th scope="row"> für Zeilenüberschriften
• caption oder aria-label für die Tabelle selbst
• Sortiersteuerungen als Schaltflächen mit aktuellem Sortierstatus (aria-sort="ascending")
• Paginierung mit aria-label="Seitennavigation" und klarer Angabe der aktuellen Seite

Tabellen, die mit <div>-Grids statt <table> gebaut sind, erfordern explizite ARIA-Grid-Rollen und Tastaturnavigationsimplementierung. Das native Element ist fast immer die richtige Wahl.

4. Abrechnung und Abonnementverwaltung

Das ist der rechtlich risikoreichste Bereich für B2B-SaaS. Wenn ein Mitarbeiter Ihres Kunden mit Behinderung sein Abonnement nicht upgraden, vor der Verlängerung nicht kündigen oder keine Rechnung abrufen kann, blockieren Sie eine kaufmännische Transaktion — und das ist genau das, was BFSG-Durchsetzung prioritär betrifft.

Konkrete Muster zum Beheben:

• Das Stripe Billing Portal ist weitgehend zugänglich out of the box — Ihre Upgrade-Hinweise und Preistabellen möglicherweise nicht
• PDF-Rechnungen müssen getaggte PDFs sein (keine reinen Bild-Scans) — WCAG 1.1.1 gilt für PDFs
• „Abonnement kündigen"-Flows, die auf Hover-only-Menüs oder JS-only-Interaktionen setzen, brauchen Tastaturpfade

5. Benachrichtigungen und Statusmeldungen

Toast-Benachrichtigungen, Alerts und In-App-Banner sind ein systematisches Versagen in den meisten SaaS-Produkten. Eine Benachrichtigung, die visuell erscheint, aber von Screenreadern nicht angekündigt wird, verstößt gegen WCAG 4.1.3 (Statusmeldungen).

Die Lösung ist einfach:

<!-- ARIA-Live-Region — Screenreader kündigen Änderungen automatisch an -->
<div role="status" aria-live="polite" aria-atomic="true">
  <!-- Benachrichtigungstext hier dynamisch einfügen -->
</div>

<div role="alert" aria-live="assertive" aria-atomic="true">
  <!-- Für dringende Fehler, die sofortige Ankündigung benötigen -->
</div>

Die meisten Komponentenbibliotheken (Mantine, Radix UI, shadcn/ui, MUI) haben zugängliche Benachrichtigungskomponenten. Das Problem liegt meistens bei Custom-Implementierungen, die gebaut wurden, bevor das Team von aria-live wusste.

Warum Abmahnungen für SaaS-Anbieter das akuteste Risiko sind

In Deutschland speist das BFSG unmittelbar in das Wettbewerbsrecht ein. Ein Mitbewerber kann eine Abmahnung — eine außergerichtliche Aufforderung mit Anwaltskostenerstattung — wegen BFSG-Verstößen ausstellen. Er muss kein behinderter Nutzer sein, keine Barrierefreiheitsorganisation, kein Behördenvertreter. Er braucht nur einen wirtschaftlichen Vorteil durch Ihre Nicht-Compliance nachzuweisen.

Warum das für SaaS-Anbieter besonders relevant ist: Im B2B-Bereich gibt es eine überschaubare Zahl direkter Wettbewerber. Wenn Ihr Konkurrent BFSG-konform ist und Sie nicht, hat er ein konkretes wirtschaftliches Interesse, das durch §3a UWG sanktionierbar ist. Anwälte, die auf Wettbewerbsrecht spezialisiert sind, kennen diesen Hebel.

Typische Kostenlage einer BFSG-Abmahnung:

• Anwaltskosten des Abmahnenden: €1.500 bis €4.000 (nach RVG, Streitwert meist €15.000 bis €50.000)
• Strafbewehrte Unterlassungserklärung: Vertragsstrafen von €5.000 bis €10.000 pro Wiederholungsfall
• Gerichtsverfahren bei Eskalation: €8.000 bis €15.000 gesamt

Dieser Mechanismus ist seit dem 28. Juni 2025 aktiv — dem ersten Tag des BFSG-Inkrafttretens. Deutschen Unternehmen ist das Abmahnwesen aus DSGVO und Cookie-Consent-Enforcement vertraut; das BFSG fügt einen neuen Vektor hinzu.

Lesen Sie unseren ausführlichen BFSG-Abmahnung-Leitfaden für die konkreten Rechtsgrundlagen, den typischen Ablauf und wie Sie sich wirksam schützen.

Die Dokumentation, die Sie benötigen

Über die Behebung der Oberfläche hinaus verlangt das BFSG Barrierefreiheitserklärungen — dokumentierte Erklärungen Ihres Compliance-Status, was Sie geprüft haben, welche Lücken bestehen und wie Nutzer Barrierefreiheitsprobleme melden können.

Für SaaS-Produkte liegt diese typischerweise unter /accessibility oder /barrierefreiheit und umfasst:

• Welchen Standard Sie anstreben (WCAG 2.1 AA)
• Datum der letzten Bewertung und angewandte Methode
• Bekannte Probleme mit geplanten Behebungsdaten
• Rückmeldungs-/Kontaktmechanismus
• Zuständige Durchsetzungsstelle (in Deutschland: MLBF AöR)

Deutschland fragt in Durchsetzungsverfahren bereits nach diesem Dokument. Eine fehlende Barrierefreiheitserklärung ist zudem ein eigenständiger BFSG-Verstoß — und damit ein für sich allein stehender Abmahngrund. Nutzen Sie unseren kostenlosen Barrierefreiheitserklärung-Generator, um in unter 5 Minuten eine konforme Erklärung zu erstellen.

Wie ein praxistaugliches Compliance-Projekt aussieht

Für ein typisches B2B-SaaS-Produkt (5–20 Kernscreens) ist das ein realistischer Zeitplan:

Woche 1 — Automatisiertes Audit Führen Sie einen automatisierten WCAG-Scanner über Ihre Kern-User-Flows durch. Priorität: Login, Registrierung, Haupt-Dashboard, Abrechnung, Einstellungen. Das deckt 60–70 % der automatisiert prüfbaren Probleme ab. Beheben Sie die offensichtlichen sofort (fehlende Labels, Kontrastfehler, leere Schaltflächennamen).

Woche 2 — Tastatur- und Screenreader-Durchlauf Navigieren Sie jeden Flow nur mit der Tastatur. Nutzen Sie NVDA (Windows, kostenlos) oder VoiceOver (macOS, integriert). Das deckt Fokus-Management-Fehler, fehlende Skip-Links, kaputte Modals und aria-live-Lücken auf, die automatisierte Tools verpassen.

Woche 3 — Beheben und dokumentieren Setzen Sie Fixes aus Woche 1 und 2 um. Verfassen und veröffentlichen Sie Ihre Barrierefreiheitserklärung. Dokumentieren Sie bekannte offene Probleme mit Zielterminen.

Fortlaufend — Regressionsprävention Integrieren Sie axe-core in Ihre Test-Suite (Playwright, Cypress, Vitest) für kritische Flows. Ein fehlschlagender Test pro User-Flow reicht aus, um Regressionen vor dem Deployment zu erkennen.

Das Wesentliche für B2B-SaaS-Teams

1. Sie sind fast sicher im Anwendungsbereich. Die Kleinstunternehmen-Schwelle liegt niedriger als die meisten Teams annehmen.
2. Die risikoreichsten Touchpoints sind Formulare, Tabellen und Benachrichtigungen — Bereiche, in denen SaaS-Produkte systematisch schlechte Barrierefreiheit haben, weil visuelles Design Nicht-Sicht-Nutzer nicht berücksichtigt hat.
3. Das deutsche Abmahnsystem schafft sofortiges Wettbewerbsrisiko, nicht nur regulatorisches Risiko. Wettbewerber können seit dem 28. Juni 2025 handeln.
4. Ein automatisiertes Audit ist der richtige erste Schritt, kein vollständiges manuelles Audit. Starten Sie dort.
5. Eine Barrierefreiheitserklärung ist Pflichtdokumentation, nicht optional. Veröffentlichen Sie eine, bevor ein Abmahnanwalt oder Prüfer danach fragt.

Für die konkreten deutschen Bußgeldrahmen und die zuständige Durchsetzungsstelle (MLBF AöR), siehe unsere Deutschland-Seite zu EAA-Bußgeldern. Für länderspezifische Bußgeldbandbreiten aller 27 EU-Mitgliedstaaten, unsere EAA-Bußgeldübersicht. Für die häufigsten WCAG-Verstöße, die zuerst behoben werden sollten, den englischen Beitrag Top 10 EAA violations and fixes.