Online-Shop-Compliance 2026: Orientierung zu typischen Pflichten-Konstellationen im B2C-E-Commerce

Welche regulatorischen Vorgaben sind im B2C-Online-Shop einschlägig?

Bei B2C-Online-Shops sind typischerweise die folgenden Regelungsbereiche zu prüfen:

Impressum (§ 5 DDG). Das Digitale-Dienste-Gesetz konkretisiert die Anbieterkennzeichnung. Pflichtangaben umfassen typischerweise Anschrift, Vertretungsberechtigte, Kontaktdaten, Handelsregister-Eintrag, ggf. Umsatzsteuer-ID und Aufsichtsbehörde. Der früher verlangte Hinweis auf die EU-Plattform zur Online-Streitbeilegung (OS-Plattform) ist entfallen: Die Plattform wurde nach der Verordnung (EU) 2024/3228 am 20. Juli 2025 abgeschaltet. Verbliebene Links darauf sollten entfernt werden, weil ein Verweis auf eine nicht mehr existierende Plattform als irreführend gewertet werden kann. Unabhängig davon gilt die Informationspflicht nach § 36 VSBG zur Teilnahme an Verbraucherschlichtungsverfahren weiter; ausgenommen sind Unternehmer, die am 31. Dezember des Vorjahres zehn oder weniger Personen beschäftigt haben (§ 36 Abs. 3 VSBG).

Allgemeine Geschäftsbedingungen. AGB sind nicht zwingend erforderlich, in der E-Commerce-Praxis aber verbreitet, da andernfalls die dispositiven Regeln des BGB ohne Anpassungsmöglichkeit greifen. Die Einbeziehung muss den Anforderungen der §§ 305 ff. BGB genügen.

Widerrufsrecht (§ 312g BGB i. V. m. Art. 246a EGBGB). Bei B2C-Fernabsatzverträgen besteht regelmäßig ein vierzehntägiges Widerrufsrecht. Die Widerrufsbelehrung und das Muster-Widerrufsformular ergeben sich aus den Mustern der Anlage 1 und 2 zu Art. 246a EGBGB, Aktualität der verwendeten Mustertexte ist regelmäßig zu prüfen. Seit dem 19. Juni 2026 muss der Unternehmer bei Online-Fernabsatzverträgen zusätzlich eine elektronische Widerrufsfunktion bereitstellen (§ 356a BGB, eingeführt durch BGBl. 2026 I Nr. 28): eine mit „Vertrag widerrufen“ oder gleichbedeutend beschriftete Schaltfläche, die während der Widerrufsfrist ständig verfügbar, hervorgehoben platziert und leicht zugänglich ist. Über sie gibt der Verbraucher Name, Angaben zur Identifizierung des Vertrags und Kontaktdaten an und bestätigt über eine Funktion „Widerruf bestätigen“; der Unternehmer muss den Eingang unverzüglich mit Inhalt, Datum und Uhrzeit bestätigen.

Datenschutzerklärung (Art. 13 DSGVO). Informationspflicht über alle Verarbeitungen mit Bestelldaten, Zahlung, Versand, Newsletter, Tracking, Drittanbieter und Auftragsverarbeitern. Die konkrete Tiefe hängt vom verwendeten Stack ab.

Cookie-Consent (§ 25 TDDDG). Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf, etwa über Cookies, erfordern eine vorherige Einwilligung, deren Information und Erteilung sich nach der DSGVO richten (§ 25 Abs. 1 TDDDG). Keine Einwilligung braucht, was unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann (§ 25 Abs. 2 Nr. 2 TDDDG). Für die anschließende Verarbeitung personenbezogener Daten ist zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO nötig. Tracking-, Marketing- und Analyse-Cookies fallen typischerweise unter diese Einwilligungspflicht, die genaue Abgrenzung ist im Einzelfall vorzunehmen.

AVV mit Verarbeitern (Art. 28 DSGVO). Hosting, Shop-Software, Newsletter-Tools, CRM, Analyse-Tools und Live-Chat verarbeiten Daten in der Regel im Auftrag des Shops; mit diesen Dienstleistern ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zu schließen. Keine Auftragsverarbeitung ist dagegen in der Regel die Inanspruchnahme fremder Fachleistungen eines eigenständig Verantwortlichen, etwa eines Bankinstituts für den Geldtransfer oder eines Postdienstes für den Transport (DSK-Kurzpapier Nr. 13, Anhang B); für Zahlungs- und Versanddienstleister ist die Rolle deshalb im Einzelfall zu bestimmen, die Übermittlung braucht dann eine eigene Rechtsgrundlage nach Art. 6 DSGVO. Bei Drittland-Bezug ist die Transfer-Grundlage nach Art. 44 ff. DSGVO zu prüfen.

Produktsicherheit (GPSR, VO (EU) 2023/988). Anwendbar seit 13. Dezember 2024 für Verbraucherprodukte. Im Online-Angebot müssen je Produkt Name, Postanschrift und E-Mail-Adresse des Herstellers, Angaben zur Identifizierung des Produkts mit Abbildung sowie etwaige Warnhinweise und Sicherheitsinformationen stehen (Art. 19 GPSR). Händler müssen sich vor dem Bereitstellen vergewissern, dass Hersteller und Einführer ihre Kennzeichnungspflichten erfüllt haben; bei gefährlichen Produkten unterrichten sie den Hersteller bzw. Einführer, sorgen für Korrekturmaßnahmen bis hin zum Rückruf und melden an die Marktüberwachung über das Safety-Business-Gateway (Art. 12 GPSR). Bei Herstellern außerhalb der EU ist ein in der Union niedergelassener verantwortlicher Wirtschaftsakteur erforderlich (Art. 16 Abs. 1 GPSR i. V. m. Art. 4 Abs. 3 VO (EU) 2019/1020).

Welche Konstellation passt typisch zum klassischen B2C-Shop?

Für einen B2C-Online-Shop kleiner und mittlerer Größenordnung ergibt sich typischerweise die folgende Rollenverteilung; eine abschließende Einordnung hängt vom Einzelfall ab:

• Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die Verarbeitung von Bestelldaten, Versand-Adressen und Kommunikationsdaten der Endkunden.
• Vertragspartner im B2C-Verhältnis mit den verbreiteten Verbraucherschutz-Pflichten: Widerruf, Gewährleistung, Preisangaben, Lieferinformationen.

• GPSR-Händler mit Prüfpflichten gegenüber Hersteller-Angaben und Eskalationsweg bei Sicherheitsmängeln.
• Mehrere Auftragsverarbeiter (etwa Hosting, Shop-Software, Newsletter, Analytics) mit AVV-Bedarf; Zahlungs- und Versanddienstleister sind häufig eigenständig Verantwortliche.
• Sofern ein Chatbot eingesetzt wird, ist zu klären, ob der Shop nur Betreiber eines fremden Systems ist oder selbst Anbieter (Art. 3 Nr. 3 AI Act); die Transparenzpflicht nach Art. 50 Abs. 1 AI Act trifft den Anbieter.

Welcher Aufbau-Rahmen ist verbreitet?

Eine mögliche Gliederung der Umsetzung in drei Bausteine; ob sie im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Pflicht-Texte-Audit. Eine strukturierte Prüfung von Impressum, AGB, Widerrufsbelehrung, Datenschutzerklärung und Cookie-Banner. Die Aktualität der verwendeten Mustertexte ist regelmäßig zu prüfen, insbesondere bei der Widerrufsbelehrung: Das Muster in Anlage 1 zu Art. 246a EGBGB ist nicht verpflichtend, wer es aber zutreffend ausgefüllt in Textform übermittelt, erfüllt damit die Informationspflichten (Art. 246a § 1 Abs. 2 Satz 2 EGBGB). Eine eigene Formulierung ist zulässig, muss dann aber inhaltlich vollständig und richtig sein.

Zweiter Baustein, AVV-Vollständigkeit und Drittland-Transfer-Prüfung. Eine vollständige Liste aller externen Tools mit AVV-Status nach Art. 28 DSGVO und gegebenenfalls Standardvertragsklauseln nach Art. 46 DSGVO bei Drittland-Bezug. Üblich ist eine tabellarische Übersicht mit Anbieter, Verarbeitungs-Zweck, Speicherort, AVV-Datum.

Dritter Baustein, Produktsicherheits-Dokumentation. Pro Produkt-Kategorie eine Dokumentation der Hersteller-Verfügbarkeit, der Sicherheits-Konformität (CE, REACH, RoHS, Energie-Label je nach Kategorie) und gegebenenfalls eines benannten verantwortlichen Wirtschaftsakteurs in der EU. Ein interner Rückruf-Prozess sollte schriftlich fixiert sein.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für B2C-Online-Shops nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• Regulierte Produktkategorien: Lebensmittel, Nahrungsergänzungsmittel, Kosmetika, Spielzeug, Medizinprodukte, Arzneimittel, Tabakerzeugnisse und Chemikalien unterliegen jeweils eigenen sektor-spezifischen Vorschriften (LFGB, KosmetikV, MDR, AMG u. a.). Die Pflichten gehen über GPSR und Verbraucherrecht hinaus.

• Geoblocking-Verordnung (VO (EU) 2018/302): Wer Käufer aus anderen EU-Mitgliedstaaten beliefert oder die Webseite EU-weit zugänglich macht, hat die Diskriminierungsverbote der Geoblocking-Verordnung zu beachten, die Pflichtenlage ist im Einzelfall sorgfältig zu prüfen.

• Marketplace-Setup oder Multi-Vendor-Plattformen: Anbieter von Online-Marktplätzen können zusätzlichen Pflichten unter dem Digital Services Act (VO (EU) 2022/2065) unterliegen, etwa Transparenz-Berichte oder Sorgfaltspflichten gegenüber Händlern.

• Drittstaaten-Drop-Shipping: Bei Direkt-Versand aus dem Nicht-EU-Ausland sind zoll-, einfuhrumsatzsteuer- und produktrechtliche Verantwortlichkeiten differenziert zu prüfen, ohne verantwortlichen Wirtschaftsakteur in der Union (Art. 16 GPSR) darf das Produkt nicht in Verkehr gebracht werden.

• Datenpanne mit Zahlungsdaten-Bezug: Eine Meldung nach Art. 33 DSGVO ist binnen 72 Stunden zu prüfen; bei kreditkartenbezogenen Vorfällen können zudem PCI-DSS-Anforderungen oder vertragliche Pflichten gegenüber Zahlungsdienstleistern eingreifen.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch IT-Rechts-spezialisierte Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung für AVVs liefert der AVV-Generator, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit der Meldepflicht: DSGVO-Meldepflicht 72 Stunden: Was genau meldet man?.