Online-Shop-Compliance 2026: Orientierung zu typischen Pflichten-Konstellationen im B2C-E-Commerce

Welche regulatorischen Vorgaben sind im B2C-Online-Shop einschlägig?

Sieben Regelungsbereiche treten in der Beratungspraxis bei B2C-Online-Shops verbreitet auf:

Impressum (§ 5 DDG). Das Digitale-Dienste-Gesetz konkretisiert die Anbieterkennzeichnung. Pflichtangaben umfassen typischerweise Anschrift, Vertretungsberechtigte, Kontaktdaten, Handelsregister-Eintrag, ggf. Umsatzsteuer-ID, Aufsichtsbehörde und Hinweis auf die EU-Streitbeilegungsplattform.

Allgemeine Geschäftsbedingungen. AGB sind nicht zwingend erforderlich, in der E-Commerce-Praxis aber verbreitet, da andernfalls die dispositiven Regeln des BGB ohne Anpassungsmöglichkeit greifen. Die Einbeziehung muss den Anforderungen der §§ 305 ff. BGB genügen.

Detail

Widerrufsrecht (§ 312g BGB i. V. m. Art. 246a EGBGB). Bei B2C-Fernabsatzverträgen besteht regelmäßig ein vierzehntägiges Widerrufsrecht. Die Widerrufsbelehrung und das Muster-Widerrufsformular ergeben sich aus den Mustern der Anlage 1 und 2 zu Art. 246a EGBGB, Aktualität der verwendeten Mustertexte ist regelmäßig zu prüfen.

Datenschutzerklärung (Art. 13 DSGVO). Informationspflicht über alle Verarbeitungen mit Bestelldaten, Zahlung, Versand, Newsletter, Tracking, Drittanbieter und Auftragsverarbeitern. Die konkrete Tiefe hängt vom verwendeten Stack ab.

Cookie-Consent (§ 25 TDDDG i. V. m. Art. 6 DSGVO). Cookies, die nicht zur Erbringung des Dienstes technisch unbedingt erforderlich sind, erfordern eine vorherige aktive Einwilligung. Tracking-, Marketing- und Analyse-Cookies fallen typischerweise unter diese Einwilligungspflicht, die genaue Abgrenzung ist im Einzelfall vorzunehmen.

AVV mit Verarbeitern (Art. 28 DSGVO). Hosting, Shop-Software, Zahlungsdienstleister, Versanddienstleister, Newsletter-Tools, CRM, Analyse-Tools, Live-Chat: Mit allen externen Verarbeitern sind Auftragsverarbeitungsverträge nach Art. 28 DSGVO verbreitet einzuholen. Bei Drittland-Bezug ist die Transfer-Grundlage nach Art. 44 ff. DSGVO zu prüfen.

Produktsicherheit (GPSR, VO (EU) 2023/988). Anwendbar seit 13. Dezember 2024 für Verbraucherprodukte. Pflichten umfassen typischerweise Sicherheitshinweise, Hersteller-Kontaktdaten je Produkt, ein Rückrufsystem und Meldepflichten an Behörden bei Sicherheitsmängeln. Bei Herstellern außerhalb der EU ist ein in der Union niedergelassener verantwortlicher Wirtschaftsakteur erforderlich (Art. 4 GPSR i. V. m. VO (EU) 2019/1020).

Welche Konstellation passt typisch zum klassischen B2C-Shop?

In der Beratungspraxis ist die folgende Konstellation für einen B2C-Online-Shop kleiner und mittlerer Größenordnung verbreitet, eine abschließende Einordnung hängt jedoch vom Einzelfall ab:

• Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die Verarbeitung von Bestelldaten, Versand-Adressen und Kommunikationsdaten der Endkunden.
• Vertragspartner im B2C-Verhältnis mit den verbreiteten Verbraucherschutz-Pflichten: Widerruf, Gewährleistung, Preisangaben, Lieferinformationen.

Detail

• GPSR-Händler mit Prüfpflichten gegenüber Hersteller-Angaben und Eskalationsweg bei Sicherheitsmängeln.
• Mehrere Sub-Verarbeiter (Hosting, Zahlungsanbieter, Versand, Newsletter, Analytics) mit AVV-Bedarf.
• Sofern KI-Personalisierung oder Chatbot eingesetzt wird, zusätzlich Transparenzpflichten nach Art. 50 AI Act.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungspraxis hat sich ein dreistufiger Orientierungs-Rahmen etabliert. Ob er im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Pflicht-Texte-Audit. Eine strukturierte Prüfung von Impressum, AGB, Widerrufsbelehrung, Datenschutzerklärung und Cookie-Banner. Die Aktualität der verwendeten Mustertexte ist regelmäßig zu prüfen, insbesondere die Widerrufsbelehrung folgt einem normativ vorgegebenen Wortlaut (Anlage 1 zu Art. 246a EGBGB), Abweichungen können zur Unwirksamkeit führen.

Detail

Zweiter Baustein, AVV-Vollständigkeit und Drittland-Transfer-Prüfung. Eine vollständige Liste aller externen Tools mit AVV-Status nach Art. 28 DSGVO und gegebenenfalls Standardvertragsklauseln nach Art. 46 DSGVO bei Drittland-Bezug. Üblich ist eine tabellarische Übersicht mit Anbieter, Verarbeitungs-Zweck, Speicherort, AVV-Datum.

Dritter Baustein, Produktsicherheits-Dokumentation. Pro Produkt-Kategorie eine Dokumentation der Hersteller-Verfügbarkeit, der Sicherheits-Konformität (CE, REACH, RoHS, Energie-Label je nach Kategorie) und gegebenenfalls eines benannten verantwortlichen Wirtschaftsakteurs in der EU. Ein interner Rückruf-Prozess sollte schriftlich fixiert sein.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für B2C-Online-Shops nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

Detail

• Regulierte Produktkategorien: Lebensmittel, Nahrungsergänzungsmittel, Kosmetika, Spielzeug, Medizinprodukte, Arzneimittel, Tabakerzeugnisse und Chemikalien unterliegen jeweils eigenen sektor-spezifischen Vorschriften (LFGB, KosmetikV, MDR, AMG u. a.). Die Pflichten gehen über GPSR und Verbraucherrecht hinaus.

• Geoblocking-Verordnung (VO (EU) 2018/302): Wer Käufer aus anderen EU-Mitgliedstaaten beliefert oder die Webseite EU-weit zugänglich macht, hat die Diskriminierungsverbote der Geoblocking-Verordnung zu beachten, die Pflichtenlage ist im Einzelfall sorgfältig zu prüfen.

• Marketplace-Setup oder Multi-Vendor-Plattformen: Anbieter von Online-Marktplätzen können zusätzlichen Pflichten unter dem Digital Services Act (VO (EU) 2022/2065) unterliegen, etwa Transparenz-Berichte oder Sorgfaltspflichten gegenüber Händlern.

• Drittstaaten-Drop-Shipping: Bei Direkt-Versand aus dem Nicht-EU-Ausland sind zoll-, einfuhrumsatzsteuer- und produktrechtliche Verantwortlichkeiten differenziert zu prüfen, Verantwortlicher Wirtschaftsakteur (Art. 4 GPSR) kann hier zur eigenen Pflicht werden.

• Datenpanne mit Zahlungsdaten-Bezug: Eine Meldung nach Art. 33 DSGVO ist binnen 72 Stunden zu prüfen; bei kreditkartenbezogenen Vorfällen können zudem PCI-DSS-Anforderungen oder vertragliche Pflichten gegenüber Zahlungsdienstleistern eingreifen.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch IT-Rechts-spezialisierte Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung für AVVs liefert der AVV-Generator, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit der Meldepflicht: DSGVO-Meldepflicht 72 Stunden: Was genau meldet man?.