Onlineshop rechtssicher machen 2026: Komplette Pflichten-Übersicht nach Gesetz

Die Rechtslage für Onlineshops hat sich in den letzten zwölf Monaten so stark verändert wie selten zuvor. Neue EU-Verordnungen, nationale Umsetzungsgesetze und aktualisierte Verordnungen haben eine Pflichtenwelle ausgelöst, die ich bei meinen Kunden immer häufiger als unterschätzt erlebe. Wer seinen Onlineshop rechtssicher machen will, steht 2026 vor einem Flickenteppich aus Terminen, Ausnahmen und Bußgelddrohungen - dieser Leitfaden bringt Struktur in dieses Chaos.

Ich bin Dawid Dudzinski, WordPress- und WooCommerce-Entwickler aus Hamburg mit über 13 Jahren Erfahrung und mehr als 120 realisierten Projekten. Was ich hier beschreibe, basiert auf meiner Praxis mit deutschen KMU-Shops - ich bin kein Rechtsanwalt und kein Steuerberater, daher: Für die finale rechtliche Bewertung Ihrer individuellen Situation holen Sie bitte anwaltlichen Rat ein.

Die wichtigste Übersicht: Alle Fristen auf einen Blick

Bevor wir die einzelnen Pflichten durchgehen, hilft ein zeitlicher Überblick. Die folgenden Termine haben unmittelbare Relevanz für Onlineshop-Betreiber in Deutschland:

Dazu kommen laufende Pflichten, die seit 2024 oder früher gelten und trotzdem regelmäßig verletzt werden: DDG-Impressum (seit Mai 2024), E-Rechnung Empfangspflicht (seit Januar 2025), LUCID-Verpackungsregistrierung (seit Juli 2022) und Cookie-Consent nach § 25 TDDDG.

1. Impressum und Rechtsgrundlage: TMG ist Geschichte

Seit dem 14. Mai 2024 gilt in Deutschland das Digitale-Dienste-Gesetz (DDG), das das Telemediengesetz (TMG) abgelöst hat. Inhaltlich hat sich wenig geändert - die Pflichtangaben im Impressum sind nahezu identisch geblieben, aber die Rechtsgrundlage heißt jetzt § 5 DDG statt § 5 TMG. Wer im Impressum noch die alte Formulierung "Angaben gemäß § 5 TMG" stehen hat, bietet eine Angriffsfläche für Abmahnungen.

Das Impressum muss von jeder Unterseite des Shops in maximal zwei Klicks erreichbar sein. Pflichtangaben sind: vollständiger Name oder Firma, ladungsfähige Anschrift (kein Postfach), E-Mail-Adresse, Umsatzsteuer-Identifikationsnummer (sofern vorhanden) und - bei Handwerks- oder Gewerbebetrieben - die zuständige Aufsichtsbehörde. Bei einem Kunden aus dem Münsterland habe ich 2025 ein Impressum saniert, das noch "Postfach 1234" als Adresse trug - das reicht nach ständiger Rechtsprechung nicht.

Die vollständige Liste der rechtlich notwendigen Texte und Rechtsvoraussetzungen für Shops finden Sie auch in meinem Artikel zu den allgemeinen Rechtspflichten für Webseiten und Shops 2026.

2. AGB, Widerrufsbelehrung und Pflichtinformationen

Es gibt keine gesetzliche Pflicht zu eigenen AGB - aber faktisch können Sie die Vielzahl gesetzlich vorgeschriebener Informationspflichten im B2C-Bereich ohne AGB kaum sauber abbilden. Fehlen vorgeschriebene Informationen, riskieren Sie Abmahnungen von Wettbewerbern oder Verbraucherschutzvereinen.

Zur Widerrufsbelehrung gilt: Sie muss klar, verständlich und vor Vertragsschluss zugänglich sein. Das Muster-Widerrufsformular ist als Anlage beizufügen. Fehler hier können die Widerrufsfrist von 14 Tagen auf bis zu 12 Monate und 14 Tage verlängern.

AGBs und Widerrufsbelehrungen sollten Sie nicht selbst schreiben, sondern von spezialisierten Anbietern wie dem Händlerbund, der IT-Recht Kanzlei oder eRecht24 beziehen - und regelmäßig aktualisieren lassen. Als WooCommerce-Entwickler binde ich bei meinen Kunden diese Dienste per Plugin ein, damit Rechtstexte automatisch aktualisiert werden.

3. Cookie-Consent nach § 25 TDDDG

Das TTDSG wurde im Mai 2024 in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Der Inhalt blieb weitgehend gleich, das Wichtigste steht in § 25: Wer Cookies oder ähnliche Technologien auf dem Endgerät eines Nutzers speichert oder abruft, braucht dafür vorab eine aktive Einwilligung - außer die Cookies sind technisch zwingend notwendig.

Technisch notwendig sind Cookies für: Warenkorb, Session-Login, Sicherheitsfunktionen. Alles andere - Analytics (Google Analytics, Matomo ohne Anonymisierung), Werbecookies, Social-Media-Pixel - erfordert eine explizite Einwilligung.

Die Einwilligungsverwaltungsverordnung (EinwV) ist am 1. April 2025 in Kraft getreten. Sie ermöglicht es Nutzern künftig, Consent-Entscheidungen zentral über anerkannte Dienste zu verwalten. Für Shopbetreiber bedeutet das mittelfristig, dass konforme Consent-Management-Plattformen (CMP) diese Schnittstelle unterstützen müssen.

Zuverlässige CMP-Tools für WooCommerce: Borlabs Cookie, Complianz oder Usercentrics. Kostenlose Lösungen wie Cookie Notice reichen für professionelle Shops nicht aus.

4. BFSG - Barrierefreiheit ist seit Juni 2025 Pflicht

Das Barrierefreiheitsstärkungsgesetz (BFSG) ist am 28. Juni 2025 in Kraft getreten und setzt die EU-Richtlinie 2019/882 um. Es gilt für alle Onlineshops, die Waren oder Dienstleistungen an Verbraucher verkaufen. Die einzige Ausnahme betrifft Kleinstunternehmen mit weniger als 10 Mitarbeitern und maximal 2 Millionen Euro Jahresumsatz - aber nur für Dienstleistungen, nicht für Produkte.

Was technisch gefordert ist, orientiert sich an der Europäischen Norm EN 301 549 und den WCAG 2.1 Richtlinien. Praktisch bedeutet das unter anderem:

Bußgelder können bis zu 100.000 Euro betragen. Bei einem Kunden aus dem Hamburger Großhandel habe ich im Herbst 2025 ein Accessibility-Audit durchgeführt - über 60 Prozent der Produktseiten hatten fehlende oder sinnlose Alt-Texte, und das Checkout-Formular war nicht per Tastatur abschließbar. Drei Tage Arbeit, um das zu bereinigen.

Für WooCommerce empfehle ich als Einstieg das Plugin WP Accessibility sowie ein professionelles Accessibility-Audit mit axe DevTools. Wenn Sie Unterstützung bei der Umsetzung brauchen, finden Sie mehr zu meiner Arbeit an barrierefreien Online-Shops hier.

5. GPSR - Produktsicherheit seit Februar 2026

Die EU-Produktsicherheitsverordnung (GPSR, General Product Safety Regulation) ist seit dem 19. Februar 2026 in Deutschland vollständig in Kraft - das deutsche Produktsicherheitsgesetz (ProdSG) wurde an diesem Datum entsprechend angepasst. Die GPSR gilt für alle nicht-lebensmittelbezogenen Produkte und ist die umfassendste Reform des europäischen Produktsicherheitsrechts seit über 20 Jahren.

Für Onlineshop-Betreiber sind vor allem die Informationspflichten auf Produktebene relevant:

In der Praxis bedeutet das für WooCommerce-Shops: Für jedes Produkt brauchen Sie ein angepasstes Metafeld oder eine Produktseiten-Sektion für Herstellerdaten. Ich löse das bei meinen Kunden über ACF-Felder oder WooCommerce-Product-Custom-Attributes, die dann im Theme an einer festen Position ausgegeben werden.

6. Preisangaben und Streichpreise nach PAngV

Die Preisangabenverordnung (PAngV) in ihrer aktuellen Fassung schreibt vor, dass bei jeder Preisermäßigung der niedrigste Preis der letzten 30 Tage vor Beginn der Aktion als Referenzpreis angezeigt werden muss. Das betrifft alle Aktionspreise, Streichpreise und Rabatt-Badges.

Ein klassischer Fehler, den ich regelmäßig sehe: Ein Shop setzt den UVP (unverbindliche Preisempfehlung des Herstellers) als Streichpreis ein, obwohl das Produkt intern nie zu diesem Preis verkauft wurde. Das ist seit der PAngV-Novelle 2022 unzulässig und ein beliebtes Abmahnthema. Mehr zu den konkreten Regeln bei Streichpreisen und Rabatten habe ich in meinem Artikel zur PAngV-konformen Preisgestaltung beschrieben.

Weitere PAngV-Pflichten für Onlineshops:

7. Zahlungsarten: Pflichten und geplante Änderungen

Es gibt keine gesetzliche Pflicht, eine bestimmte Mindestanzahl an Zahlungsarten anzubieten. Wohl aber gibt es Regelungen, die faktisch bestimmte Methoden erfordern. Wer Kreditkarten akzeptiert, muss 3D Secure (Strong Customer Authentication nach PSD2) implementiert haben.

Ab dem 20. November 2026 tritt die neue EU-Verbraucherkreditrichtlinie in Kraft. Buy-now-pay-later-Modelle und Ratenzahlungsangebote werden dann als Verbraucherkredit eingestuft - mit erweiterten Informations- und Dokumentationspflichten. Shops, die BNPL-Dienste wie Klarna Ratenkauf, Scalapay oder ähnliche Angebote eingebunden haben, sollten prüfen, welche Pflichten auf sie als Händler zukommen. Eine aktuelle Übersicht zu Zahlungsarten und ihren rechtlichen Anforderungen finden Sie in einem separaten Artikel.

8. Widerrufsbutton: Die neue Pflicht ab 19. Juni 2026

Das ist die Änderung, die derzeit in der E-Commerce-Szene am meisten diskutiert wird. Ab dem 19. Juni 2026 müssen alle Onlineshops, bei denen Verbrauchern ein gesetzliches Widerrufsrecht zusteht, einen klar erkennbaren Widerrufsbutton bereitstellen - geregelt in § 356a BGB als Umsetzung der EU-Richtlinie 2023/2673.

Der Button muss:

• Dauerhaft auf der Website sichtbar sein (z.B. im Kunden-Account unter Meine Bestellungen)
• Eindeutig beschriftet sein, am besten mit dem Text Vertrag widerrufen
• Ohne Medienbruch - also komplett digital - zum Abschluss des Widerrufs führen
• Eine Bestätigungs-E-Mail mit Datum und Uhrzeit des Widerrufs versenden

Wird der Button nicht rechtzeitig implementiert, verlängert sich die Widerrufsfrist automatisch auf 12 Monate und 14 Tage. Das ist ein erhebliches finanzielles Risiko, weil Kunden in diesem Zeitraum bestellte Waren zurückgeben könnten.

Für WooCommerce-Shops bieten Plugins wie das Widerrufstool der IT-Recht Kanzlei oder eRecht24 die nötige Funktionalität. Achten Sie darauf, dass die Bestätigungs-E-Mail automatisiert versendet wird und das Datum protokolliert wird.

9. E-Rechnung: B2B-Pflicht seit Januar 2025

Seit dem 1. Januar 2025 müssen inländische Unternehmen im B2B-Bereich E-Rechnungen empfangen können. Eine normale PDF-Rechnung per E-Mail gilt nicht mehr als elektronische Rechnung im rechtlichen Sinne. Rechtskonforme Formate sind ZUGFeRD (ab Version 2.0) und XRechnung.

Für reine B2C-Shops ist die Empfangspflicht zunächst weniger relevant - dort stellen Sie Rechnungen an Verbraucher, und diese brauchen keine E-Rechnung. Sobald Sie aber auch Geschäftskunden beliefern, müssen Sie technisch in der Lage sein, E-Rechnungen zu empfangen. Ein einfaches E-Mail-Postfach genügt laut BMF dafür - das ZUGFeRD-XML ist in der PDF-Datei eingebettet.

Die Ausstellungspflicht für E-Rechnungen gilt gestaffelt: Kleine Unternehmen unter 800.000 EUR Jahresumsatz müssen ab dem 1. Januar 2027 E-Rechnungen ausstellen, alle anderen ab dem 1. Januar 2028.

Für WooCommerce empfehle ich das Plugin Germanized for WooCommerce in Kombination mit WooCommerce German Market - beide unterstützen ZUGFeRD-Rechnungen. Mehr zu den technischen Anforderungen meiner Online-Shop-Entwicklungsleistungen finden Sie auf meiner Website.

10. Verpackungsregister LUCID und die neue PPWR

Die Registrierung im LUCID-Verpackungsregister der Stiftung Zentrale Stelle Verpackungsregister ist seit Juli 2022 für alle Onlinehändler Pflicht, die Versandverpackungen in Deutschland in Verkehr bringen. Die Registrierung selbst ist kostenlos, die Lizenzierung bei einem Dualen System (z.B. Der Grüne Punkt, Interseroh, Reclay) kostet je nach Menge zwischen wenigen Euro und mehreren Hundert Euro pro Jahr.

Verstöße können mit bis zu 200.000 Euro Bußgeld geahndet werden und zu einem Verkaufsverbot führen.

Ab dem 12. August 2026 kommt dann noch die neue EU-Verpackungsverordnung (PPWR) hinzu. Die sofort relevante Neuerung: Für jede einzelne Verpackungsart ist eine Konformitätserklärung zu erstellen, die bestätigt, dass die Verpackung die Mindestanforderungen für Stoffbeschränkungen, Minimierungsanforderungen und Recyclingfähigkeit erfüllt.

11. Prioritäten setzen: Was zuerst anpacken?

Kein Onlineshop-Betreiber kann alle Themen gleichzeitig angehen. Aus meiner Praxis ergibt sich folgende Priorisierung:

Bei einem Kunden aus dem Bereich Babyausstattung, den ich Anfang 2026 übernommen habe, war keiner der acht Punkte vollständig umgesetzt - LUCID-Registrierung fehlte komplett, das Cookie-Banner hatte keinen gleichwertigen Ablehnen-Button, und alle Produktseiten fehlten GPSR-Herstellerangaben. Es hat drei intensive Wochen gekostet, das Fundament zu legen.

12. Was die meisten Guides verschweigen

Viele Rechts-Checklisten im Internet listen Pflichten auf, ohne auf die Wechselwirkungen hinzuweisen. Hier drei Punkte, die in der Praxis oft übersehen werden:

Erstens: Das BFSG und die Barrierefreiheitspflicht gelten auch für den Checkout-Prozess und die Bestellbestätigung per E-Mail. Eine barrierefreie Produktseite nützt wenig, wenn der Checkout-Button per Tastatur nicht erreichbar ist.

Zweitens: Die GPSR-Herstellerinformationspflicht gilt auch für digitale Produkte, soweit es sich um Produkte mit digitalen Elementen handelt - also zum Beispiel Smart-Home-Geräte, Spielzeug mit App-Steuerung oder vernetzte Haushaltsgeräte.

Drittens: Bei internationalen Shops, die auch nach Österreich oder in die Schweiz verkaufen, reicht die Umsetzung der deutschen GPSR nicht aus - Österreich hat eigene nationale Meldestrukturen, und die Schweiz ist kein EU-Mitglied.

Eine vollständige rechtssichere Shop-Entwicklung umfasst heute weit mehr als Theme und Plugin-Installation - sie startet mit einem Rechts-Audit und endet mit dokumentierten Prozessen für neue Pflichten, die noch kommen werden.

Häufige Fragen

Ab wann gilt der Widerrufsbutton für Onlineshops?

Der Widerrufsbutton ist ab dem 19. Juni 2026 nach § 356a BGB verpflichtend für alle Onlineshops, bei denen Verbrauchern ein gesetzliches Widerrufsrecht zusteht. Der Button muss gut sichtbar und dauerhaft während der Widerrufsfrist erreichbar sein. Fehlt er, verlängert sich die Widerrufsfrist automatisch auf 12 Monate und 14 Tage - ein erhebliches Haftungsrisiko.

Ist mein Onlineshop vom BFSG betroffen?

Ja, wenn Sie über einen Webshop Waren oder Dienstleistungen an Verbraucher verkaufen, gilt das BFSG seit dem 28. Juni 2025. Ausgenommen sind nur Kleinstunternehmen mit weniger als 10 Mitarbeitern und höchstens 2 Millionen Euro Jahresumsatz, sofern sie Dienstleistungen anbieten. Bei Produkten gibt es keine Kleinunternehmer-Ausnahme. Bußgelder können bis zu 100.000 Euro betragen.

Was bedeutet die GPSR für meinen WooCommerce-Shop?

Die EU-Produktsicherheitsverordnung (GPSR) ist seit dem 19. Februar 2026 in Deutschland vollständig in Kraft. Sie müssen bei jedem Produkt den Hersteller mit vollständiger Adresse und Kontaktmöglichkeit angeben, eine eindeutige Produktidentifikation anzeigen und Sicherheitswarnungen in der jeweiligen Landessprache publizieren. Marktplätze wie Amazon können Listings ohne diese Angaben sofort sperren.

Brauche ich als Onlineshop-Betreiber ein Cookie-Banner?

Ja, § 25 TDDDG verlangt eine aktive Einwilligung vor dem Setzen nicht technisch notwendiger Cookies. Das Banner muss eine gleichwertig sichtbare Ablehnen-Option auf der ersten Ebene bieten - ein versteckter Ablehnen-Link im Untermenü ist nicht ausreichend. Bußgelder nach § 28 TDDDG können bis zu 300.000 Euro betragen. Technisch notwendige Cookies für Warenkorb oder Login sind ohne Einwilligung erlaubt.

Gilt die E-Rechnungspflicht auch für meinen Webshop?

Die Empfangspflicht für E-Rechnungen gilt seit dem 1. Januar 2025 für alle inländischen B2B-Transaktionen. Wenn Sie auch Geschäftskunden beliefern, müssen Sie E-Rechnungen im Format ZUGFeRD oder XRechnung empfangen können. Reine B2C-Shops sind davon zunächst nicht betroffen, die Ausstellungspflicht für E-Rechnungen gilt für kleinere Unternehmen gestaffelt ab 2027 beziehungsweise 2028.

Was ist beim Impressum nach dem DDG anders als beim alten TMG?

Seit dem 14. Mai 2024 gilt das Digitale-Dienste-Gesetz (DDG) anstelle des TMG. Die inhaltlichen Anforderungen ans Impressum sind nahezu unverändert, aber die Rechtsgrundlage hat sich geändert: Aus § 5 TMG wird § 5 DDG. Diese Referenz sollten Sie in Ihrem Impressum aktualisieren, um keine Angriffsfläche für Abmahnungen zu bieten.

Müssen alle Onlineshops im LUCID-Verpackungsregister registriert sein?

Ja, seit dem 1. Juli 2022 sind ohne Ausnahme alle Unternehmen registrierungspflichtig, die mit Ware befüllte Verpackungen erstmals gewerblich in Deutschland in Verkehr bringen. Die Registrierung im LUCID-Register der Stiftung Zentrale Stelle Verpackungsregister ist kostenlos, die Lizenzierung beim Dualen System kostenpflichtig. Verstöße können mit bis zu 200.000 Euro geahndet werden und ein Verkaufsverbot nach sich ziehen.

Was ändert sich durch die PPWR (EU-Verpackungsverordnung) ab August 2026?

Ab dem 12. August 2026 tritt die neue EU-Verpackungsverordnung (PPWR) in Kraft. Die wichtigste sofortige Neuerung ist die Pflicht zur Konformitätserklärung für jede einzelne Verpackungsart, mit der Hersteller bestätigen, dass ihre Verpackungen Mindestanforderungen zu Stoffbeschränkungen und Recyclingfähigkeit erfüllen. Die Recycling-Mindestquoten selbst greifen gestaffelt ab 2030.