Ein mittelständischer Elektronikhändler mit zwölf Filialen und einem wachsenden Onlineshop erhält eine Abmahnung: Das Impressum fehlt auf einer Unterseite, die Cookie-Einwilligung entspricht nicht den Anforderungen des TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), und die Widerrufsbelehrung ist veraltet. Drei Baustellen, eine Woche Bearbeitungsaufwand – und ein empfindliches Kostenrisiko. Diese Situation ist typisch für den Groß- und Einzelhandel, der digitale Vertriebskanäle zügig ausgebaut hat, ohne die rechtliche Infrastruktur im gleichen Tempo anzupassen.
Website und Onlineshop rechtssicher betreiben bedeutet für Händler im Mittelstand: vollständiges Impressum nach § 5 TMG/DDG, DSGVO-konforme Cookie-Einwilligung nach TDDDG, rechtskonforme AGB mit Widerrufsbelehrung, datenschutzrechtliche Informationspflichten sowie laufende Wettbewerbskonformität nach UWG. Verstöße können Abmahnungen, Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes und persönliche Haftung des Geschäftsführers auslösen. Der folgende Leitfaden führt Sie strukturiert durch die sechs wichtigsten Rechtsbereiche und zeigt, welche Maßnahmen unmittelbar greifen.
Dieser Leitfaden behandelt Impressumspflichten, Cookie-Compliance, AGB-Gestaltung, datenschutzrechtliche Anforderungen, Wettbewerbskonformität und den laufenden Betrieb – jeweils mit konkreten Handlungsempfehlungen für Geschäftsführer und Justiziare.
Warum betrifft das den Geschäftsführer persönlich?
Die Antwort ist präzise: Wer als Geschäftsführer einer GmbH den Betrieb des Onlineshops verantwortet, haftet bei Wettbewerbsverstößen persönlich auf Unterlassung und Schadensersatz – und zwar unabhängig davon, ob er den konkreten Verstoß selbst veranlasst hat. Das Haftungsrisiko entsteht durch die Organisations- und Überwachungspflicht der Geschäftsleitung.
Im Groß- und Einzelhandel sind es häufig externe Agenturen oder interne IT-Teams, die Websites und Onlineshops technisch betreuen. Rechtliche Verantwortung lässt sich jedoch nicht per Dienstleistungsvertrag delegieren. Nach § 8 Abs. 2 UWG (Gesetz gegen den unlauteren Wettbewerb) haftet das Unternehmen für Verstöße seiner Beauftragten wie für eigene Verstöße. Der Geschäftsführer, der keine angemessene Compliance-Struktur einrichtet, riskiert zusätzlich die persönliche Inanspruchnahme durch Mitbewerber oder Verbraucherschutzverbände.
In der Mandatspraxis sehen wir regelmäßig Fälle, in denen Abmahnungen nicht wegen absichtlicher Verstöße ausgesprochen werden, sondern weil rechtliche Anforderungen schlicht nicht bekannt waren oder als weniger dringlich eingestuft wurden. Das Schadensrisiko ist dennoch real.
Hinzu kommt die Datenschutzdimension: Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Die Aufsichtsbehörden haben ihre Durchsetzungsintensität in den letzten Jahren spürbar erhöht. Für Geschäftsführer im Mittelstand ist das kein abstraktes Risiko mehr.
Schritt 1: Impressum – die unterschätzte Grundpflicht
Das Impressum ist die Visitenkarte der rechtlichen Identität eines Onlineauftritts. Es muss leicht auffindbar, unmittelbar erreichbar und vollständig sein – nicht nur auf der Startseite, sondern auf jeder eigenständig aufrufbaren Website oder Plattformpräsenz.
Die Impressumspflicht ergibt sich aus dem Digitale-Dienste-Gesetz (DDG, das frühere TMG) und gilt für alle kommerziellen Angebote. Im Einzelnen sind anzugeben: vollständiger Name und Rechtsform des Unternehmens, ladungsfähige Anschrift, Vertretungsberechtigte, Kontaktdaten inklusive E-Mail-Adresse, Handelsregisternummer und Registergericht, Umsatzsteuer-Identifikationsnummer soweit vorhanden sowie bei erlaubnispflichtigen Tätigkeiten die zuständige Aufsichtsbehörde.
Nach unserer Erfahrung sind die häufigsten Fehler: fehlende E-Mail-Adresse (ein Kontaktformular allein genügt nicht), nur schwer erreichbares Impressum hinter mehreren Klicks sowie fehlende Angaben bei Plattformauftritten auf Marktplätzen wie Amazon oder eBay. Das Impressum muss in höchstens zwei Klicks von jeder Seite erreichbar sein – das ist der in der Rechtsprechung etablierte Maßstab.
Für Händler mit mehreren Domains oder internationalen Unterseiten gilt: Jede eigenständige Domain erfordert ein eigenes, vollständiges Impressum. Eine Sammelreferenz auf die Haupt-Domain reicht nicht aus.
Praxisempfehlung: Nehmen Sie sich dreißig Minuten, rufen Sie jede Ihrer Domains und Unterseiten auf und prüfen Sie, ob das Impressum in zwei Klicks erreichbar und inhaltlich vollständig ist. Dieser einfache Check kann eine Abmahnung abwenden.
Schritt 2: Cookie-Einwilligung nach TDDDG – was jetzt gilt
Seit dem Inkrafttreten des TDDDG (das frühere TTDSG, seit Dezember 2021 geltendes Recht) ist die Rechtslage für Cookie-Einwilligungen eindeutig: Das Setzen von Cookies oder der Zugriff auf Endgerätedaten, die nicht technisch zwingend erforderlich sind, bedarf der vorherigen informierten Einwilligung des Nutzers. Das gilt für Tracking-Pixel, Analyse-Tools, Werbecookies und Social-Media-Plugins gleichermaßen.
Technisch notwendige Cookies – etwa Session-Cookies für den Warenkorb oder Login-Funktionen – sind ohne Einwilligung zulässig. Für alle anderen gilt das Einwilligungserfordernis, und zwar vor dem Setzen des Cookies, nicht nachgelagert.
In der Praxis bedeutet das: Ein Cookie-Banner, der alle Cookies automatisch aktiviert und dem Nutzer lediglich eine Bestätigungsoption anbietet, ist rechtswidrig. Ebenso unzulässig ist ein Banner, bei dem die Ablehnoption versteckt, mehrere Klicks entfernt oder gestalterisch benachteiligt ist (sogenannte „Dark Patterns").
Die Datenschutzaufsichtsbehörden und Gerichte haben in den vergangenen Jahren eine konsistente Linie entwickelt: Die Einwilligung muss gleichwertig und ebenso einfach verweigert werden können wie sie erteilt werden kann. Das setzt einen deutlich sichtbaren „Alle ablehnen"-Button voraus, der technisch und gestalterisch dem Bestätigungsbutton gleichgestellt ist.
Für Onlineshops im Groß- und Einzelhandel gilt zusätzlich: Auch Retargeting-Kampagnen, Affiliate-Tracking und die Einbindung externer Dienste wie Google Fonts oder Google Analytics bedürfen einer validen Einwilligung, sofern dabei personenbezogene Daten übertragen werden. Wir beraten regelmäßig Händler, die nach einem Relaunch feststellen, dass die neue Shop-Infrastruktur technisch automatisch Drittdienste lädt – ohne dass eine entsprechende Einwilligungsebene implementiert wurde.
Konkrete Maßnahmen: Prüfen Sie Ihre Cookie-Management-Plattform auf Voreinstellungsfreiheit, gleichwertige Ablehnoption und vollständige Dokumentation erteilter Einwilligungen. Die Dokumentation ist im Falle einer Aufsichtsprüfung nachweispflichtig.
Schritt 3: AGB und Widerrufsbelehrung – Rechtssicherheit im Transaktionskern
Die Allgemeinen Geschäftsbedingungen (AGB) und die Widerrufsbelehrung sind das vertragliche Fundament jedes Onlineshops. Fehler hier gefährden nicht nur die Abwehr von Abmahnungen, sondern die Wirksamkeit der mit Kunden geschlossenen Verträge insgesamt.
AGB unterliegen der Inhaltskontrolle nach §§ 305 ff. BGB. Klauseln, die den Vertragspartner unangemessen benachteiligen, sind unwirksam – und zwar ohne dass der Verwender dies merkt. Im B2C-Bereich (Geschäfte mit Verbrauchern) gelten zusätzlich die Verbraucherschutzvorschriften des BGB und die Anforderungen der EU-Verbraucherrechterichtlinie.
Die Widerrufsbelehrung ist im B2C-Fernabsatz gesetzlich vorgeschrieben. Sie muss inhaltlich den Mustertexten der Anlage 1 zum EGBGB entsprechen und korrekt in den Bestellprozess integriert sein – nicht nur verlinkt, sondern aktiv präsentiert. Das Widerrufsrecht dauert grundsätzlich 14 Tage ab Warenerhalt; fehlt eine ordnungsgemäße Belehrung, verlängert sich diese Frist erheblich – auf bis zu zwölf Monate und vierzehn Tage.
Typische AGB-Fehler im Handel: veraltete Gewährleistungsklauseln, unzulässige Haftungsbeschränkungen gegenüber Verbrauchern, fehlende oder fehlerhafte Preisangaben, unvollständige Angaben zu Lieferzeiten und Versandkosten sowie fehlende Streitbeilegungshinweise (ODR-Plattform der EU).
Der Hinweis auf die OS-Plattform (Online Dispute Resolution) ist für Online-Händler, die Verbrauchern anbieten, gesetzlich vorgeschrieben. Er muss gut sichtbar, in der Regel im Impressum oder in den AGB, erscheinen und einen funktionierenden Hyperlink enthalten.
Für B2B-Händler gilt: Die kaufmännische Rügepflicht nach § 377 HGB setzt voraus, dass Käufer Mängel unverzüglich nach Ablieferung rügen. AGB, die diese Pflicht modifizieren, müssen klar und eindeutig formuliert sein, um wirksam zu sein. Gerade im Großhandel mit gewerblichen Abnehmern lohnt es sich, AGB gesondert für B2B-Kontexte zu optimieren.
Schritt 4: Datenschutzrechtliche Pflichten für Shop-Betreiber
Wer einen Onlineshop betreibt, verarbeitet zwangsläufig personenbezogene Daten: Namen, Adressen, Zahlungsdaten, Bestellhistorien, IP-Adressen, Nutzungsverhalten. Die DSGVO (Datenschutz-Grundverordnung) regelt diese Verarbeitung und verpflichtet Shop-Betreiber zu einer Reihe von Maßnahmen.
An erster Stelle steht die Datenschutzerklärung. Sie muss transparent, verständlich und vollständig über alle Verarbeitungsvorgänge informieren: Welche Daten werden erhoben, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange werden sie gespeichert und an wen werden sie übermittelt? Betroffene haben ein Auskunftsrecht nach Art. 15 DSGVO, das grundsätzlich binnen eines Monats zu erfüllen ist.
Darüber hinaus sind zu prüfen: technisch-organisatorische Maßnahmen zur Datensicherheit (Art. 32 DSGVO), Verträge zur Auftragsverarbeitung mit Dienstleistern wie Hosting-Providern oder Versanddienstleistern (Art. 28 DSGVO) sowie die Dokumentation im Verarbeitungsverzeichnis (Art. 30 DSGVO).
Im Falle einer Datenpanne – etwa eines Hackerangriffs oder eines versehentlichen Datenlecks – gilt: Meldepflicht bei der zuständigen Datenschutzaufsichtsbehörde binnen 72 Stunden nach Bekanntwerden des Vorfalls (Art. 33 DSGVO). Diese Frist ist kurz. Wer keine dokumentierten Abläufe für den Ernstfall hat, riskiert Versäumnisse, die eigenständige Bußgeldtatbestände begründen.
Ein besonderes Augenmerk verdient die Drittlandübermittlung: Dienste US-amerikanischer Anbieter (Cloud-Hosting, Analytics, CRM-Systeme) erfordern eine Rechtsgrundlage für die Übermittlung in ein Drittland – in der Regel Standarddatenschutzklauseln der EU-Kommission, ergänzt durch ein Transfer Impact Assessment. Das Data Privacy Framework ermöglicht für zertifizierte US-Unternehmen eine vereinfachte Übermittlung, bedarf aber einer aktuellen Zertifizierungsprüfung.
Schritt 5: Wettbewerbsrecht – Preisangaben, Werbung und Abmahnrisiken
Das Wettbewerbsrecht ist im Onlinehandel ein Dauerbrenner. Abmahnungen wegen irreführender Preisangaben, fehlender Pflichtinformationen oder unlauterer Werbepraktiken gehören zu den häufigsten rechtlichen Auseinandersetzungen im E-Commerce.
Die Preisangabenverordnung (PAngV) verpflichtet Händler, Endpreise einschließlich aller Preisbestandteile klar und deutlich auszuweisen. Bei Preisreduzierungen müssen seit Umsetzung der Omnibus-Richtlinie 2022 der niedrigste Preis der letzten 30 Tage als Referenzpreis angegeben werden. Diese Anforderung hat in der Praxis erhebliche Umstellungen im Shop-System erfordert – und ist noch nicht überall korrekt implementiert.
Für Werbung mit Testergebnissen, Auszeichnungen oder Bewertungen gilt: Jede werbliche Aussage muss dem Wahrheitsgebot entsprechen und nachweisbar sein. Gefälschte oder selektiv dargestellte Bewertungen verstoßen gegen das UWG und können Schadensersatzansprüche begründen. Das gilt auch für die Einblendung von Durchschnittsbewertungen, wenn nicht alle Bewertungen in die Berechnung einbezogen werden.
E-Mail-Marketing ist im B2C-Bereich nur mit vorheriger ausdrücklicher Einwilligung zulässig. Das sogenannte Double-Opt-In-Verfahren – zweistufige Bestätigung durch den Empfänger – ist zwar gesetzlich nicht explizit vorgeschrieben, aber in der Praxis der einzige zuverlässige Nachweis einer wirksamen Einwilligung. Im B2B-Kontext bestehen weniger strenge Anforderungen, jedoch gilt auch hier das Gebot fairen Wettbewerbs.
Influencer-Marketing und Kooperationen mit Content-Creatorn unterliegen ebenfalls der Kennzeichnungspflicht. Gesponserte Inhalte müssen als Werbung erkennbar sein – auch wenn ein Unternehmen Produkte nur zur Verfügung stellt, ohne eine direkte Vergütung zu zahlen.
Aus der Mandatspraxis: Die Kanzlei beriet einen mittelständischen Modeeinzelhändler mit eigenem Onlineshop und Marktplatz-Präsenzen. Ausgangslage: Der Händler hatte nach einem Shop-Relaunch ein neues CMS-System implementiert, das automatisch Google Fonts direkt vom Google-Server lud – ohne Cookie-Einwilligung. Gleichzeitig entsprach die Widerrufsbelehrung einer veralteten Version, und die Preisauszeichnung bei Rabatten war nicht auf den 30-Tages-Tiefstpreis umgestellt. Vorgehen: Wir analysierten die technische Implementierung gemeinsam mit dem Entwicklerteam, erstellten eine priorisierte Maßnahmenliste und passten Datenschutzerklärung, Cookie-Einwilligungsebene, Widerrufsbelehrung und Preisdarstellung rechtssicher an. Ergebnis: Die offenen Compliance-Lücken wurden geschlossen, bevor sie zu Abmahnungen führten. Die Maßnahmen wurden dokumentiert und sind Bestandteil des laufenden Compliance-Monitorings.
Schritt 6: Laufender Betrieb – Monitoring, Updates und Organisationspflichten
Website- und Shop-Compliance ist kein einmaliges Projekt. Sie ist ein fortlaufender Prozess, der organisatorisch verankert sein muss. Rechtliche Anforderungen ändern sich: neue Urteile zur Cookie-Praxis, geänderte Informationspflichten, aktualisierte Musterwiderrufsbelehrungen, neue Plattformpflichten durch den Digital Services Act (DSA).
Für Geschäftsführer bedeutet das konkret: Es braucht eine klare Zuständigkeit für Website-Compliance – intern oder extern begleitet. Wer diese Aufgabe an eine Agentur übergibt, sollte im Dienstleistungsvertrag festlegen, dass rechtliche Updates zeitnah umgesetzt und dokumentiert werden. Eine Klausel zur Haftung für rechtliche Mängel gehört in jeden solchen Vertrag.
Interne Abläufe für den Datenpannenfall sollten schriftlich dokumentiert sein: Wer wird informiert, wer meldet an die Behörde, wer kommuniziert gegenüber Betroffenen? Die 72-Stunden-Meldefrist nach Art. 33 DSGVO läuft auch am Wochenende. Ohne vorbereitete Abläufe ist ihre Einhaltung kaum realistisch.
Für Händler, die auf Amazon, Otto oder anderen Marktplätzen aktiv sind, gilt: Die Plattformbedingungen und die eigenen rechtlichen Pflichten existieren nebeneinander. Die Einhaltung der Plattformvorgaben ersetzt nicht die eigenen gesetzlichen Anforderungen. Auch das Impressum auf dem Marktplatz muss vollständig sein.
Regelmäßige Prüfungszyklen empfehlen sich: eine vollständige Compliance-Prüfung mindestens einmal jährlich sowie anlassbezogen bei relevanten Gesetzesänderungen, Shop-Relaunches, neuen Marketingmaßnahmen oder Änderungen des Dienstleisterkatalogs.
Welche konkreten Schritte soll Ihr Unternehmen jetzt priorisieren? Das hängt von der aktuellen Implementierung, dem Umsatzvolumen im Online-Kanal und dem bisherigen Dokumentationsstand ab. In einem ersten Beratungsgespräch kann eine strukturierte Standortbestimmung innerhalb weniger Stunden erfolgen.
Verwandte Leistungen
Häufige Fragen zum rechtssicheren Website- und Onlineshop-Betrieb
Was muss ein rechtssicheres Impressum im Onlineshop enthalten?
Ein rechtssicheres Impressum muss vollständigen Namen und Rechtsform des Unternehmens, ladungsfähige Anschrift, Vertretungsberechtigte, eine direkt erreichbare E-Mail-Adresse, Handelsregisternummer und -gericht sowie die Umsatzsteuer-Identifikationsnummer enthalten. Es muss von jeder Seite des Auftritts in höchstens zwei Klicks erreichbar sein. Ein fehlendes oder unvollständiges Impressum ist ein häufiger Abmahngrund und ein eigenständiger Ordnungswidrigkeitentatbestand.
Reicht ein Cookie-Hinweis-Banner ohne Ablehnmöglichkeit?
Nein. Nach TDDDG und DSGVO muss die Einwilligung in nicht technisch notwendige Cookies freiwillig, informiert und eindeutig erteilt werden. Ein Banner ohne gleichwertige Ablehnmöglichkeit ist rechtswidrig. Der „Alle ablehnen"-Button muss ebenso prominent platziert sein wie der Bestätigungsbutton. Versteckte Ablehnoptionen oder vorausgewählte Zustimmungen erfüllen die gesetzlichen Anforderungen nicht. Die Aufsichtsbehörden prüfen dies aktiv.
Wie lange gilt das Widerrufsrecht bei Fernabsatzverträgen?
Im B2C-Fernabsatz beträgt die Widerrufsfrist grundsätzlich 14 Tage ab Erhalt der Ware. Fehlt eine ordnungsgemäße Widerrufsbelehrung, verlängert sich die Frist erheblich – auf bis zu zwölf Monate und vierzehn Tage. Die Belehrung muss inhaltlich den gesetzlichen Mustertexten entsprechen und aktiv in den Bestellprozess eingebunden sein, nicht nur als Link verfügbar.
Welche Folgen hat eine Datenpanne für Shop-Betreiber?
Bei einer Datenpanne, die ein Risiko für Betroffene darstellt, besteht eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Bußgelder bei Verstößen gegen die DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen. Zusätzlich besteht ggf. eine Benachrichtigungspflicht gegenüber den Betroffenen. Vorbereitete interne Abläufe sind daher unverzichtbar.
Müssen Preisreduzierungen im Onlineshop besonders ausgewiesen werden?
Ja. Seit Umsetzung der EU-Omnibus-Richtlinie muss bei Preisermäßigungen der niedrigste Preis der letzten 30 Tage vor der Preisreduzierung als Referenzpreis angegeben werden. Diese Anforderung gilt für alle Händler, die gegenüber Verbrauchern tätig sind. Verstöße gegen die Preisangabenverordnung (PAngV) begründen Unterlassungsansprüche von Mitbewerbern und Verbraucherschutzorganisationen.
Braucht B2B-E-Mail-Marketing eine Einwilligung?
Im B2B-Bereich gelten weniger strenge Anforderungen als im B2C-Segment. Werbliche E-Mails an Geschäftskunden können unter bestimmten Voraussetzungen auch ohne ausdrückliche Voreinwilligung zulässig sein, wenn ein sachlicher Zusammenhang zur beruflichen Tätigkeit des Empfängers besteht. Eine aktuelle Opt-out-Möglichkeit muss aber stets gegeben sein. Im Zweifel empfiehlt sich auch im B2B-Kontext eine dokumentierte Einwilligung, um Abmahnrisiken zu minimieren.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Website und Shop-Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Zur Klärung, ob Ihre aktuelle Website- und Onlineshop-Implementierung den gesetzlichen Anforderungen entspricht, wenden Sie sich an info@brandtfalk.com. Wir prüfen Ihre Unterlagen und benennen priorisierte Handlungsfelder.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.