Compliance im E-Commerce: Was du unbedingt auf dem Schirm haben solltest

Compliance klingt nach trockener Pflichtübung – ist im  E-Commerce aber längst zum Wettbewerbsfaktor geworden. Wer die relevanten Vorgaben ignoriert, riskiert Abmahnungen, Bußgelder und im schlimmsten Fall den Ausschluss vom Markt. Die gute Nachricht: Mit einem strukturierten Überblick lässt sich der Großteil der Anforderungen sauber abarbeiten. Und genau den geben wir dir hier.

DSGVO: Der Dauerbrenner

Die Datenschutz-Grundverordnung ist seit 2018 in Kraft, sorgt aber bis heute für die meisten Fallstricke im Onlinehandel. Der Grund: Datenschutz ist kein Zustand, den man einmal herstellt und dann abhakt, sondern eine laufende Aufgabe.

Die Kernpunkte, die in praktisch jedem Shop sauber sitzen müssen: eine vollständige und aktuelle Datenschutzerklärung, ein rechtssicheres Cookie-Consent (echtes Opt-in, keine vorangekreuzten Kästchen, ablehnen muss so einfach sein wie zustimmen), ein sauberes Verzeichnis von Verarbeitungstätigkeiten und Auftragsverarbeitungsverträge mit allen Dienstleistern, die Kundendaten verarbeiten – vom Newsletter-Tool bis zum Tracking-Anbieter

Besonders heikel bleibt der Drittlandtransfer. Sobald du Tools einsetzt, deren Anbieter Daten in die USA übermitteln, brauchst du eine belastbare Rechtsgrundlage. Prüfe genau, wo deine Analytics-, Marketing- und Zahlungsdienstleister ihre Server stehen haben – und ob eine Datenübermittlung überhaupt stattfindet. Ein Umzug auf EU-gehostete Alternativen erspart hier oft viel Kopfzerbrechen.

Barrierefreiheitsstärkungsgesetz: Seit Juni 2025 ernst

Das Barrierefreiheitsstärkungsgesetz (BFSG) setzt den European Accessibility Act in deutsches Recht um und gilt seit dem 28. Juni 2025. Für den E-Commerce bedeutet das: Onlineshops, die sich an Verbraucher richten, müssen barrierefrei gestaltet sein. Das ist kein "Nice-to-have" mehr, sondern verpflichtend.

Konkret heißt barrierefrei, dass dein Shop auch für Menschen mit Einschränkungen nutzbar sein muss – bedienbar per Tastatur, verständlich für Screenreader, mit ausreichenden Kontrasten, Alternativtexten für Bilder und klarer Struktur. Als Orientierung dient in der Praxis die WCAG 2.1 auf Konformitätsstufe AA.

Es gibt eine wichtige Ausnahme für Kleinstunternehmen – aber Vorsicht, sie ist enger, als viele denken. Wer weniger als 10 Beschäftigte hat und höchstens 2 Mio. Euro Jahresumsatz (bzw. Bilanzsumme) erzielt, ist von der Pflicht zur barrierefreien Dienstleistungserbringung befreit. Beide Bedingungen müssen gleichzeitig erfüllt sein. Entscheidend ist: Diese Ausnahme gilt nur für die Dienstleistung, also den Shop-Betrieb selbst – nicht für Produkte im Sinne des Gesetzes. Verkaufst du etwa Smartphones, Computer, Router oder E-Book-Reader, greift für diese Produkte die Barrierefreiheitspflicht unabhängig von deiner Unternehmensgröße.

Verlass dich hier also nicht auf ein Bauchgefühl – ob und wie die Ausnahme für dich greift, ist genau die Art von Frage, die in die anwaltliche Beratung gehört. Wer unter die Pflicht fällt und sie ignoriert, riskiert Bußgelder, im Extremfall die Untersagung des Angebots und obendrein wettbewerbsrechtliche Abmahnungen.

Weitere Pflichten, die gern übersehen werden

Neben den beiden großen Themen gibt es einen Kanon an Klassikern, die genauso zur Compliance gehören.

• Impressumspflicht: Nach dem Digitale-Dienste-Gesetz muss dein Impressum vollständig, aktuell und leicht auffindbar sein. Fehlende oder unvollständige Angaben sind ein häufiger Abmahngrund.
• Rechtssichere AGB und Widerrufsbelehrung: Gerade das Widerrufsrecht ist im Detail tückisch, etwa bei digitalen Inhalten, verderblichen Waren oder Sonderanfertigungen.
• Preisangabenverordnung (PAngV): Grundpreise (etwa pro Kilogramm oder Liter) und Versandkosten gehören sauber ausgewiesen. Besonders im Blick behalten solltest du die 30-Tage-Regel nach § 11 PAngV: Sobald du eine Preisermäßigung aktiv bewirbst – per Streichpreis, Prozent-Badge oder "jetzt günstiger" –, musst du den niedrigsten Gesamtpreis der letzten 30 Tage als Referenz angeben. Eine stille Preissenkung ohne werbliche Hervorhebung fällt nicht darunter, eine beworbene schon. Rechtsprechung von EuGH und BGH hat die Vorgaben hier zuletzt weiter verschärft – Streichpreis-Werbung ist entsprechend ein beliebtes Abmahnziel.
• Verpackungsgesetz (LUCID-Registrierung): Wer verpackte Ware in Verkehr bringt, muss sich registrieren und lizenzieren. Auch reine Versandkartons zählen.

Keine dieser Pflichten ist für sich genommen dramatisch – aber in Summe entsteht schnell eine Lücke, wenn man nicht systematisch drangeht.

Der Cyber Resilience Act für Importeure digitaler Produkte

Zum Schluss noch ein Punkt, der aktuell noch unter dem Radar vieler Händler läuft, aber zunehmend wichtig wird – besonders, wenn du Produkte mit digitalen Elementen importierst.

Der Cyber Resilience Act (CRA), offiziell Verordnung (EU) 2024/2847, stellt Cybersicherheitsanforderungen an "Produkte mit digitalen Elementen" – also an alles von smarter Hardware über IoT-Geräte bis hin zu Software. Der CRA ist bereits im Dezember 2024 in Kraft getreten, die Pflichten greifen jedoch gestaffelt: Erste Meldepflichten für Schwachstellen und Sicherheitsvorfälle gelten ab dem 11. September 2026, und ab dem 11. Dezember 2027 sind dann alle Anforderungen des CRA vollumfänglich verbindlich.

Entscheidend für dich: Der CRA nimmt nicht nur Hersteller in die Pflicht, sondern ausdrücklich auch Importeure und Händler. Wer solche Produkte aus einem Nicht-EU-Land in den europäischen Markt einführt, wird selbst zum Adressaten der Verordnung – mit Pflichten wie der Prüfung, ob das Produkt die Sicherheitsanforderungen erfüllt, ob eine CE-Kennzeichnung und die nötige technische Dokumentation vorliegen, und mit Meldepflichten bei Sicherheitslücken. Verkaufst du also künftig etwa smarte Gadgets, vernetzte Geräte oder Hardware mit Software-Komponenten aus Fernost, kannst du dich nicht mehr darauf zurückziehen, "nur weiterzuverkaufen".

Der Rat lautet daher: Wenn digitale Produkte in deinem Sortiment sind oder es werden sollen, beschäftige dich frühzeitig mit dem CRA und lass deine konkrete Rolle in der Lieferkette rechtlich einordnen. Bis zum 11. Dezember 2027 wirkt die Frist großzügig – aber Lieferketten, technische Dokumentation und Konformitätsnachweise umzustellen, dauert erfahrungsgemäß länger, als man denkt. Und die Bußgelder haben es in sich: Für Importeure und Händler sind Rahmen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vorgesehen.

Fazit

Compliance ist kein Projekt mit Enddatum, sondern eine Daueraufgabe. Wer die Themen früh strukturiert angeht, spart sich hektisches Nachbessern unter Abmahndruck. Und für alles, was rechtlich verbindlich sein muss, gilt: Hol dir fachkundige juristische Unterstützung an Bord – dieser Überblick ersetzt sie nicht, sondern hilft dir nur, die richtigen Fragen zu stellen.