Rechtssicherer Online-Shop 2026: AGB, Impressum, DSGVO & Cookie-Consent

Rechtlicher Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Bei konkreten rechtlichen Fragen zu deinem Shop wende dich an einen Fachanwalt für IT-Recht.

Ich habe meinen ersten Online-Shop ohne Rechtsberatung gestartet. Das Impressum war unvollständig, die Datenschutzerklärung war ein Template aus 2017, und ein Cookie-Banner existierte nicht. Drei Monate später kam die erste Abmahnmail. Die war zwar unbegründet — aber der Stress, die Anwaltskosten und die Unsicherheit waren real.

Seitdem läuft bei uns jeder neue Shop durch eine Rechts-Checkliste bevor er live geht. Was ich dabei gelernt habe: Die vier Pflicht-Bausteine (Impressum, AGB, Datenschutz, Cookie-Consent) lassen sich mit den richtigen Tools in einem Nachmittag abarbeiten. Das Gefährliche ist nicht die Komplexität — es ist das Nichtwissen, was überhaupt notwendig ist.

TL;DR: Ein rechtssicherer Online-Shop in Deutschland braucht vier Dinge: vollständiges Impressum, DSGVO-konforme Datenschutzerklärung, Cookie-Consent-Banner und entweder professionelle AGB oder das Wissen, dass gesetzliche Regelungen als Lückenfüller gelten. Tools wie eRecht24 und CookieYes lösen 80% davon automatisch — für ~€30–50/Monat.

Die 4 rechtlichen Pflicht-Bausteine für jeden DACH-Online-Shop

Hier ist die Übersicht — mit den echten Konsequenzen wenn du einen Baustein weglässt:

Baustein	Rechtsgrundlage	Ohne diesen Baustein droht
Impressum	§5 TMG, §55 MStV	Abmahnung, Bußgeld bis €50.000
Datenschutzerklärung	DSGVO Art. 13, 14	DSGVO-Bußgeld bis 4% Weltumsatz, Abmahnungen
Cookie-Consent	DSGVO + ePrivacy + BGH Planet49	Bußgeld, Schadensersatzforderungen
AGB / Widerrufsbelehrung	BGB, UWG, VRRL	Unkontrollierte AGB-Lücken, Abmahnungen

Eines vorab: Das Bußgeld-Maximum klingt abstrakt. Was realistisch passiert, sind Abmahnungen durch Mitbewerber oder Abmahn-Kanzleien — mit Streitwerten zwischen €1.000 und €10.000 und Anwaltskosten die schnell vierstellig werden. Das passiert nicht täglich, aber wenn es passiert, trifft es unvorbereitete Shops härter.

Impressum: Was muss rein — und was schlüpft durch die Lücken?

Das Impressum ist das Einfachste der vier Pflicht-Bausteine — und trotzdem der häufigste Abmahngrund, weil Details fehlen.

Pflichtangaben nach §5 TMG

Für einen gewerblichen Online-Shop (und du bist gewerblich, sobald du regelmäßig mit Gewinnerzielungsabsicht verkaufst):

• Name und Vorname (Einzelperson) oder Firma mit Rechtsformzusatz (GmbH, GbR, UG)
• Vollständige Postanschrift — Postfach reicht nicht, Privatadresse ist nötig falls kein Geschäftssitz
• E-Mail-Adresse — Pflicht seit 2022 explizit klargestellt (Schnellkontakt-Anforderung)
• Umsatzsteuer-Identifikationsnummer (falls vorhanden — als Kleinunternehmer nach §19 UStG entfällt diese)
• Handelsregisternummer und zuständiges Registergericht (falls eingetragen)
• Vertretungsberechtigte Person bei GmbH, AG, Genossenschaft

Häufige Impressum-Fehler die zur Abmahnung führen

Fehlende E-Mail-Adresse: Telefonnummer allein reicht nicht mehr. Seit dem BGH-Urteil I ZR 163/02 und der späteren EuGH-Entscheidung gilt: E-Mail ist Pflicht. Eine allgemeine info@-Adresse reicht, Kontaktformular ohne E-Mail aber nicht.

Falsche Unternehmensform: “Lars Sinsel” statt “Lars Sinsel, Einzelkaufmann” — klingt klein, aber Abmahner prüfen das systematisch.

Kein verantwortlicher Redakteur: Bei Shop-Blogs, die redaktionelle Inhalte enthalten, greift zusätzlich §55 MStV (früher RStV). Dann braucht es eine V.i.S.d.P.-Angabe.

Für Shopify-Shops: Das Impressum gehört in eine eigene Seite (z.B. /impressum) die über Footer und Navigation erreichbar ist. Die Erreichbarkeit in maximal zwei Klicks von der Startseite ist Standard — und vom OLG mehrfach als Mindestanforderung bestätigt.

→ Impressum Online-Shop: Vollständige Anleitung — wir haben alle Pflichtangaben nach Rechtsform aufgelistet

AGB: Selbst schreiben, Template oder Generator?

AGB sind technisch keine gesetzliche Pflicht. Du kannst einen Shop ohne AGB betreiben — dann gelten die gesetzlichen Regelungen aus BGB, VRRL (Verbraucherrechterichtlinie) und UWG. Das klingt entspannt, ist es aber nicht.

Warum “ohne AGB” riskanter ist als du denkst

Ohne AGB hast du keine Kontrolle über:

• Eigentumsvorbehalt: Ohne AGB-Klausel bleibt dir kein Eigentumsvorbehalt an der Ware bis zur vollständigen Bezahlung
• Gerichtsstand: Ohne AGB-Klausel kann ein Verbraucher an seinem Wohnsitz klagen — auch wenn das für dich teuer und unpraktisch ist
• Haftungsbeschränkung: Gesetzliche Haftungsregeln sind oft strenger als vertragliche Einschränkungen (soweit diese wirksam wären)
• Retouren-Bedingungen jenseits des Widerrufsrechts: Das gesetzliche 14-Tage-Widerrufsrecht ist Minimum — deine Konditionierungen darüber hinaus (z.B. nur originalverpackt) brauchst du in AGB

Warum selbst geschriebene AGB gefährlich sind

§§ 305–310 BGB regeln AGB-Recht. Eine Klausel die “unangemessen benachteiligend” ist, ist unwirksam — auch wenn du sie gutgläubig formuliert hast. Beispiel: Ein selbstgeschriebener Haftungsausschluss der auch grobe Fahrlässigkeit ausschließt ist nichtig. Die Folge: statt gar keiner Haftungsbeschränkung greift das Gesetz — oft zu deinen Ungunsten.

Die Optionen im Vergleich

eRecht24 Premium ist die Option die ich nach Testen mehrerer Alternativen empfehle. Der Generator erstellt rechtssichere AGB speziell für deutschen E-Commerce, inkl. Widerrufsbelehrung, und aktualisiert sie automatisch bei Gesetzesänderungen. Der Preis (Basic ~€30/Mo, Stand April 2026) ist verglichen mit einem einmaligen Anwaltsbrief günstig.

IT-Recht Kanzlei ist eine Alternative mit anwaltlicher Absicherung und Abmahnschutz. Preislich im Premium-Bereich (~€99/Mo aufwärts). Für Shops die explizit anwaltliche Haftungsübernahme brauchen, die richtige Wahl.

WooCommerce Starter-AGB und andere Free-Templates aus dem Netz: Finger weg. Diese Templates sind oft veraltet, nicht DSGVO-aktualisiert, und decken Shopify-spezifische Besonderheiten nicht ab.

Ehrliche Einschätzung: Für Shops unter €50.000/Monat Umsatz ist eRecht24 Basic die kosteneffizienteste Lösung. Der Abmahn-Schutz und die automatischen Updates amortisieren die Kosten beim ersten verhinderten Rechtsstreit.

AGB rechtssicher generieren mit eRecht24

→ AGB-Generator Online-Shop: Vergleich der besten Tools

Datenschutzerklärung: Was muss seit DSGVO 2018 rein?

Die Datenschutzerklärung ist der komplexeste Baustein — weil sie lebend ist. Jedes Tool das du in deinem Shop einsetzt, muss dort erwähnt werden.

Pflichtinhalt nach DSGVO Art. 13/14

• Verantwortlicher: Name, Adresse, Kontaktdaten des Datenschutzbeauftragten (falls bestellt — bei kleinen Shops meist nicht nötig)
• Verarbeitungszwecke und Rechtsgrundlagen: Für jeden Datenverarbeitungsvorgang separat (Bestellung = Vertragserfüllung Art. 6(1)(b), Newsletter = Einwilligung Art. 6(1)(a))
• Speicherdauer: Wie lange du welche Daten behältst (Bestelldaten: 10 Jahre wegen GoB, E-Mail-Marketing: bis Widerruf der Einwilligung)
• Empfänger und Drittländertransfers: Wer deine Daten noch bekommt — Payment-Provider, Versanddienstleister, Analytics-Tools
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch

Shopify-Spezifika: Der AV-Vertrag ist Pflicht

Shopify verarbeitet Kundendaten als dein Auftragsverarbeiter. Das bedeutet: Du brauchst einen Auftragsverarbeitungsvertrag (AVV) mit Shopify — der ist über die Shopify-Einstellungen abschließbar und muss abgeschlossen werden bevor du live gehst.

In der Datenschutzerklärung musst du Shopify Inc. als Auftragsverarbeiter nennen, mit Hinweis auf den Datentransfer in die USA (Shopify nutzt US-Server) und den dort geltenden Angemessenheitsbeschluss bzw. Standardvertragsklauseln.

Jede App im Shop muss erwähnt werden

Das wird systematisch unterschätzt: Wenn du Google Analytics nutzt, muss das in der DSE stehen — mit Zweck, Rechtsgrundlage (Einwilligung über Cookie-Consent), und Opt-out-Möglichkeit.

Dasselbe gilt für:

• Klaviyo / Mailchimp: E-Mail-Marketing-Tools die Kundendaten verarbeiten
• Meta Pixel / TikTok Pixel: Tracking-Daten, die ohne explizite Einwilligung illegal sind
• Hotjar / Microsoft Clarity: Session-Recording-Tools
• Shopify Apps: Jede installierte App die Kundendaten verarbeitet

Bei einem Shop mit 5–10 Apps kannst du schnell 15–20 Datenschutz-Abschnitte in der DSE haben. Das manuell zu pflegen ist aufwendig. eRecht24 Premium und ähnliche Tools machen das per Baukasten-Prinzip.

→ Datenschutzerklärung Generator für Online-Shops → Shopify DSGVO-Compliance: Was du 2026 beachten musst

Cookie-Consent: Pflicht, Technik, Tool-Auswahl

Das Planet49-Urteil des BGH (I ZR 7/16, 2020) hat klargestellt was vorher viele ignorierten: Cookies die nicht technisch notwendig sind, brauchen aktive vorherige Einwilligung. Kein Pre-Ticking, kein “durch weitere Nutzung stimmst du zu”.

Was “technisch notwendig” bedeutet

Nicht einwilligungspflichtig sind Cookies die direkt für den Shop-Betrieb nötig sind:

• Session-Cookies für den Warenkorb
• Login-Cookies
• Sicherheits-Cookies (z.B. CSRF-Protection)

Einwilligungspflichtig (und damit Cookie-Banner-relevant) sind:

• Analytics-Cookies (Google Analytics 4, Matomo im Standard-Modus)
• Marketing-Cookies (Meta Pixel, Google Ads Remarketing)
• Personalisierungs-Cookies
• Affiliate-Tracking-Cookies

Das bedeutet: Wenn du Google Analytics nutzt ohne Cookie-Consent-Banner mit echter Opt-in-Möglichkeit, bist du nicht DSGVO-konform — unabhängig davon ob du “kleinerer Shop” bist oder nicht. Die DSGVO kennt keinen Umsatzschwellenwert.

Opt-in vs. Opt-out: Was gilt in Deutschland?

In Deutschland gilt Opt-in: Der Nutzer muss aktiv zustimmen, nicht aktiv ablehnen. Das Banner darf nicht so gestaltet sein dass Ablehnen schwerer ist als Zustimmen (Urteil: “Dark Patterns” sind unzulässig). Das OLG Frankfurt hat entsprechende Designs bereits untersagt.

Konkret: Ein grüner “Alle akzeptieren”-Button neben einem kaum erkennbaren “Ablehnen”-Textlink ist nicht ausreichend. Beide Optionen müssen gleichwertig gestaltet sein.

Tool-Empfehlung: CookieYes

Nach dem Testen von CookieYes, Cookiebot und Borlabs Cookie ist meine Empfehlung für die meisten DACH-Shops: CookieYes. Gründe:

• DSGVO-konforme Voreinstellungen für Deutschland und EU
• Shopify-App vorhanden (direkte Integration)
• Free-Plan für kleinere Sites (bis 100 Domains, unbegrenzte Pageviews)
• Paid-Plans mit automatischen Cookie-Scans (damit du nichts vergisst)
• 30% Lifetime-Provision — d.h. wenn du es weiterempfiehlst, zahlt sich das aus

Cookiebot (jetzt Usercentrics CMP) ist die Enterprise-Alternative: teurer, stärker im B2B-Segment, 99%+ Retention laut Hersteller. Für Shops mit 5+ Standorten oder Konzern-Strukturen die richtige Wahl.

Borlabs Cookie ist eine WordPress/WooCommerce-Plugin-Lösung — für Shopify-Shops irrelevant.

CookieYes 30 Tage kostenlos testen

→ Cookie-Consent-Tool Vergleich: CookieYes vs. Cookiebot vs. Borlabs

Trusted Shops & Gütesiegel: Sinnvoll oder verzichtbar?

Trusted Shops ist kein Rechtspflicht-Baustein — aber ein Konversionsrate-Hebel mit messbarem Effekt. Und weil es in vielen Shopify-Recht-Artikeln pauschal empfohlen wird, hier eine ehrliche Einschätzung.

Was Trusted Shops kostet und was es bringt

Preise (Stand April 2026, Staffelung nach Jahresumsatz):

• Classic: ab ca. €79/Mo (bis ca. €250.000 Jahresumsatz)
• Business: ca. €150–200/Mo (bis ca. €750.000)
• Excellence: individuelle Preise (Enterprise)

Was du dafür bekommst: Das Trusted-Shops-Siegel, Käuferschutz (bis €20.000 pro Transaktion), Bewertungsmanagement und rechtliche Absicherung durch Trusted Shops Rechtsexperten.

Meine Einschätzung: Für welche Shops lohnt es sich?

Für Shops unter €5.000 Monatsumsatz ist Trusted Shops Overkill. Der Konversionsrate-Effekt (branchenabhängig 2–5%) rechnet sich erst bei nennenswerten Umsatzvolumen. Ein frischer Shop mit 50 Besuchern am Tag wird kaum messbar mehr konvertieren wegen des Siegels.

Für Shops ab €15.000 Monatsumsatz in kompetitiven Segmenten (Elektronik, Mode, Haushaltsartikel) ist das Siegel hingegen fast schon Standard — weil Mitbewerber es haben und Kunden es erwarten.

Alternativen die ich ernsthaft betrachten würde:

• Google Shopping-Bewertungen (kostenlos über Google Merchant Center) — unterschätzte Trust-Alternative mit höherer Sichtbarkeit
• eKomi — günstiger als Trusted Shops, fokussiert auf Bewertungsvolumen
• ProvenExpert — stärker im Dienstleistungsbereich, weniger E-Commerce

→ Trusted Shops Alternativen 2026: Was wirklich funktioniert

Abmahnsichere Produktbeschreibungen & Preisangaben

Neben den vier Haupt-Bausteinen gibt es einen fünften Bereich der regelmäßig zu Abmahnungen führt: Produktseiten und Preisangaben.

Preisangabenverordnung (PAngV): Diese drei Punkte entscheiden

Grundpreis: Für Waren die nach Gewicht, Volumen, Länge oder Fläche verkauft werden (Lebensmittel, Kosmetik, Textilien), muss der Grundpreis pro Einheit angegeben werden. Fehlt er: Abmahnrisiko.

Versandkosten: Müssen beim Preis erkennbar sein — nicht erst im Checkout. “zzgl. Versandkosten” ohne konkreten Betrag reicht nicht mehr aus (OLG Köln, Urteil 2021). Zumindest ein Link zur Versandkostenübersicht ist Pflicht.

Gesamtpreis: Im Checkout-Prozess muss spätestens beim letzten Schritt vor dem Kauf der Gesamtbetrag (inkl. aller Steuern und Gebühren) sichtbar sein — ohne Überraschungseffekte.

Irreführende Werbung (UWG) vermeiden

Klassische Abmahnfallen im E-Commerce:

• Fake-Originalpreise: “Statt €99, jetzt €49” — der Originalpreis muss real und für einen angemessenen Zeitraum gültig gewesen sein (VRRL-Änderung 2022: mindestens 30 Tage)
• Verfügbarkeitsangaben: “Nur noch 3 Stück!” bei tatsächlich unbegrenztem Lager
• “Made in Germany”: Darf nur verwendet werden wenn das Wesentliche des Produkts in Deutschland hergestellt wurde
• Bildrechte: Keine Stock-Fotos verwenden für die du keine Lizenz hast. Adobe Stock, Unsplash (mit Lizenzprüfung) oder eigene Produktfotos sind die sicheren Wege

5-Punkte-Kurzcheckliste für abmahnsichere Produktseiten

1. ✅ Grundpreis angegeben (wenn relevant)
2. ✅ Versandkosten sichtbar oder verlinkt
3. ✅ Streichpreise nur mit echtem Vorpreis (mind. 30 Tage gültig)
4. ✅ Lieferzeit angegeben (Pflicht nach Fernabsatzrecht — z.B. “3–5 Werktage”)
5. ✅ Bildrechte für alle verwendeten Fotos dokumentiert

DSGVO-Checkliste: 10 Punkte vor dem Shop-Launch

Wir haben diese Checkliste entwickelt nach dem Audit eines Shops mit siebenstelligem Jahresumsatz. Die hier genannten Punkte waren die häufigsten Lücken — auch bei Shops die dachten, sie seien compliant.

1. Impressum vollständig — alle TMG-Pflichtangaben vorhanden, erreichbar in ≤2 Klicks
2. Datenschutzerklärung aktuell — alle eingesetzten Tools und Apps aufgeführt
3. AVV mit Shopify abgeschlossen — in Shopify-Einstellungen unter “Rechtliches” → “Auftragsverarbeitung”
4. AVV mit allen weiteren Dienstleistern — Zahlungsanbieter, E-Mail-Marketing, Analytics
5. Cookie-Consent-Banner aktiv — mit echtem Opt-in, keine Dark Patterns
6. AGB und Widerrufsbelehrung — vorhanden, rechtlich aktuell, link im Footer
7. Grundpreise auf Produktseiten — wo gesetzlich vorgeschrieben
8. Lieferzeiten überall angegeben — auf Produktseiten und im Checkout
9. Versandkosten transparent — sichtbar vor dem Checkout
10. E-Mail-Marketing-Einwilligung dokumentiert — Double-Opt-in mit Timestamp

→ DSGVO-Checkliste Online-Shop 2026: Vollständig mit Vorlagen

Fazit: Schritt-für-Schritt zum rechtssicheren Shop

Die empfohlene Reihenfolge für einen neuen Shop:

Schritt 1 — Impressum: Geht in 20 Minuten mit dem eRecht24-Impressum-Generator. Kein Aufwand, kein Risiko wenn’s fehlt.

Schritt 2 — AGB + Widerrufsbelehrung: eRecht24 Basic deckt beides ab und hält es aktuell. Nicht selbst schreiben.

Schritt 3 — Datenschutzerklärung: Baukasten-Prinzip über eRecht24 — jede eingesetzte App einzeln hinzufügen.

Schritt 4 — Cookie-Consent-Banner: CookieYes installieren, DSGVO-Voreinstellungen aktivieren, Google Analytics + Tracking-Pixel hinter Consent-Wall legen.

Schritt 5 (optional, ab €15K/Mo): Trusted Shops Classic evaluieren. Vorher: Google Shopping-Bewertungen aktivieren — kostenlos und oft ausreichend.

Meine ehrliche Kosten-Nutzen-Einschätzung: eRecht24 Basic (~€30/Mo) + CookieYes Free Plan = rechtlich solide Basis für ca. €30 monatlich. Das ist weniger als eine einzige Stunde Anwaltsberatung — und du vermeidest damit die meisten typischen Abmahnrisiken.

eRecht24 Premium testen — ab €30/Mo

Wenn du deinen Shop auf Shopify aufbaust oder überlegst zu wechseln: Die Kombination aus Shopify + eRecht24 + CookieYes löst Rechts-Compliance, Hosting und Technik in einem Paket. Shopify kümmert sich um PCI-DSS-Compliance und Zahlungssicherheit von Haus aus — was eine Sorge weniger ist.

Shopify 3 Monate für €1/Monat testen

---

Häufige Fragen zum rechtssicheren Online-Shop

Was ist Pflicht für einen rechtssicheren Online-Shop in Deutschland?

Impressum (§5 TMG), Datenschutzerklärung (DSGVO Art. 13/14), Cookie-Consent-Banner für nicht-notwendige Cookies, und Widerrufsbelehrung (14 Tage, VRRL). AGB sind nicht gesetzlich vorgeschrieben, aber ohne sie gelten unkontrollierte gesetzliche Regelungen.

Kann ich AGB für meinen Online-Shop selbst schreiben?

Technisch ja, rechtlich riskant. Selbst geschriebene AGB enthalten häufig unwirksame Klauseln nach §§305ff BGB. Unwirksame Klauseln fallen raus — dann gilt Gesetzesrecht, das oft strenger ist als vertragliche Regelungen. Empfehlung: zertifizierter AGB-Generator wie eRecht24.

Was kostet ein rechtssicherer Online-Shop an laufenden Kosten?

Minimum: eRecht24 Basic ~€30/Mo (AGB, Datenschutz, Impressum), CookieYes Free-Plan €0. Damit bist du für €30/Mo solide abgesichert. Mit Trusted Shops Classic (€79/Mo) und erweiterter Rechtsabsicherung: ca. €110–150/Mo.

Wie oft muss ich Datenschutzerklärung und AGB aktualisieren?

Bei jeder Rechtsänderung und bei jedem neuen Tool im Shop. eRecht24 Premium macht automatische Updates bei Gesetzesänderungen. Ohne Abo: mind. einmal jährlich selbst prüfen, plus immer wenn du eine neue App installierst.

Brauche ich als Kleinunternehmer (§19 UStG) auch ein Impressum?

Ja. Das Impressum ist umsatzsteuerunabhängig Pflicht. Du kannst die USt-IdNr.-Zeile weglassen, aber alle anderen TMG-Pflichtangaben bleiben bestehen.

---

Quellen: BGH Planet49-Urteil I ZR 7/16 (2020), §5 TMG Telemediengesetz, DSGVO Art. 13/14 (Verordnung EU 2016/679), Preisangabenverordnung (PAngV), OLG Frankfurt Urteil Dark Patterns 2022, eRecht24 Ratgeber-Seite (Stand April 2026), Bundesministerium der Justiz DSGVO-Volltext.