Falls Sie einen Online-Shop für widerrufsfähige Waren oder Dienstleistungen für Verbraucher betreiben, schreitet in Ihrem Unternehmen mit hoher Wahrscheinlichkeit gerade unter Hochdruck die Implementierung des sogenannten Widerrufsbuttons voran.
Denn seit dem 19. Juni 2026 ist in Deutschland die „Widerrufsfunktion“ für fast alle Online-Shops, die im B2C-Bereich aktiv sind, zur gesetzlichen Pflicht gemäß § 356a BGB geworden.
Wer diese nicht nur als „juristische Zwangsmaßnahme“ sieht, dem bietet sich jetzt die beste Gelegenheit, eigene Abwicklungsprozesse zu prüfen und effizienter zu gestalten.
Als Online-Händler sind Sie in erster Linie in die technische Einbindung, Funktionalität und das Design des Widerrufbuttons eingebunden.
Tipp: Behalten Sie dabei auch die weitreichenden datenschutzrechtlichen Pflichten im Blick.
Wir zeigen Ihnen, wie Sie den Widerrufsbutton datenschutzkonform in Ihre Post-Purchase-Architektur integrieren, um keine Abmahnungen oder gar Bußgelder nach der DSGVO zu riskieren.
1. Datenminimierung: einmal pur und clean
Das Gesetz regelt abschließend, welche Daten Sie im Rahmen der Widerrufsfunktion abfragen dürfen. Die DSGVO fordert hierbei den Grundsatz der Datenminimierung.
Zulässige Pflichtfelder sind ausschließlich:
- Name des Verbrauchers
- Angaben zur Identifizierung des Vertrags (z. B. Bestellnummer).
- Angaben zum Kommunikationsmittel für die Eingangsbestätigung (meist die E-Mail-Adresse).
Achtung: Der Widerruf ist gesetzlich grundlos möglich. Die Angabe eines Widerrufsgrundes sollte daher nur als optionales Feld für freiwillige Angaben vorgesehen sein.
2. Rechtsgrundlagen der Verarbeitung im Fokus
Für die Verarbeitung der übermittelten Daten im Rahmen des Widerrufs stützt sich Ihr Unternehmen primär auf folgende Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. c DSGVO: Erfüllung einer gesetzlichen Verpflichtung (Umsetzung von § 356a BGB).
- Art. 6 Abs. 1 lit. b DSGVO: Abwicklung des Vertragsverhältnisses (Rückabwicklung nach Widerruf).
- Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse (z. B. bei optionalen Angaben zur Verbesserung des Service).
- Gegebenenfalls § 25 TDDDG: für optionale Cookies oder Tracking-Features, die Marketing- oder Analysezwecken dienen, ist vor Einsatz eine wirksame Einwilligung einzuholen
3. Die Datenschutzerklärung: Transparenz ist Trumpf
Informieren Sie Besucher Ihrer Onlineplattform in der Datenschutzerklärung, zusätzlich zur Widerrufsbelehrung, über das Bestehen und die Platzierung der Widerrufsfunktion.
Prüfen Sie dabei Ihre Datenschutzhinweise auf folgende Punkte:
- Zweckänderung: Haben Sie die Datenverarbeitung im Rahmen der vertraglichen Rückabwicklung schon ausreichend beschrieben?
- Externe Dienstleister: Nutzen Sie externe Formular-Tools oder Retouren-Plattformen? Dann ist oft ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO nötig.
- Captchas: Setzen Sie Captcha-Lösungen zur Absicherung gegen Missbrauch ein? informieren Sie über die damit verbundene Datenübermittlung (oft in Drittländer).
4. Keine Tracking-Barrieren beim Widerruf
Betrachten Sie den Einsatz von Cookies mit kritischem Blick. Wie erwähnt, dürfen gemäß § 25 TDDDG nicht zwingend erforderliche Cookies für Analyse- und Marketingzwecke nur mit Einwilligung gesetzt werden.
Für den Widerrufsbutton bedeutet das:
- Der Zugang darf nicht von einer Einwilligung in Tracking-Technologien abhängig gemacht werden.
- Stellen Sie also sicher, dass der Zugang zum Widerrufsformular cookiefrei gestaltet ist. Grund hierfür ist, dass Ausübung des gesetzlichen Rechts (auf Widerruf) für den Verbraucher nicht durch eine Einwilligungsschranke erschwert werden darf.
5. Das Stufen-Verfahren sicher gestalten
Technisch muss der Prozess zweistufig sein. Aus Datenschutzsicht ist dabei die Eingangsbestätigung relevant:
- Stufe 1: Schaltfläche „Vertrag widerrufen“.
- Stufe 2: Bestätigungsseite mit den notwendigen Daten und der Schaltfläche „Widerruf bestätigen“.
Unmittelbar nach Absendung muss eine automatisierte Bestätigung auf einem dauerhaften Datenträger (meist E-Mail) erfolgen. Diese Mail dokumentiert den Eingang mit Datum und Uhrzeit.
Tipp: Stellen Sie datenschutzseitig sicher, dass diese Bestätigungsmails keine unnötigen sensiblen Informationen enthalten und sicher übertragen werden.
Sie brauchen Unterstützung beim Thema Datenschutz?
Sprechen Sie uns gerne direkt an und vereinbaren Sie ein kostenfreies Beratungsgespräch mit einem unserer Experten für Datenschutz.
Unsere Empfehlung
Beziehen Sie Datenschutzmaßnahmen von Anfang an mit ein, insbesondere bei der Gestaltung des Formulars, der Auswahl von Dienstleistern und durch das Umsetzen von Informationspflichten. Das schützt Sie vor rechtlichen Konsequenzen und offenbart Ihren Kunden einen professionellen Service.
Wir von der exkulpa gmbh stehen Ihnen bei Datenschutzfragen dabei gern zur Seite. Sollten Sie Unterstützung bei der Erstellung oder Prüfung Ihrer Datenschutzerklärung benötigen, erreichen Sie uns über das Kontaktformular.
Fazit
Der seit dem 19. Juni 2026 verpflichtende Widerrufsbutton (§ 356a BGB) ist für Online-Händler weit mehr als eine rein technische Umsetzungsaufgabe – er berührt zentrale datenschutzrechtliche Pflichten, die von Anfang an mitgedacht werden müssen. Wer die Implementierung sorgfältig plant, sollte insbesondere folgende Punkte im Blick behalten:
- Datenminimierung: Nur die gesetzlich vorgesehenen Pflichtfelder (Name, Vertragsangaben, Kommunikationsmittel) dürfen abgefragt werden; ein Widerrufsgrund bleibt stets freiwillig.
- Rechtsgrundlagen: Die Verarbeitung stützt sich je nach Zweck auf Art. 6 Abs. 1 lit. b, c oder f DSGVO, ggf. ergänzt durch § 25 TDDDG bei Cookies/Tracking.
- Transparenz: Die Datenschutzerklärung muss die Widerrufsfunktion, eingesetzte Dienstleister (inkl. AVV nach Art. 28 DSGVO) und Captcha-Lösungen abdecken.
- Cookiefreier Zugang: Der Zugriff auf das Widerrufsformular darf nicht von einer Tracking-Einwilligung abhängen.
- Zweistufiger Prozess: Widerrufserklärung und Bestätigungsseite mit anschließender automatisierter Eingangsbestätigung auf einem dauerhaften Datenträger.
Wer diese Anforderungen frühzeitig – idealerweise "Privacy by Design" – in die Post-Purchase-Architektur integriert, vermeidet nicht nur Abmahnungen und Bußgelder, sondern schafft zugleich einen reibungsloseren, professionelleren Kundenservice.
FAQ: Häufig gestellte Fragen
Nur die gesetzlich vorgesehenen Pflichtangaben: den Namen des Verbrauchers, Angaben zur Identifizierung des Vertrags (z. B. die Bestellnummer) sowie ein Kommunikationsmittel für die Eingangsbestätigung, in der Regel die E-Mail-Adresse. Ein Feld für den Widerrufsgrund darf nur optional angeboten werden, da der Widerruf gesetzlich grundlos möglich ist.
Nein. Der Zugang zum Widerrufsformular muss cookiefrei gestaltet sein. Nicht zwingend erforderliche Cookies für Analyse- oder Marketingzwecke benötigen zwar nach § 25 TDDDG eine Einwilligung – die Ausübung des gesetzlichen Widerrufsrechts darf davon aber nicht abhängig gemacht werden.
Nach dem zweistufigen Verfahren (Schaltfläche „Vertrag widerrufen" → Bestätigungsseite mit „Widerruf bestätigen") muss unmittelbar eine automatisierte Bestätigung auf einem dauerhaften Datenträger, meist per E-Mail, erfolgen. Diese sollte Datum und Uhrzeit des Eingangs dokumentieren, keine unnötigen sensiblen Informationen enthalten und sicher übertragen werden.
Inga Reifenrath
