AGB, Datenschutz und Cookies in einem Onlineshop

Modul 5: Pflichten und Bedingungen · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie AGB so bereitstellen, dass sie gelten, die Datenschutzerklärung eines Shops um die Verarbeitungen ergänzen, die zum Verkaufen gehören, beurteilen, welche Cookies ein Shop ohne Einwilligung setzen darf, und neutral entscheiden, ob ein Gütesiegel für Sie infrage kommt.

Kernbegriffe: AGB, Aushändigen, elektronisch zur Verfügung stellen, Zustimmungshäkchen, Datenschutzerklärung, Auftragsverarbeiter, Auftragsverarbeitungsvertrag, Aufbewahrungsfrist, funktionale Cookies, Tracking-Cookies, Order Attribution, Einwilligung, Gütesiegel, Schlichtungsstelle, ODR-Plattform

Diese Lektion erklärt die Regeln, wie sie am 9. November 2026 gelten. Sie ist keine Rechts- oder Steuerberatung. Wenn Sie bei Ihrer Situation unsicher sind, fragen Sie einen Juristen, Ihren Branchenverband oder Ihren Buchhalter.

AGB: Haben allein reicht nicht

AGB sind die festen Vereinbarungen, die Sie bei jeder Bestellung verwenden: Lieferung, Zahlung, Garantie, Haftung, Beschwerden. Sie sind nicht verpflichtend, aber fast jeder Shop hat sie. Die Falle: AGB, die der Kunde nicht rechtzeitig lesen konnte, gelten möglicherweise nicht.

In den Niederlanden bestimmt Artikel 6:234 BW, dass Sie dem Kunden die AGB vor oder bei Abschluss des Vertrags aushändigen müssen. Online ist das elektronisch erlaubt, wenn der Kunde sie speichern und später wieder lesen kann. Tun Sie das nicht, kann der Kunde die Bestimmungen anfechten. In der Praxis:

• ein Link zu den AGB direkt beim Bestellbutton, mit einem Häkchen, das leer beginnt ("Ich habe die AGB gelesen");
• die AGB als PDF oder Text in oder bei der Bestätigungsmail, damit der Kunde sie hat;
• eine feste Seite, die immer erreichbar ist, zum Beispiel über die Fußzeile.

Deutschland kennt eine vergleichbare Regel (der Kunde muss in zumutbarer Weise von den "Allgemeinen Geschäftsbedingungen", AGB, Kenntnis nehmen können). In Belgien gelten die AGB, wenn der Kunde sie vor dem Vertragsabschluss kennen konnte und sie akzeptiert hat. Die Idee ist überall dieselbe: rechtzeitig zeigen und speichern lassen. In Österreich regeln das Fern- und Auswärtsgeschäfte-Gesetz (FAGG) und das Konsumentenschutzgesetz (KSchG) Fernverkäufe an Verbraucher, die Informationspflichten auf der Website ergeben sich aus E-Commerce-Gesetz (ECG), Unternehmensgesetzbuch (UGB) und Mediengesetz.

Was nicht hineingehört, ist mindestens ebenso wichtig. AGB dürfen die gesetzlichen Rechte eines Verbrauchers nicht einschränken. "Rücksendung nur in der originalen, ungeöffneten Verpackung" oder "kein Widerruf bei reduzierten Artikeln" widerspricht dem Widerrufsrecht (Lektion 5.2). Eine Bestimmung, die nur in Ihren AGB steht, ersetzt auch nie die Pflichtinformationen (Lektion 5.1 und 5.4). Branchenverbände und Gütesiegel bieten oft Muster-AGB an; das ist ein sichererer Anfang, als selbst zu schreiben oder den Text eines anderen Shops zu kopieren (Letzteres ist auch urheberrechtlich nicht in Ordnung).

Datenschutz: was ein Shop zusätzlich verarbeitet

Die Grundlagen der DSGVO für eine Website (personenbezogene Daten, Rechtsgrundlage, Datenschutzerklärung, Formulare, Auftragsverarbeiter) finden Sie im WordPress-Kurs, Lektion 9.3. Ein Shop verarbeitet mehr, und mit mehr Beteiligten:

Was Sie damit tun:

1. Nennen Sie jede Verarbeitung in Ihrer Datenschutzerklärung, mit Zweck, Rechtsgrundlage, Aufbewahrungsfrist und Empfängern. WordPress bietet unter Einstellungen > Datenschutz eine Hilfsvorlage; WooCommerce ergänzt dort selbst Textvorschläge für den Shop. Nutzen Sie sie als Anfang, nicht als Endfassung.
2. Schließen Sie Auftragsverarbeitungsverträge mit Beteiligten, die in Ihrem Auftrag Daten verarbeiten (Hoster, Mailingdienst, Buchhaltungsprogramm). Bei Zahlungsanbietern und Versanddienstleistern ist die Rolle je nach Anbieter verschieden; lesen Sie, was diese selbst angeben.
3. Legen Sie Aufbewahrungsfristen fest unter WooCommerce > Einstellungen > Konten und Datenschutz (Lektion 2.3): Inaktive Konten werden nach einer Frist gelöscht, unbezahlte, fehlgeschlagene und stornierte Bestellungen wandern in den Papierkorb, und bei erstatteten und abgeschlossenen Bestellungen werden die personenbezogenen Daten anonymisiert. Beachten Sie die steuerliche Aufbewahrungspflicht (Lektion 5.6): Bewahren Sie Rechnungsdaten in Ihrer Buchhaltung auf, wenn Sie sie aus dem Shop entfernen.
4. Wissen Sie, was bei einer Datenpanne zu tun ist (KB 6749 und der Kurs Sicher online). Ein gehackter Shop mit Kundendaten ist fast immer meldepflichtig.

Cookies in einem Shop

Die Regeln für Cookies selbst (in den Niederlanden das Telekommunikationsgesetz, die Telecommunicatiewet, in der EU die ePrivacy-Richtlinie) finden Sie ebenfalls im WordPress-Kurs, Lektion 9.3. Die Faustregel: Funktionale Cookies, die für den vom Besucher gewünschten Dienst nötig sind, sind ohne Einwilligung erlaubt. Für Tracking und die meiste Statistik brauchen Sie vorher eine Einwilligung.

Für einen Shop bedeutet das:

• Funktional: die Cookies von WooCommerce für den Warenkorb und die Sitzung (woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_...) und die Cookies Ihres Zahlungsanbieters während der Zahlung. Diese sind erlaubt und gehören in Ihre Cookie-Erklärung.
• Order Attribution: WooCommerce hat eine Funktion, die festhält, über welchen Kanal eine Bestellung hereinkam (Suchmaschine, Kampagne, E-Mail). Sie verwendet Cookies, die mit sbjs_ beginnen, standardmäßig nur für die Dauer des Besuchs. Ob Sie dafür eine Einwilligung einholen müssen, hängt davon ab, wie Sie die Daten verwenden; es ist Messen und für die Bestellung nicht nötig. Sie können die Funktion unter WooCommerce > Einstellungen > Erweitert > Funktionen abschalten. Klären Sie, was für Sie gilt, und nehmen Sie es in Ihre Cookie-Erklärung auf.
• Tracking und Werbung: Pixel von sozialen Medien, Werbenetzwerken und Statistikdiensten, die Daten mit Dritten teilen. Erst nach der Einwilligung laden. Ein Cookie-Banner, das schon alles lädt, bevor der Besucher wählt, genügt nicht.

Falle: ein großer, grüner "Akzeptieren"-Button neben einem "Ablehnen", das man suchen muss. Aufsichtsbehörden verlangen, dass Ablehnen genauso einfach ist wie Akzeptieren.

Gütesiegel und Streitigkeiten

Ein Gütesiegel ist eine freiwillige Vereinbarung mit einer Organisation, die Ihren Shop prüft, Ihnen Muster-AGB gibt und oft eine Schlichtungsregelung bietet. Beispiele: Thuiswinkel Waarborg in den Niederlanden, BeCommerce in Belgien, Trusted Shops in Deutschland; es gibt weitere. Sie unterscheiden sich in Anforderungen, Prüfung und Kosten. Ein Gütesiegel ist nicht verpflichtend und ersetzt nicht das Gesetz; es kann aber Vertrauen schaffen und hilft Ihnen, die Regeln im Blick zu behalten. Vergleichen Sie sie danach, was sie prüfen, was sie von Ihnen verlangen und welche Schlichtungsregelung dazugehört.

Zu Streitigkeiten noch ein aktueller Punkt: Bis 2025 mussten Onlineshops einen Link zur europäischen ODR-Plattform für die Online-Streitbeilegung setzen. Diese Plattform wurde am 20. Juli 2025 geschlossen (Verordnung (EU) 2024/3228), und die Pflicht, darauf zu verlinken, ist entfallen. Steht der Link noch in Ihren AGB oder Ihrer Fußzeile, entfernen Sie ihn; er verweist auf etwas, das es nicht mehr gibt. Die Europäische Kommission verweist jetzt auf eine Liste von Schlichtungsstellen pro Land.

In der Praxis: So sieht es in WooCommerce aus

Bei Theehuis Example:

1. Seiten Allgemeine Geschäftsbedingungen und Datenschutzerklärung; unter WooCommerce > Einstellungen > Erweitert > Seiteneinrichtung die AGB-Seite ausgewählt (Zustimmungshäkchen an der Kasse) und unter Einstellungen > Datenschutz die Datenschutzseite.
2. Unter Konten und Datenschutz: Der Datenschutztext, den WooCommerce bei Registrierung und Bezahlung zeigt, verweist auf die Datenschutzerklärung.
3. Ein Cookie-Banner, das Tracking erst nach der Einwilligung lädt; getestet in einem privaten Fenster mit den Entwicklerwerkzeugen (Tab Netzwerk und Speicher): vor der Auswahl keine Anfragen an Werbe- oder Statistikdienste.
4. AGB als PDF bei der Bestätigungsmail (mit einer Erweiterung) oder ein Link im zusätzlichen Inhalt der Mail.

Zusammenfassung

• AGB gelten nur, wenn Sie sie vor oder bei Vertragsabschluss elektronisch so bereitstellen, dass der Kunde sie speichern kann (NL 6:234 BW); sie dürfen Verbraucherrechte nicht einschränken. In Österreich gelten für Fernverkäufe an Verbraucher das FAGG und das KSchG.
• Ein Shop verarbeitet mehr personenbezogene Daten als eine gewöhnliche Website; nehmen Sie jede Verarbeitung mit Rechtsgrundlage, Aufbewahrungsfrist und Empfängern in Ihre Datenschutzerklärung auf und legen Sie Aufbewahrungsfristen in WooCommerce fest.
• Warenkorb- und Sitzungscookies sind funktional; Tracking und Werbung erst nach Einwilligung; Order Attribution bewusst ein- oder ausschalten.
• Gütesiegel sind freiwillig; vergleichen Sie sie neutral. Der verpflichtende Link zur ODR-Plattform ist seit dem 20. Juli 2025 entfallen.

Quiz

Aufgabe

Aufgabe A5.5: AGB, Datenschutz und Cookies. Geben Sie die Adresse Ihres Shops ein. Das Programm ruft die Startseite ohne Cookies ab, wie ein neuer Besucher, der noch nichts gewählt hat, und notiert nur die Namen der Cookies, die die Website setzt. Es sucht einen Link zu Ihren AGB und einen Link zu Ihrer Datenschutzerklärung (auch auf Deutsch, Englisch und Französisch) und ruft beide Seiten ab. Grün, wenn beide Links vorhanden sind und die Seiten 200 liefern, keine bekannten Statistik- oder Werbeskripte im HTML stehen und keine Statistik- oder Werbecookies (wie _ga, _fbp) gesetzt werden, bevor der Besucher wählt. Orange, wenn ein solches Skript bereits im HTML steht ("lädt es erst nach der Einwilligung?"), wenn Order-Attribution-Cookies (sbjs_) gesetzt werden (Info) oder wenn noch ein Link zur ODR-Plattform vorhanden ist. Rot, wenn einer der beiden Links fehlt, eine Seite nicht erreichbar ist oder Tracking- oder Werbecookies ohne Auswahl gesetzt werden. Das Programm sieht nur das HTML ohne JavaScript; Skripte, die später weitere Skripte laden, prüfen Sie selbst im Tab Netzwerk Ihres Browsers.

Frage an sich selbst (wird nicht geprüft): Welche Verarbeitungen aus der Tabelle in dieser Lektion stehen noch nicht in Ihrer Datenschutzerklärung?

Weiterführende Informationen

• Kostenloser WordPress-Kurs 9.3: DSGVO: Cookies, Formulare und Datenschutzerklärung
• Cookies (niederländische Datenschutzbehörde Autoriteit Persoonsgegevens, Niederländisch): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Handelt es sich hierbei um eine Datenpanne und muss ich diese melden?
• Niederländisches Bürgerliches Gesetzbuch (Burgerlijk Wetboek), Buch 6, Artikel 6:234 (wetten.overheid.nl, Niederländisch): https://wetten.overheid.nl/BWBR0005289/
• Schließung der ODR-Plattform und Schlichtungsstellen pro Land (Europäische Kommission, Englisch): https://consumer-redress.ec.europa.eu/site-relocation_en
• Thuiswinkel.org (Gütesiegel Thuiswinkel Waarborg, Niederländisch): https://www.thuiswinkel.org/