E-Commerce-Fristen 2026/27: Was Händler jetzt umsetzen müssen

Der Onlinehandel erlebt gerade keine einzelne Gesetzesänderung, sondern eine Kette von Stichtagen. Zwei davon sind bereits verstrichen: Seit dem 19. Juni 2026 brauchen betroffene Fernabsatzverträge eine digitale Widerrufsfunktion. Seit dem 12. August 2026 gilt außerdem die EU-Verpackungsverordnung PPWR. Schon im September folgen neue Pflichten zu Cybervorfällen sowie Gewährleistung, Garantien und Umweltaussagen.

Trotzdem muss nicht jeder Händler jede Regelung gleichzeitig umsetzen. Entscheidend sind fünf Fragen: Verkaufst du an Verbraucher? In welche Länder lieferst du? Welche Produktgruppen führst du? Bist du nur Händler oder auch Importeur beziehungsweise Hersteller? Und bietest du eigene Marken, vernetzte Produkte oder Finanzierung an?

Dieser Beitrag aktualisiert die Zeitleiste unseres Whitepapers mit Stand vom 17. August 2026. Besonders wichtig: Die Fristen der EU-Entwaldungsverordnung EUDR wurden nach Veröffentlichung des Whitepapers nochmals verschoben.

Whitepaper Compliance 2026/27: Regulierungswelle im E-CommerceWiderrufsbutton, PPWR, Gewährleistungslabel, CCD II, Cyber Resilience Act, Digitaler Produktpass — alle Stichtage, wer wann betroffen ist und was zu tun ist.Whitepaper kostenlos sichern

Die nächsten Stichtage im Überblick

Die Tabelle ist eine Priorisierung, keine pauschale Betroffenheitsfeststellung. Eine EU-Richtlinie muss zudem national umgesetzt werden, während eine EU-Verordnung grundsätzlich direkt gilt. Für die konkrete Umsetzung zählen deshalb immer Geschäftsmodell, Mitgliedstaat und nationale Rechtslage.

Drei bereits geltende Pflichten gehören in jeden Rückstands-Check

Die Planung darf nicht erst im Juni 2026 beginnen. Mehrere große Regelwerke gelten längst. Wer sie bisher nur als abgeschlossenes Rechtsprojekt betrachtet hat, sollte prüfen, ob sie im laufenden Sortiment, in neuen Templates und nach dem letzten Relaunch weiterhin korrekt umgesetzt sind.

GPSR: Pflichtinformationen müssen am konkreten Angebot stehen

Die EU-Produktsicherheitsverordnung GPSR gilt seit dem 13. Dezember 2024. Sie hat für den Onlinehandel vor allem verändert, welche Produkt- und Herstellerinformationen bereits im Fernabsatzangebot sichtbar sein müssen. Dazu gehören je nach Produkt unter anderem die eindeutige Identifikation, die Kontaktdaten von Hersteller und gegebenenfalls verantwortlicher Person in der EU sowie Warn- und Sicherheitsinformationen. Die Verordnung (EU) 2023/988 bezieht ausdrücklich auch Onlineangebote und Fulfilment-Akteure ein.

In der Praxis reicht ein einmaliger Import nicht. Neue Lieferanten, Varianten, Bundles und Marktplatz-Feeds können jederzeit wieder Lücken erzeugen. Ein GPSR-Audit sollte deshalb Stichproben über Produktdetailseite, mobile Ansicht, Sprachversionen und externe Verkaufskanäle umfassen. Fehlt die Information im PIM oder ERP, ist ein manuell gepflegtes Textfeld im Shop selten eine dauerhafte Lösung.

BFSG: Barrierefreiheit ist ein laufendes Qualitätsmerkmal

Das deutsche Barrierefreiheitsstärkungsgesetz erfasst seit dem 28. Juni 2025 unter anderem Dienstleistungen im elektronischen Geschäftsverkehr. Eine Ausnahme besteht für Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen; sie gilt jedoch nicht pauschal für jede Produktpflicht. Maßgeblich sind der Anwendungsbereich des BFSG und die Kleinstunternehmensregelung in § 3 BFSG.

Für Shop-Projekte bedeutet das: Barrierefreiheit endet nicht mit einem automatisierten Lighthouse-Test. Navigation, Suche, Filter, Variantenwahl, Warenkorb, Checkout, Zahlungsarten, Kundenkonto und Fehlermeldungen müssen mit Tastatur und assistiven Technologien bedienbar sein. Nach Theme-Updates, Plugin-Wechseln oder neuen CMS-Elementen braucht es erneut funktionale Tests.

Data Act: Ab 12. September 2026 wird „Datenzugang by Design“ konkret

Der Data Act gilt grundsätzlich bereits seit dem 12. September 2025. Für vernetzte Produkte und verbundene Dienste kommt aber ein weiterer relevanter Stichtag hinzu: Die Produktgestaltungspflicht aus Artikel 3 Absatz 1 gilt für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Nutzer sollen die bei der Verwendung entstehenden Produkt- und Dienstdaten einfach, sicher und grundsätzlich unentgeltlich zugänglich erhalten. Die Staffelung steht in Artikel 50 der Verordnung (EU) 2023/2854.

Für einen reinen Wiederverkäufer ohne Zugriff auf die Datenplattform ist das meist keine eigene Entwicklungsaufgabe. Bei Eigenmarken, IoT-Produkten, Apps, Kundenportalen oder verbundenen Services muss dagegen geklärt werden, wo der Nutzer seine Daten anfordert, in welchem Format sie bereitgestellt werden und welche Vertrags- und Datenschutzhinweise dazu passen. Diese Arbeit überschneidet sich mit dem CRA, ist aber nicht dasselbe Projekt: Der Data Act regelt Datenzugang und Datennutzung, der CRA die Cybersicherheit des Produkts.

Bereits fällig: Widerrufsfunktion und PPWR

Digitale Widerrufsfunktion seit 19. Juni 2026

Wer Verbrauchern online widerrufsfähige Verträge anbietet, muss den Widerruf über eine leicht auffindbare Online-Funktion ermöglichen. Der Prozess umfasst nicht nur einen Link: Nach Eingabe der notwendigen Angaben muss der Kunde die Widerrufserklärung ausdrücklich bestätigen können und anschließend eine Bestätigung auf einem dauerhaften Datenträger erhalten. Die Funktion muss während der gesamten Widerrufsfrist verfügbar sein. Grundlage ist die Richtlinie (EU) 2023/2673, deren Vorgaben seit dem 19. Juni 2026 anzuwenden sind.

Wann die Funktion tatsächlich erforderlich ist, wie der Ablauf aussehen muss und wie sie sich in Shopware 6 nativ oder per Plugin umsetzen lässt, erläutern wir im Detail in unserem Beitrag Widerrufsbutton 2026: Pflicht, Umsetzung und Shopware-6-Guide.

Für den Shop-Check reichen deshalb drei Fragen:

1. Ist die Funktion ohne Login und ohne Suche im Footer erreichbar?
2. Funktionieren Identifikation, Bestätigung und E-Mail-Nachweis vollständig?
3. Werden Widerrufe strukturiert an Kundenservice, ERP und Retourenprozess übergeben?

Ein Kontaktformular oder eine E-Mail-Adresse allein bilden diesen Ablauf nicht ab.

PPWR gilt seit 12. August 2026 – aber nicht jede Einzelpflicht sofort

Die Verordnung (EU) 2025/40 über Verpackungen und Verpackungsabfälle gilt seit dem 12. August 2026. Das bedeutet nicht, dass alle Kennzeichnungs-, Rezyklat- und Wiederverwendungsquoten an diesem Tag gleichzeitig wirksam werden. Viele Vorgaben greifen gestaffelt oder benötigen noch konkretisierende Rechtsakte.

Jetzt fällig ist die Grundlagenarbeit: Verpackungsarten und Länder erfassen, Rollen in der Lieferkette klären, Registrierungen und Systeme der erweiterten Herstellerverantwortung prüfen sowie Material-, Gewichts- und Lieferantendaten zentral verfügbar machen. Wer erst bei der nächsten Kennzeichnungsfrist nach diesen Daten fragt, startet zu spät.

11. September 2026: CRA-Meldewege müssen stehen

Der Cyber Resilience Act betrifft Produkte mit digitalen Elementen – etwa vernetzte Geräte, IoT-Komponenten und kommerziell bereitgestellte Software. Die Verordnung gilt vollständig erst ab dem 11. Dezember 2027. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle greifen jedoch schon am 11. September 2026. Das bestätigt die offizielle EUR-Lex-Zusammenfassung zum Cyber Resilience Act.

Direkt melden müssen vor allem Hersteller. Händler und Importeure brauchen trotzdem einen belastbaren Eskalationsweg: Wer nimmt eine Sicherheitsmeldung entgegen? Wie wird der Hersteller identifiziert? Wer stoppt bei ernstem Risiko den Verkauf? Und wie werden Charge, Softwareversion und Kundenkreis nachvollzogen?

Für Eigenmarken und individuell entwickelte Software ist die Herstellerrolle besonders kritisch. Dort gehört neben dem Meldeprozess bereits jetzt ein Plan für Sicherheitsupdates, technische Dokumentation und Konformitätsbewertung auf die Roadmap bis Dezember 2027.

27. September 2026: Sichtbare Änderungen im B2C-Shop

Die Richtlinie zur Stärkung der Verbraucher für den ökologischen Wandel – kurz EmpCo – wirkt direkt auf Produktkommunikation und Shop-Oberfläche. Ab dem 27. September 2026 sind die nationalen Umsetzungsmaßnahmen anzuwenden. Die Richtlinie (EU) 2024/825 verschärft Regeln für Umweltaussagen und führt harmonisierte Informationen zu Gewährleistung und Haltbarkeitsgarantien ein.

Für Onlinehändler sind drei Arbeitsstränge relevant:

• Gewährleistungshinweis: Der harmonisierte Hinweis auf die gesetzliche Gewährleistung muss gut sichtbar in den B2C-Auftritt integriert werden.
• Haltbarkeitsgarantie: Das harmonisierte Label ist nur dann am konkreten Produkt zu zeigen, wenn der Hersteller kostenlos eine Haltbarkeitsgarantie von mehr als zwei Jahren für das gesamte Produkt anbietet und die Information bereitstellt. Es ist kein allgemeines Qualitätssiegel.
• Green Claims: Pauschale Aussagen wie „umweltfreundlich“, „klimaneutral“ oder „grün“ brauchen eine belastbare Grundlage oder müssen aus Produktdaten, Bannern, Filtern und Kampagnen entfernt werden.

Design und Inhalt von Hinweis und Label sind durch die Durchführungsverordnung (EU) 2025/1960 vorgegeben. Eigene Icons oder frei formulierte Ersatztexte sind daher kein sicherer Shortcut.

20. November 2026: Zahlungsarten unter CCD II neu bewerten

Die neue Verbraucherkreditrichtlinie erweitert den europäischen Rahmen für Verbraucherkredite und Zahlungsaufschübe. Die nationalen Regeln sind ab dem 20. November 2026 anzuwenden. Die Richtlinie (EU) 2023/2225 enthält zwar Ausnahmen, aber „Rechnungskauf“ oder „Buy Now, Pay Later“ sind nicht allein wegen ihres Namens außerhalb des Anwendungsbereichs.

Händler sollten jede Zahlungsart gemeinsam mit Payment Service Provider und Rechtsberatung einordnen: Wer ist Kreditgeber oder Vermittler? Wie lang ist der Aufschub? Fallen Zinsen, Gebühren oder Verzugsentgelte an? Wer erfüllt Informationspflichten, Kreditwürdigkeitsprüfung und Widerrufsprozess? Diese Antworten müssen vor dem Stichtag in Checkout, Vertragsunterlagen und Supportprozessen zusammenpassen.

Dezember 2026: Produkthaftung und EUDR richtig einordnen

Neue Produkthaftung ab 9. Dezember 2026

Die neue Produkthaftungsrichtlinie erfasst ausdrücklich auch Software und digitale Bestandteile. Sie ist von den Mitgliedstaaten bis zum 9. Dezember 2026 umzusetzen und gilt für Produkte, die ab diesem Datum in Verkehr gebracht oder in Betrieb genommen werden. Das folgt aus der Richtlinie (EU) 2024/2853.

Der Termin ist kein neuer Button im Shop. Er ist ein Anlass, Rollen, Lieferantenverträge, Rückverfolgbarkeit, technische Unterlagen und Versicherungsschutz zu prüfen – besonders bei Import, Eigenmarken, Bundles und digital erweiterten Produkten.

EUDR auf 30. Dezember 2026 beziehungsweise 30. Juni 2027 verschoben

Die im Whitepaper noch genannte frühere Zeitleiste ist überholt. Nach der erneuten Änderung gilt die EU-Entwaldungsverordnung ab dem 30. Dezember 2026 für die meisten betroffenen Unternehmen. Für die meisten Klein- und Kleinstunternehmen verschiebt sich die Anwendung auf den 30. Juni 2027; bestimmte bereits von der Holzhandelsverordnung erfasste kleine Unternehmen bleiben bei Dezember 2026. Das fasst die Europäische Kommission im aktuellen EUDR-Bericht zusammen.

Betroffen sind nicht pauschal alle Händler, sondern relevante Erzeugnisse aus Rindern, Kakao, Kaffee, Ölpalme, Kautschuk, Soja und Holz. Die überarbeitete Regelung konzentriert die Sorgfaltserklärung stärker auf den ersten Inverkehrbringer oder Exporteur. Nachgelagerte Händler brauchen dennoch saubere Artikelklassifikation, Lieferantenreferenzen und einen Prozess für behördliche Anfragen.

Vier Händlerprofile – und ihre wahrscheinlichsten Prioritäten

Eine sinnvolle Roadmap entsteht nicht aus der Anzahl der Gesetze, sondern aus der eigenen Rolle. Die folgenden Profile helfen beim ersten Zuschnitt.

1. Der deutsche B2C-Wiederverkäufer

Wer Standardware von EU-Lieferanten ausschließlich an Verbraucher in Deutschland verkauft, sollte zuerst Widerrufsfunktion, BFSG, GPSR-Darstellung und die September-Änderungen aus EmpCo prüfen. PPWR und CCD II kommen hinzu, wenn eigene Versandverpackungen beziehungsweise Finanzierungs- oder Aufschubmodelle genutzt werden. CRA, Batteriepass oder EUDR sind dagegen nur sortimentsabhängig relevant.

2. Der grenzüberschreitende EU-Händler

Mit jedem Versandland steigen die Abhängigkeiten: Sprachfassungen, länderspezifische Registrierungen, Systeme der erweiterten Herstellerverantwortung, Rücknahme- und Verpackungspflichten sowie nationale Umsetzungen von Richtlinien. Das Shopware-Sales-Channel-Modell kann Länder, Domains und Sprachen trennen; es ersetzt aber keine dokumentierte Prüfung, ob Information und Registrierung im jeweiligen Zielmarkt korrekt sind.

3. Importeur, Eigenmarke oder Hersteller

Dieses Profil trägt die größte Regulierungsdichte. Neben GPSR und PPWR werden Produkthaftung, CRA, Data Act, Batterierecht und gegebenenfalls EUDR zu Kernprojekten. Entscheidend ist nicht, was im Footer steht, sondern ob technische Akte, Risikobewertung, Konformität, Schwachstellenprozess, Rückverfolgbarkeit und Lieferantennachweise vorhanden sind. Ein Händler kann rechtlich in eine Herstellerrolle rutschen, wenn er ein Produkt unter eigenem Namen oder eigener Marke vermarktet.

4. Anbieter digitaler oder vernetzter Produkte

Bei Software, IoT-Geräten, Apps und verbundenen Diensten treffen mehrere Regelwerke auf denselben Datenfluss. Data Act, CRA, neue Produkthaftung, Update-Informationen aus EmpCo und Datenschutz müssen gemeinsam modelliert werden. Wer jedes Thema separat löst, baut schnell vier Portale, vier Zuständigkeiten und widersprüchliche Aussagen zur Update- oder Support-Laufzeit.

18. Februar 2027: Batteriepass ist keine Pflicht für jede Batterie

Ab dem 18. Februar 2027 benötigen LMT-Batterien, Elektrofahrzeugbatterien und Industriebatterien mit mehr als 2 kWh einen elektronischen Batteriepass. Die Batterieverordnung (EU) 2023/1542 setzt zum selben Datum außerdem Anforderungen an die Entfernbarkeit und Austauschbarkeit portabler und LMT-Batterien in Kraft.

Ein Händler für gewöhnliche Knopfzellen muss deshalb nicht automatisch einen Batteriepass erzeugen. Wer betroffene Batterien, E-Bikes, Speicher oder Produkte mit eingebauten Akkus verkauft, sollte jedoch früh klären, wer den Pass bereitstellt, wie der QR-Zugang in Produkt und Datenfluss gelangt und welche Informationen im Shop ausgespielt werden.

Was in den nächsten 30 Tagen auf die Roadmap gehört

Statt alle Regelwerke gleichzeitig zu diskutieren, hilft eine Reihenfolge nach Risiko und technischer Vorlaufzeit:

1. Heute: Widerrufsfunktion Ende-zu-Ende testen und PPWR-Rollen sowie Verpackungsdaten dokumentieren.
2. Bis Ende August: CRA-Melde- und Eskalationsprozess für vernetzte Produkte festlegen; Hersteller- und Importeurrollen je Sortiment markieren.
3. Bis Mitte September: Gewährleistungshinweis und bedingtes Haltbarkeitslabel integrieren; Umweltaussagen über Shop, Feed und Kampagnen inventarisieren.
4. Parallel: BNPL-, Raten- und Rechnungskauf mit den Zahlungsanbietern auf CCD-II-Betroffenheit prüfen.
5. Für Q4 einplanen: Produkthaftungsdokumentation und EUDR-Sortiment bewerten; Lieferantenlücken mit Verantwortlichen und Termin versehen.
6. Für 2027 vorbereiten: Batteriedaten und CRA-Konformitätsprojekt nicht als reine Content-Aufgabe behandeln, sondern mit Einkauf, Produktmanagement, IT und Legal aufsetzen.

Wo die Anforderungen technisch in Shopware landen

Compliance ist kein einzelner Menüpunkt in der Administration. Die Pflichten verteilen sich über Datenhaltung, Storefront und Prozesse. Für die Aufwandsschätzung hilft eine Systemmatrix.

Produktmodell, PIM und Lieferantendaten

Hier entstehen die Grundlagen für GPSR, PPWR, EUDR, Batteriepass und Teile der EmpCo-Umsetzung. Benötigt werden nicht nur zusätzliche Felder, sondern klare Verantwortung und Validierung: Welche GTIN oder Modellkennung ist führend? Wer liefert Herstelleradresse, verantwortliche Person, Warnhinweise, Verpackungsmaterial, Garantiezeit, Update-Zeitraum und Sorgfaltserklärungsreferenz? Welche Angaben gelten auf Variantenebene?

Pflichtfelder sollten abhängig von Produktgruppe, Marke, Herstellerrolle und Verkaufsland geprüft werden. Ein Batteriepassfeld für das ganze Sortiment produziert genauso viel Unsicherheit wie ein einziges Freitextfeld für alle Sicherheitsinformationen.

Storefront und CMS

Produktdetailseite, Listing, Suche und CMS spielen die Informationen aus. Dort müssen Hinweise sichtbar, verständlich, sprachlich korrekt und barrierefrei sein. EmpCo-Label, GPSR-Warnhinweis und Herstellerinformation haben unterschiedliche Bedingungen; sie sollten nicht in einem statischen Textbaustein zusammenfallen. Auch AI- und Marktplatz-Feeds brauchen dieselbe freigegebene Datenbasis, sonst zeigt der Shop korrekte Angaben, während der externe Kanal veraltet bleibt.

Checkout, Kundenkonto und Service

Widerrufsfunktion und CCD II berühren den Kaufprozess unmittelbar. Eine Shopware-Erweiterung kann Eingabe und Bestätigung abbilden, aber der Prozess endet nicht im Frontend. Status, Zeitstempel, Bestätigung, Zuordnung zur Bestellung und Übergabe an Kundenservice oder ERP müssen revisionsfähig zusammenarbeiten. Bei Zahlungsarten ist zusätzlich zu testen, ob Hinweise, Bonitätsprüfung und Vertragspartner über alle Länder und Breakpoints korrekt wechseln.

Administration, Flow Builder und Integrationen

CRA-Vorfälle, Produktrückrufe, EUDR-Anfragen und Datenzugangsbegehren brauchen eindeutige Workflows. In Shopware können Regeln, Flow-Builder-Events und Integrationen Vorgänge verteilen; die fachliche Entscheidung bleibt aber bei einem benannten Owner. Sinnvoll sind feste Eskalationsstufen, Fristen, Vertretungen und ein Nachweis darüber, welche Daten wann an wen übertragen wurden.

Monitoring und Nachweis

Der Go-live ist nur ein Zwischenstand. Produktdaten ändern sich, Plugins werden aktualisiert und neue Länder oder Zahlungsarten kommen hinzu. Deshalb gehören automatisierte Pflichtfeldprüfungen, Accessibility-Tests, Stichprobenpläne und ein regelmäßiger Compliance-Review in den Betrieb. Gute Nachweise beantworten nicht nur „Ist die Information heute sichtbar?“, sondern auch „Welche Regel und welche Datenquelle haben diese Darstellung ausgelöst?“

Die sinnvollste technische Lösung ist selten ein separates Compliance-Plugin pro Gesetz. Besser ist eine gemeinsame Datenbasis für Herstellerrolle, Material, Verpackung, Garantie, Softwarestand, Risiko und Nachweise. Aus ihr können Shopware, PIM, ERP, Feeds und Dokumente jeweils die Information ziehen, die zum Stichtag sichtbar oder übermittelbar sein muss.

Fazit: Erst Betroffenheit, dann Umsetzung

Die größte Gefahr ist nicht, eine 200-seitige Verordnung nicht vollständig zu lesen. Sie liegt darin, Zuständigkeit und Datenbedarf erst wenige Wochen vor dem Stichtag zu klären. Wer Sortiment, Länder, Kundengruppe und Rolle in der Lieferkette einmal sauber erfasst, kann die kommenden Fristen wesentlich gezielter abarbeiten.

Der konkrete Stand hängt von Geschäftsmodell und nationaler Umsetzung ab. Dieser Beitrag bietet eine operative Orientierung, ersetzt aber keine rechtliche Beratung im Einzelfall.

Offizielle Quellen

• Digitale Widerrufsfunktion – Richtlinie (EU) 2023/2673
• EU-Produktsicherheitsverordnung – Verordnung (EU) 2023/988
• Barrierefreiheitsstärkungsgesetz
• EU Data Act – Verordnung (EU) 2023/2854
• EU-Verpackungsverordnung – Verordnung (EU) 2025/40
• Cyber Resilience Act – Verordnung (EU) 2024/2847
• EmpCo – Richtlinie (EU) 2024/825
• Verbraucherkreditrichtlinie – Richtlinie (EU) 2023/2225
• Produkthaftungsrichtlinie – Richtlinie (EU) 2024/2853
• EUDR: aktueller Stand der Europäischen Kommission
• Batterieverordnung – Verordnung (EU) 2023/1542