Rechtstext-Monitor KW 27: Widerrufsbutton-Pflicht, KI-Kennzeichnung und Data Privacy Framework unter Druck

Website-Betreiber und Online-Shops haben Anfang Juli 2026 gleich zwei harte Fristen im Blick: Die Widerrufsbutton-Pflicht gilt bereits seit dem 19. Juni — und die Plattformen setzen sie lückenhaft um. Ab dem 2. August greifen die Kennzeichnungspflichten der KI-Verordnung für fotorealistische KI-Inhalte. Dazu gerät das EU-US Data Privacy Framework nach einem US-Supreme-Court-Urteil unter Druck, und die Datenschutzkonferenz hat weitreichende Reformvorschläge für die deutsche Datenschutzaufsicht beschlossen. Unser Rechtstext-Monitor fasst die wichtigsten Entwicklungen vom 17. Juni bis 1. Juli 2026 zusammen.

So funktioniert unser Monitoring

Wir prüfen kontinuierlich sechs Fachquellen: IT-Recht Kanzlei, Dr. Schwenke, Verbraucherzentrale Bundesverband, LfDI Baden-Württemberg und weitere Aufsichtsbehörden. Unsere Filter durchsuchen jeden Artikel nach relevanten Begriffen wie DSGVO, DDG, TDDDG, Impressum, Datenschutzerklärung und Abmahnung.

1. Widerrufsbutton-Pflicht seit 19. Juni — Plattformen setzen lückenhaft um, Händler haften trotzdem

Seit dem 19. Juni 2026 müssen Online-Verkaufskanäle eine elektronische Widerrufsfunktion bereitstellen: Verbraucher sollen den Widerruf über einen klar gekennzeichneten Button mit elektronischem Formular erklären können. Die IT-Recht Kanzlei berichtet, dass die Umsetzung auf den Plattformen holpert: eBay hat zwar eine Online-Widerrufsfunktion eingeführt, verlinkt sie aber in der Fußzeile unter „Widerrufsrecht" statt mit der gesetzlich geforderten Bezeichnung „Vertrag widerrufen" — nach Einschätzung der Kanzlei nicht rechtssicher. Auf anderen Plattformen fehlt der Button teilweise ganz. Das Problem: Technisch kann nur der Plattformbetreiber die Funktion bereitstellen, wettbewerbsrechtlich abmahnbar sind über § 3a UWG aber die Händler. Das akute Abmahnrisiko schätzt die Kanzlei derzeit als überschaubar ein.

Parallel bleiben klassische Abmahnungen wegen komplett fehlender Widerrufsbelehrung und fehlendem Muster-Widerrufsformular ein Dauerthema (Art. 246a § 1 Abs. 2 EGBGB, § 312g BGB). Wichtig: Ohne ordnungsgemäße Belehrung beginnt die 14-tägige Widerrufsfrist nicht zu laufen — das Widerrufsrecht verlängert sich faktisch erheblich.

Was bedeutet das für Sie? Prüfen Sie Ihre Widerrufsbelehrung auf Vollständigkeit inklusive Muster-Widerrufsformular und wiederholen Sie die Belehrung nach Vertragsschluss per E-Mail. eBay-Händler sollten ihre Widerrufsbelehrung anpassen und direkt auf die eBay-Widerrufsfunktion verweisen, da die Plattform-Umsetzung allein nicht ausreicht. Verkaufen Sie über Plattformen ohne Widerrufsbutton, fordern Sie die Umsetzung beim Betreiber schriftlich ein und dokumentieren Sie Ihre Nachfrage.

2. KI-Inhalte im Shop: Kennzeichnungspflicht für fotorealistische Inhalte ab 2. August

Die IT-Recht Kanzlei konkretisiert in zwei Beiträgen die Transparenzpflichten der KI-Verordnung (Verordnung (EU) 2024/1689) für Online-Händler. Kennzeichnungspflichtig nach Art. 50 KI-VO sind Inhalte mit „Deepfake"-Charakter (Art. 3 Nr. 60 KI-VO): fotorealistische Produktbilder an künstlichen Orten, virtuelle Models mit realistischem Aussehen, KI-Stimmen oder künstlich verstärkte Vorher-Nachher-Effekte. Nicht kennzeichnungspflichtig sind offensichtlich künstliche Grafiken, Cartoons, rein technische Bildoptimierungen und gewöhnliche KI-Produktbeschreibungen. Die Kennzeichnung muss klar, sichtbar und unmittelbar am Inhalt erfolgen — nicht in AGB oder Metadaten. Altinhalte von vor dem 2. August 2026 müssen nicht nachträglich markiert werden. Bei Verstößen drohen laut Quelle Geldbußen bis 15 Millionen Euro oder 3 Prozent des Jahresumsatzes, daneben UWG-Abmahnungen wegen Irreführung.

Was bedeutet das für Sie? Machen Sie bis zum 2. August eine Bestandsaufnahme aller fotorealistischen KI-Inhalte in Shop, Werbung und Social Media. Bewerten Sie den Echtheitseindruck und kennzeichnen Sie pflichtige Inhalte direkt am Inhalt, etwa mit „KI-generiertes Bild". Auf Marktplätzen sollten Sie vorhandene Kennzeichnungstools der Plattform nutzen. Die maschinenlesbare Kennzeichnung wird zum 2. Dezember 2026 verpflichtend.

3. Data Privacy Framework unter Druck: US-Urteil schwächt die FTC

Dr. Schwenke hat seinen Beitrag zum EU-US Data Privacy Framework (DPF) aktualisiert: Ein Urteil des US Supreme Court vom 29. Juni 2026 schwächt die Unabhängigkeit der Federal Trade Commission — einer tragenden Säule des Angemessenheitsbeschlusses nach Art. 45 DSGVO. Die Datenschutzorganisation noyb sieht das DPF gefährdet und kündigt Klagen an. Die Einordnung: Das DPF ist derzeit rechtswirksam und nutzbar, aber wie schon Safe Harbor und Privacy Shield nicht dauerhaft gesichert.

Was bedeutet das für Sie? Inventarisieren Sie Ihre US-Dienste (Hosting, Analytics, Newsletter, Cloud) und prüfen Sie deren DPF-Zertifizierung — auch bei Subunternehmern europäischer Anbieter. Vereinbaren Sie Standardvertragsklauseln (Art. 46 DSGVO) als Rückfallebene und halten Sie Ihre Datenschutzerklärung und das Verarbeitungsverzeichnis bei den Drittlandtransfer-Hinweisen aktuell. Wo praktikabel, sind EU-Alternativen die ruhigere Wahl.

4. Datenschutzkonferenz beschließt „Stuttgarter Impulse" zur Aufsichtsreform

Auf der 111. Datenschutzkonferenz (16.–18. Juni, Stuttgart) haben die Landesdatenschutzbeauftragten einstimmig die „Stuttgarter Impulse zur Modernisierung des Datenschutzes" verabschiedet. Kernpunkte: eine gesetzliche Verankerung der DSK mit verbindlichen Mehrheitsentscheidungen für alle deutschen Aufsichtsbehörden und ein zentraler Ansprechpartner für bundesländerübergreifend tätige Unternehmen — Entscheidungen einer Behörde sollen künftig länderübergreifend gelten. Daneben beschloss die DSK Positionen zur Jugendmedienbildung und zur Radar-Sensorik im künftigen 6G-Standard, die „Data Protection by Design" bereits in der Standardisierung fordern.

Was bedeutet das für Sie? Kurzfristig nichts — es sind Vorschläge an den Gesetzgeber, kein geltendes Recht. Mittelfristig wäre eine einheitliche, verbindliche Behördenpraxis ein Gewinn: Die heute uneinheitlichen Auslegungen der 18 deutschen Aufsichtsbehörden, etwa bei Cookie-Bannern und Tracking, würden reduziert. Beobachten Sie, ob der Gesetzgeber die Initiative aufgreift.

Fazit: Was Sie jetzt tun sollten

Mit unserem kostenlosen Cookie-Check können Sie sofort prüfen, ob Ihre Website die aktuellen Anforderungen erfüllt.

Quellenverzeichnis

1. IT-Recht Kanzlei — „Abmahnung garantiert: bei fehlender Widerrufsbelehrung im Online-Angebot" (30.06.2026)
2. IT-Recht Kanzlei — „Neuigkeiten zum Widerrufsbutton bei eBay.de" (19.06.2026)
3. IT-Recht Kanzlei — „Fehlender Widerrufsbutton auf Verkaufsplattformen: Was droht Händlern?" (17.06.2026)
4. IT-Recht Kanzlei — „KI-Inhalte im Online-Shop richtig kennzeichnen" (26.06.2026)
5. IT-Recht Kanzlei — „KI-Inhalte im Online-Shop: Wann Händler kennzeichnen müssen" (17.06.2026)
6. Dr. Schwenke — „Data Privacy Framework (DPF): Einsatz von US-Dienstleistern nun DSGVO-sicher?" (Stand 30.06.2026)
7. Dr. Schwenke — „Ist eine Datenschutzerklärung Pflicht und was muss drin stehen?" (Stand 30.06.2026)
8. LfDI Baden-Württemberg / DSK — „Stuttgarter Impulse zur Modernisierung des Datenschutzes" (18./19.06.2026)
9. DSK — „Jugendmedienbildung, Radar-Sensorik und 6G" (18.06.2026)

Weiterlesen

• Rechtstext-Monitor KW 18 — Datenschutz unter Druck, Deepfake-Gesetz und Abmahn-Dauerbrenner
• Rechtstext-Monitor KW 17 — Smartphone-Pflichtangaben, E-Mail-Werbung und Netflix-Gutscheinurteil
• Cookie-Banner Pflicht 2026 — Rechtslage nach TDDDG und DSGVO

Dieser Bericht wird alle 14 Tage aktualisiert. Der nächste Rechtstext-Monitor erscheint am 15. Juli 2026.