April 2026: Rechtliche Updates für Website-Betreiber (DSGVO, BFSG, Widerrufsbutton)

Im April 2026 gibt es gleich mehrere wichtige rechtliche Entwicklungen, die Website-Betreiber in Oldenburg und Umgebung betreffen. Der EuGH hat DSGVO-Hoppern erstmals Grenzen gesetzt. Ein OLG-Urteil zum Kündigungsbutton wird als direkter Blueprint für den kommenden Widerrufsbutton dienen. Und die ersten professionellen BFSG-Abmahnungen mit Kosten von über 2.000 Euro sind verschickt worden.

Parallel läuft die reCAPTCHA-Deadline seit dem 2. April und der Widerrufsbutton wird ab 19. Juni Pflicht. Wer jetzt nicht handelt, riskiert Abmahnungen und Bußgelder. Dieser Artikel fasst die wichtigsten rechtlichen Änderungen zusammen und erklärt aus Entwicklersicht (keine Rechtsberatung!), was technisch zu tun ist.

Das Problem: Warum das wichtig ist

Die rechtlichen Anforderungen an Websites haben sich in den letzten Monaten verschärft. Was passiert, wenn du NICHTS tust? DSGVO-Verstöße können in Deutschland bis zu 46,9 Millionen Euro kosten (Deutschland 2025, DSGVO-Portal 2026). BFSG-Verstöße sind mit Bußgeldern bis zu 100.000 Euro belegt (BFSG §37 2026). Wettbewerbsrechtliche Abmahnungen kosten aktuell 2.274 Euro pro Fall (KBM Legal 2026).

Viele denken, das betrifft sie nicht. Ein häufiger Irrtum: "Ich bin doch kein großes Unternehmen". Aber 4 Prozent aller deutschen Unternehmen haben bereits DSGVO-basierte Abmahnungen erhalten (Statista 2019). Und beim BFSG gibt es kaum Ausnahmen. Kleinstunternehmen (unter 10 Mitarbeiter UND maximal 2 Millionen Euro Umsatz) sind nur von Dienstleistungspflichten befreit, nicht von Produktanforderungen (BFSG 2026).

Die Komplexität ist hoch. Was auf den ersten Blick einfach wirkt (DSGVO-Auskunft ablehnen, Button einbauen, Website barrierefrei machen), hat in der Praxis Tücken. Die Beweislast liegt bei dir als Website-Betreiber. Technische Fehler gehen zu deinen Lasten. Und 95,9 Prozent aller Websites haben WCAG-Fehler, durchschnittlich 56,1 Fehler pro Homepage (WebAIM Million Report 2026, Xictron 2026).

EuGH-Urteil: DSGVO-Hopper bekommen erstmals Grenzen gesetzt

Am 19. März 2026 urteilte der EuGH in der Rechtssache C-526/24 (Brillen Rottler), dass selbst ein erster Auskunftsantrag nach Art. 15 DSGVO als "exzessiv" abgelehnt werden kann (European Court of Justice 2026, Haufe 2026). Das ist ein Paukenschlag für KMU, die unter DSGVO-Hoppern leiden.

Was ist DSGVO-Hopping?

DSGVO-Hopper sind Personen, die systematisch Auskunftsanträge bei verschiedenen Unternehmen stellen. Nicht um zu erfahren, welche Daten gespeichert sind, sondern um Schadensersatz nach Art. 82 DSGVO zu kassieren. Das Muster ist immer gleich: Auskunftsantrag stellen, abwarten, dann behaupten, die Auskunft sei unvollständig oder zu spät gekommen und Schadensersatz fordern.

Bisher galt: Ein Auskunftsantrag ist ein Auskunftsantrag. Egal ob der erste oder der hundertste. Unternehmen mussten antworten. Und wenn sie den Verdacht hatten, dass der Antrag nur zum Schadensersatz-Kassieren gestellt wurde, konnten sie nichts tun.

Was hat sich jetzt geändert?

Der EuGH sagt: Ein Auskunftsantrag kann abgelehnt werden, wenn er objektiv nicht dem Zweck dient, Informationen über die Datenverarbeitung zu erhalten, sondern gezielt Schadensersatzansprüche konstruieren soll (European Court of Justice 2026). Als Indiz gilt, wenn eine Person bei verschiedenen Unternehmen serielle Auskunftsanträge stellt und anschließend Schadensersatz fordert (Haufe 2026).

Aber Achtung: Die Beweislast liegt vollständig beim Unternehmen (Haufe 2026). Und eine fälschliche Ablehnung löst ebenfalls Art. 82-Haftung aus. Das bedeutet: Du musst dokumentieren können, WARUM du den Antrag für exzessiv hältst. Und wenn du falsch liegst, zahlst du Schadensersatz.

Was bedeutet das aus Entwicklersicht?

Technisch brauchst du jetzt zwei Dinge: Ein System, um eingehende Auskunftsanträge zu loggen (Datum, Absender, Inhalt) und einen Prozess, um verdächtige Muster zu erkennen. Wenn die gleiche Person mehrere Auskunftsanträge an verschiedene deiner Websites schickt oder wenn du über Branchennetzwerke erfährst, dass die gleiche Person bei Wettbewerbern ebenfalls Anträge gestellt hat, ist das ein Indiz.

Aber du kannst nicht einfach ablehnen. Du brauchst eine dokumentierte Begründung. Und du musst den Antragsteller informieren, dass du den Antrag für exzessiv hältst und warum. Das ist rechtlich komplex. Aus meiner Erfahrung als Webentwickler aus Sandkrug rate ich: Einen verdächtigen Auskunftsantrag zu dokumentieren ist technisch einfach. Ihn abzulehnen ist rechtlich komplex und sollte mit einem Anwalt abgestimmt werden.

Was ich bei Website-Checks in der Region häufig sehe: Unternehmen haben überhaupt kein System für Auskunftsanträge. Die Anfrage kommt per E-Mail, wird manuell beantwortet, nirgends dokumentiert. Das ist riskant. Du brauchst mindestens ein Ticket-System oder ein CRM, in dem alle Anträge erfasst werden. Mit Datum, Betroffenen-ID und Status.

OLG-Urteil zum Kündigungsbutton: Blueprint für den Widerrufsbutton

Das OLG Schleswig-Holstein urteilte am 4. März 2026 (Az. 6 U 42/25) zum Kündigungsbutton nach §312k BGB (Shopbetreiber-Blog 2026). Das Urteil ist rechtskräftig (keine Revision zugelassen) und wird als direkter Blueprint für die Bewertung des ab 19. Juni geltenden Widerrufsbuttons dienen.

Was hat das Gericht entschieden?

Drei zentrale Punkte: Erstens, eine Kündigung als "Kündigungswunsch" zu bezeichnen ist irreführend nach §5 UWG. Der Button muss eindeutig heißen: "Jetzt kündigen" oder "Vertrag kündigen". Nicht "Kündigungswunsch", "Kündigung anfragen" oder ähnlich abgeschwächte Formulierungen (Shopbetreiber-Blog 2026).

Zweitens, technische Fehler nach dem Klick gehen zulasten des Unternehmens. Die Beweislast liegt beim Anbieter. Wenn ein Kunde sagt "Ich habe auf den Button geklickt, aber es kam keine Bestätigung", muss das Unternehmen beweisen, dass die Kündigung angekommen ist. Nicht umgekehrt (Shopbetreiber-Blog 2026).

Drittens, die gesamte Nutzerführung (UX) wird bewertet, nicht einzelne Elemente. Wenn der Button technisch korrekt ist, aber in der UX versteckt oder schwer zu finden, reicht das nicht. Das Gericht schaut sich den ganzen Prozess an: Wo ist der Button? Wie viele Klicks brauche ich? Gibt es Ablenkungen? (Shopbetreiber-Blog 2026).

Was bedeutet das für den Widerrufsbutton ab 19. Juni?

Der Widerrufsbutton wird nach den gleichen Maßstäben bewertet. Das bedeutet aus technischer Sicht: Der Button muss eindeutig beschriftet sein. "Widerruf" oder "Vertrag widerrufen", nicht "Widerrufswunsch". Er muss technisch einwandfrei funktionieren. Ein Klick, Bestätigung senden, Bestätigung loggen. Keine Fehler, keine Timeouts, keine 404-Seiten. Und die UX muss intuitiv sein.

Konkret heißt das: Maximal zwei Klicks vom Kundenkonto zum Widerruf. Keine versteckten Menüs, keine Unterseiten, keine Suche. Der Button muss sichtbar sein. Und nach dem Klick eine Bestätigungsseite mit Widerrufsbestätigung per E-Mail und Speicherung im Kundenkonto.

Ein häufiger Fehler, den lokale Betriebe machen: Sie bauen den Button ein, aber testen ihn nicht unter Last. Funktioniert der Widerruf auch, wenn 100 Kunden gleichzeitig klicken? Wird die Bestätigung in allen E-Mail-Clients korrekt angezeigt? Ist der Widerruf im Kundenkonto sofort sichtbar? Diese Tests kosten Zeit, sind aber zwingend nötig.

Kostenloser Website-Check

Du willst wissen, wo deine Website steht? Ich prüfe bei einem kostenlosen 20-Minuten Check auf offensichtliche Probleme:

Welche der rechtlichen Änderungen betreffen deine Website konkret?
Erste Einschätzung: DSGVO-Datenschutzerklärung, Cookie-Banner, fehlende Buttons
Barrierefreiheit: Quick-Check auf häufigste WCAG-Fehler (Alt-Texte, Kontraste, Labels)
Handlungsempfehlung: Was sollte priorisiert werden?

Kostenlos und unverbindlich. 20 Minuten, die Klarheit schaffen.

Für Betriebe in Oldenburg, Ganderkesee, Wardenburg, Hude, Großenkneten und Umgebung.

→ Kontaktformular auf level-nord.de

BFSG-Abmahnwelle wird real: Kanzlei MK fordert 2.274 Euro

Seit Februar 2026 verschickt die Kanzlei MK | Michael Krause (Berlin) professionelle, formell korrekte BFSG-Abmahnungen an Website-Betreiber (KBM Legal 2026). Anders als die mangelhaften Abmahnungen der CLAIMS GmbH im Sommer 2025 sind diese ernst zu nehmen. Die Kosten pro Abmahnung: 1.784,10 Euro netto vorgerichtlich plus 490 Euro netto Webseitenanalyse-Kosten, insgesamt 2.274 Euro (KBM Legal 2026).

Was steht in den Abmahnungen?

Die Abmahnungen enthalten eine Unterlassungserklärung und einen "Barrierefreiheits-Prüfbericht" der K3 International GmbH (KBM Legal 2026). Der Prüfbericht listet konkrete WCAG-Fehler auf der Website auf. Häufige Fehlerquellen: Fehlende Alt-Texte bei Bildern, zu geringe Farbkontraste, nicht bedienbare Formulare ohne Tastaturunterstützung und fehlende oder mangelhafte Barrierefreiheitserklärungen (Quellcoder 2026).

Was viele nicht wissen: Gerade die Barrierefreiheitserklärung wird oft vergessen, obwohl sie eine eigenständige Pflicht nach dem BFSG darstellt (Quellcoder 2026). Du brauchst eine Seite auf deiner Website, die den aktuellen Stand der Barrierefreiheit dokumentiert, bekannte Einschränkungen benennt und eine Kontaktmöglichkeit für Feedback bietet (Nevercodealone 2026).

Wie hoch ist das Risiko?

Der WebAIM Million Report 2026 zeigt: 95,9 Prozent aller Websites weisen mindestens einen WCAG-Fehler auf. Durchschnittlich 56,1 Fehler pro Homepage (Xictron 2026). Die fünf häufigsten Fehlerarten betreffen fundamentale Aspekte: Kontrast zu niedrig (83,6 Prozent), fehlende Alt-Texte (54,5 Prozent), leere Links (44,6 Prozent), fehlende Form-Labels (45,9 Prozent) und leere Buttons (26,9 Prozent) (Xictron 2026).

80 Prozent der deutschen Online-Shops sind nicht barrierefrei (Aktion Mensch/Google, Xictron 2026). Und die Marktüberwachungsbehörde (MLBF) ist seit Januar 2026 aktiv (Quellcoder 2026). Parallel droht die EU-Kommission Deutschland mit Geldbußen wegen unvollständiger BFSG-Umsetzung. Frist: Mitte Mai 2026 (BFSG 2026). Experten rechnen mit einer verschärften BFSG-Novelle noch 2026 oder Anfang 2027 (Quellcoder 2026).

Das Abmahnrisiko ist damit real und quantifizierbar. Nicht mehr "könnte passieren", sondern "passiert gerade". Seit Ende 2025 ist ein deutlicher Anstieg an Abmahnungen zu beobachten, der sich im ersten Quartal 2026 weiter verstärkt hat (Quellcoder 2026).

Was muss ich technisch umsetzen?

BFSG-Konformität bedeutet WCAG 2.1 Level AA erfüllen (Nevercodealone 2026). Konkret sind das vier Prinzipien: Wahrnehmbarkeit (alle Inhalte müssen für unterschiedliche Sinne zugänglich sein), Bedienbarkeit (gesamte Website muss per Tastatur bedienbar sein), Verständlichkeit (Texte in klarer Sprache, Formulare mit Labels und Fehlermeldungen) und Robustheit (kompatibel mit assistiven Technologien) (Nevercodealone 2026).

Die Umsetzung hängt stark davon ab, welches System du nutzt und wie deine Seite aufgebaut ist. Ein WordPress-Theme mit schlechter Barrierefreiheit kannst du nicht einfach "patchen". Du brauchst entweder ein neues Theme oder umfangreiche Custom-CSS-Anpassungen. Ein Custom-System (wie das Lotse CMS) lässt sich gezielter anpassen, weil du vollen Zugriff auf den Code hast.

Aus meiner Erfahrung bei Website-Checks in der Region: Die meisten Websites haben Quick-Win-Fehler. Bilder ohne Alt-Text, zu helle Grautöne für Links, fehlende Labels bei Formularen. Das sind Dinge, die man in wenigen Stunden beheben kann. Aber es gibt auch strukturelle Probleme. Navigationen, die nur mit der Maus funktionieren. Dropdown-Menüs, die mit der Tastatur nicht erreichbar sind. Modals, die keinen Fokus fangen. Das erfordert tiefere Code-Änderungen.

Was viele unterschätzen: Herunterladbare Dokumente. Während die HTML-Seiten oft bereits angepasst wurden, liegen auf vielen Servern noch hunderte PDF-Dateien, die nicht barrierefrei sind: Allgemeine Geschäftsbedingungen, Produktanleitungen, Antragsformulare, Preislisten (Quellcoder 2026). Diese PDFs müssen ebenfalls barrierefrei sein oder durch barrierefreie HTML-Versionen ersetzt werden.

Erinnerung: reCAPTCHA-Deadline ist vorbei (2. April 2026)

Die Google-reCAPTCHA-Umstellung auf Auftragsverarbeiter wurde am 2. April 2026 planmäßig vollzogen (Datenschutz Notizen 2026, Datenschutzticker 2026). Google stellt automatisch einen AV-Vertrag über das Cloud Data Processing Addendum bereit (IT-Recht Kanzlei 2026). Noch keine Abmahnungen bekannt (erst 13 Tage her), aber mehrere Quellen warnen vor einer kommenden Abmahnwelle (IT-Recht Kanzlei 2026).

Seit dem BGH-Urteil März 2025 können Mitbewerber DSGVO-Verstöße wettbewerbsrechtlich abmahnen (Level Nord 2026). Das bedeutet: Wenn deine Datenschutzerklärung noch die alte Rolle von Google als eigenständig Verantwortlichem beschreibt, kannst du abgemahnt werden.

Konkrete Pflichten jetzt: Datenschutzerklärung aktualisieren (Googles Rolle als Auftragsverarbeiter beschreiben, Verweise auf Google Privacy Policy entfernen) (Börse Social 2026, Robin Herold 2026). Verzeichnis von Verarbeitungstätigkeiten (VVT) anpassen. Cookie-Banner/Consent prüfen (IT-Recht Kanzlei 2026).

Alternativen zu reCAPTCHA: Friendly Captcha (EU-Anbieter, DSGVO-konform ohne Auftragsverarbeitung) oder Honeypot-Methoden (unsichtbare Formularfelder, die Bots ausfüllen, Menschen aber nicht) (Proliance 2026). Diese Alternativen vermeiden die gesamte Auftragsverarbeitungs-Problematik.

Erinnerung: Widerrufsbutton wird ab 19. Juni 2026 Pflicht

Die EU-Richtlinie 2023/2673, umgesetzt durch §356a BGB-E, verpflichtet alle B2C-Online-Händler ab 19. Juni 2026 zu einem deutlich sichtbaren Widerrufsbutton (Noerr 2026). Noch rund 9 Wochen bis zur Deadline (von 15. April bis 19. Juni sind 65 Tage). Nach Bestellbutton (seit 2012) und Kündigungsbutton (seit 2022) ist dies der dritte gesetzliche Pflicht-Button (Noerr 2026).

Der Widerrufsbutton muss den Widerruf ohne Umwege oder Registrierung auslösen (Noerr 2026). Konkret bedeutet das: Der Button ist im Kundenkonto sichtbar und führt direkt zum Widerruf. Keine Zwischenseiten mit "Sind Sie sicher?", keine Umleitung zum Kundenservice, keine Aufforderung anzurufen.

Shopware und WooCommerce brauchen technische Anpassungen (Händlerbund 2026). Die Standard-Installationen haben noch keinen Widerrufsbutton. Du brauchst entweder ein Plugin oder Custom-Code. Parallel muss die Widerrufsbelehrung überarbeitet werden, um auf den Button hinzuweisen (Händlerbund 2026).

Wie beim Kündigungsbutton gilt: Die gesamte UX wird bewertet. Das OLG-Urteil vom 4. März zeigt, wie streng Gerichte bei Button-Pflichten sind. Eindeutige Bezeichnung, technisch einwandfrei, intuitive UX. Wer jetzt nicht anfängt, hat in 9 Wochen ein Problem.

Realistische Erwartungen: Was funktioniert, was nicht

Rechtssicherheit ist keine Einmal-Aktion, sondern ein kontinuierlicher Prozess. Die gute Nachricht: Die meisten Konkurrenten in der Region tun noch nichts. Wer jetzt startet, hat einen echten Vorsprung.

Was funktioniert: Dokumentierte Prozesse für DSGVO-Auskunftsanträge implementieren. Widerrufsbutton jetzt entwickeln und testen, nicht erst in Woche 9. BFSG Quick Wins beheben (Alt-Texte, Kontraste, Labels). Das sind Maßnahmen, die in wenigen Tagen umgesetzt werden können.

Was nicht funktioniert: Abwarten und hoffen. 95,9 Prozent aller Websites haben WCAG-Fehler. Die Wahrscheinlichkeit, dass du nicht betroffen bist, ist minimal. Auch "schnell mal selbst machen" ist riskant. WCAG 2.1 Level AA hat 50 Erfolgskriterien. Ohne Accessibility-Expertise übersiehst du Fehler.

Regionale Besonderheiten: In Oldenburg und Umgebung sind viele Websites noch auf alten Systemen (WordPress 4.x, Joomla 2.x). Diese Systeme haben keine eingebaute Barrierefreiheit. Ein Theme-Update reicht nicht. Du brauchst oft einen kompletten Relaunch.

Zeitrahmen: DSGVO-Prozesse implementieren dauert 1 bis 2 Tage (Ticket-System einrichten, Prozess dokumentieren). Widerrufsbutton entwickeln und testen dauert 3 bis 5 Tage (je nach Shopsystem). BFSG-Umsetzung dauert 2 Wochen bis 3 Monate (je nach Umfang der Fehler und Komplexität des Systems).

Fazit: Jetzt handeln oder 2.274 Euro Abmahnung riskieren

Die rechtlichen Anforderungen an Websites sind in den letzten Wochen massiv gestiegen. EuGH-Urteil zu DSGVO-Hoppern, OLG-Urteil zum Kündigungsbutton, BFSG-Abmahnungen mit 2.274 Euro, reCAPTCHA-Deadline vorbei, Widerrufsbutton in 9 Wochen. Das ist keine abstrakte Zukunft, das passiert jetzt.

Sofortmaßnahmen: Prüfe, ob du reCAPTCHA nutzt und ob deine Datenschutzerklärung aktualisiert ist. Prüfe, ob du einen Online-Shop betreibst und ob der Widerrufsbutton in Entwicklung ist. Prüfe, ob deine Website barrierefreie Alt-Texte, Kontraste und Labels hat.

Mittelfristige Strategie: Implementiere ein DSGVO-Ticket-System für Auskunftsanträge. Entwickle den Widerrufsbutton und teste ihn unter Last. Behebe BFSG Quick Wins (Alt-Texte, Kontraste, Labels).

Langfristige Strategie: Evaluiere, ob dein aktuelles System (WordPress, Joomla, Custom) überhaupt BFSG-fähig ist. Viele alte Themes und Plugins haben strukturelle Barrierefreiheits-Probleme, die nicht gepatcht werden können. Ein modernes System wie das Lotse CMS, das auf Symfony basiert, hat Barrierefreiheit von Grund auf eingebaut. Das spart langfristig Wartungskosten und Abmahnrisiken.

Du hast jetzt einen Überblick über die rechtlichen Änderungen im April 2026. Die wichtigste Erkenntnis: Rechtssicherheit kostet Zeit und Expertise. Was ist die richtige Strategie für DEINE Website?

Kostenloser Website-Check & Strategiegespräch

Du willst wissen, wo deine Website steht und welche Strategie sinnvoll ist? Ich biete einen kostenlosen 20-Minuten Check an:

Welche der rechtlichen Änderungen betreffen deine Website konkret?
Quick-Check auf offensichtliche Probleme: Datenschutzerklärung, fehlende Buttons, häufigste WCAG-Fehler
Erste Einschätzung: Wie aufwendig ist die Umsetzung bei deinem System?
System-Evaluation: Ist dein aktuelles System für die Anforderungen geeignet oder wäre ein Relaunch sinnvoller?