Was ändert sich 2023 rechtlich für Shopbetreiber?

Im Jahr 2023 wird es für Shopbetreiber wieder eine ganze Reihe von rechtlichen Änderungen geben. Neben alten Bekannten wie dem Elektrogesetz, das gleich zweimal angepasst wird, und dem Verpackungsgesetz spielen auf nationaler Ebene auch zwei Neulinge eine Rolle: das Lieferkettensorgfaltspflichtengesetz und das Plattformen-Steuertransparenzgesetz fallen schon mit ihren Namen ins Gewicht. Auf EU-Ebene wird sich im Zusammenhang mit dem Digital Services Act, dem Digital Markets Act und dem Data Governance Act ebenfalls einiges tun. Und auch zur Übertragung personenbezogener Daten aus der EU in die USA wird es voraussichtlich Neuerungen geben. Wir fassen zusammen, was sich im kommenden Jahr im E-Commerce wann genau ändert.

1. Januar 2023: Elektrogesetz I, Verpackungsgesetz, Lieferkettensorgfaltspflichtengesetz, Plattformen-Steuertransparenzgesetz

Bereits zum Jahresbeginn treten mit zwei Gesetzesänderungen und zwei neu in Kraft tretenden Gesetzen an vier unterschiedlichen Stellen Neuerungen in Kraft, mit denen die rechtlichen Rahmenbedingungen im E-Commerce neu justiert werden.

Elektrogesetz I (Kennzeichnungspflicht für Geräte im B2B-Handel)

Das Elektro- und Elektronikgerätegesetz (ElektroG) müssen alle Betreiber von Onlineshops, über die entsprechende Geräte vertrieben werden, im Auge behalten. Nach den 2022 neu eingeführten Regeln zu Rücknahmen stehen diesmal zunächst Elektro- und Elektronikgeräte, die im B2B-Handel vertrieben werden, im Fokus. Alle angebotenen Geräte, die in privaten Haushalten genutzt werden können, müssen schon jetzt mit dem Symbol der durchgestrichenen Mülltonne gekennzeichnet sein. Ab dem 1. Januar 2023 gilt dasselbe auch für reine B2B-Geräte, die ab dem 1. Januar 2023 in den Verkehr gebracht werden. Zum 1. Juli treten dann noch einmal Änderungen am Elektrogesetz in Kraft, die den Schwerpunkt auf Marktplätze und Fulfillment-Dienstleister in den Blick nehmen (siehe unten).

Verpackungsgesetz

Nachdem es 2022 noch mehrere Anpassungen am Verpackungsgesetz (VerpackG) gab, von denen der E-Commerce insgesamt betroffen war, gibt es zum 1. Januar 2023 nur eine einzige Änderung, die jenseits der stationären Gastronomie lediglich für Lieferdienste relevant sein dürfte: Für verpackte, verzehrfertige Speisen und Getränke muss eine Mehrweg-Alternative zur Einwegverpackung angeboten werden, so dass sich die Kunden frei für eine der beiden Optionen entscheiden können.

Lieferkettensorgfaltspflichtengesetz

Das in den Medien – oft unter der weniger sperrigen Bezeichnung „Lieferkettengesetz“ breit diskutierte Lieferkettensorgfaltspflichtengesetz (LkSG) tritt ebenfalls am 1. Januar 2023 in Kraft. Zunächst gilt es aber ausschließlich für sehr große Unternehmen mit Sitz in Deutschland. Unternehmen mit mindestens 3.000 Mitarbeitern sind dann verpflichtet zu prüfen, inwiefern in ihren Lieferketten Standards in den Bereichen Umweltschutz und Menschenrechte verletzt werden. Außerdem müssen sie angemessene Maßnahmen zur Prävention und Abhilfe ergreifen sowie regelmäßig über diese Aktivitäten berichten. Ein Jahr später wird die Schwelle für die Anwendung des Gesetzes dann bereits auf 1.000 Mitarbeiter herabgesetzt.

Plattformen-Steuertransparenzgesetz

Das Plattformen-Steuertransparenzgesetz (PStTG) zur Umsetzung der als „DAC 7“ bezeichneten EU-Richtlinie 2021/514 wurde erst vor Kurzem (am 10. November 2022) im Bundestag beschlossen und liegt bislang nur in der Vorabfassung vor. Der Name legt es bereits nahe: Von den darin zusammengestellten Neuregelungen direkt betroffen sind zunächst die Betreiber von Online-Plattformen wie zum Beispiel Online-Marktplätzen. Sie müssen vom Stichtag 1. Januar 2023 an den Steuerbehörden darüber Auskunft geben, welche Umsätze die Anbieter auf ihren Plattformen erwirtschaften. Damit Einnahmen im grenzüberschreitenden Handel nicht an den Steuerbehörden vorbei laufen, ist der Austausch der auf diese Weise gesammelten Informationen zwischen den EU-Mitgliedstaaten vorgesehen.

Den Berichtspflichten müssen die Plattformbetreiber erstmals Anfang 2024 für das Geschäftsjahr 2023 nachkommen. Sie müssen den Behörden dann steuerrechtlich relevante Informationen zu allen „meldepflichtigen Anbietern“ bereitstellen. Dabei geht es um Name, Anschrift, Steueridentifikationsnummern, Gebühren, Provisionen oder Steuern, die in jedem Quartal des Meldezeitraums von dem Plattformbetreiber einbehalten oder berechnet wurden und weitere Daten. Jeder Händler, der Produkte (auch) über Online-Marktplätze vertreibt, ist ein solcher meldepflichtiger Anbieter, der – so der offizielle Wortlaut – „im Meldezeitraum eine relevante Tätigkeit erbringt oder dem im Meldezeitraum eine Vergütung gezahlt oder gutgeschrieben wird, die im Zusammenhang mit einer relevanten Tätigkeit steht“. Zum Beispiel ein Shopbetreiber, der seine Produkte über Amazon Marketplace oder eBay anbietet. Aber auch wer privat viel über Marktplätze verkauft, muss künftig von den Marktplatzbetreibern an die Steuerbehörden gemeldet werden. Anfang 2025 treten dann noch weitergehende Regelungen in diesem Gesetz in Kraft.

17. Februar 2023: EU-Gesetz über digitale Dienste (Digital Services Act, DSA)

Das Gesetz über digitale Dienste der Europäischen Union, der sogenannte Digital Services Act (DSA) soll die ganz großen Player im Online-Bereich in die Schranken weisen. Das Regelwerk zielt auf „vermittelnde Online-Dienste, die täglich von Millionen von Menschen in Europa genutzt werden“ (Amazon, Facebook, Google und andere) und formuliert eine Vielzahl von Berichts- und Sorgfaltspflichten. Zwar tritt es 2023 noch nicht endgültig in Kraft, aber der 17. Februar 2023 markiert einen wichtigen Schritt auf dem Weg zur Umsetzung dieses Mammutprojekts: Bis zu diesem Tag müssen die Betreiber der großen Plattformen die Zahl ihrer aktiven Endnutzer veröffentlichen. Anschließend prüft die EU-Kommission, „ob die Plattform als sehr große Online-Plattform oder Suchmaschine eingestuft wird“. Nach der Einstufung bekommen die Betreiber dann vier Monate Zeit, um das Gesetz über digitale Dienste umzusetzen. Im Hinblick auf den E-Commerce sind dabei vor allem diese Punkte relevant:

Die großen Plattformen müssen Maßnahmen zur Bekämpfung illegaler Waren, Dienstleistungen oder Inhalte im Internet ergreifen. Dafür müssen sie einen Mechanismus bereitstellen, der Nutzern das Kennzeichnen solcher Inhalte ermöglicht und Wege für die Zusammenarbeit mit „vertrauenswürdigen Hinweisgebern“ einrichten.
Online-Marktplätze müssen die Rückverfolgbarkeit gewerblicher Nutzer gewährleisten, damit Verkäufer illegaler Waren leichter aufzuspüren sind, oder angemessene Maßnahmen ergreifen, um die stichprobenartige Überprüfung ermöglichen, ob Produkte oder Dienste in einer amtlichen Datenbank als illegal identifiziert worden sind.
Es soll mehr Transparenz beim Einsatz von Empfehlungsalgorithmen geben: Die Betreiber müssen offenlegen, wie die Produktempfehlungen auf ihren Plattformen zustandekommen. Sehr große Plattformen müssen zusätzlich eine algorithmenfreie Sortierung der Inhalte anbieten, beispielsweise alphabetisch.
Zudem gibt es ein Verbot bestimmter Arten gezielter Werbung auf Online-Plattformen (etwa wenn sie auf Kinder zugeschnitten ist oder auf besonders sensible personenbezogene Daten (etwa ethnische Zugehörigkeit, politische Ansichten, sexuelle Orientierung) zurückgreift.
Auch auf EU-Ebene wird in diesem Zuge noch einmal klargestellt: Potenziell irreführende „Dark Patterns“ sind verboten: In Nutzerdialogen (zum Beispiel für den Cookie-Consent) müssen alle Optionen gleichwertig dargestellt werden.

Für Shopbetreiber haben diese juristischen Neuerungen nur mittelbar Auswirkungen – das aber sicherlich spürbar.

2. Mai 2023: EU-Gesetz über digitale Märkte (Digital Markets Act, DMA)

Zwar ist das EU-Gesetz über digitale Märkte (Digital Markets Act, DMA) bereits zum 1. November 2022 in Kraft getreten. Es gilt aber erst ab dem 2. Mai 2023 rechtsverbindlich. Auch dieses Gesetz soll helfen, die Macht der großen Digitalkonzerne zu beschränken. Beim Digital Markets Act stehen wettbewerbsrechtliche Fragen im Fokus: Für stark frequentierte Online-Plattformen wie Suchmaschinen, Social Media oder große Marktplätze, sogenannte „Gatekeeper“ wird ein Verhaltenskodex definiert. Wichtige Punkte dabei:

In Suchergebnissen oder Produktlistings dürfen Plattformen ihre eigenen Angebote nicht mehr bevorzugt darstellen.
Regelungen zur „Preisparität“ sind unzulässig. Plattformbetreiber dürfen Anbietern nicht mehr untersagen, ihre Waren oder Dienstleistungen im eigenen Shop oder auf der eigenen Website günstiger anzubieten als über die jeweilige Plattform.
Bei Verstößen gegen das Wettbewerbsrecht soll die EU-Kommission künftig schneller einschreiten und durchgreifen können, so dass Unternehmen und Verbraucher nicht jahrelang darauf warten müssen, bis ihre Rechte durchgesetzt werden.

Voraussichtlich Mitte 2023: EU-U.S. Data Privacy Framework

Experten für Datenschutzrecht vermuten, dass ungefähr zur Jahresmitte 2023 das neue EU-US Data Privacy Framework (EU-US DPF; ursprünglich Trans-Atlantic Data Privacy Framework – TADPF) kommen dürfte. Das wäre dann der mittlerweile dritte Anlauf für einen rechtlichen Rahmen für die Übertragung personenbezogener Daten aus der EU in die USA. Nachdem der österreichische Datenschützer Max Schrems bereits 2015 vor dem EuGH erfolgreich war und das Safe-Harbor-Abkommen kippen konnte, erwirkte er 2020 – abermals vor dem EuGH – das nächste Urteil („Schrems-II“), mit dem auch die Nachfolgeregelung „EU-US Privacy Shield“ Geschichte war. Für Shopbetreiber war die Rechtsprechung auf höchster europäischer Ebene insbesondere im Hinblick auf SaaS-Produkte von US-Anbietern und den Einsatz von Google Analytics folgenschwer: Indem die USA datenschutzrechtlich als unsicherer Drittstaat eingestuft worden waren, ließen sich viele zuvor weit verbreitete Lösungen nicht mehr rechtssicher einsetzen.

Aktuell versuchen EU und USA zum dritten Mal, einen juristisch tragfähigen Weg für die Übertragung, Speicherung und Verarbeitung personenbezogener Daten von EU-Bürgern auf US-Infrastruktur zu finden. Nachdem aufseiten der USA in Form eines Dekrets von Präsident Biden der rechtliche Rahmen angepasst worden ist, hat die EU-Kommission geprüft, ob damit eine Grundlage geschaffen wurde, mit der die geäußerten Bedenken des EuGH ausgeräumt sind. Das Ergebnis war positiv, woraufhin am 13. Dezember 2022 der Prozess für einen sogenannten Angemessenheitsbeschluss zum EU-US-Datenverkehr in Gang gesetzt wurde. Nach zusätzlichen Prüfungen durch Datenschützer und die Mitgliedsstaaten könnte der neue Rechtsrahmen bereits im Lauf des Jahres 2023 in Kraft treten. Damit gäbe es dann eine juristische Grundlage für den Einsatz von Trackingtools von US-Anbietern wie Google Analytics. Allerdings hat Max Schrems bereits angekündigt, auch gegen die dritte Auflage der transatlantischen Vereinbarung klagen zu wollen, da er die hohen Anforderungen des EuGH auch durch den neu justierten Rechtsrahmen noch immer nicht erfüllt sieht. Möglicherweise wird es also ein folgenschweres Schrems-III-Urteil geben – allerdings wohl noch nicht 2023.

1. Juli 2023: Elektrogesetz II (Prüfpflicht für Marktplatzbetreiber und Fulfillment-Dienstleister)

Wie oben bereits erwähnt, gelten einige Änderungen des Elektrogesetzes erst sechs Monate später als ursprünglich geplant: Vom 1. Juli 2023 an besteht für Marktplatzbetreiber und Fulfillment-Dienstleister eine Prüfpflicht für die Registrierung laut bestehendem Elektrogesetz von Händlern und Herstellern. Sie müssen künftig sicherstellen, dass ihre Dienste ausschließlich von korrekt registrierten Anbietern genutzt werden. Kommen sie dieser Pflicht nicht nach, drohen ihnen Bußgelder. Der Hintergrund dieser Neuerung: Bislang war es oftmals schwierig, im grenzüberschreitenden Handel Anbieter von Geräten, die über Marktplätze unerlaubt in den Handel gebracht worden waren, zur Rechenschaft zu ziehen.

Für Betreiber von Onlineshops mit Elektro- oder Elektronikgeräten im Sortiment ist die Registrierung schon lange Pflicht. Aber wer entsprechende Geräte über Marktplätze anbietet beziehungsweise über Fulfillment-Dienste vertreibt, muss die Registrierungsnummer rechtzeitig vor dem dritten Quartal 2023 beim Betreiber des jeweiligen Marktplatzes oder Dienstes angeben, um nicht für den Handel gesperrt zu werden.

24. September 2023: EU-Daten-Governance-Gesetz (Data Governance Act, DGA)

Als Teil der europäischen Datenstrategie der EU ist das Daten-Governance-Gesetz (Data Governance Act, DGA) bereits am 15. Juni 2022 in Kraft getreten. Nach Ablauf einer 15-monatigen Übergangsfrist wird es am 24. September 2022 rechtlich bindend. Auf EU-Ebene sollen dadurch das Teilen von Daten zwischen Unternehmen, Kunden und Behörden unterstützt, die Verfügbarkeit von Daten verbessert und technische Hindernisse für die Nachnutzung von Daten beseitigt werden. Zugleich unterstützt der Data Governance Act Einrichtung und Entwicklung gemeinsamer europäischer Datenräume, in denen Akteure aus Privatwirtschaft und öffentlichem Sektor Daten bereitstellen und nutzen können sollen. Dabei geht es insbesondere um Daten aus den Bereichen Gesundheit, Umwelt, Energie, Mobilität, Landwirtschaft, Finanzen, Industrie und aus dem öffentlichen Dienst.

Dass ausgerechnet die Europäische Union, deren Datenschutzgrundverordnung (DSGVO) seit 2018 den Umgang mit personenbezogenen Daten massiv verkompliziert hat, die rechtlichen Weichen stellt, damit mehr Daten kreuz und quer geteilt und verarbeitet werden können, klingt zunächst befremdlich. Aber in der europäischen Datenstrategie insgesamt und damit auch beim EU-Daten-Governance-Gesetz geht es ausschließlich um nicht-personenbezogene Daten. Eines der zentralen Versprechen hinter diesem milliardenschweren Vorhaben der EU ist die Verbesserung von Produkten und Dienstleistungen in den Mitgliedsstaaten und die Entwicklung völlig neuer Konzepte für Produkte und Services auf der Grundlage von sicher verwalteten und gemeinsam genutzten Daten, aus denen sich kein Personenbezug ableiten lässt.

Unmittelbare Konsequenzen oder direkter Handlungsbedarf ergeben sich daraus für die Betreiber von Onlineshops zunächst nicht. Aber da auch im E-Commerce unablässig Daten produziert und genutzt werden, ist zu erwarten, dass es in der Branche insgesamt durch das Daten-Governance-Gesetz und auch durch das für die nahe Zukunft in Aussicht gestellte Datengesetz (Data Act, siehe Ausblick für 2024) künftig spürbare Veränderungen geben wird. Der EU geht es mit ihrer europäischen Datenstrategie um nicht weniger als die Führungsrolle in der globalen Datenwirtschaft: Der enormen Macht der großen Player wie Alphabet, Amazon und Meta soll ein kooperatives Modell gegenübergestellt werden, durch das europäische Unternehmen unterschiedlicher Größenordnung in Zeiten zunehmend datengetriebener Geschäftsmodelle und Innovationszyklen erfolgreich wirtschaften können.

Ausblick 2024

Auch für das Jahr 2024 lassen sich bereits einige rechtliche Änderungen absehen:

Januar: Lieferkettensorgfaltspflichtengesetz
Ab 1. Januar 2024 wird der Geltungsbereich des „Lieferkettengesetzes“ ausgeweitet. Es gilt dann nicht mehr ausschließlich für Unternehmen ab 3.000 Mitarbeitern (siehe oben), sondern bereits ab 1.000 Mitarbeitern.
Februar: Digital Services Act
Für das EU-Gesetz über digitale Dienste markiert der 17. Februar 2024 dann den vollständigen Geltungsbeginn für alle Plattformen, die in den Anwendungsbereich fallen. Welche Plattformen das sind, wird – wie oben beschrieben – im Lauf des Jahres 2023 entschieden.
Womöglich: Data Act
Das bereits erwähnte Datengesetz (Data Act, DA) ist aktuell noch nicht fertig abgestimmt, soll aber bald den 2023 in Kraft tretenden Data Governance Act ergänzen. Das Datengesetz soll dann die Regeln dafür definieren, wer unter welchen Bedingungen einen Mehrwert aus Daten schöpfen darf. Dabei stehen insbesondere Daten aus internetfähigen Geräten und Smart-Home-Anwendungen im Fokus. Womöglich setzt die EU mit dem Data Act bereits 2024 den zweiten Grundpfeiler ihrer europäischen Datenstrategie.

Fazit

Zwar lässt die E-Privacy-Verordnung der Europäischen Union weiterhin auf sich warten, aber das Jahr 2023 bringt neben einigen juristischen Änderungen im Detail auch neue Regeln für große Akteure mit. Auf EU-Ebene nimmt die ambitionierte europäische Datenstrategie Gestalt an – und es wird sich zeigen, ob und in welcher Form sich die damit verbundenen Neuerungen im E-Commerce niederschlagen. Noch ungewiss ist auch, ob und wann die Übertragung personenbezogener Daten aus der EU in die USA auf eine neue rechtliche Grundlage gestellt wird – und wie lange die entsprechende transatlantische Rahmenvereinbarung diesmal bestehen bleibt.

Neben der Gesetzgebung ist immer auch die aktuelle Rechtsprechung auf nationaler und europäischer Ebene wichtig. Es ist davon auszugehen, dass auch das kommende Jahr so manches aufsehenerregende und folgenreiche Urteil bringen wird. Händlern empfehlen wir an dieser Stelle daher einmal mehr, sich juristisch beraten zu lassen, um auch im Jahr 2023 die Rechtssicherheit ihrer Onlineshops aufrechterhalten zu können.