Widerrufsbutton im Weihnachtsgeschäft: Funktion laufend prüfen

Was § 356a BGB konkret verlangt

Die Pflicht geht auf die Richtlinie (EU) 2023/2673 zurück, die mit einem neuen Artikel 11a eine Widerrufsfunktion für Webshops vorschreibt (WKO). Deutschland hat sie mit dem Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts umgesetzt; das Gesetz wurde am 5. Februar 2026 im Bundesgesetzblatt veröffentlicht, BGBl. 2026 I Nr. 28 (Noerr). Der neue § 356a BGB gilt seit dem 19. Juni 2026 (Noerr). Er steht im Untertitel über das Widerrufsrecht bei Verbraucherverträgen, direkt neben den Vorschriften über Frist und Belehrung, und er richtet sich an die Oberfläche, nicht an das Kleingedruckte.

Der Normtext ist knapp, aber jede seiner Anforderungen lässt sich an der Oberfläche beobachten. Das macht ihn für eine technische Überwachung ungewöhnlich gut geeignet, denn was ein Kunde im Browser sieht, sieht ein automatisierter Browser genauso:

1. Die Funktion selbst - bei Fernabsatzverträgen über eine Online-Benutzeroberfläche muss der Verbraucher dort durch das Nutzen einer Widerrufsfunktion eine Widerrufserklärung abgeben können (§ 356a Abs. 1 BGB).
2. Die Beschriftung - gut lesbar mit „Vertrag widerrufen“ oder einer anderen gleichbedeutenden eindeutigen Formulierung (§ 356a Abs. 1 BGB).
3. Die Verfügbarkeit - während der Widerrufsfrist ständig verfügbar, hervorgehoben platziert und für den Verbraucher leicht zugänglich (§ 356a Abs. 1 BGB).
4. Die Angaben - Name des Verbrauchers, Angaben zur Identifizierung des Vertrags und das elektronische Kommunikationsmittel für die Eingangsbestätigung müssen sich ohne Weiteres bereitstellen oder bestätigen lassen (§ 356a Abs. 2 BGB).
5. Die Bestätigung - eine Bestätigungsfunktion, gut lesbar mit „Widerruf bestätigen“ oder einer gleichbedeutenden eindeutigen Formulierung beschriftet (§ 356a Abs. 3 BGB).
6. Der Eingang - unverzüglich eine Eingangsbestätigung auf einem dauerhaften Datenträger, mit dem Inhalt der Erklärung sowie Datum und Uhrzeit ihres Eingangs (§ 356a Abs. 4 BGB).

Absatz 5 regelt die Frist: Die Erklärung gilt als rechtzeitig zugegangen, wenn der Verbraucher sie vor Ablauf der Frist über die Widerrufsfunktion versandt hat (§ 356a Abs. 5 BGB). Die Verbraucherzentrale beschreibt den Ablauf als Zwei-Stufen-Verfahren: Nach dem Anklicken öffnet sich eine Seite, auf der der Vertrag angegeben wird, etwa mit Bestellnummer oder E-Mail-Adresse. Danach bestätigt der Verbraucher über eine weitere Schaltfläche wie „Widerruf bestätigen“, und das Unternehmen schickt eine elektronische Eingangsbestätigung mit Datum und Uhrzeit, zum Beispiel per E-Mail (Verbraucherzentrale). Für die Überwachung ist diese Zweistufigkeit der entscheidende Punkt: Zwischen dem ersten Klick und der verbindlichen Erklärung liegt ein Zustand, in dem alles geprüft werden kann, ohne dass etwas ausgelöst wird.

Warum das Weihnachtsgeschäft die Prüfung verschärft

Die Widerrufsfrist beträgt 14 Tage (§ 355 Abs. 2 BGB) und beginnt bei Warenkäufen in der Regel mit dem Erhalt der Ware (Verbraucherzentrale). Damit verschiebt sich das Zeitfenster, in dem die Widerrufsfunktion bereitstehen muss, hinter das Kaufdatum: Ware, die kurz vor Weihnachten ankommt, bleibt bis in den Januar hinein widerrufbar. Für einen Shop mit laufendem Verkauf heißt „während der Widerrufsfrist ständig verfügbar“ praktisch: an so gut wie jedem Tag, weil an so gut wie jedem Tag irgendeine Frist läuft.

Dazu kommt ein zweiter Fristenstrang. Die Widerrufsfrist beginnt nicht, bevor der Unternehmer den Verbraucher ordnungsgemäß über das Widerrufsrecht unterrichtet hat (§ 356 Abs. 3 BGB), und ohne diese Belehrung erlischt das Widerrufsrecht spätestens zwölf Monate und 14 Tage nach dem regulären Fristbeginn (§ 356 Abs. 4 BGB). Beide Regeln betreffen die Belehrung, nicht die Widerrufsfunktion selbst. Sie zeigen aber, wie lange ein Widerrufsrecht im Zweifel offen sein kann, und damit, wie lange die Funktion auch für ältere Bestellungen noch gebraucht werden kann.

Das Weihnachtsgeschäft verschärft das aus zwei Richtungen. Erstens kommen in den Wochen davor oft besonders viele Änderungen an die Oberfläche: Aktionsbanner, Countdown-Leisten, neue Module auf der Startseite, ein Theme-Update, das noch vor dem Stichtag eingespielt werden soll. Zweitens steigt dort, wo das Bestellaufkommen zunimmt, auch die Zahl der Kunden, die die Funktion tatsächlich benutzen. Wie stark das Aufkommen in der Saison anzieht, zeigt in der Regel der eigene Vorjahresvergleich genauer als ein Branchenwert; wie man ihn trotz wandernder Aktionstage sauber liest, beschreibt der Beitrag zum Vorjahresvergleich im vierten Quartal, die technische Vorbereitung auf hohe Last der Beitrag zu Lastspitzen im Weihnachtsgeschäft.

Die typischen Bruchstellen sind unspektakulär. Keine davon löst einen Serverfehler aus, und darum fällt keine davon einem reinen Verfügbarkeitswächter auf, der nur prüft, ob die Startseite mit Status 200 antwortet:

Die Folgen einer Lücke sind zweigeteilt. Für den Kunden bleibt der Widerruf möglich, denn er erfolgt durch Erklärung gegenüber dem Unternehmer, und zur Fristwahrung genügt die rechtzeitige Absendung (§ 355 Abs. 1 BGB). Er schreibt dann eben eine E-Mail oder ruft an, und der Kundendienst hat mehr Arbeit. Für den Händler bleibt der Verstoß. Die Kanzlei Noerr erwartet, dass es nach dem Inkrafttreten, ähnlich wie beim Kündigungsbutton nach § 312k BGB, vermehrt zu Abmahnungen kommt, zumal die fehlende Umsetzung relativ einfach festzustellen sein wird; daneben drohen unter Umständen empfindliche Bußgelder (Noerr). Beim Kündigungsbutton, der in Deutschland schon im Juli 2022 eingeführt wurde, gibt es bereits Rechtsprechung (WKO). Was ein Mitbewerber mit einem Browser in wenigen Klicks feststellen kann, lässt sich genauso automatisiert und früher feststellen. Wie sich das Risiko von Abmahnungen insgesamt senken lässt, fasst der Beitrag zum Abmahnrisiko einer Website zusammen.

Der Ablauf als prüfbarer Klickpfad

Für die Überwachung hilft es, den gesetzlichen Ablauf nicht als Rechtsfrage, sondern als Folge beobachtbarer Zustände zu lesen. Jeder Zustand hat ein Merkmal, das ein Browser feststellen kann, und einen typischen Fehler, der ihn bricht. Die folgende Tabelle ordnet die vier Zustände den Prüfungen und den häufigen Bruchstellen zu:

Die ersten drei Zeilen spielen sich vollständig im Browser ab. Die vierte nicht: Die Eingangsbestätigung ist eine E-Mail oder eine andere Nachricht auf einem dauerhaften Datenträger, und ob sie ankommt, entscheidet sich im Postfach, nicht auf der Seite. Ein Browser-Flow kann den Weg bis zur Bestätigungsschaltfläche absichern; den Posteingang prüft er nicht. Dafür braucht es eine getrennte Prüfung, dazu weiter unten mehr.

Jeder Lauf ohne echten Widerruf

Daraus ergeben sich zwei Varianten, die sich ergänzen und zusammen den ganzen Ablauf abdecken:

1. Variante A: Live-Shop, Stopp vor der Bestätigung. Der Flow öffnet die Startseite, prüft Sichtbarkeit und Beschriftung des Buttons, klickt ihn, füllt das Formular mit neutralen Prüfwerten aus und stellt fest, dass die Schaltfläche „Widerruf bestätigen“ erscheint. Dann endet er. Prüft der Shop die Bestellnummer schon im ersten Schritt gegen die Warenwirtschaft, braucht der Flow eine dauerhafte, als Test gekennzeichnete Bestellung, deren Nummer er eintragen kann. Takt: stündlich oder enger.
2. Variante B: Testbestellung oder Testumgebung, vollständiger Lauf. Der Flow klickt zusätzlich auf „Widerruf bestätigen“, und zwar gegen eine Staging-Umgebung mit identischem Theme oder gegen eine gekennzeichnete Testbestellung, die das Team kennt. Die Eingangsbestätigung geht an ein Testpostfach. Takt: täglich und nach jedem Deploy.

Variante A deckt die Verfügbarkeit ab, auf die es nach § 356a Abs. 1 BGB ankommt, und sie läuft oft genug, um eine Lücke in der Regel innerhalb von Stunden statt Wochen zu finden. Variante B deckt ab, was nach dem Klick passiert: ob die Bestätigung angenommen wird, ob der Shop einen Fehler wirft und ob die Eingangsmail entsteht. Weil Deploys eine typische Ursache für gebrochene Klickpfade sind, gehört Variante B direkt hinter jede Auslieferung; wie das mit einem Rollback zusammenspielt, beschreibt der Beitrag zum Deploy als Ausfallursache. Mit „Jetzt ausführen“ lässt sich ein Monitor fällig stellen, der nächste Cron-Tick, der jede Minute läuft, führt ihn dann aus, ohne das nächste Intervall abzuwarten (XICTRAQ-Dokumentation).

Neutrale Prüfwerte haben einen angenehmen Nebeneffekt: Taucht doch einmal ein Datensatz mit dem Namen „Prüflauf Monitoring“ in der Liste der Widerrufe auf, ist sofort klar, woher er stammt. Die Prüfadresse sollte auf eine Domain zeigen, die niemandem gehört, damit keine Eingangsbestätigung bei einem fremden Postfach landet, falls der Flow doch einmal zu weit läuft.

Der Flow im Browser-Monitoring

Im Browser-Monitoring von XICTRAQ laufen mehrstufige Flows in einem echten Chromium-Browser; schlägt ein Schritt fehl, kommen Alert und Failure-Screenshot mit der genauen Schrittnummer und Fehlermeldung (XICTRAQ-Dokumentation). Ein Szenario umfasst bis zu 40 Schritte, das Intervall liegt zwischen 5 Minuten und 24 Stunden, ein einzelner Schritt darf höchstens 60 Sekunden dauern, und der gesamte Lauf wird nach 90 Sekunden hart abgebrochen (XICTRAQ-Dokumentation). Für die Widerrufsstrecke reicht ein Bruchteil davon. Die Schritttypen und das Szenarioformat beschreibt die Dokumentation zum Browser-Monitoring; Variante A sieht als Szenario etwa so aus:

{
  "name": "Widerrufsfunktion live (Stopp vor der Bestätigung)",
  "viewport": { "width": 1280, "height": 800 },
  "timeout_ms": 20000,
  "step_retry": 1,
  "steps": [
    { "type": "goto", "url": "https://shop.example.invalid/" },
    { "type": "assert_visible", "selector": "footer a[href$='/vertrag-widerrufen']" },
    { "type": "assert_text", "selector": "footer a[href$='/vertrag-widerrufen']", "contains": "Vertrag widerrufen" },
    { "type": "click", "selector": "footer a[href$='/vertrag-widerrufen']" },
    { "type": "wait_for", "selector": "form#widerruf" },
    { "type": "fill", "selector": "#widerruf-name", "value": "Prüflauf Monitoring" },
    { "type": "fill", "selector": "#widerruf-bestellnummer", "value": "TEST-0000" },
    { "type": "fill", "selector": "#widerruf-email", "value": "pruefung@example.invalid" },
    { "type": "click", "selector": "form#widerruf button.weiter" },
    { "type": "wait_for", "selector": "button#widerruf-bestaetigen" },
    { "type": "assert_text", "selector": "button#widerruf-bestaetigen", "contains": "Widerruf bestätigen" },
    { "type": "screenshot", "full_page": true }
  ]
}

Drei Details machen den Unterschied. Der Schritt assert_text auf die Beschriftung meldet eine stille Umbenennung, die ein reiner Klicktest übersehen würde. Der Schritt assert_visible scheitert, wenn der Link ausgeblendet oder entfernt wurde; legt sich eine Aktionsfläche darüber, scheitert in der Regel der anschließende Klick, und der Failure-Screenshot zeigt, was im Weg lag. Und der Flow endet mit dem Screenshot, nicht mit einem Klick auf „Widerruf bestätigen“. Liegen Angaben und Bestätigung auf derselben Seite, entfällt der Klick auf „Weiter“.

Über das Grundszenario hinaus gehören folgende Punkte in die Einrichtung:

• Startseite und mindestens eine Kategorie- oder Produktseite als Einstieg, weil Aktionsflächen oft nur dort erscheinen
• Ein zweiter Monitor mit schmalem Handy-Viewport, weil Footer und Menü dort anders aufgebaut sind
• Prüfung der Beschriftung per assert_text statt nur der Existenz des Links
• In Variante B: Das Formular lässt sich ohne Angabe eines Grundes abschicken
• Keine Anmeldung zwischen Button und Formular
• Ein Screenshot am Ende jedes Laufs als datierte Aufzeichnung

Die Einwilligungsschicht verdient einen eigenen Blick. Ein Browser-Flow ohne gespeicherte Einwilligung sieht dieselbe Consent-Abfrage wie ein neuer Besucher. Deckt sie den Footer ab, muss der Flow sie genauso wegklicken wie ein Kunde, und wenn das nach einer Konfigurationsänderung nicht mehr geht, ist das ein echter Befund. Wie sich Änderungen an der Einwilligungsschicht und an den geladenen Tags überwachen lassen, zeigt der Beitrag zur Drift von Consent und Tags.

Datierte Aufnahmen als Nachweis der ständigen Verfügbarkeit

„Ständig verfügbar“ ist eine Aussage über einen Zeitraum, und einen Zeitraum kann man nur mit Messpunkten belegen. Das Browser-Monitoring speichert jeden Lauf mit Gesamtdauer, Ergebnis und Pro-Schritt-Resultaten, die Übersicht zeigt die letzten 50 Läufe je Monitor (XICTRAQ-Dokumentation). Bei stündlichem Takt sind das rund zwei Tage Historie auf einen Blick. Bei jedem fehlgeschlagenen Schritt wird außerdem automatisch ein Screenshot im Moment des Fehlers aufgenommen und in der Run-Historie gespeichert (XICTRAQ-Dokumentation). Damit ist der Moment des Bruchs dokumentiert, nicht nur die Tatsache, dass etwas gebrochen ist.

Für längere Zeiträume ergänzt der Visual-Diff mit Screenshot-Changelog den Flow. Er nimmt in regelmäßigen Abständen Aufnahmen der Seite auf, in Desktop-, Tablet- und Mobilansicht, klickt Cookie- und Consent-Banner dabei automatisch weg oder blendet sie aus und erfasst die gesamte Seite einschließlich Footer und nachgeladener Elemente (XICTRAQ). Die Aufbewahrung hängt vom Plan ab und reicht von 7 bis 180 Tagen (XICTRAQ-Dokumentation). Für die Widerrufsfunktion heißt das: Je nach Intervall liegt der Footer mit dem Link „Vertrag widerrufen“ als datierte Aufnahme in drei Gerätegrößen vor. Das Ausblenden der Banner ist für den Nachweis der Platzierung gewollt; ob eine Schicht den Link für echte Besucher verdeckt, prüft der Browser-Flow.

Bei großen Abweichungen über 20 % meldet der Visual-Diff sofort; zusätzlich extrahiert er den Textinhalt und zeigt Änderungen als Text-Diff (XICTRAQ). Eine umbenannte Beschriftung ist für einen Pixelvergleich eine winzige Änderung, im Text-Diff aber eine eindeutige Zeile: „Vertrag widerrufen“ fehlt, „Service“ steht neu da. Gerade diese Kombination fängt die leisen Fälle, bei denen die Seite optisch fast gleich bleibt.

Solche Aufnahmen ersetzen keine rechtliche Bewertung. Sie beantworten aber die Frage, die in einer Abmahnung oder einem Streit mit einem Kunden zuerst gestellt wird: War der Button an diesem Tag da, und wie sah er aus? Wer ein Monitoring als Nachweis nutzen will, sollte die Aufnahmen wie ein Messprotokoll zur Beweislast behandeln: mit festen Intervallen, unverändert abgelegt und dem Monitor eindeutig zuordenbar. Dieselbe Logik gilt für Nachweise gegenüber Versicherern, wie der Beitrag zu Website-Nachweisen für die Cyberversicherung zeigt.

Alarmierung: wer reagiert, wenn der Pfad bricht

Ein Fehlschlag im Browser-Monitoring erzeugt einen Alert vom Typ browser_monitor_failed mit Severity critical (XICTRAQ-Dokumentation). Dedupe über zehn Minuten, ACK-Link, Eskalation über die Default-Policy und Postmortem-Export funktionieren wie beim normalen Uptime-Alert, und wird der Flow wieder grün, schließt XICTRAQ den Alert automatisch (XICTRAQ-Dokumentation). Über die Alarmierung mit Eskalation geht die Meldung per E-Mail, Chat oder Webhook an die Stelle, die den Footer tatsächlich reparieren kann.

Wichtiger als der Kanal ist die Zuständigkeit. Eine gebrochene Widerrufsfunktion ist in der Regel kein Serverproblem, sondern eine Änderung an Template, Einwilligungsschicht oder Formular. Hilfreich ist eine kurze Kette:

1. Der Alert geht an die Person, die Shop-Oberfläche und Theme verantwortet, nicht an den Bereitschaftsdienst des Hostings.
2. Sie öffnet den Failure-Screenshot und liest die Schrittnummer: Schritt 2 oder 4 heißt, der Link fehlt oder ist verdeckt, Schritt 5 heißt, das Formular lädt nicht, Schritt 11 heißt, die Beschriftung der Bestätigung hat sich geändert.
3. Liegt die Ursache in einer Änderung der letzten Stunden, wird diese zurückgenommen, bevor lange nach der Ursache gesucht wird.
4. Mit „Jetzt ausführen“ wird der Flow beim nächsten Cron-Tick wiederholt, ohne auf das Intervall zu warten; schließt sich der Alert, ist der Pfad wieder frei.
5. Die Rechtsabteilung oder die beratende Kanzlei erfährt von jeder Lücke, die länger als einen Arbeitstag bestand, mit Zeitraum und Screenshots.

Geplante Arbeiten am Shop, bei denen der Pfad absehbar bricht, gehören in ein Wartungsfenster, damit der Alarm nicht zur Gewohnheit wird. Wie man solche Fenster setzt, ohne echte Ausfälle zu verschlucken, beschreibt der Beitrag zu Wartungsfenstern und Fehlalarmen. Dabei gilt: Die Pflicht aus § 356a BGB pausiert nicht während der Wartung. Ein Fenster unterdrückt den Alarm, nicht die Anforderung, und die Arbeiten sollten entsprechend kurz bleiben.

Österreich: § 13a FAGG seit 1. Oktober 2026

Wer auch nach Österreich verkauft, hat seit Kurzem eine zweite, weitgehend gleichlautende Pflicht. Die österreichische Umsetzung wurde am 28.7.2026 im Bundesgesetzblatt veröffentlicht, tritt mit 1. Oktober 2026 in Kraft und ist auf Verträge anzuwenden, die nach dem 30. September 2026 geschlossen werden (WKO). Die Rücktrittsfunktion muss nach § 13a Abs. 2 FAGG gut lesbar mit „Vertrag widerrufen“ oder einer entsprechenden eindeutigen Formulierung gekennzeichnet sein, während der gesamten Rücktrittsfrist durchgehend verfügbar sein und hervorgehoben sowie leicht zugänglich platziert sein (WKO). An der Rücktrittsfrist von 14 Tagen nach § 11 FAGG ändert sich nichts (WKO).

Eine Frage ist dort ausdrücklich offen: Ob der Button nur während der individuellen Rücktrittsfrist des jeweiligen Verbrauchers bereitstehen muss oder dauerhaft bereitstehen kann, ist nach Darstellung der WKO nicht geklärt (WKO). Für die Überwachung spielt das kaum eine Rolle. Ein dauerhaft sichtbarer Button ist in der Praxis die einfachere Umsetzung, und ein Flow, der ihn prüft, braucht für den österreichischen Shop nur eine zweite Einstiegsadresse. Mehrere Monitore je Website sind vorgesehen, typisch ist einer für Login, einer für Checkout und einer für das Kontaktformular, alle unabhängig konfigurierbar (XICTRAQ-Dokumentation).

Checkliste vor dem Weihnachtsgeschäft

Die folgenden Punkte lassen sich vor dem Start der Aktionswochen abarbeiten. Sie ersetzen keine rechtliche Prüfung der Umsetzung, helfen aber dabei, dass eine geprüfte Umsetzung auch im Dezember noch dieselbe ist:

• Beschriftung „Vertrag widerrufen“ oder gleichbedeutend, gut lesbar, auf allen Seitentypen im Footer oder im Kopfbereich
• Keine Aktionsfläche, kein Pop-up und keine Einwilligungsschicht, die den Link auf Handy oder Desktop dauerhaft verdeckt
• Formular ohne Anmeldung erreichbar, ohne Pflichtfeld für einen Grund
• Schaltfläche „Widerruf bestätigen“ nach den Angaben vorhanden und gut lesbar
• Variante A als Browser-Flow im Live-Shop, stündlich, Stopp vor der Bestätigung
• Variante B gegen Testumgebung oder Testbestellung, täglich und nach jedem Deploy
• Eigenes Postfachskript mit Heartbeat für die Eingangsbestätigung samt Datum und Uhrzeit
• Visual-Diff auf Startseite und Widerrufsseite, Alarmweg mit benannter Zuständigkeit

Wer den Flow nicht nur für die Widerrufsfunktion aufsetzt, sondern gleich für Checkout, Anmeldung und Kontaktformular, findet die Grundlagen im Beitrag zu synthetischen Checks für kritische Flows. Und weil im Weihnachtsgeschäft auch die Last steigt: Ein Flow, der plötzlich deutlich langsamer wird, kann ein frühes Zeichen eines ausgelasteten Worker-Pools sein, lange bevor Fehlerseiten erscheinen. Mehr dazu im Beitrag Worker-Pool voll.