Die Balance
Der Widerrufsbutton hat zwei Aufgaben, die man sauber voneinander trennen sollte:
Er muss die Abgabe einer Widerrufserklärung einfach machen.
Gleichzeitig darf er nicht zur Schnittstelle werden, über die Unbefugte Informationen zu Verträgen, Bestellungen oder Kunden erhalten.
Genau an dieser Stelle treffen BGB und DSGVO aufeinander.
Und eigentlich widersprechen sie sich überhaupt nicht.
Im Gegenteil.
Richtig umgesetzt ergänzen sie sich.
Das BGB verlangt einen einfachen Eingangskanal
§ 356a BGB verlangt bei den erfassten Fernabsatzverträgen eine leicht zugängliche elektronische Widerrufsfunktion.
Der Verbraucher muss darüber eine Widerrufserklärung übermitteln können.
Dabei muss die Funktion ihm ermöglichen, folgende Informationen bereitzustellen oder zu bestätigen:
- seinen Namen,
- Angaben zur Identifizierung des Vertrags oder des Vertragsteils, den er widerrufen möchte,
- Angaben zu einem elektronischen Kommunikationsmittel, über das die Eingangsbestätigung übermittelt werden soll.
Anschließend muss die Erklärung über eine eindeutig bezeichnete Bestätigungsfunktion, insbesondere „Widerruf bestätigen“, übermittelt werden können. Nach der Übermittlung ist unverzüglich eine Eingangsbestätigung auf einem dauerhaften Datenträger bereitzustellen. Diese muss zumindest den Inhalt der Widerrufserklärung sowie Datum und Uhrzeit ihres Eingangs enthalten.
Das ist ein bemerkenswert klarer Ablauf.
Was dort nicht steht:
Der Unternehmer muss vor der Entgegennahme prüfen, ob der eingegebene Name mit einer Bestellung übereinstimmt.
Er muss nicht zuerst feststellen, ob die angegebene E Mail Adresse die beim Vertragsschluss verwendete Adresse ist.
Er muss dem Absender keine gespeicherten Vertragsdaten anzeigen.
Und er muss auch nicht vor Abgabe der Erklärung entscheiden, ob der Widerruf materiell wirksam ist.
Das Gesetz beschreibt zunächst einen Übermittlungsprozess.
Keine Auskunftsfunktion.
Keine Vertragsansicht.
Keine Identitätsprüfung mit anschließendem Datenzugriff.
Die Widerrufsfunktion ist kein Kundenportal
Genau hier wird die technische Umsetzung interessant.
Ein Verbraucher gibt beispielsweise ein:
Name: Max Mustermann
Vertragsbezug: Bestellung 4711
Kommunikationsmittel: max@example.de
Das System muss daraus nicht antworten:
„Wir haben Ihre Bestellung 4711 gefunden. Sie enthält Produkt A, Produkt B und Produkt C. Die Bestellung wurde am 12. August aufgegeben und an folgende Adresse geliefert.“
Für die Entgegennahme der Widerrufserklärung wäre diese Offenlegung überhaupt nicht erforderlich.
Die Widerrufsfunktion braucht nur die Erklärung und die Informationen, die ihr der Absender selbst zur Verfügung stellt.
Das ist ein fundamentaler Unterschied.
Der Nutzer liefert Informationen an den Händler.
Die Funktion muss ihm dafür nicht im Gegenzug Informationen aus dem Vertragsbestand liefern.
Genau hier beginnt die DSGVO
Art. 5 Abs. 1 lit. c DSGVO formuliert den Grundsatz der Datenminimierung.
Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten und damit auch Maßnahmen zum Schutz ihrer Vertraulichkeit. Die BfDI beschreibt Datenschutz durch Technikgestaltung ausdrücklich als Verpflichtung aus Art. 25 DSGVO.
Für eine Widerrufsfunktion führt das zu einer naheliegenden Architektur:
So viel Eingang wie nötig.
So wenig Ausgabe wie möglich.
Oder noch konkreter:
Eine Widerrufserklärung entgegenzunehmen ist etwas anderes, als Auskunft über einen Vertrag zu erteilen.
Das ist die eigentliche Balance.
Eine Bestellnummer darf kein Zugangsschlüssel sein
Eine Bestellnummer dient der Zuordnung.
Sie sollte nicht gleichzeitig zur Authentifizierung werden.
Wer eine Bestellnummer kennt, muss deshalb nicht erfahren:
- ob diese Bestellung tatsächlich existiert,
- auf welchen Namen sie läuft,
- welche Produkte bestellt wurden,
- welchen Wert sie hat,
- an welche Anschrift geliefert wurde,
- welche E Mail Adresse hinterlegt ist,
- welchen Bearbeitungsstatus sie besitzt.
Die Kenntnis eines Vertragsmerkmals darf aus der Widerrufsfunktion keine Auskunftsschnittstelle machen.
Das lässt sich technisch sehr einfach erreichen.
Das öffentliche Formular arbeitet zunächst ausschließlich mit den Angaben, die der Absender selbst eingibt.
Es ergänzt diese Angaben nicht sichtbar mit Daten aus dem Kundenkonto oder der Bestellung.
Es bestätigt lediglich den Eingang der Erklärung.
Die eigentliche Zuordnung findet anschließend intern statt.
Auch die E Mail Adresse ist zunächst nur ein Kommunikationsmittel
Besonders interessant ist § 356a Abs. 2 Nr. 3 BGB.
Das Gesetz verlangt Angaben zu dem elektronischen Kommunikationsmittel, über das die Eingangsbestätigung übermittelt werden soll. Es verlangt an dieser Stelle nicht ausdrücklich, dass dieses Kommunikationsmittel bereits Bestandteil des ursprünglichen Vertrags sein muss.
Das ist logisch.
Vielleicht hat der Verbraucher keinen Zugriff mehr auf die damals verwendete E Mail Adresse.
Vielleicht wurde die Adresse inzwischen geändert.
Vielleicht wurde der Vertrag über eine andere Kontaktmöglichkeit abgeschlossen.
Die Möglichkeit zur Abgabe einer Widerrufserklärung sollte deshalb nicht dadurch blockiert werden, dass eine eingegebene Adresse nicht mit einem gespeicherten Datensatz übereinstimmt.
Das bedeutet allerdings nicht, dass diese neue Adresse plötzlich Zugriff auf den Vertrag erhalten darf.
Auch hier gilt wieder die Trennung:
Kommunikationsadresse für die Eingangsbestätigung ist nicht automatisch eine authentifizierte Adresse für Vertragsdaten.
Die Eingangsbestätigung bestätigt den Eingang
Nach § 356a Abs. 4 BGB muss die Eingangsbestätigung zumindest den Inhalt der Widerrufserklärung sowie Datum und Uhrzeit ihres Eingangs enthalten.
Sie sollte daher genau das bestätigen.
Nicht mehr.
Zum Beispiel:
Widerrufserklärung eingegangen
Wir bestätigen den Eingang Ihrer Widerrufserklärung am 16. August 2026 um 14:37 Uhr.
Name: Max Mustermann
Von Ihnen angegebener Vertragsbezug: Bestellung 4711
Erklärung: Widerruf des angegebenen Vertrags
Der angegebene Vertragsbezug und die weitere Bearbeitung werden geprüft.
Eine solche Bestätigung trifft eine sehr wichtige Unterscheidung.
Sie sagt:
Wir haben Ihre Erklärung erhalten.
Sie sagt nicht:
Wir bestätigen, dass Sie Vertragspartner sind.
Sie sagt nicht:
Wir bestätigen, dass Bestellung 4711 zu Ihnen gehört.
Sie sagt nicht:
Wir bestätigen bereits die materielle Wirksamkeit des Widerrufs.
Und sie ergänzt die Erklärung nicht um Informationen aus dem Vertragsbestand.
Der richtige Status ist deshalb nicht „Widerruf geprüft“
Eine Benutzeroberfläche verleitet schnell dazu, einen Vorgang sofort mit einem endgültigen Status zu versehen.
„Widerruf erfolgreich“
„Widerruf bestätigt“
„Bestellung widerrufen“
Das kann unnötig mehr aussagen, als zu diesem Zeitpunkt tatsächlich feststeht.
Unmittelbar nach Betätigung der Bestätigungsfunktion ist zunächst eines sicher:
Die Widerrufserklärung ist eingegangen.
Ein sauberer technischer Status wäre deshalb beispielsweise:
Widerrufserklärung eingegangen
ergänzt durch:
Vertragsbezug noch ungeprüft
Danach kann ein interner Prozess beginnen.
Passt die angegebene Bestellnummer?
Kann der Vertrag dem Verbraucher zugeordnet werden?
Ist nur ein Vertragsteil bezeichnet?
Bestehen Rückfragen?
Ist eine weitere Identifizierung erforderlich?
Gibt es Hinweise auf Missbrauch?
Diese Fragen betreffen die Bearbeitung der Erklärung.
Sie müssen nicht zwingend die technische Voraussetzung dafür sein, dass die Erklärung überhaupt übermittelt werden kann.
Zwei Sicherheitszonen statt einer einzigen Funktion
Aus technischer Sicht bietet sich deshalb eine klare Trennung an.
Zone 1: Öffentliche Widerrufsfunktion
Sie ist leicht zugänglich.
Sie nimmt die gesetzlich vorgesehenen Angaben entgegen.
Sie zeigt keine gespeicherten Vertragsdaten.
Sie ermöglicht die verbindliche Übermittlung.
Sie erzeugt eine Eingangsbestätigung mit den vom Absender übermittelten Angaben sowie Datum und Uhrzeit.
Zone 2: Vertragsbezogene Bearbeitung
Erst hier findet die Zuordnung statt.
Hier darf geprüft werden, welcher Vertrag betroffen ist.
Hier können bestehende Kundendaten einbezogen werden.
Hier können gegebenenfalls zusätzliche Schutzmaßnahmen eingesetzt werden.
Und erst wenn ein Nutzer tatsächlich auf gespeicherte Vertragsdaten zugreifen soll, stellt sich die Frage nach einer belastbaren Authentifizierung in einer völlig anderen Qualität.
Damit bekommt jede Funktion genau die Sicherheit, die ihrem Zweck entspricht.
Das ist Zweckangemessenheit
Man könnte versuchen, jeden Widerrufenden bereits am Eingang vollständig zu authentifizieren.
Das klingt zunächst besonders sicher.
Es schafft aber ein anderes Problem.
Die Sicherheitsmaßnahme würde dann möglicherweise selbst zur Hürde für die Ausübung des Widerrufsrechts.
Die bessere Lösung liegt deshalb nicht darin, die Erklärung möglichst schwer zugänglich zu machen.
Sie liegt darin, Erklärung und Datenzugriff voneinander zu entkoppeln.
Für die Erklärung braucht der Verbraucher einen einfachen Weg.
Für den Zugriff auf personenbezogene Vertragsdaten braucht er einen sicheren Weg.
Diese beiden Wege müssen nicht identisch sein.
Die vielleicht wichtigste Designregel
Ein Widerrufsformular sollte sich gegenüber dem öffentlichen Nutzer im ersten Schritt weitgehend blind gegenüber dem eigenen Vertragsbestand verhalten.
Der Nutzer darf etwas hineinreichen.
Das System muss deshalb noch nichts herausreichen.
Erst dadurch verschwindet der vermeintliche Konflikt zwischen Verbraucherfreundlichkeit und Datenschutz.
Der Widerrufsbutton wird zum Türöffner für die Willenserklärung.
Nicht zum Türöffner für die Kundendatenbank.
Die Balance
Das BGB verlangt einen unkomplizierten Weg zur Übermittlung der Erklärung. § 356a beschreibt dafür ausdrücklich einen Ablauf mit Widerrufsfunktion, Vertragsidentifikation, Bestätigungsfunktion und anschließender Eingangsbestätigung.
Die DSGVO verlangt gleichzeitig, personenbezogene Daten zweckangemessen zu verarbeiten und technische Systeme datenschutzgerecht zu gestalten.
Beides lässt sich zusammenbringen.
Nicht durch möglichst viele Schranken vor dem Widerrufsbutton.
Sondern durch eine klare Grenze hinter ihm.
Niedrige Hürde für die Willenserklärung.
Hohe Hürde für die Offenlegung von Vertragsdaten.
Eine Erklärung darf eintreten.
Die Kundendatenbank bleibt geschlossen.