Altersverifikation im Onlineshop: Pflicht 2026

Dein Kunde verkauft E-Zigaretten und Liquids, der Shop läuft, die Bestellungen kommen rein. Dann landet ein Brief in seinem Postfach: eine Abmahnung eines Mitbewerbers. Der Vorwurf: Der Shop gebe altersbeschränkte Ware ab, ohne das Alter der Käufer ernsthaft zu prüfen. Ein Klick auf „Ich bin über 18" reicht eben nicht. Dein Kunde ruft dich an – schließlich hast du den Shop gebaut. Und plötzlich stehst du mittendrin in einem Thema, das viele Agenturen bislang mit einem Häkchen-Feld abgehakt haben.

Genau hier wird es 2026 ernst. Die Altersverifikation im Onlineshop rückt aus zwei Richtungen in den Fokus: Auf der einen Seite gelten die deutschen Jugendschutzregeln schon lange und werden konsequent abgemahnt. Auf der anderen Seite hat die EU-Kommission im Frühjahr 2026 eine eigene Altersprüfungs-App fertiggestellt und drängt die Mitgliedstaaten zur Einführung. Für Agenturen mit Shop- oder Plattform-Kunden heißt das: Das simple Alters-Popup hat ausgedient. Dieser Beitrag ordnet ein, was gilt, für wen – und was du deinen Kunden jetzt raten solltest. Er ist eine fachliche Einordnung, keine Rechtsberatung; bei konkreten Konstellationen gehört ein Anwalt oder die zuständige Aufsicht dazu.

Altersverifikation im Onlineshop: für wen sie Pflicht ist

Der erste Denkfehler ist zu glauben, das Thema betreffe nur „Erwachsenenseiten". Tatsächlich hängt die Pflicht am Produkt, nicht am Ruf der Branche. In Deutschland ist die Grenze klar dort gezogen, wo Jugendschutzrecht greift.

Für Tabakwaren, E-Zigaretten, E-Shishas und die dazugehörigen Liquids ist die Lage eindeutig. Nach § 10 Jugendschutzgesetz dürfen diese Produkte im Versandhandel nicht an Kinder und Jugendliche abgegeben werden – ausdrücklich auch nikotinfreie Varianten. Der Gesetzgeber verlangt hier, dass der Anbieter durch geeignete Maßnahmen sicherstellt, dass kein Minderjähriger beliefert wird. Ein reines Bestätigungshäkchen erfüllt das nicht. Bei Alkohol fehlt zwar eine ausdrückliche Versandhandels-Regel im Gesetz, doch die Rechtsprechung überträgt die Abgabeverbote des stationären Handels auf den Onlinehandel: Bier und Wein ab 16, Spirituosen ab 18. Wer solche Waren ohne belastbare Alterskontrolle verkauft, handelt wettbewerbswidrig.

Dazu kommt die zweite Kategorie: entwicklungsbeeinträchtigende und jugendgefährdende Inhalte nach dem Jugendmedienschutz-Staatsvertrag (JMStV). Betreibt dein Kunde eine Plattform mit solchen Inhalten, verlangt § 4 JMStV geschlossene Benutzergruppen – also eine echte Altersverifikation, die eine Volljährigkeit sicherstellt, nicht bloß abfragt. Auch Angebote wie Online-Gaming mit Glücksspielelementen oder der Verkauf von Filmen ohne Jugendfreigabe fallen darunter. Kurz: Betroffen ist ein deutlich größerer Kreis von Kundenprojekten, als die meisten Agenturen annehmen – vom Vape-Shop über den Weinhändler bis zur Community-Plattform.

Warum der Klick „Ich bin über 18" nicht reicht

Das Alters-Popup, das viele Shops beim Betreten zeigen, ist juristisch fast wertlos. Es hält niemanden ab, es prüft nichts, es dokumentiert nichts. Für den bloßen Aufruf einer Seite mag es als Hinweis durchgehen – für die Abgabe altersbeschränkter Ware ist es untauglich.

Was der Gesetzgeber stattdessen erwartet, lässt sich als zweistufiges Verfahren beschreiben. Die erste Stufe ist die Identifizierung beim Bestellvorgang: ein Verfahren, das die Volljährigkeit tatsächlich prüft, etwa über einen Ausweis- oder Bankdaten-Abgleich. Die zweite Stufe ist die Kontrolle bei der Übergabe: Der Zusteller prüft den Ausweis, sodass die Ware nicht doch bei einem Minderjährigen landet. Für den Versand gibt es dafür etablierte Dienste der Logistiker, die genau diese Ausweiskontrolle an der Haustür übernehmen. Wichtig ist die Botschaft an den Kunden: Altersverifikation ist ein Prozess über die gesamte Bestellstrecke, nicht ein Widget im Header.

Das Abmahnrisiko ist real und teuer. Verstöße gegen den Jugendschutz sind Ordnungswidrigkeiten, die mit Bußgeldern von bis zu 50.000 Euro geahndet werden können. Weit häufiger trifft es Shops aber über das Wettbewerbsrecht: Mitbewerber und Verbände mahnen fehlende Alterskontrollen als Rechtsbruch nach dem UWG ab, verlangen Unterlassungserklärungen und die Kosten. Wie sich Abmahnwellen generell entwickeln und welche Rolle Agenturen dabei tragen, ordnet auch der Beitrag zu rechtssicheren Kundenbewertungen ein – das Muster ist dasselbe: eine formale Lücke, die sich leicht abmahnen lässt.

Die neue EU-Altersverifikations-App – das ändert sich

Über der nationalen Ebene bewegt sich gerade etwas Grundlegendes. Die EU-Kommission hat am 15. April 2026 die technische Fertigstellung einer europäischen Altersverifikations-App verkündet. Sie soll anonym funktionieren, ist quelloffen und nach Darstellung der Kommission an den höchsten Datenschutzstandards ausgerichtet. Der Kern: Ein Nutzer weist einmalig über ein amtliches Dokument nach, dass er volljährig ist – und die App meldet einer Plattform anschließend nur noch das Ergebnis „über 18", ohne Name, Geburtsdatum oder Ausweisdaten preiszugeben. Technisch soll das perspektivisch über sogenannte Zero-Knowledge-Proofs abgesichert werden, die eine Eigenschaft bestätigen, ohne die zugrunde liegenden Daten zu offenbaren.

Sieben Länder – darunter Frankreich, Italien, Spanien, Dänemark und Irland – haben angekündigt, die Lösung in ihre nationalen digitalen Brieftaschen zu integrieren. Damit verzahnt sich die App mit der EUDI-Wallet, der europäischen digitalen Identität, deren Ausrollen in den Mitgliedstaaten ohnehin ansteht. Rechtlich sitzt das Ganze im Rahmen des Digital Services Act: Dessen Vorgaben zum Schutz Minderjähriger und die begleitenden Leitlinien der Kommission aus dem Sommer 2025 verlangen von Plattformen wirksame, verhältnismäßige Alterssicherung. Welche Kundenseiten überhaupt unter den DSA fallen, klärt der Beitrag zu den DSA-Pflichten für Websites.

Für dich als Agentur ist die App keine sofortige Umbaupflicht, aber ein klarer Trend: Alterssicherung wird standardisiert und datensparsam. Statt Ausweiskopien in irgendeiner Datenbank zu horten, wird der Nachweis künftig als anonymes Signal durchgereicht. Das ist auch für die DSGVO ein Fortschritt – denn jede Ausweiskopie, die ein Shop speichert, ist selbst ein Datenschutzrisiko.

Datensparsamkeit ist der eigentliche Knackpunkt

Hier liegt die Falle, in die gut gemeinte Lösungen tappen. Wer zur Alterskontrolle vollständige Ausweisscans hochladen und speichern lässt, verlagert das Problem nur: Aus einer Jugendschutzlücke wird ein DSGVO-Verstoß. Ausweisdaten sind hochsensibel, ihre Speicherung braucht eine tragfähige Rechtsgrundlage, ein Löschkonzept und eine saubere Absicherung. Das Prinzip der Datenminimierung nach der DSGVO verlangt, so wenig wie möglich zu erheben.

Der richtige Rat an den Kunden lautet deshalb: so viel Prüfung wie nötig, so wenig Speicherung wie möglich. Setzt der Shop auf einen externen Verifikationsdienstleister, verarbeitet dieser personenbezogene Daten im Auftrag – ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Pflicht, und der Anbieter sollte in der EU sitzen. Und wird das Alter über eine dritte Stelle geprüft, gilt dasselbe wie bei jedem eingebundenen Dienst: Transparenz in der Datenschutzerklärung und, wo nötig, Einwilligung. Wie du solche Drittdienste sauber einbindest, vertieft der Beitrag zu externen Diensten DSGVO-konform einbinden.

Was du deinen Kunden jetzt konkret rätst

Fang mit einer nüchternen Bestandsaufnahme an. Prüfe für jedes Shop- und Plattform-Projekt, ob altersbeschränkte Produkte oder Inhalte im Spiel sind – Tabak und E-Zigaretten, Alkohol, jugendgefährdende Medien, bestimmte Spiele. Wo das zutrifft, ist das reine Bestätigungshäkchen ein Haftungsrisiko, das du ansprechen solltest, bevor es die nächste Abmahnung tut.

Für betroffene Shops ist das zweistufige Verfahren der sichere Weg: eine echte Altersprüfung im Bestellprozess plus Ausweiskontrolle bei der Zustellung. Kläre mit dem Kunden, welcher Versanddienst die Kontrolle an der Haustür übernimmt, und dokumentiere den Prozess, damit er im Ernstfall belegbar ist. Behalte parallel die EU-App im Blick: Sobald sie über die nationalen Wallets breit verfügbar ist, wird sie zur naheliegenden, datensparsamen Standardlösung – gerade für Plattformen mit Alters-Gate. Wer das früh anbietet, verkauft dem Kunden nicht nur Compliance, sondern eine saubere, zukunftsfähige Lösung.

Und schließlich: Mach die Altersverifikation zum festen Punkt deiner Rechts- und Wartungs-Checks. Genau wie Impressum und Datenschutzerklärung gehört sie zu den Dingen, die einmal richtig aufgesetzt und dann laufend gepflegt werden müssen. Für kleine Agenturen ist das kein lästiges Extra, sondern ein Baustein, mit dem du dich als verlässlicher Partner zeigst – und nebenbei ein Argument für den wiederkehrenden Betreuungsauftrag. Denn wer die Abmahnung verhindert, bevor sie kommt, ist mehr wert als der, der hinterher aufräumt.