· aktualisiert · horak Rechtsanwälte
Ein Online-Shop verarbeitet bei jeder Bestellung Name, Anschrift, Zahlungsdaten und oft das Surfverhalten. Verantwortlich dafür ist der Shopbetreiber, auch wenn Hosting, Zahlung und Versand bei Dienstleistern liegen. Verschlüsselung allein reicht nicht. Die DSGVO verlangt eine Rechtsgrundlage für jede Verarbeitung, transparente Information und dokumentierte Sicherheitsmaßnahmen.
Rechtsgrundlagen für Bestelldaten
Für die Abwicklung der Bestellung ist keine Einwilligung nötig. Die Verarbeitung stützt sich auf die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Anders bei Newsletter-Werbung, Bonitätsprüfungen oder der Weitergabe an Werbepartner: Hier braucht es eine Einwilligung oder ein sorgfältig abgewogenes berechtigtes Interesse. Für E-Mail-Werbung an Bestandskunden gelten zusätzlich die Vorgaben des § 7 UWG.
Cookies, Tracking und Consent-Banner
Das Setzen nicht notwendiger Cookies und vergleichbarer Technologien erfordert nach § 25 TDDDG eine vorherige Einwilligung. Das betrifft Analyse-Tools, Retargeting und Pixel von Werbenetzwerken. Der Banner muss die Ablehnung ebenso einfach machen wie die Zustimmung. Werden Daten an Anbieter in den USA übermittelt, ist zu prüfen, ob der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist.
Praxisbeispiel: Ein Modehändler bindet einen Conversion-Pixel für Google Ads ein, der schon beim Seitenaufruf lädt. Ein Wettbewerber mahnt ab, und die Datenschutzaufsicht fordert eine Stellungnahme an. Die Lösung: Pixel erst nach Einwilligung laden, Banner mit gleichwertigem Ablehnen-Button und eine Datenschutzerklärung, die den Dienst korrekt benennt.
Dienstleister und Auftragsverarbeitung
Shopsystem, Hosting, Newsletter-Tool und Kundenservice-Software verarbeiten personenbezogene Daten im Auftrag des Händlers. Mit jedem dieser Anbieter ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig. Zahlungsdienstleister und Versanddienstleister sind dagegen häufig eigene Verantwortliche. Das muss in der Datenschutzerklärung richtig dargestellt werden.
Transparenz und Betroffenenrechte
- Datenschutzerklärung mit allen eingesetzten Diensten, Zwecken, Rechtsgrundlagen und Speicherdauern
- Prozess für Auskunft, Berichtigung und Löschung binnen eines Monats
- Widerruf von Einwilligungen jederzeit, so einfach wie die Erteilung
- Löschkonzept, das handels- und steuerrechtliche Aufbewahrungspflichten berücksichtigt
- Impressum nach § 5 DDG
Datensicherheit und Datenpannen
Der Shopbetreiber muss angemessene technische und organisatorische Maßnahmen treffen (Art. 32 DSGVO): TLS-Verschlüsselung, aktuelle Shopsoftware, Zugriffsrechte nach dem Need-to-know-Prinzip, Zwei-Faktor-Anmeldung im Backend. Kommt es trotzdem zu einem Vorfall, etwa durch ein kompromittiertes Plugin, ist die Datenpanne in der Regel binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Bei hohem Risiko müssen auch die Kunden informiert werden.
Weitere Themen rund um den Shopbetrieb finden Sie unter Onlinerecht und Wettbewerbsrecht. Sie haben eine Abmahnung oder ein Schreiben der Aufsichtsbehörde erhalten? Rufen Sie uns an: 0511 357356-0, oder buchen Sie online einen Termin.
Beratung im Datenschutz & DSGVO
DSGVO für Unternehmen: Auftragsverarbeitung, Datenpannen, Auskunft und Bußgeldverfahren. Sie haben eine ähnliche Frage? Wir prüfen Ihren Fall und sagen Ihnen, welche Schritte sinnvoll sind.