DSGVO Online-Shop Checkliste

Worum es bei der DSGVO im Shop wirklich geht

Die DSGVO verlangt keine bestimmte Technik und kein bestimmtes Formular. Sie verlangt, dass Verarbeitungen bekannt, begründet und dokumentiert sind, und dass Betroffene ihre Rechte wahrnehmen können. Im Shop klingt das einfacher, als es ist, weil kaum eine andere Umgebung so viele Datenflüsse in so kurzer Zeit erzeugt wie ein Bestellvorgang.

Der praktische Prüfstein ist ein Abgleich: Entspricht das, was du über deine Verarbeitungen schreibst, dem, was technisch tatsächlich passiert? Genau dort finden sich die meisten Lücken, nicht in der Existenz von Dokumenten.

Die Prüfliste im Überblick

Verarbeitungsverzeichnis

Das Verzeichnis ist das zentrale Dokument, weil fast alles andere daran hängt. Für jede Verarbeitung gehören Zweck, Datenkategorie, betroffener Personenkreis, Empfänger, Rechtsgrundlage und Speicherdauer hinein.

Im Shop sind das schnell zwanzig bis dreißig Einträge: Bestellabwicklung, Kundenkonto, Zahlungsabwicklung, Versand, Rechnungsstellung, Buchhaltung, Mahnwesen, Newsletter, Produktbewertungen, Kontaktformular, Live-Chat, Analyse, Retargeting, Auffindbarkeit in Suchmaschinen und so weiter. Der Aufwand liegt nicht im Schreiben, sondern im vollständigen Erfassen.

Ein bewährter Trick: Das Verzeichnis wird aus der Liste der eingesetzten Dienste abgeleitet, nicht aus dem Gedächtnis. Wer die technische Landschaft dokumentiert hat, hat das Verzeichnis fast schon.

Rechtsgrundlagen richtig wählen

Für jede Verarbeitung brauchst du eine Grundlage. Im Shop sind vier davon relevant.

• Vertragserfüllung für alles, was zur Bestellung gehört: Name, Adresse, Zahlungsdaten, Lieferadresse.
• Gesetzliche Pflicht für Aufbewahrung, etwa Rechnungen und Buchhaltungsbelege.
• Berechtigtes Interesse für Dinge wie Betrugsvermeidung oder die Sicherung des eigenen IT Betriebs.
• Einwilligung für alles, was nicht zwingend nötig ist, vor allem Analyse und Werbung.

Die häufigste Fehlzuordnung ist die Einwilligung für Dinge, die vertraglich erforderlich sind. Wer für die Übermittlung der Lieferadresse an den Versanddienstleister eine Einwilligung einholt, macht sich doppelte Arbeit und macht die Einwilligung angreifbar, weil sie für Vertragsdaten keine tragfähige Grundlage ist.

Einwilligung und Cookie-Banner

Der Banner ist der sichtbarste Teil und der, an dem am meisten falsch gemacht wird. Drei Anforderungen sind zentral: Es darf nichts nicht notwendiges gesetzt werden, bevor eine Auswahl getroffen wurde, die Ablehnung muss so einfach sein wie die Zustimmung, und die Auswahl muss nachvollziehbar dokumentiert sein.

Technisch scheitert es fast immer an derselben Stelle. Ein Tracking-Skript, das im Kopfbereich geladen wird, setzt Cookies, bevor der Banner überhaupt sichtbar ist. Der Banner sieht dann korrekt aus, während die Verarbeitung bereits läuft. Prüfe deshalb nicht den Banner, sondern den Netzwerkverkehr beim ersten Seitenaufruf. Ein Blick in die Entwicklerwerkzeuge zeigt in zwei Minuten, was wirklich passiert.

Auftragsverarbeitung

Mit jedem Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag. Dazu gehören Hosting, Shopsystem, Zahlungsdienstleister, Versanddienstleister, E-Mail-Versand, Analysewerkzeuge und Supportdienstleister.

Der Punkt, der am häufigsten übersehen wird, ist der Hostinganbieter, weil er im Projekt selbstverständlich wirkt. Tatsächlich ist er der Dienstleister mit dem tiefsten Zugriff auf alles. Prüfe hier zuerst, und prüfe zusätzlich, ob die Verträge der Dienstleister aktuell sind, denn bei den großen Anbietern ändern sich Fassungen regelmäßig.

Betroffenenrechte praktisch ermöglichen

Betroffene haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Entscheidend ist nicht, dass du das weißt, sondern dass der Weg dafür existiert und funktioniert.

Für die Auskunft ist eine technische Exportmöglichkeit die saubere Lösung. Für die Löschung muss klar sein, welche Daten gelöscht werden können und welche aufgrund gesetzlicher Aufbewahrungspflichten bleiben müssen. Wer beides im Kundenkonto anbietet, hat den Großteil erledigt. Wer auf jede Anfrage manuell in Datenbanken sucht, wird bei wachsendem Geschäft zum Engpass.

Beachte dabei, dass Löschung und Aufbewahrungspflicht zusammen gelten können. Eine Rechnung darf nicht gelöscht werden, auch wenn der Kunde es verlangt. Der richtige Weg ist die Auskunft, dass diese Daten gesetzlich gebunden sind, und die Löschung aller übrigen.

Loeschkonzept

Für jede Datenkategorie brauchst du eine Frist. Eine übliche Aufstellung sieht so aus: Bestelldaten und Rechnungen zehn Jahre aus steuerlichen Gründen, Kundendaten bis zur Schließung des Kontos plus Ablauf der Frist, Warenkorbdaten wenige Wochen, Newsletterdaten bis zum Widerruf, Serverprotokolle wenige Monate.

Wichtig ist die Umsetzung, nicht das Konzept. Ein Konzept ohne automatisierte Löschung ist nach zwei Jahren nicht mehr wahr. Richte für jede Kategorie einen Auftrag ein, der löscht, und prüfe einmal im Quartal, ob er noch läuft.

Wann es ein Datenschutzverstoß ist

Nicht jeder Fehler ist ein meldepflichtiger Verstoß. Meldepflichtig wird es, wenn ein Risiko für Rechte und Freiheiten von Personen entsteht, etwa bei einem Datenabfluss mit personenbezogenen Daten. Solche Fälle haben in der Regel kurze Fristen, weshalb der Ablauf vorher bekannt sein muss.

Der zweite Teil, der regelmäßig fehlt, ist die interne Dokumentation: Was ist wann passiert, was wurde unternommen, warum wurde gemeldet oder nicht. Ohne diese Notizen fehlt im Zweifel der Nachweis, dass angemessen reagiert wurde. Der rechtliche Rahmen für diese Fragen wird im Seminar Legal & Compliance systematisch behandelt.

Häufige Fragen

Brauche ich einen Datenschutzbeauftragten?

Das hängt von Größe und Art der Verarbeitung ab. Ein Datenschutzbeauftragter ist nicht ab einer festen Beschäftigtenzahl zwingend, sondern dann, wenn umfangreiche Verarbeitungen stattfinden. Ein Shop mit umfangreichem Tracking, mehreren Zahlungsdiensten und Kundenkonto kann dazu zählen, auch wenn das Unternehmen klein ist. Die genaue Schwelle sollte anhand der tatsächlichen Verarbeitungen bewertet werden.

Sind Gastbestellungen datenschutzfreundlicher?

Sie sind es in einem Punkt: Es entsteht kein Kundenkonto mit eigenem Datenbestand. Der Unterschied ist aber kleiner, als er wirkt, weil die Bestelldaten ohnehin verarbeitet und aufbewahrt werden. Der Vorteil für den Händler ist umgekehrt, weil ein Kundenkonto die Wiederkaufsrate erhöht und damit Umsatz bringt.

Was passiert, wenn Tracking vor der Zustimmung lädt?

Dann liegt eine Verarbeitung ohne Rechtsgrundlage vor, auch wenn der Banner korrekt aussieht. Das ist der häufigste technische Fehler und der Gravendste, weil er jede Seite betrifft. Die Prüfung ist einfach: Beim ersten Aufruf im Netzwerkprotokoll nachsehen, ob die Analyse- oder Werbeendpunkte vor der Auswahl angesprochen werden.

Muss ich als Händler die Datenschutzerklärung selbst schreiben?

Du bist verantwortlich, unabhängig davon, wer schreibt. Textvorlagen können den Rahmen liefern, aber die Anpassung an die tatsächlichen Verarbeitungen bleibt deine Aufgabe, und genau dort entstehen die Fehler. Prüfe daher mindestens, ob jeder genannte Dienst tatsächlich genutzt wird und ob jeder genutzte Dienst genannt ist.

Wie lange darf ich Bestelldaten aufbewahren?

Bestelldaten und Rechnungen unterliegen steuerlichen Aufbewahrungsfristen und dürfen in der Regel zehn Jahre nicht gelöscht werden. Das gilt aber nur für die Daten, die für die Buchhaltung relevant sind. Zusätzliche Angaben, etwa ein Freitextfeld mit einer Anmerkung oder eine Liste der angesehenen Produkte, fallen nicht darunter und sollten nach Ablauf der eigenen Frist gelöscht werden. Die richtige Aufstellung trennt deshalb innerhalb einer Bestellung zwischen aufbewahrungspflichtigen und freiwilligen Angaben.

Gilt die DSGVO auch für Bewertungen und Gästebücher?

Ja. Sobald personenbezogene Daten veröffentlicht werden, also etwa der Name neben einer Bewertung, ist das eine Verarbeitung mit eigener Rechtsgrundlage und eigenen Löschfristen. Häufig fehlt in solchen Bereichen eine Möglichkeit, die eigene Bewertung wieder entfernen zu lassen. Diese Möglichkeit sollte im gleichen Umfang bestehen wie das Recht, sie zu widerrufen.