DSGVO

Was die DSGVO bedeutet

Die DSGVO ist die Datenschutz-Grundverordnung der Europäischen Union. Sie gilt seit dem 25. Mai 2018, ersetzt die nationalen Datenschutzgesetze nicht, sondern rahmt sie, und sie regelt den Umgang mit personenbezogenen Daten. Personenbezogen heißt jede Angabe, die sich auf eine identifizierbare natürliche Person beziehen lässt. Name, Anschrift und E-Mail-Adresse gehören dazu, aber auch die IP-Adresse, die Kennung eines Endgeräts und der Verlauf im Shop.

Für den Online-Handel ist wichtig, dass fast jeder Vorgang personenbezogene Daten berührt. Bestellen, bezahlen, versenden und reklamieren funktionieren nur mit Kundendaten. Die DSGVO verbietet das nicht, sie verlangt eine Begründung: für jede Verarbeitung braucht es eine Rechtsgrundlage, einen Zweck und eine Frist, nach der die Daten wieder verschwinden.

Welche Pflichten daraus folgen

Vier Pflichten tragen den Betrieb. Erstens die Informationspflicht, also eine Datenschutzerklärung mit Zweck, Rechtsgrundlage, Empfängern und Speicherdauer. Zweitens die Rechenschaftspflicht, also die Dokumentation, warum eine Verarbeitung zulässig ist. Drittens die Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Viertens die technische und organisatorische Absicherung, damit Daten nicht abhandenkommen.

Wer Dienstleister einsetzt, braucht zusätzlich einen Vertrag zur Auftragsverarbeitung. Betroffen sind Hosting, Zahlungsdienstleister, Versand, Newsletter-Versand, Support-Werkzeuge und seit einiger Zeit auch jeder Dienst, der Texte oder Bilder mit KI erzeugt.

Wo es in der Praxis hakt

• Cookie-Banner ohne Steuerung: Ein Banner, das alles erlaubt, ist keine Einwilligung. Nicht notwendige Skripte dürfen erst nach einer aktiven Auswahl laden.
• Alte Texte: Eine Datenschutzerklärung von 2019 nennt die Dienste nicht, die heute laufen. Sie muss die tatsächlich eingesetzten Werkzeuge abbilden.
• Fehlende Auftragsverarbeitung: Der Vertrag wird beim Hosting geprüft und beim Newsletter-Werkzeug vergessen.
• Löschkonzept: Ohne Fristen bleiben Bestelldaten dauerhaft im System. Aufbewahrungspflichten erklären viele Fristen, aber nicht alle.

Häufige Fragen

• Braucht jeder Shop einen Datenschutzbeauftragten? Nur unter bestimmten Voraussetzungen, etwa bei umfangreicher regelmäßiger Überwachung. Die Prüfung gehört dokumentiert.
• Darf ich Kundenbewertungen mit Namen zeigen? Nur mit Erlaubnis oder auf einer tragfähigen Rechtsgrundlage. Für die Bewertung ist der vollständige Name nicht nötig.
• Gilt die DSGVO auch für Newsletter? Ja, und sie verlangt hier ein ausdrückliches Opt-in, das nachweisbar ist.