DSGVO im Online-Shop

Was regelt die DSGVO für Online-Shops konkret?

Jede Verarbeitung personenbezogener Daten — vom Bestellformular über den Newsletter bis zum Tracking-Pixel — braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Im E-Commerce sind das vor allem: die Vertragserfüllung (Bestellabwicklung), die Einwilligung (Newsletter, Tracking) und das berechtigte Interesse (z. B. Betrugsprävention). Ohne eine dieser Grundlagen ist die Datenverarbeitung unzulässig.

Für Cookies und ähnliche Technologien kommt eine zweite Rechtsgrundlage hinzu: § 25 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) verlangt unabhängig von der DSGVO eine Einwilligung für das Setzen oder Auslesen von Informationen auf dem Endgerät des Nutzers, sobald das nicht technisch zwingend notwendig ist. DSGVO und TTDSG greifen damit ineinander: Das TTDSG regelt die Zulässigkeit des Cookie-Zugriffs selbst, die DSGVO die anschließende Verarbeitung der dabei erhobenen personenbezogenen Daten.

Darüber hinaus gelten die Verarbeitungsgrundsätze aus Art. 5 DSGVO: Daten dürfen nur zweckgebunden erhoben (Zweckbindung), nur im erforderlichen Umfang gespeichert (Datenminimierung) und nicht länger als nötig aufbewahrt werden (Speicherbegrenzung). Für Shop-Betreiber heißt das konkret, im Bestellformular nur wirklich benötigte Felder als Pflichtfelder zu markieren und Kundenkonten oder Warenkorb-Daten nicht unbegrenzt vorzuhalten, nur weil sie technisch verfügbar sind.

Vollbild

Rechtsgrundlagen im Überblick

Das berechtigte Interesse ist in der Praxis die unsicherste Grundlage: Sie setzt eine dokumentierte Interessenabwägung voraus, bei der die schutzwürdigen Interessen der Kunden nicht überwiegen dürfen. Für invasivere Verarbeitungen wie personalisierte Werbung reicht sie in der Regel nicht aus — hier ist die Einwilligung die rechtssicherere Grundlage.

Consent für Tracking und Marketing

Tracking-Tools wie Google Ads, Meta Pixel oder Analytics-Dienste benötigen in der Regel eine aktive, informierte Einwilligung über ein Cookie-Consent-Tool, bevor sie Daten erheben — reines „Opt-out“ reicht bei nicht notwendigen Cookies nicht aus. Die Einwilligung muss granular sein (einzeln pro Kategorie), jederzeit widerrufbar und darf nicht durch Voreinstellung erzwungen werden. Für Retargeting-Kampagnen ist das besonders relevant, weil sie technisch auf personenbezogenen Signalen aufbauen. Das Consent-Tool muss zudem dokumentieren können, wer wann welcher Kategorie zugestimmt hat — im Streitfall trägt der Shop-Betreiber die Nachweislast für eine wirksam eingeholte Einwilligung.

Auftragsverarbeitung mit Dienstleistern

Fast jeder Shop nutzt externe Dienstleister, die im Auftrag Daten verarbeiten: Hosting, Payment-Service-Provider, Versanddienstleister, E-Mail-Marketing-Tools. Mit jedem dieser Dienstleister ist ein Auftragsverarbeitungsvertrag (AVV) abzuschließen, der Umfang, Zweck und Sicherheitsmaßnahmen der Datenverarbeitung regelt. Viele Anbieter stellen Standard-AVVs bereit, die Prüfung und Abschluss liegen aber in der Verantwortung des Shop-Betreibers. Viele Anbieter setzen ihrerseits Sub-Auftragsverarbeiter ein, etwa Cloud-Hosting für die eigentliche Serverinfrastruktur — ein sorgfältiger AVV listet diese Unterauftragsverhältnisse auf oder verweist auf eine aktuell gehaltene Liste, die der Shop-Betreiber im Blick behalten sollte. Sitzt der Dienstleister außerhalb der EU/des EWR, reicht der AVV allein nicht aus — dann braucht es zusätzlich eine Absicherung des Drittlandtransfers.

Drittlandtransfer bei US-Diensten

Viele gängige Shop-Tools — Analytics, E-Mail-Marketing, Ad-Pixel, teils auch Payment- oder Support-Software — stammen von US-Anbietern oder verarbeiten Daten auf Servern außerhalb der EU. Für die Datenübermittlung in Drittländer verlangt die DSGVO ein angemessenes Schutzniveau (Art. 44 ff. DSGVO): entweder über eine Angemessenheitsentscheidung der EU-Kommission — etwa das EU-US Data Privacy Framework für zertifizierte US-Anbieter — oder über Standardvertragsklauseln mit ergänzenden technischen und organisatorischen Maßnahmen. Vor dem Einsatz eines neuen Tools lohnt sich deshalb ein kurzer Blick, wo die Daten tatsächlich verarbeitet werden und auf welcher Grundlage der Transfer abgesichert ist.

Betroffenenrechte

Kunden haben unter anderem Anspruch auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Shops sollten intern klar definiert haben, wer solche Anfragen entgegennimmt, prüft und in welcher Frist beantwortet — üblich ist ein Monat. Bei einer Löschanfrage kollidiert das Recht auf Löschung häufig mit gesetzlichen Aufbewahrungspflichten: Rechnungen und Buchungsbelege müssen aus steuer- und handelsrechtlichen Gründen über Jahre aufbewahrt werden, auch wenn der Kunde die Löschung seiner Daten verlangt. In diesem Fall werden die betroffenen Daten für andere Zwecke gesperrt statt vollständig gelöscht und erst nach Ablauf der Aufbewahrungsfrist entfernt.

Rechenschaftspflicht: Verzeichnis, TOMs und Datenschutzbeauftragter

Neben den einzelnen Verarbeitungen selbst verlangt die DSGVO von Shop-Betreibern auch Nachweise über die eigene Organisation: ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), das dokumentiert, welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Dienstleistern verarbeitet werden, sowie angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO) wie Verschlüsselung, Zugriffskontrollen und Backups. Ab in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, kommt nach § 38 BDSG die Pflicht zur Bestellung eines Datenschutzbeauftragten hinzu — unabhängig von dieser Schwelle kann ein DSB auch bei umfangreicher Verarbeitung besonders sensibler Daten oder systematischer Überwachung erforderlich sein.

Typische Fehler aus der Praxis

1. Cookie-Banner ohne echte Wahlmöglichkeit — „Alle akzeptieren“ prominent, Ablehnen versteckt oder erschwert.
2. Fehlende AVVs mit Tracking-, Hosting- oder Marketing-Dienstleistern.
3. Datenschutzerklärung nicht aktuell gehalten, wenn neue Tools oder Dienstleister hinzukommen.
4. Keine Prozesse für Betroffenenanfragen — Löschanfragen werden ignoriert oder zu spät bearbeitet.
5. Verzeichnis von Verarbeitungstätigkeiten fehlt, weil Betreiber fälschlich annehmen, die Ausnahme für kleine Unternehmen unter 250 Mitarbeitenden gelte automatisch — sie greift aber nicht, sobald Kundendaten nicht nur gelegentlich verarbeitet werden, was im laufenden Online-Handel praktisch immer der Fall ist.

Rechtssicher umsetzen

Dieser Beitrag hält sich bewusst kurz und definitorisch — er ersetzt keine Rechtsberatung im Einzelfall. Eine vertiefte Einordnung mit konkreten Umsetzungsschritten für den Online-Shop liefert unser Guide Online-Shop rechtssicher betreiben. Die technische Umsetzung von Consent-Management und Datenschutzerklärung übernehmen wir als E-Commerce-Agentur — Kontakt aufnehmen.