DSGVO im Onlineshop: Worauf es ankommt

Warum Onlineshops besonders viele Daten verarbeiten

Eine einfache Informations-Website kommt oft mit sehr wenigen personenbezogenen Daten aus – im Zweifel nur mit einer Kontaktformular-Anfrage. Ein Onlineshop dagegen verarbeitet bei jeder Bestellung eine ganze Reihe an Daten: Name, Lieferadresse, E-Mail, oft Telefonnummer, Zahlungsdaten sowie die komplette Bestellhistorie. Hinzu kommen häufig Kundenkonten, Newsletter-Anmeldungen und Cookies für Analyse- oder Marketingzwecke. Diese Menge und Vielfalt an Daten macht einen sauberen Umgang mit der Datenschutz-Grundverordnung besonders wichtig – nicht aus formaler Pflichterfüllung heraus, sondern weil Kund:innen ihre sensiblen Daten einem Shop anvertrauen, den sie oft nur online und nicht persönlich kennen. Dieser Artikel gibt dazu eine allgemeine Einordnung, ersetzt aber keine individuelle rechtliche Prüfung deines konkreten Shops.

Bereiche mit DSGVO-Relevanz im Überblick

Im Shop-Alltag taucht DSGVO-Relevanz an mehreren, oft wiederkehrenden Stellen auf. Dazu zählen typischerweise das Kundenkonto mit gespeicherten Adress- und Bestelldaten, die Newsletter-Anmeldung inklusive Nachweis der Einwilligung, eingebundene Analyse- und Marketing-Tools, die über Cookies personenbezogene Daten erfassen können, sowie die Zusammenarbeit mit externen Dienstleistern wie Versand- und Zahlungsanbietern. Auch die Datenschutzerklärung selbst muss diese Verarbeitungsvorgänge nachvollziehbar abbilden. Für Shop-Betreiber:innen bedeutet das in der Praxis: eine vollständige, auf den eigenen Shop zugeschnittene Datenschutzerklärung, ein Verzeichnis der wichtigsten Verarbeitungsvorgänge und, wo nötig, entsprechende Vereinbarungen mit eingebundenen Dienstleistern gehören zu den zentralen Bausteinen – die konkrete rechtliche Ausgestaltung sollte aber immer fachkundig geprüft werden.

Auftragsverarbeitung mit Zahlungsanbietern

Sobald ein Onlineshop externe Dienstleister einbindet, die im Auftrag personenbezogene Daten verarbeiten – etwa Zahlungsanbieter, Versanddienstleister, Hosting- oder Newsletter-Tools – kann dafür eine sogenannte Auftragsverarbeitung relevant werden, die üblicherweise über einen entsprechenden Vertrag mit dem jeweiligen Anbieter geregelt wird. Bei internationalen Zahlungsanbietern kommt oft die zusätzliche Frage hinzu, wo die Daten tatsächlich verarbeitet werden und welche Datenschutzstandards dort gelten. Wie die Zahlungsabwicklung im Shop grundsätzlich aufgebaut ist, zeigt der Artikel Zahlungsarten im Onlineshop. Ob und in welcher Form eine Auftragsverarbeitung im konkreten Fall notwendig ist, hängt stark vom gewählten Anbieter und der individuellen Situation ab – hier ist eine fachkundige Prüfung sinnvoller als eine pauschale Einschätzung.

Cookies und Newsletter-Anmeldung

Für Cookies, die nicht technisch zwingend notwendig sind – etwa für Analyse- oder Marketingzwecke – braucht es in der Regel eine informierte, aktive Einwilligung, meist über ein Cookie-Banner mit echter Wahlmöglichkeit statt eines einzelnen „Alles akzeptieren“-Buttons ohne Alternative. Bei der Newsletter-Anmeldung hat sich in der Praxis das sogenannte Double-Opt-In-Verfahren etabliert, bei dem die Anmeldung über einen zusätzlichen Bestätigungsklick per E-Mail verifiziert und dokumentiert wird. Beide Bereiche wirken auf den ersten Blick technisch, betreffen aber unmittelbar, wie rechtssicher ein Shop mit den Einwilligungen seiner Nutzer:innen umgeht. Die konkrete technische Umsetzung von Cookie-Bannern und Einwilligungsprozessen lässt sich gut vorbereiten, die rechtliche Bewertung der Texte und Formulierungen sollte aber über einen spezialisierten Anbieter erfolgen.