DSGVO im Online-Shop: Datenverarbeitung prüfen und dokumentieren
Online-Shops verarbeiten personenbezogene Daten, etwa für Bestellungen, Zahlungen, Versand, Kundenservice oder Marketing. Welche Pflichten gelten, hängt von den konkreten Datenflüssen, Zwecken, Anbietern und Rollen ab. Die DSGVO schützt natürliche Personen; sie gilt nicht ausschließlich für Daten von EU-Bürgern, sondern richtet sich unter anderem nach dem Ort und Kontext der Verarbeitung.
Eine Standard-Checkliste kann bei der Bestandsaufnahme helfen, ersetzt aber keine Bewertung des eigenen Shops. Maßgeblich sind die DSGVO, das ergänzende deutsche Datenschutzrecht und die tatsächlich eingesetzten Funktionen.
1. Verarbeitungen und Rechtsgrundlagen erfassen
Führen Sie für jeden Zweck getrennt auf, welche Daten verarbeitet werden, von wem sie stammen, wer sie erhält, wie lange sie benötigt werden und welche Rechtsgrundlage trägt. Für einen Shop kommen – je nach Vorgang – insbesondere in Betracht:
| Rechtsgrundlage | Mögliche Shop-Situation |
|---|---|
| Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO | Bestellung und Lieferung |
| Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c | gesetzlich erforderliche Geschäftsunterlagen |
| Einwilligung, Art. 6 Abs. 1 lit. a | bestimmte Werbe- oder Analyseverarbeitungen |
| Berechtigtes Interesse, Art. 6 Abs. 1 lit. f | konkret abgewogene Sicherheits- oder Betrugsprävention |
Die Rechtsgrundlage ist zweckbezogen zu bestimmen. Ein pauschaler Verweis auf Vertragserfüllung, Einwilligung oder berechtigtes Interesse deckt nicht automatisch alle Shopdaten ab. Berücksichtigen Sie auch Datenminimierung und Speicherbegrenzung.
2. Datenschutzhinweise an tatsächliche Datenflüsse anpassen
Bei der Erhebung sind die Informationen nach Art. 13 oder 14 DSGVO bereitzustellen. Erfassen Sie unter anderem Verantwortliche und Kontakt, Zwecke und Rechtsgrundlagen, Empfänger beziehungsweise Empfängerkategorien, Übermittlungen in Drittländer, Speicherkriterien und Betroffenenrechte. Beschreiben Sie keine Tools oder Verarbeitungen, die im Shop nicht eingesetzt werden, und lassen Sie neue Integrationen nicht ungeprüft außen vor.
Eine pauschale Aussage wie „alle Daten werden nach der Gewährleistungsfrist gelöscht“ ist keine verlässliche Speicherregel. Bestell-, Steuer- und Marketingdaten können unterschiedlichen Zwecken und Aufbewahrungspflichten unterliegen. Definieren Sie pro Datensatz, wann der ursprüngliche Zweck endet, ob eine weitere gesetzliche Pflicht greift und wann Löschung oder Anonymisierung möglich ist.
3. Cookies und andere Endgerätezugriffe getrennt bewerten
Für das Speichern von Informationen auf oder den Zugriff auf Informationen in einem Endgerät ist insbesondere § 25 TDDDG zu prüfen. Für eine anschließende Verarbeitung personenbezogener Daten ist zusätzlich eine Rechtsgrundlage nach der DSGVO erforderlich. Einwilligungen müssen die geltenden Anforderungen erfüllen; eine bloße Banneranzeige reicht nicht aus, wenn nicht notwendige Tags schon vorher starten.
Testen Sie die tatsächliche technische Konfiguration: blockieren Consent-Einstellungen nicht erforderliche Skripte, lässt sich die Auswahl ändern oder widerrufen, und stimmen die Texte mit den tatsächlich geladenen Diensten überein? Die passende Umsetzung hängt von den eingesetzten Technologien ab.
4. Dienstleister und Verantwortlichkeiten zuordnen
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist erforderlich, wenn ein Anbieter personenbezogene Daten als Auftragsverarbeiter im Auftrag verarbeitet. Nicht jeder Zahlungs-, Versand-, Analyse- oder Plattformanbieter hat für sämtliche Verarbeitungsvorgänge automatisch diese Rolle. Prüfen Sie Aufgaben, Datenflüsse und Vertragsunterlagen je Anbieter; auch gemeinsame oder getrennte Verantwortlichkeit kann in Betracht kommen.
Bei Drittlandübermittlungen sind Empfänger, Übermittlungsgrundlage und gegebenenfalls ergänzende Maßnahmen zu prüfen. Ob ein Angemessenheitsbeschluss oder ein anderer Mechanismus greift, hängt vom konkreten Empfänger und Verarbeitungsvorgang ab. Prüfen Sie den Status in der EU-U.S. Data Privacy Framework-Liste und dokumentieren Sie die Grundlage, auf die sich Ihr Dienst tatsächlich stützt.
5. Verzeichnis, Datenschutzbeauftragter und Anfragen
Ein Verzeichnis von Verarbeitungstätigkeiten ist nach Art. 30 DSGVO grundsätzlich zu führen. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nur, wenn die weiteren gesetzlichen Voraussetzungen erfüllt sind; eine kleine Shopgröße allein befreit nicht automatisch.
Ein Datenschutzbeauftragter kann nach Art. 37 DSGVO oder § 38 BDSG erforderlich sein. Nach deutschem Recht ist insbesondere zu prüfen, ob in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; weitere gesetzliche Fälle können unabhängig davon greifen.
Betroffenenanfragen sind grundsätzlich unverzüglich und spätestens innerhalb eines Monats zu beantworten. Eine Verlängerung um bis zu zwei weitere Monate ist unter den Voraussetzungen des Art. 12 Abs. 3 DSGVO möglich; die betroffene Person muss innerhalb der ersten Monatsfrist über die Verlängerung informiert werden. Legen Sie intern Zuständigkeiten für Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit fest.
6. Datenpannen erkennen und bearbeiten
Dokumentieren Sie Datenschutzverletzungen und Ihre Entscheidung über weitere Schritte. Nach Art. 33 DSGVO muss eine Meldung an die Aufsichtsbehörde grundsätzlich binnen 72 Stunden erfolgen, sofern die Verletzung voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei voraussichtlich hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen nach Art. 34 erforderlich sein. Prüfen Sie den konkreten Sachverhalt unverzüglich, statt eine feste Bußgeldfolge zu unterstellen.
7. Shop- und App-Funktionen prüfen
Shopify-Einstellungen, Consent-Tools und App-Funktionen können bestimmte Aufgaben unterstützen, ersetzen jedoch nicht die Prüfung des Verantwortlichen. Kontrollieren Sie vor Installation einer App:
- welche Daten und Berechtigungen die App benötigt,
- ob Daten an weitere Anbieter oder in Drittländer übermittelt werden,
- welche Speicher-, Lösch- und Datenschutzangaben der Anbieter macht,
- ob die Funktion mit Ihren Hinweisen und Einwilligungseinstellungen übereinstimmt.
Shopify dokumentiert außerdem technische Anforderungen an öffentliche Apps, darunter Compliance-Webhooks für Datenanfragen und Löschvorgänge. Diese Entwicklerpflichten sind nicht mit den Datenschutzaufgaben des Shopbetreibers gleichzusetzen; siehe Shopify Privacy-Law-Compliance.
Prüfroutine
- Erfassen Sie jeden Shop-, Zahlungs-, Versand-, Analyse- und Marketingprozess.
- Verknüpfen Sie je Zweck Rechtsgrundlage, Anbieterrolle und Löschkriterium.
- Testen Sie Consent- und Tag-Verhalten technisch.
- Stimmen Sie Datenschutzhinweise mit dem tatsächlichen Shop ab.
- Dokumentieren Sie Anfragen, Datenpannen und regelmäßige Änderungen.
Diese Übersicht ersetzt keine individuelle Datenschutzberatung. Vermeiden Sie pauschale Bußgeldprognosen oder Erfolgsversprechen: Maßgeblich sind der Sachverhalt, die tatsächlich verarbeiteten Daten und die anwendbaren gesetzlichen Pflichten.