Web Push und DSGVO: Einwilligung für Poptify sauber einholen

Kurzantwort: Web Push verarbeitet personenbezogene Daten und speichert Informationen auf dem Gerät der Besucher. Für werbliche Push-Nachrichten braucht der Shop eine vorherige, informierte Einwilligung. Die technische Browser-Berechtigung allein reicht dafür nicht automatisch. Zusätzlich müssen Zweck, Datenumfang, Speicherdauer, Empfänger, Abmeldung und Auftragsverarbeitung geklärt und dokumentiert werden.

Dieser Beitrag beschreibt eine praktische Prüfliste, keine individuelle Rechtsberatung. Die rechtliche Bewertung hängt unter anderem von Zielgruppe, Inhalten, eingesetzten Diensten und Verträgen ab.

Zwei Ebenen unterscheiden

Bei Web Push treffen zwei Dinge zusammen:

1. Technische Berechtigung: Der Browser fragt, ob die Website Benachrichtigungen anzeigen darf.
2. Rechtliche Einwilligung: Der Shop informiert über Zweck und Umfang der Verarbeitung und dokumentiert die Zustimmung, wo sie erforderlich ist.

Ein Klick auf „Erlauben“ im Browser ist ein technischer Vorgang. Er sagt nichts darüber aus, ob die Person den konkreten Werbezweck verstanden hat, wie oft Nachrichten kommen oder wie sie sich abmelden kann. Deshalb sollte vor der Browser-Abfrage eine eigene, verständliche Einwilligungsebene stehen.

Welche Vorschriften relevant sind

• § 25 TDDDG: regelt das Speichern von Informationen auf Endeinrichtungen und den Zugriff darauf. Push-Abonnements und Service-Worker-Daten können darunterfallen. Ausnahmen gelten unter anderem für unbedingt erforderliche Speicherung.
• Art. 6 DSGVO: braucht eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten, typischerweise Einwilligung oder berechtigtes Interesse – je nach konkreter Nutzung.
• § 7 UWG: regelt unzumutbare Belästigung durch Werbung. Für elektronische Werbung ist grundsätzlich eine vorherige ausdrückliche Einwilligung erforderlich.
• Art. 28 DSGVO: Wenn ein Dienstleister Push-Nachrichten versendet oder Abonnements speichert, ist in der Regel ein Auftragsverarbeitungsvertrag nötig.
• Art. 13/14 DSGVO: Die Datenschutzerklärung muss Zweck, Daten, Empfänger, Speicherdauer und Rechte erklären.

Ob eine Push-Nachricht im konkreten Fall als Werbung oder als vertragliche Information einzuordnen ist, hängt vom Inhalt ab. Reine Servicehinweise können anders zu bewerten sein als Produktwerbung. Im Zweifel fachkundig prüfen lassen.

Welche Daten verarbeitet werden

Je nach technischer Umsetzung können das sein:

• Push-Endpunkt und Verschlüsselungsschlüssel,
• Browser, Betriebssystem und Geräteart,
• Sprache und Zeitzone,
• Zeitpunkt des Abonnements,
• Interaktionen mit Nachrichten,
• Zuordnung zu einem Shopify-Kundenkonto, falls vorhanden,
• Einwilligungszeitpunkt und -nachweis.

Grundsatz der Datenminimierung: Erheben Sie nur, was für den Zweck nötig ist. Ein Geburtsdatum oder eine vollständige Adresse ist für eine Warenkorb-Erinnerung in der Regel nicht erforderlich.

Die Einwilligung gestalten

Vor der Browser-Abfrage erklären

Zeigen Sie einen Hinweis im Shop, bevor der Browser-Dialog erscheint:

„Wir senden dir gelegentlich Hinweise zu Angeboten und wieder verfügbaren Produkten per Browser-Benachrichtigung. Du kannst das jederzeit in den Einstellungen beenden. Mehr in der Datenschutzerklärung.“

Der Text sollte konkret sein: Wer sendet, was kommt, wie oft, wie beendet man es.

Freiwillig und granular

• Keine vorausgewählten Häkchen.
• Keine Blockade des Shops, wenn jemand ablehnt.
• Keine Kopplung an einen Kauf oder Rabatt.
• Wenn möglich, getrennte Einwilligungen für unterschiedliche Zwecke.

Nachweis dokumentieren

Speichern Sie Version, Zeitpunkt, Text und Kontext der Einwilligung. Das ist kein Selbstzweck: Wenn die Zustimmung bestritten wird, hilft eine nachvollziehbare Dokumentation.

Abmeldung leicht machen

Jede Nachricht sollte einen klaren Weg zum Abmelden enthalten. Zusätzlich sollte der Shop eine Einstellungsseite oder einen Link in der Datenschutzerklärung anbieten. Die Abmeldung muss ohne Hürden funktionieren und darf nicht erst nach mehreren Schritten wirksam werden.

Widerruf und Löschung

Nach dem Widerruf darf keine weitere werbliche Push-Nachricht gesendet werden. Das Abonnement und zugehörige Daten sollten entsprechend gelöscht oder anonymisiert werden, soweit keine Aufbewahrungspflichten entgegenstehen.

Double-Opt-in bei Push?

Ein Double-Opt-in ist bei Web Push nicht gesetzlich als Standard vorgeschrieben. Es kann aber helfen, die Zustimmung nachzuweisen und falsche Abonnements zu reduzieren. Wägen Sie Aufwand und Nutzen ab. Wichtiger als ein Etikett ist, dass die Einwilligung informiert, freiwillig und dokumentiert ist.

Auftragsverarbeitung und Dienste

Prüfen Sie beim App-Anbieter:

• Wo werden Abonnements und Versanddaten gespeichert?
• Gibt es einen Auftragsverarbeitungsvertrag?
• Werden Daten an Dritte oder in Drittländer übermittelt?
• Wie lange werden Daten aufbewahrt?
• Was passiert bei Deinstallation?
• Wie werden Löschanfragen bearbeitet?

Die Angaben sollten zur eigenen Datenschutzerklärung passen. Ein allgemeiner Satz „Wir nutzen einen Push-Dienst“ reicht nicht, wenn Empfänger und Zweck nicht erkennbar sind.

Technische und organisatorische Maßnahmen

• Zugriff auf das Shopify-Backend auf notwendige Personen beschränken.
• Zwei-Faktor-Authentifizierung für Admin-Konten.
• Keine personenbezogenen Daten in Push-Texten.
• Ziel-URLs auf verschlüsselte Seiten führen.
• Testabonnements nach Tests löschen.
• Löschprozess bei Abmeldung und Deinstallation prüfen.

Checkliste

• Zweck der Push-Nachrichten ist konkret definiert
• Einwilligungstext vor der Browser-Abfrage vorhanden
• Keine vorausgewählten Häkchen oder Kopplungen
• Einwilligung wird mit Version und Zeitpunkt dokumentiert
• Datenschutzerklärung nennt Zweck, Daten, Empfänger und Rechte
• Auftragsverarbeitungsvertrag mit dem Anbieter geprüft
• Drittlandübermittlung und Speicherdauer geklärt
• Abmeldung funktioniert in jeder Nachricht
• Löschprozess bei Widerruf und Deinstallation getestet
• Interne Zuständigkeit und Prüfrhythmus festgelegt

Häufige Fragen

Reicht der Browser-Dialog als Einwilligung?

Nicht automatisch. Der Browser-Dialog ist eine technische Berechtigung. Für werbliche Push-Nachrichten sollte eine informierte Einwilligung im Shop vorgeschaltet und dokumentiert werden.

Muss ich für jeden Push eine Einwilligung einholen?

Nein, aber die Einwilligung muss den Zweck ausreichend beschreiben. Wenn Sie später einen wesentlich anderen Zweck verfolgen, kann eine erneute Einwilligung nötig sein.

Darf ich Push-Nachrichten an alle Shop-Besucher senden?

Nur an Personen, die ein Abonnement und die erforderliche Einwilligung haben. Ein Besuch des Shops allein ist keine Einwilligung.

Was passiert mit den Daten bei App-Deinstallation?

Das hängt vom Anbieter und Vertrag ab. Klären Sie vor der Installation, ob und wie Abonnements und Daten nach der Deinstallation gelöscht werden. Verlassen Sie sich nicht auf Annahmen.

Quellen

• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG)
• Datenschutz-Grundverordnung (DSGVO)
• Gesetz gegen den unlauteren Wettbewerb (UWG)
• Poptify im Shopify App Store

Weiterlesen: Poptify einrichten, Poptify-Kampagnen planen und Poptify-Kennzahlen.