Warum Datenschutz im E-Commerce wichtig ist
Im E-Commerce, wo naturgemäß eine große Menge personenbezogener Daten verarbeitet werden muss, gilt es besonders viele Datenschutzrichtlinien zu beachten und korrekt einzuhalten. Die europaweite Datenschutz-Grundverordnung (DSGVO) ist am 25. Mai 2018 in Kraft getreten und hat anfangs für viel Wirbel unter Unternehmen gesorgt. Mittlerweile ist die Beschäftigung mit der DSGVO für die meisten E-Commerce-Unternehmen ein normaler Teil ihres Geschäfts geworden – dennoch herrscht teils große Unsicherheit, gerade bei Online-Shop-Einsteigern.
Hinweis: Dieser Beitrag ersetzt keinesfalls eine professionelle juristische Beratung. Für ein vollständig sicher DSGVO-konformes E-Commerce sollte unbedingt ein ausgewiesener Experte zurate gezogen werden.
Warum Datenschutz?
Datenschutz im Online-Shop ist gesetzlich vorgeschrieben. Oberstes Ziel des Datenschutzes ist es, den Einzelnen davor zu schützen, durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt zu werden. Alle Stellen, die personenbezogene Daten verarbeiten, müssen die gesetzlichen Datenschutzregeln einhalten. Seit dem 25. Mai 2018 werden die Datenschutzbestimmungen in der DSGVO auf europäischer sowie nationalstaatlicher Ebene geregelt, mit besonderem Augenmerk auf den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Optimalerweise werden dabei nur die Daten abgefragt, die für die jeweilige Geschäftstätigkeit wirklich erforderlich sind.
Was sind personenbezogene Daten?
Nach Artikel 4 DSGVO handelt es sich bei personenbezogenen Daten um alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – kurzum: Informationen, welche die Zuordnung zu einer konkreten Person ermöglichen. Wichtig für E-Commerceler: Auch typische technische Informationen, die schon beim bloßen Besuch eines Webshops anfallen, wie die IP-Adresse oder Online-Shop-Cookies, gehören dazu – selbst wenn gar nichts gekauft oder kein Kontakt aufgenommen wird.
Welche personenbezogenen Daten unterliegen dem Datenschutz?
- Name, Adresse, Staatsangehörigkeit, Geburtsdatum
- Geschlecht, Haut-, Haar-, Augenfarbe
- Versicherungsinformationen
- Banknummern
- IP-Adresse, Cookies, GPS-Standortdaten
- Online-Kundendaten – Kundennummern, Bestellnummern etc.
- Bildungs- und Berufszeugnisse
- Besitztümer-Daten
Aktuelle Vorgaben der DSGVO für den E-Commerce
Der Datenschutz ist keine vollkommen statische Angelegenheit – einzelne Bereiche werden immer wieder angepasst, weshalb es sich lohnt, die eigenen Maßnahmen von Zeit zu Zeit zu überprüfen.
Konkrete Einwilligung fordern – Cookies, Analyse-Tools und Co.
Nach einem Urteil des Europäischen Gerichtshofs (EuGH) vom 01. Oktober 2019 ist der Einsatz von Cookie-Bannern viel genauer geregelt als zuvor. Ein einfacher Cookie-Hinweis reicht heute nicht mehr aus: Website-Besucher müssen die Gelegenheit erhalten, eine eindeutige, aktive Einwilligung zur Erhebung von Daten mittels Cookies zu geben oder eben nicht – etwa über Checkboxen zu jedem Cookie-Typ. Besonders heikel wird es, wenn Analyse-Tools wie Google Analytics Cookies zur Aufzeichnung von Nutzerverhalten verwenden; voreingestellte Checkboxen oder eine schnelle Aufforderung zum Bestätigen sind nicht DSGVO-konform. Empfehlenswert ist der Einsatz eines zeitgemäßen Consent-Tools.
HTTPS-Verschlüsselung gewährleisten
Kommt es zu einem Hack und gelangen personenbezogene Daten dabei in kriminelle Hände, drohen erhebliche Strafen – besonders, wenn die Daten nicht ausreichend gesichert waren. Eine HTTPS-Verschlüsselung mit SSL-Zertifikat ist daher vor allem für datensensible Bereiche wie Kontaktformulare, Kundenkonten und Bestellprozesse Pflicht; grundsätzlich sollte heute die gesamte Onlinepräsenz verschlüsselt sein.
Datenschutzerklärung, Kontaktformular und Newsletter
Datenschutzerklärung im Online-Shop
Eine umfassende Erklärung zum Datenschutz sollte präzise, transparent, verständlich und leicht zu finden im Online-Shop bereitgestellt werden. Nach Artikel 13 DSGVO gehören dazu insbesondere: Identitäts- und Kontaktdaten des Verantwortlichen, Angabe des Datenschutzbeauftragten, Verarbeitungszwecke und Rechtsgrundlagen, das berechtigte Interesse der Datenerhebung, die Empfänger bei Datenweitergabe, die Speicherdauer, die Rechte der Betroffenen sowie die Unumgänglichkeit der Datenerhebung für Online-Geschäfte.
Kontaktformular korrekt ausrichten
Da beim Kontaktformular direkt persönliche Daten abgefragt werden, müssen Nutzer umfassend über die Datenverarbeitung informiert werden. Gemäß dem Prinzip der Datenminimierung sollten dabei nur die Informationen abgefragt werden, die für die Bearbeitung der Anfrage tatsächlich erforderlich sind.
Newsletter- bzw. E-Mail-Marketing-Regeln
Für DSGVO-konformes E-Mail-Marketing gilt: Empfänger müssen eine eindeutige, freiwillige und nachweisbare Zustimmung gegeben haben, mit dem E-Mail-Marketing-Dienstleister sollte ein Vertrag zur Auftragsverarbeitung bestehen, der Dienstleister muss selbst DSGVO-konform arbeiten, Empfänger sollten auf die Datenschutzerklärung hingewiesen werden, und die Herkunft der Kontaktdaten sollte dokumentiert sowie über ein Double-Opt-in-Verfahren abgesichert sein.
Datenweitergabe an Dritte und Strafen bei Nichteinhaltung
Wo Kundendaten abseits des eigenen Online-Shops weiterverarbeitet werden
E-Commerceler geben personenbezogene Daten praktisch immer an Dritte weiter – das ist im Sinne der DSGVO legitim, wenn die Weitergabe für die korrekte Abwicklung relevant ist und in der Datenschutzerklärung entsprechend genannt wird. Typisch sind die Datenweitergabe für Bonitätsauskunft, die Kooperation mit Zahlungsdienstleistern wie PayPal und die Zusammenarbeit mit Versanddienstleistern – jeweils auf Grundlage des berechtigten Interesses oder der Erfüllung der kaufvertraglichen Verpflichtungen.
Welche Strafen drohen bei Nichteinhaltung des Datenschutzes?
Nach Artikel 83 und 84 DSGVO drohen bei Verstößen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des globalen Jahresumsatzes – je nachdem, was höher ist. Das Bußgeld bemisst sich dabei primär an der Schwere des Verstoßes. Betroffene können zudem gemäß Artikel 82 DSGVO Schadenersatz als Direktanspruch geltend machen. Deutlich wahrscheinlicher als staatliche Sanktionen sind jedoch Abmahnungen durch Mitbewerber oder Wettbewerbs- bzw. Verbraucherschutzverbände, die Artikel 8 DSGVO ermöglicht.
Checkliste: Die wichtigsten Punkte zur DSGVO-Konformität
- Datenschutzerklärung aufsetzen oder gegebenenfalls anpassen
- Formulare anpassen, sodass Kunden hinreichend informiert werden und nur wirklich erforderliche Daten abgefragt werden
- Ausreichende Verschlüsselung sicherstellen – in manchen Kontexten auch ein spezielleres SSL-Zertifikat
- Analyse-Tools hinterfragen und den Umgang damit gegebenenfalls anpassen, inklusive Einwilligungsoptionen und anonymisierter IP-Adressen
- Cookie-Banner anpassen, sodass Nutzer je nach Zweck konkret zustimmen können oder nicht
- Newsletter bzw. genutzte Adressdaten korrekt organisieren – Einwilligung, Dokumentation der Quellen, Hinweis zum Datenschutz
- Generelle Datenschutz-Dokumentation erstellen oder anpassen, um die Einhaltung aller Vorschriften nachweisen zu können
- Schutz für Minderjährige schaffen oder anpassen, wenn deren Daten verarbeitet werden
Fazit
Der korrekte Datenschutz ist und bleibt eine anspruchsvolle Angelegenheit. Gerade im E-Commerce gibt es viele Stellen, an denen personenbezogene Daten genutzt werden müssen – das ist rechtlich unproblematisch, solange Shop-Betreiber ausschließlich geschäftlich notwendige und möglichst wenige Daten verarbeiten und dabei die geltenden Regeln einhalten. Mit den Informationen aus diesem Artikel lässt sich ein DSGVO-konformer E-Commerce gut vorbereiten – auf eine professionelle juristische Beratung sollte dennoch nicht verzichtet werden.