Gesetzliche Vorgaben & Umgang mit Kundendaten
Ist eine Datenschutzerklärung für einen Onlineshop gesetzlich vorgeschrieben? Unbedingt. Die DSGVO, die dem Schutz personenbezogener Daten dient, gilt für Unternehmen jeder Größe, also auch für kleinste Webshops. Es gibt keine Ausnahmen. Entscheidend ist nur, ob personenbezogene Daten verarbeitet werden, was bei jedem Webshop der Fall ist.
Alle Betreiber eines solchen Shops müssen mithin eine Erklärung zur Verfügung stellen, die Art und Umfang, Zwecke und Rechtsgrundlagen der Datenverarbeitungen, die im Shop ablaufen (können) erläutert. Außerdem sind Angaben zu den Dritten zu machen, denen sich der Webshop bedient (das sind alle Dienstleister, die in Kontakt mit den Daten der Besucher oder Kunden kommen können), es ist zu erläutern, ob Daten außerhalb der EU bzw. des EWR verarbeitet werden, und es ist über die bestehenden Betroffenenrechte zu informieren.
Achten Sie auch auf spezielle Varianten der Datenschutzerklärung: Für mobile Anwendungen ist eine eigene Datenschutzerklärung für die App erforderlich, die insbesondere Tracking, Standort‑ und Geräteinformationen abdeckt.
Arbeitgeber benötigen zudem eine Datenschutzerklärung für Mitarbeiter, um interne HR‑Prozesse rechtssicher zu gestalten.
Notwendigkeit einer Datenschutzerklärung für den Onlineshop
Was passiert, wenn Ihr Onlineshop keine korrekte Datenschutzerklärung hat? Dann verstoßen Sie gegen die DSGVO und Aufsichtsbehörden können Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen, zusätzlich drohen Abmahnungen von Mitbewerbern und betroffene Kunden oder Verbraucherschutzverbände haben das Recht zu klagen.
Aufbau und Pflichtinhalte einer Onlineshop-Datenschutzerklärung
Nach Art. 13 DSGVO muss die Datenschutzerklärung bestimmte Inhalte haben. Entscheidend ist, dass der Nutzer des Webshops bzw. der bloße Besucher, die Möglichkeit erhält alles über die Verarbeitung seiner personenbezogenen Daten in Erfahrung zu bringen.
Teilen Sie in Ihrer Datenschutzerklärung verständlich, gut lesbar und deutlich erkennbar Folgendes mit:
- Ihren Namen und Kontaktdaten als Verantwortlicher sowie gegebenenfalls Ihres Vertreters;
- gegebenenfalls die Kontaktdaten Ihres Datenschutzbeauftragten;
- die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
- wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die verfolgt werden;
- gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
- gegebenenfalls Ihre Absicht, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
- die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
- das Bestehen eines Rechts auf Auskunft über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
- wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
- ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
- das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
- Bei einer App müssen Sie hier zusätzliche Informationen zu den Datenverarbeitungen der App-Stores, bzgl. Des Downloads, bzgl. Der Standort- und Gerätedaten, sowie bzgl. Zugriffen der App auf Kontakte, Kamera o.ä. machen.
Erstellung der Datenschutzerklärung: Schritt‑für‑Schritt‑Anleitung
- alle Datenflüsse personenbezogener Daten erfassen und kategorisieren,
- Drittanbieter, deren Rolle und deren Datenverarbeitungen klären,
- Geeignete Rechtsgrundlagen je Verarbeitungsvorgang bestimmen.
- Das Cookie-Banner mit Ihrer Datenschutzerklärung für Onlineshop verknüpfen,
- Regelmäßige Updates dokumentieren und Versionierung angeben.
Erstellung der Datenschutzerklärung: Häufige Fehler und wie Sie sie vermeiden
❌ „Copy & Paste“ fremder Vorlagen ohne Prüfung auf Shop‑Spezifika.
❌ fehlendes Opt‑out bei Tracking‑Tools.
❌ veraltete Plugin‑Hinweise nach Updates.
❌ kein zweisprachiger Hinweis bei internationalem Versand.
❌ unvollständige Angaben zur Speicherdauer.
Vorlagen, Muster & Generatoren für Datenschutzerklärungen
Im Internet finden Sie viele Generatoren zur Erstellung von Mustertexten. Das kann, muss aber nicht gut gehen. Ein online‑basierter Generator oder Vorlagen einer Datenschutzerklärung bzw. eine Muster Datenschutzerklärung oder eine Beispiel Datenschutzerklärung können nützlich sein, decken jedoch in der Regel nicht alle individuellen Prozesse ab.
Verwenden Sie daher ein solche Muster Datenschutzerklärung oder eine Beispiel Datenschutzerklärung lediglich als Orientierung und passen Sie den Grundtext individuell an Ihren Shop und die Besonderheiten und Abweichungen an.
Denn: Auch eine lückenhafte oder in Teilen fehlerhafte bzw. unvollständige Datenschutzerklärung stellt einen DSGVO-Verstoß mit den oben bereits genannten Sanktionen und Konsequenzen für den Betreiber des Onlineshops dar.
Datenschutzerklärung extern erstellen lassen
Wenn Sie eine wirklich rechtssichere Lösung haben wollen, dann empfiehlt es sich, die Datenschutzerklärung erstellen zu lassen. Wenden Sie sich dazu nur an einen Experten, also einen Fachanwalt für IT-Recht und Experten für Datenschutzrecht, so wie Rechtsanwalt Timo Schutt.
Je nach Umfang der Datenverarbeitungen auf dem Webshop und je nach Komplexität und Exotik der eingesetzten Plugins, Tracking-Tools, Zahlungsanbieter und Drittanbieter kommen für die professionelle Erstellung einer Datenschutzerklärung Kosten im hohen dreistelligen bis hin zu einem niedrigen vierstelligen Eurobetrag zusammen. Der Aufwand und die Kosten lohnen sich aber immer, da Sie sich nur dadurch sicher sein können, die hohen Bußgelder und teuren Abmahnungen und Klagen zu vermeiden.
Bestenfalls kombinieren Sie das gleich mit einem umfassenden rechtlichen Webshop-Check inkl. Testbestellung, den wir für Sie gerne individuell anbieten.
FAQ – Häufige Fragen zu Webshop-Datenschutzerklärungen
Wie oft sollte die Datenschutzerklärung im Onlineshop aktualisiert werden?
Mindestens jährlich oder sobald sich Prozesse oder Tools ändern.
Wie kann ich prüfen, ob meine Datenschutzerklärung vollständig ist?
Erstellen Sie eine Checkliste aller oben genannten Pflichtangaben und gleichen Sie diese mit Ihrem aktuellen Text ab.
Muss ein Kunde während des Bestellvorgangs auf die Datenschutzerklärung hingewiesen werden?
Ja, auf der Website von jeder Unterseite aus abrufbar und nochmals deutlich spätestens im Checkout.
