Datenschutz im Handel und E-Commerce

Datenschutz im Handel ist selten schwierig, aber selten vollständig. Das liegt daran, dass die Datenverarbeitung über viele kleine Stellen verteilt ist: Shopsystem, Zahlungsanbieter, Versanddienstleister, Newsletter, Bewertungsportal, Warenwirtschaft, Kasse, Kamera. Jede für sich ist beherrschbar; die Summe kennt am Ende niemand vollständig.

Der Onlineteil

Die vier Stellen, an denen es sich entscheidet – Bestellprozess, Zahlung und Bonität, Werbung nach dem Kauf, Löschen trotz Aufbewahrungspflicht – sind ausführlich unter Datenschutz im Online-Shop beschrieben.

Die drei Punkte, die bei Prüfungen am häufigsten auffallen, seien hier genannt:

Pflichtfelder ohne Erforderlichkeit. Geburtsdatum, Telefonnummer, Anrede – für eine Bestellung mit Versand braucht es sie nicht. Jedes überflüssige Pflichtfeld ist ein sichtbarer Verstoß gegen die Datenminimierung.

Erzwungene Registrierung. Ein Kundenkonto darf nicht Voraussetzung für den Kauf sein.

Werbung ohne Grundlage. Eine Bestellung ist keine Einwilligung. Für die Bestandskundenausnahme müssen alle vier Bedingungen des UWG zusammenkommen – siehe E-Mail-Marketing.

Auf der Website selbst kommen Einwilligungsbanner und eingebundene Dienste hinzu: CMP Consulting, zur Standortbestimmung der kostenlose Website-Check. Shops ändern sich häufiger als Unternehmenswebsites – hier lohnt das Monitoring besonders.

Der stationäre Teil

Er wird bei Händlern mit beidem regelmäßig vergessen.

Videoüberwachung. Zulässigkeit, Hinweisbeschilderung, Löschfristen, Zugriffsberechtigte – und die Frage, ob Beschäftigte miterfasst werden, was die Bewertung deutlich verschiebt. Einzelheiten unter Videoüberwachung nach DSGVO.

Kundenkarten und Bonusprogramme. Hier entsteht das, was im Onlineshop längst geregelt ist: eine Profilbildung über Kaufverhalten. Sie braucht eine eigene Rechtsgrundlage, meist die Einwilligung – und die muss so ausgestaltet sein, dass die Teilnahme freiwillig bleibt.

WLAN für Kunden. Anmeldedaten, Geräte-Kennungen, teils Standortverfolgung im Ladenlokal. Wer Besucherströme misst, verarbeitet personenbezogene Daten, auch wenn niemand namentlich erfasst wird.

Beschäftigtendaten. Schichtplanung, Zeiterfassung, Kassendifferenzen mit Bedienerkennung, Testkäufe. Das ist Beschäftigtendatenschutz mit hoher Mitbestimmungsdichte.

Die Dienstleisterkette

Im Handel ist sie länger als in den meisten Branchen: Shopbetreiber, Zahlungsanbieter, Versanddienstleister, Retourenabwicklung, Callcenter, Newsletterwerkzeug, Bewertungsdienst, Warenwirtschaft, Steuerberatung.

Für jeden braucht es die Klärung der Rolle und einen Auftragsverarbeitungsvertrag – wobei Zahlungsdienstleister und Auskunfteien häufig nicht Auftragsverarbeiter sind, sondern eigenständig verantwortlich. Die Einstufung nach Kritikalität beschreibt das Lieferantenaudit.

Was ein Vorfall im Handel bedeutet

Kundendaten mit Zahlungsbezug führen fast immer zu einem Risiko, das die Benachrichtigung der Betroffenen auslöst. Und anders als in vielen Branchen ist die Zahl der Betroffenen hoch – was den Schadensersatz nach Art. 82 DSGVO zum eigentlichen Kostenfaktor macht, nicht das Bußgeld. Der Ablauf steht unter Datenschutzvorfall melden.

Kontakt

Sie betreiben Shop und Ladengeschäft und wissen nicht, welche Dienstleister überall beteiligt sind? Diese Liste ist der Anfang – und meist länger als erwartet.