--- title: "Datenschutz im Online-Shop: die Stellen, die auffallen" description: "Vom Bestellprozess über Bonitätsprüfung und Zahlungsdienstleister bis zu Bewertungen und Löschfristen – was ein Shop datenschutzrechtlich regeln muss." canonical: "https://www.dsb-datenschutz.de/datenschutz/wissen-datenschutz-online-shop/" --- # Datenschutz im Online-Shop Ein Shop ist datenschutzrechtlich anspruchsvoller als eine gewöhnliche Website, weil dort alles zusammenkommt: Vertragsdaten, Zahlungsdaten, Werbung, Auswertung und eine ganze Kette von Dienstleistern. **Datenschutz** im **Online-Shop** heißt deshalb weniger, eine Erklärung zu schreiben, als die Stellen zu kennen, an denen es regelmäßig hakt. ## Der Bestellprozess **Erheben Sie nur, was Sie brauchen.** Für eine Bestellung mit Versand sind Name, Lieferanschrift und eine Kontaktmöglichkeit erforderlich. Geburtsdatum, Telefonnummer und Anrede sind es in aller Regel nicht – jedes Pflichtfeld ohne Erforderlichkeit ist ein Verstoß gegen die [Datenminimierung](https://www.dsb-datenschutz.de/datenschutz/wissen-grundsaetze-verarbeitung/), und Pflichtfelder fallen bei einer Prüfung sofort auf. **Die Gastbestellung.** Ein Kundenkonto darf nicht Voraussetzung für den Kauf sein. Der Vertrag lässt sich ohne dauerhaftes Konto erfüllen; wer die Registrierung erzwingt, koppelt zwei Zwecke, die nichts miteinander zu tun haben. **Die Rechtsgrundlage ist der Vertrag**, nicht die Einwilligung. Das ist wichtig, weil eine Einwilligung widerrufbar wäre – die Abwicklung einer Bestellung ist es nicht. Einwilligungen brauchen Sie nur dort, wo Sie über die Abwicklung hinausgehen: Werbung, Tracking, Personalisierung. ## Zahlung und Bonität **Zahlungsdienstleister** sind selten reine Auftragsverarbeiter. Wer eigene Prüfungen vornimmt und eigene Entscheidungen trifft, ist eigenständig verantwortlich. Klären Sie die Rolle je Anbieter und dokumentieren Sie sie – ein pauschal unterschriebener [AVV](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/) bildet die Lage nicht immer ab. **Bonitätsprüfung.** Sie kann auf ein [berechtigtes Interesse](https://www.dsb-datenschutz.de/datenschutz/wissen-berechtigtes-interesse/) gestützt werden – aber nur, wenn Sie tatsächlich ein Ausfallrisiko tragen. Bei Vorkasse fehlt es daran. Zu beachten sind außerdem: die Information über die Prüfung vor dem Vertragsschluss, die Nennung der Auskunftei und, bei automatisierten Entscheidungen mit rechtlicher Wirkung, [Art. 22 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-22/). Wird eine Zahlart wegen des Prüfergebnisses ausgeschlossen, gehört das begründet und die Möglichkeit zur Überprüfung eröffnet. ## Werbung nach dem Kauf Der häufigste Fehler im Shop-Umfeld. Eine Bestellung ist keine Einwilligung in Werbung. Für E-Mail-Werbung an Bestandskunden gibt es die Ausnahme des UWG mit ihren vier kumulativen Bedingungen – im Einzelnen unter [E-Mail-Marketing](https://www.dsb-datenschutz.de/datenschutz/wissen-e-mailmarketing/). Wer sie nutzt, muss den Widerspruchshinweis bei der Erhebung **und** bei jeder Verwendung geben. Wer stattdessen eine Einwilligung einholt, braucht das Double-Opt-in samt Nachweis. Warenkorbabbrecher anzuschreiben ist besonders heikel: Ohne abgeschlossenen Kauf greift die Bestandskundenausnahme nicht. ## Bewertungen und nutzergenerierte Inhalte Bewertungsanfragen nach dem Kauf sind Werbung im Sinne des UWG. Sie unterliegen denselben Regeln wie der Newsletter. Veröffentlichte Bewertungen enthalten Personendaten des Verfassers. Zu klären sind: Anzeige unter Klarnamen oder Kürzel, Löschung auf Verlangen, Umgang mit Bewertungen, die Dritte nennen. Wird ein externer Bewertungsdienst eingebunden, gilt für die Einbettung dasselbe wie für [Karten und Videos](https://www.dsb-datenschutz.de/web-compliance/wissen-google-maps-dsgvo/). ## Tracking, Consent und die Website selbst Alles, was über die Auslieferung des Shops hinausgeht – Analyse, Werbekennzeichen, Empfehlungsdienste, Chat, Schriftarten von fremden Servern –, braucht nach § 25 TDDDG eine Einwilligung, bevor es lädt. Die Einzelheiten stehen unter [CMP Consulting](https://www.dsb-datenschutz.de/web-compliance/cmp-consulting/) und, für die Steuerung der Werbedienste, unter [Consent Mode](https://www.dsb-datenschutz.de/web-compliance/wissen-google-consent-mode/). Ein Shop ändert sich häufiger als eine Unternehmenswebsite – neue Plugins, neue Zahlarten, neue Marketingwerkzeuge. Deshalb ist hier die wiederkehrende Prüfung besonders lohnend: [Website-Monitoring](https://www.dsb-datenschutz.de/web-compliance/monitoring/), zur Standortbestimmung der [kostenlose Website-Check](https://www.dsb-datenschutz.de/web-compliance/kostenloser-cookie-dsgvo-website-check/). ## Löschen, obwohl aufbewahrt werden muss Der Punkt, der am schwersten umzusetzen ist. Handels- und steuerrechtliche Aufbewahrungspflichten zwingen dazu, Rechnungsdaten über Jahre vorzuhalten. Daraus folgt aber nicht, dass der gesamte Datensatz aktiv bleiben darf. Sauber ist die Trennung: Was der Aufbewahrung unterliegt, wird gesperrt und nur noch für diesen Zweck vorgehalten. Was nicht darunter fällt – Warenkorbverläufe, Wunschlisten, inaktive Konten, Newsletterdaten nach Abmeldung –, wird gelöscht. Die Fristen gehören ins [Löschkonzept](https://www.dsb-datenschutz.de/datenschutz/beratung-loeschkonzept/). Vergessen wird dabei fast immer der Bestand außerhalb des Shopsystems: Versanddienstleister, Newsletterwerkzeug, Kundenservice-Postfach, Sicherungen. ## Kontakt Sie betreiben einen Shop und wissen nicht, welche Dienstleister an Ihren Daten sitzen? Diese Liste ist der Anfang. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Datenschutz nach Branche](https://www.dsb-datenschutz.de/datenschutz/branchen/)