Die DSGVO und Online Shops: Was Händler jetzt konkret tun müssen

Inhaltsverzeichnis:

1. Was ändert sich durch die DSGVO für Shopbetreiber?
2. Datenschutzerklärung in Online Shops
3. Kontaktformulare in Onlineshops
4. Newsletter und E-Mail-Marketing
5. Wann müssen sich Shops um Auftrags(daten)verarbeitung kümmern?
6. Benötigen Online Shops einen Datenschutzbeauftragten?
7. Bußgelder und Abmahnungen für Shopbetreiber
8. Checkliste: Das müssen Shopbetreiber zur DSGVO konkret tun:
9. Fazit

1. Was ändert sich durch die DSGVO für Shopbetreiber?

Ob Influencer, Blogger oder Online Shop: Die DSGVO nimmt alle in die Pflicht, die im Internet aus wirtschaftlich Gründen heraus aktiv sind und in der EU gewerbsmäßig Waren oder Dienstleistungen anbieten und verkaufen. Für Betreiber von Online Shops erhält damit der ohnehin schon wichtige Datenschutz noch mehr Bedeutung, um Kunden effektiven Schutz vor Datenmissbrauch zu bieten. Als Kunde ist die DSGVO von praktischer Relevanz, da sie das Recht an den eigenen Daten schützt und missbräuchliche Vorgehensweisen mit empfindlichen Sanktionen belegt.

Der Schutz von personenbezogenen Daten ist in Zukunft der Dreh- und Angelpunkt bei der Anwendung der DSGVO. Personenbezogene Daten wurden vor der Verabschiedung der Richtlinie durch § 3 Bundesdatenschutzgesetz (kurz: BDSG) erfasst und finden jetzt in Art. 4 DSGVO eine Definition durch den Gesetzgeber.

Demnach sind personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung, wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.“ – kurz gefasst: Personenbezogene Daten ermöglichen die Zuordnung von Informationen zu einer konkreten Person.

Wichtig für die Betreiber von Online Shops: Unter den Begriff der personenbezogenen Daten fallen auch technische Eckdaten wie die IP-Adresse oder genutzte Cookies.

Die Umsetzung der DSGVO im täglichen Geschäftsverkehr und die rechtssichere Implementierung von geeigneten Maßnahmen zum Datenschutz ist für Shopbetreiber eine wichtige Aufgabe, die durch zahlreiche Einzelschritte gekennzeichnet ist:

2. Datenschutzerklärung in Online Shops Online

Händler müssen auf ihrer Webseite eine Datenschutzerklärung in präziser, transparenter, verständlicher und leicht zugänglicher Form zur Verfügung stellen. Eine Erklärung zum Datenschutz ist nicht erst durch die DSGVO gesetzlich normiert – durch die Richtlinie steigen aber die Anforderungen, die der Gesetzgeber an die daran geknüpfte Informationspflicht stellt. Art. 13 DSGVO zählt die Angaben explizit auf, die in einer DSGVO-konformen Datenschutzerklärung enthalten sein müssen. Dazu gehören unter anderem:

• Identität des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten
• Verarbeitungszwecke und Rechtsgrundlage der Verarbeitung
  Praxishinweis: Die DSGVO verbietet prinzipiell die Verarbeitung von personenbezogenen Daten – es sei denn, die Verarbeitung wird durch das Gesetz erlaubt oder der Betroffene willigt selbst ausdrücklich in die Verarbeitung ein.
• Berechtigtes Interesse
  Praxishinweis: Wenn Sie als Shopbetreiber an der Weiterverarbeitung von personenbezogenen Daten ein berechtigtes Interesse haben, müssen Sie dieses nachweisen – gem. Art. 6 I f DSGVO muss die Datenschutzerklärung eine Aufklärung darüber enthalten. In der Regel ist das zum Beispiel dann der Fall, wenn Sie die Daten an einen Dienstleister weitergeben, der Ihr Forderungsmanagement übernimmt.
• Empfänger
  Praxishinweis: Wenn Sie personenbezogene Daten weitergeben, müssen Sie die Betroffenen darüber informieren, wer diese Daten erhält.
• Dauer der Speicherung von personenbezogenen Daten
  Praxishinweis: Eine dauerhafte Speicherung ist gemäß den Vorschriften der DSGVO nicht gestattet. Die temporäre Speicherung muss präzise angegeben sein und darf nicht durch schwammige Ausdrücke verschleiert werden.
• Rechte der Betroffenen
  Praxishinweis: Nutzer haben gemäß DSGVO einen Anspruch darauf, über ihre Rechte in Bezug auf den eigenen Datenschutz aufgeklärt zu werden. Auch dieser Aufklärungspflicht müssen Sie als Online Händler nachkommen und Auskunft zu Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung und Datenübertragbarkeit geben.
• Verpflichtung zur Bereitstellung personenbezogener Daten
  Praxishinweis: Wenn personenbezogene Daten notwendig sind, müssen Kunden wissen, welche Folgen die Nichtbereitstellung hat. Im Online Handel sind personenbezogene Daten notwendig, um einen Vertragsschluss herbeizuführen. Ohne Daten kein Vertrag – informieren Sie Ihre Kunden und potenzielle Interessenten darüber.

3. Kontaktformulare in Onlineshops

Online Shops bieten durch Kontaktformulare die Möglichkeit, unkompliziert mit dem Online Händler in Verbindung zu treten. Die DSGVO sieht auch hier einen erhöhten Schutzbedarf für Verbraucher, da regelmäßig persönliche Daten abgefragt werden. Mit der Umsetzung der EU-Richtlinie müssen die genutzten Kontaktformulare das Erfordernis nach einem datenschutzkonformen Vorgehen erfüllen. Für Shopbetreiber heißt das konkret: Wenn Sie ein Kontaktformular einsetzen möchten, müssen Sie User auf Ihrer Webseite vor der Benutzung des Formulars informieren über:

• Art, Umfang und Zweck der Datenabfrage sowie
• die Verwendung und Verarbeitung der abgefragten personenbezogenen Daten.

Praxishinweis: Beachten Sie immer das Prinzip der Datenminimierung gemäß Art. 5 DSGVO und fragen Sie nur die Daten ab, die Sie tatsächlich benötigen.

4. Newsletter und E-Mail-Marketing

Wer zusammen mit dem Online Shop auch online-Marketingmaßnahmen betreibt, der nutzt dafür in vielen Fällen einen Newsletter, der über die E-Mail-Adresse zugestellt wird. Für die Versender von Newslettern bringt die DSGVO keine großen Veränderungen mit sich, denn die bisherige Regelung über das BDSG und das Telemediengesetz (kurz TMG) erfährt durch die Richtlinie keine grundlegende Modifizierung.

Die Newsletter, die von Ihnen im Rahmen des E-Mail-Marketings versendet werden, können also auch in Zukunft zu geschäftlichen Zwecken eingesetzt werden – Voraussetzung ist lediglich, dass

• ein Vertrag zur Auftragsdatenverarbeitung mit den Dienstleistern besteht, die den Versand des Newsletters ermöglichen;
• der externe Dienstleister ebenfalls DSGVO-konform arbeitet;
• der Empfänger des Newsletters ausdrücklich die Einwilligung zur Datenverarbeitung erteilt hat;
• diese Einwilligung nachgewiesen werden kann;
• die Einwilligung freiwillig erfolgt und nicht an die Vornahme anderer Handlungen geknüpft ist (sogenanntes Kopplungsverbot);
• der Empfänger des Newsletters auf die DSGVO-konforme Datenschutzerklärung hingewiesen wurde;
• der Ursprung für die Sammlung an Kontaktdaten klar und dokumentiert ist.

Haben Sie eine bestehende Liste an E-Mail-Abonnenten, müssen Sie prüfen, ob die dazu eingeholten Einwilligungen ebenfalls den Kriterien der DSGVO entsprechen. Möglicherweise ist hier eine Anpassung notwendig.

Möchten Sie neue E-Mail-Adressen sammeln, wird dafür nach ganz herrschender Auffassung das double opt-in-Verfahren empfohlen: Dabei erhält der künftige Newsletter-Abonnent nach dem Eintragen der E-Mail-Adresse eine Bestätigungsmail, in der ein Aktivierungslink enthalten ist. Erst wenn dieser durch Klick bestätigt wurde, ist die ausdrückliche Zustimmung zum Newsletter-Empfang erteilt.

Praxishinweis: Weiterhin gilt nach Inkrafttreten der DSGVO, dass Sie als Shopbetreiber keine Werbemails versenden dürfen, wenn Sie nicht explizit eine Einwilligung dafür im Vorfeld eingeholt haben – weder an Privatpersonen noch im B2B-Bereich an andere Unternehmen. Die sogenannte Kaltakquise bleibt verboten: Sie dürfen an niemanden ohne Zustimmung eine werbliche E-Mail schicken.

5. Wann müssen sich Shops um Auftrags(daten)verarbeitung kümmern? 

Damit Shopbetreiber alle notwendigen Prozesse rund um die eigenen Angebote und Verkäufe wirtschaftlich gestalten können, werden regelmäßig Dienstleistungen von externen Dienstleistern in Anspruch genommen. Das sind zum Beispiel Anbieter zur Rechnungsabwicklung, aber auch andere externe Tools des CMS, Newslettersoftware oder Marketing und Tracking Tools wie Google Analytics.

Das Outsourcing setzt voraus, dass der Dienstleistern außerhalb Ihres Unternehmens Zugriff auf Ihre Kundendaten hat. Der Vorgang wurde bisher durch § 11 BDSG erfasst und in speziellen Verträgen, auch Verträge zur Auftragsdatenverarbeitung (kurz: ADV) genannt, geregelt. Damit diese auch der neuen EU-Richtlinie entsprechen, ist eine Prüfung dringend angezeigt.

Die DSGVO verlangt, dass ein Vertrag zur ADV insbesondere die folgenden Fragen beantwortet:

• Wer ist für die Datenverarbeitung verantwortlich?
• Welche Daten werden über welchen Zeitraum verarbeitet?
• Wie und warum werden die Daten verarbeitet?
• Welcher Art sind die personenbezogenen Daten?
• Wie ist die Weisungsbefugnis zwischen Auftraggeber und Auftragnehmer geregelt?
• Gibt es eine Verpflichtung zur Vertraulichkeit gem. Art. 24 und Art. 28 III DSGVO?
• Welche technischen und organisatorischen Maßnahmen für den Datenschutz wurden getroffen?
• Welche Subunternehmer werden hinzugezogen?
• Wie unterstützt der Auftragsverarbeiter den Auftraggeber bei der Verarbeitung der personenbezogenen Daten in Bezug auf Löschung, Meldung von Verstößen etc.?
• Wie werden personenbezogene Daten zurückgeführt oder gelöscht, wenn die Auftragsdatenverarbeitung abgeschlossen ist?
• Welche Kontrollrechte bestehen aufseiten des für die Verarbeitung Verantwortlichen und welchen Duldungspflichten unterliegt der Auftragsverarbeiter?

Praxishinweis: DSGVO-konforme Musterverträge sind bei Abschluss neuer und bei der Anpassung bereits bestehender Vertragsverhältnisse eine praktische Hilfestellung, die sich individuell auf Ihre Bedürfnisse als Shopbetreiber abstimmen lassen. Prüfen Sie bei Altverträgen, ob diese den Erfordernissen der EU-Richtlinie entsprechen.

6. Benötigen Online Shops einen Datenschutzbeauftragten?

Unternehmen sind zur Stellung eines Datenschutzbeauftragten verpflichtet, wenn die Voraussetzungen aus Art. 37 DSGVO gegeben sind. Dieser setzt voraus, dass die Kerntätigkeit bzw. das Hauptgeschäftsfeld des Unternehmens in der systematischen Überwachung oder Verarbeitung besonderer personenbezogener Daten besteht. Im Moment herrscht hier noch große Unsicherheit, was „normale“ Online Händler mit überschaubarem Auftragsvolumen angeht.

Wenn Sie als Shopbetreiber 100%ig rechtssicher agieren wollen (und auch die übrigen Vorgaben des DSGVO umsetzen müsssen, aber nicht wissen wie), dann sollten Sie als Shopbetreiber einen Datenschutzbeauftragten bestellen.

7. Bußgelder und Abmahnungen für Shopbetreiber

Der EU-Gesetzgeber weist dem Verbraucherschutz und der Wahrung des Verbraucherschutzes durch die DSGVO eine übergeordnete Priorität zu. Um diese wirksam und einheitlich europaweit durchzusetzen, ist ein Verstoß gegen die DSGVO mit strengen Sanktionen belegt. Die bei einem Verstoß gegen das bisher geltende Bundesdatenschutzgesetz drohenden Strafen werden durch die DSGVO deutlich verschärft.

Bei der Bemessung des Bußgeldes wird primär auf die Schwere des Verstoßes abgestellt. Die Bemessungskriterien werden durch einen Katalog in Art. 83 II DSGVO normiert und richten sich nach:

• der Art und Weise des Verstoßes
• dem Vorsatz oder der Fahrlässigkeit des Verstoßes
• den Maßnahmen des Verantwortlichen, um den entstandenen Schaden zu reduzieren
• dem Umfang der Verantwortung
• dem Ausmaß bereits früherer Verstöße gleicher Art
• der Bereitschaft zur Zusammenarbeit mit der Aufsichtsbehörde
• der Kategorie der Daten, die betroffen sind
• der konkreten Umstände des Verstoßes und den daraus entstandenen Vor- und Nachteilen für den Verursacher und den Betroffenen.

Praxishinweis: Durch die DSGVO werden die Sanktionen bei Verstößen gegen datenschutzrechtliche Vorschriften deutlich angehoben. Zeitgleich steigen die Anforderungen an den Datenschutz und an die Pflicht, Maßnahmen diesbezüglich nachvollziehbar zu dokumentieren.

Die Angst von Unternehmern, dass mit dem Stichtag 25. Mai 2018 eine neue „Abmahnwelle“ auf Webseitenbetreiber zukommt, ist nach richtiger Ansicht unbegründet – eine Abmahngefahr bestand bei Verletzungen auch im Geltungsbereich des BDSG und des TMG.

Wichtig: Neben den oben erwähnten Sanktionsmöglichkeiten entsteht durch Art. 8 DSGVO auch die Option, dass Abmahnungen durch direkte Mitbewerber oder von Wettbewerbs- und Verbraucherschutzverbänden auf den Weg gebracht werden können.

8. Checkliste: Das müssen Shopbetreiber zur DSGVO konkret tun:

Damit Sie als Betreiber eines Online Shops die DSGVO die datenschutzkonforme Datenverarbeitung für Ihre Kunden und Interessenten gewährleisten können, empfiehlt sich die Umsetzung der folgenden Checkliste:

Überprüfen Sie die auf Ihrer Webseite vorhandene Erklärung zum Datenschutz auf ihre DSGVO-Konformität hin und passen Sie sie – falls nötig - an. Sind Sie zur Stellung eines Datenschutzbeauftragten verpflichtet, muss dieser in der Datenschutzerklärung namentlich aufgeführt werden.

Überprüfen Sie alle Formulare, die auf Ihrer Webseite zum Einsatz kommen und unterziehen Sie diese einer kritischen Prüfung vor dem Hintergrund der DSGVO. Fragen Sie nur die Daten ab, die Sie tatsächlich benötigen!

Wird Ihre Webseite per SSL-Verschlüsselung übertragen? Wenn Sie unsicher sind oder eine Umstellung beabsichtigen, ist der Kontakt zum Provider der erste Schritt in die richtige Richtung.

Wenn Kunden und Besucher statistisch durch spezielle Tools erfasst werden, müssen die IP-Adressen der User so anonymisiert werden, dass kein Personenbezug mehr besteht. Es muss für die User auch möglich sein, der Erfassung zu widersprechen – die Einrichtung einer „Ausstiegsklausel“ können Sie auf der Seite mit der Datenschutzerklärung einrichten.

Auch der Benutzung von Cookies müssen User durch die DSGVO explizit zustimmen. In Ihrem Online-Shop können Sie einen Hinweis zu den verwendeten Cookies so einrichten, dass er beim ersten Besuch erscheint. Usern steht es frei, diesen Hinweis explizit zu bestätigen.

E-Mail-Marketing per Newsletter können Sie auch vor dem Hintergrund der DSGVO betreiben. Nutzen Sie das double opt-in-Verfahren, damit der Vorgang den gesetzlichen Vorgaben entspricht.

Die DSGVO verlangt von Ihnen in Art. 5 II DSGVO als Online Händler, dass Sie die Einhaltung der gesetzlichen Vorschriften nachweisen können - dokumentieren Sie daher die Rechtmäßigkeit der Vorgänge. Legen Sie ein Verzeichnis an, mit dem Sie Verarbeitungsvorgänge transparent nachweisen.

Um Daten minderjähriger User zu verarbeiten, bedarf es der expliziten Einwilligung durch einen Erziehungsberechtigten. Die verwendeten Onlineprozesse müssen daher so ausgerichtet sein, dass sie diesen Umstand berücksichtigen.

9. Fazit

Für Online Shops ist die Umstellung auf eine DSGVO-konforme Arbeitsweise notwendig. Dafür erhalten Online Händler im Gegenzug die Sicherheit, dass sie zum einen ihren gesetzlichen Verpflichtungen europaweit nachkommen und zum anderen den Kunden und Verbrauchern einen angemessenen Datenschutz einräumen, der Zugriffen und Manipulationen vorbeugt.