Source: https://www.datenschutzexperte.de/datenschutz-onlineshops/
Timestamp: 2019-10-17 08:27:27+00:00

Document:
Datenschutz für Onlineshops | datenschutzexperte.de
Datenschutz für Online-Shops und E-Commerce
Wir beraten Sie verständlich zum Datenschutz sowie zur Umsetzung der DSGVO in Ihrem Online-Shop.
Minimaler Beratungsbedarf
Höherer Beratungsbedarf & Komplexität
Damit ein ordnungsgemäßer Kaufvorgang im Online-Handel abgewickelt und die gewünschte Ware im Anschluss an die Kunden verschickt werden kann, sind Online-Händler wie Amazon, aber auch jeder kleinere Händler mit Online-Auftritt, auf die personenbezogenen Daten ihrer Kunden angewiesen. Dazu gehören maßgeblich:
Da Online-Shops im Tagesgeschäft eine Vielzahl von personenbezogenen Daten automatisiert verarbeiten, ist die Onlinebranche von der DSGVO stärker betroffen als die meisten anderen Branchen. Für den E-Commerce ist es daher wichtig, einen bedingungslosen Datenschutz gewährleisten zu können. Bei einem fahrlässigen Umgang mit personenbezogenen Daten in Onlineshops kann es leicht zu einer Datenschutzverletzung kommen. Imageschaden und Sanktionen von Behördenseite sind oft die Folge.
Unsere maßgeschneiderten Datenschutzleistungen für Ihren Online-Shop
Damit Ihr Online-Handel datenschutzrechtlich abgesichert ist, bietet datenschutzexperte.de zahlreiche Leistungen, die sich an den Anforderungen Ihres Unternehmens orientieren. Sobald mindestens zehn Ihrer Mitarbeiter mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind, sind Sie gemäß DSGVO dazu verpflichtet, einen Datenschutzbeauftragten zu bestellen – gerne stellen wir den externen Datenschutzbeauftragten für Ihr Unternehmen, damit Sie sich auf Ihr Tagesgeschäft konzentrieren können.
Die Datenschutzerklärung und mit ihr ein transparenter Umgang in Hinblick auf die Nutzung und Verarbeitung personenbezogener Daten ist insbesondere für den E-Commerce von übergeordneter Bedeutung. Damit Sie sicher sein können, dass Sie mit Ihrer Datenschutzerklärung vor Abmahnungen geschützt sind, bietet datenschutzexperte.de für Ihren Onlineshop einen umfassenden Datenschutzerklärung-Generator sowie individuelle Beratung zu datenschutzrechtlichen Fragestellungen.
Sie haben weitere Fragen im Bereich Datenschutz? Unser vielseitiges Leistungsangebot orientiert sich dabei an Ihren individuellen Bedürfnissen!
Bereits im Zuge der Bestandsaufnahme beraten wir Sie zu Themen wie Zahlungen via PayPal oder Website-Tracking-Tools zur Conversion-Optimierung, die im E-Commerce eine wichtige Rolle spielen.
Wir beantworten Ihre Fragen zum Datenschutz für Online-Shops
Benötigen Online-Shops einen Datenschutzbeauftragten?
Die Bestellung eines Datenschutzbeauftragten (DSB) ist für einen korrekt angewendeten Datenschutz im Onlineshop sehr wichtig. Die Benennung ist verpflichtend nach § 38 BDSG sowie gemäß dem Art. 37 DSGVO. Damit kommt es bei der Bestellung eines DSB darauf an:
Unternehmensgröße: Ein Datenschutzbeauftragter muss bestellt werden, wenn mindestens zehn Ihrer Mitarbeiter regelmäßig automatisierte Daten verarbeiten (§ 38 Abs. 1 BDSG).
Besondere Daten: Wenn Daten verarbeitet werden, die Auskunft über Rasse, ethnische Herkunft, religiöse Überzeugungen, politische Meinung, Sexualleben, Gesundheit oder Gewerkschaftszugehörigkeit einer Person geben, besteht die Pflicht zur Bestellung eines DSB auch unabhängig von der Anzahl der Mitarbeiter (§ 38 Abs. 1 BDSG, Art. 37 Abs. 1 lit. c DSGVO). Dies ist beispielsweise bei Online-Apotheken oder Online-Optikern der Fall, in denen Händler persönliche Gesundheitsdaten erhalten.
Datenverarbeitung als Kerntätigkeit: Wenn die systematische Datenverarbeitung oder Überwachung die Kerntätigkeit eines Unternehmens darstellt – die Daten also geschäftsmäßig verarbeitet werden, z. B. zum Zwecke der Übermittlung oder Marktforschung – besteht die Pflicht zur Bestellung eines DSB ebenfalls unabhängig von der Anzahl der Mitarbeiter (§ 38 Abs. 1 BDSG, Art. 37 Abs. 1 lit. b DSGVO).
Wenn Sie als Händler beim Datenschutz im Onlineshop auf der sicheren Seite sein wollen und nicht genau wissen, wie Sie für Ihren Onlineshop DSGVO Vorgaben umsetzen sollen, empfiehlt es sich, auch bei kleineren Unternehmen einen Datenschutzbeauftragten zu bestellen.
Was müssen Online-Shops beim Newsletter-Versand beachten?
Für den Newsletter-Versand ergeben sich im Bereich Datenschutz für Onlineshops keine besonderen Veränderungen, es müssen lediglich bestimmte Voraussetzungen eingehalten werden:
Ein Vertrag zur Auftragsverarbeitung mit den Dienstleistern, durch die der Newsletter versendet wird, ist erforderlich. Diese müssen ebenfalls DSGVO-konform arbeiten.
Der Empfänger des Newsletters muss ausdrücklich die Einwilligung in die Datenverarbeitung erteilt haben, welche auch nachgewiesen werden muss. Die Einwilligung muss dabei freiwillig erfolgen und darf nicht an andere Handlungen geknüpft sein (Kopplungsverbot).
Ein Hinweis auf die Datenschutzerklärung für den Newsletter-Empfänger ist verpflichtend.
Für die ausdrückliche Zustimmung nach der DSGVO wird im E-Commerce das sog. „double opt-in-Verfahren“ empfohlen. Dabei erhält der Abonnent nach Eintragung der E-Mail-Adresse eine E-Mail, in der er durch einen Aktivierungslink ausdrücklich bestätigen kann, dass er dem Newsletter-Versand zustimmt.
Müssen E-Commerce-Shops einen AV-Vertrag abschließen?
Bei der Anwendbarkeit der DSGVO im E-Commerce ist ein weiterer wichtiger Punkt zu beachten: So regelt Art. 28 DSGVO alle Fälle, in denen ein Händler Dritte damit beauftragt, Daten nach seinen Weisungen zu verarbeiten. Einen Auftragsverarbeitungsvertrag müssen Online-Shops nach Art. 28 Abs. 3 DSGVO mit dem Auftragsverarbeiter abschließen, da die Datenverarbeitung durch den Beauftragten grundsätzlich aufgrund eines Vertrages erfolgen muss. Wann ein Abschluss eines AV-Vertrages erforderlich ist, ergibt sich anhand der Prüfung des Einzelfalls.
Grundsätzlich muss die Weitergabe und Verarbeitung personenbezogener Daten auf einer Rechtsgrundlage beruhen. Eine Rechtsgrundlage für die Weitergabe ist allerdings nicht erforderlich, soweit eine Auftragsverarbeitung vorliegt, und ein AV-Vertrag muss normalerweise dort geschlossen werden, wo ein vom Unternehmen Beauftragter nach dessen Weisungen Zugriff auf die personenbezogenen Kundendaten hat.
Einen AV-Vertrag müssen Online-Shops nach der Datenschutz-Grundverordnung zum Beispiel bei der Zusammenarbeit mit folgenden Be- oder Verarbeitern abschließen, da diese dabei Zugriff auf die personenbezogenen Daten haben:
bei Diensten für automatisierte Kundenbewertungen oder externen Call-Centern für Kundenbetreuung
bei Verwendung von Zahlungs-Hubs – nicht aber bei eigenständigen Zahlungsdienstleistern wie PayPal, da diese eine eigenständige Vereinbarung mit dem Kunden treffen und nicht auf Weisung des Online-Händlers handeln
bei Newsletter-Versanddienstleistern – nicht aber bei normalen Versanddienstleistern wie z. B. der Post, da die Auslieferung des gekauften Artikels dabei die Hauptleistung darstellt, welche einer Weitergabe von Namen und Anschrift an den Versanddienstleister bedarf. Somit ist die Datenweitergabe nicht Hauptbestandteil der Beauftragung, weshalb die Post als eigener Verantwortlicher und nicht als Auftragsverarbeiter angesehen wird.
bei Bestellung eines IT-Dienstleisters oder Web-Designers, falls diese Zugriff auf personenbezogene Daten haben
bei Zusammenarbeit mit Software-Entwicklern für Warenwirtschaft, ebenfalls falls diese Zugriff auf personenbezogene Daten haben
bei Verwendung von Webhostern, Cloud-Hostern und Google Analytics
Was gibt es beim VVT (Verzeichnis von Verarbeitungstätigkeiten) für Online-Shops zu beachten?
Nach Art. 30 Abs. 1 DSGVO hat der Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, schriftlich oder elektronisch als Nachweis für die Einhaltung der DSGVO-Vorgaben zu führen. Als Onlineshop-Betreiber müssen Sie ein solches Verzeichnis erstellen und als betriebsinternes Dokument führen. Welche Informationen dieses Verzeichnis genau enthalten muss, können Sie den Absätzen 1 und 2 des Art. 30 DSGVO entnehmen.
Was müssen Online-Shops bei der Bonitätsprüfung von Kunden berücksichtigen?
Möchte ein Kunde einen Kauf auf Rechnung tätigen, ist für den Vertragsabschluss eine Bonitätsprüfung erforderlich. Hier muss keine ausdrückliche Einwilligung eingeholt werden. Der Kunde hat aber nach Art. 22 Abs. 1 DSGVO das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisieren Verarbeitung mit Profiling beruht und die dem Kunden gegenüber rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. (Eine automatisierte Datenverarbeitung mit Profiling einer Person kann eine automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahrens sein – folglich ein Prozess, bei dem kein menschliches Eingreifen zu erkennen ist.)
Daher muss nun zusätzlich eine Interessensabwägung nach Art. 6 DSGVO zwischen den Interessen des Händlers und des Betroffenen vorgenommen werden. Darüber muss der Betroffene ausführlich in der Datenschutzerklärung informiert werden. Diese Informationspflicht in Verbindung mit der Interessensabwägung ist bei der Bonitätsprüfung zu berücksichtigen.
Was muss die Datenschutzerklärung für einen Online-Shop enthalten?
Nach Art. 13 DSGVO muss die Datenschutzerklärung eines Onlineshops folgende Informationen enthalten:
Namen und Kontaktdaten des Verantwortlichen und evtl. seines Vertreters
Kontaktdaten des Datenschutzbeauftragten, wenn erforderlich (s. o.)
Berechtigtes Interesse (wenn Sie als Online-Shop-Betreiber Interesse an der Weiterverarbeitung personenbezogener Daten haben, z. B. durch die Weitergabe an einen Dienstleister, der das Forderungsmanagement übernimmt, muss dies nach Art. 6 I f. DSGVO in der Datenschutzerklärung nachgewiesen werden)
ggf. Empfänger der personenbezogenen Daten
ggf. Absicht der Übermittlung an ein Drittland (Ausnahme; trifft in der Regel nicht zu)
Dauer der Datenspeicherung bzw. Kriterien für die Festlegung der Dauer (Daten dürfen nicht dauerhaft gespeichert werden)
Rechte der Nutzer (Auskunft, Berichtigung, Löschung und Einschränkung der Datenverarbeitung und Widerspruch gegen die Verarbeitung und Recht auf Datenübertragbarkeit; Beschwerderecht bei einer Aufsichtsbehörde, außerdem Recht auf Mitteilung nach Art. 19 DSGVO)
Grundlage der Datenbereitstellung (vorgeschrieben durch Gesetz oder Vertrag oder erforderlich für einen Vertragsabschluss) und Folgen der Nichtbereitstellung. Im Online-Handel ist stets die Verarbeitung von personenbezogenen Daten notwendig, um einen Vertrag abzuschließen.
Wo drohen Abmahnungen für Shop-Betreiber?
Dies kann im Bereich Datenschutz für Onlineshops insbesondere dann passieren, wenn Ihre Datenschutzerklärung fehlerhaft ist oder Formulare und Cookies nicht an die Datenschutz-Grundverordnung angepasst sind. Ebenso müssen die Analyse-Tools und das Verfahren für die Newsletter angepasst werden. Des Weiteren drohen Abmahnungen, wenn Sie Ihrer Dokumentationspflicht nach Art. 5 Abs. 2 DSGVO nicht nachkommen. Darüber hinaus muss Ihre Website bzw. Ihr Shop-Modul verschlüsselt sein, andernfalls droht auch hier eine Abmahnung.
Was müssen Online-Shops bei Auskunftsgesuchen Betroffener (z. B. Kunden, Website-Besuchern) beachten?
Betreiber von Online-Shops sind in der Pflicht, ein umfassendes Verarbeitungsverzeichnis zu erstellen, in dem die Erhebung, Speicherung und Weiterverarbeitung von personenbezogenen Daten dokumentiert ist. Darüber hinaus dürfen nur jene Kundendaten erfasst werden, die tatsächlich für die Auftragsverarbeitung notwendig sind.
Ferner müssen die Händler die Betroffenen auf Anfrage unverzüglich über die Nutzung und Verarbeitung ihrer erhobenen Daten informieren und eine entsprechende Datenschutzerklärung auf der Website anbringen. Sobald die personenbezogenen Daten von Kunden aber nicht mehr benötigt werden beziehungsweise ihr Verarbeitungszweck erfüllt wurde, so sind die Betreiber in der Pflicht, die Kundendaten unverzüglich zu löschen.
Darüber hinaus müssen die Betreiber von Online-Shops Löschfristen einhalten und die Kunden darüber informieren. Bei der Nicht-Einhaltung von Fristen oder den Löschpflichten kann es schnell zu hohen Bußgeldern kommen.
Eine ausführliche Datenschutzerklärung auf der Website deckt alle Anforderungen ab
So einfach ist das nicht. Mit einer Datenschutzerklärung und den AGB deckt man keinesfalls alle datenschutzrechtliche Anforderungen gemäß der DSGVO ab. Eine ausdrückliche Rechtsgrundlage im Sinne der DSGVO ist für die Verarbeitung der personenbezogenen Daten notwendig. Darüber hinaus fallen zahlreiche weitere Pflichten, zum Beispiel in den Bereichen Marketing, Dokumentation oder Website, an.
Wir hatten nie Probleme mit dem Datenschutz und benötigen keinen Datenschutzbeauftragten
Nach Art. 38 Abs. 1 DSGVO muss ein Datenschutzbeauftragter bestellt werden, sobald mindestens zehn Mitarbeiter regelmäßig mit der Erhebung, Speicherung und Weiterverarbeitung von personenbezogenen Daten beschäftigt sind. Hierunter fallen auch Praktikanten, Werkstudenten sowie Teilzeitbeschäftigte und Aushilfen.
Wir übertragen Daten im Online Shop verschlüsselt und brauchen keinen weiteren Datenschutz
Datenschutz ist eine enorm komplexe Thematik und dementsprechend umfangreich sind die Anforderungen der DSGVO. Ein verschlüsselter Versand von personenbezogenen Daten ist positiv zu bewerten, bedeutet jedoch nicht, dass Ihr Unternehmen datenschutzrechtlich umfassend abgesichert ist.
Exellente Beratung für Ihren Online-Shop

References: § 38
 Art. 37
 Art. 37
 Art. 37
 Art. 28
 Art. 28
 Art. 30
 Art. 30
 Art. 22
 Art. 6
 Art. 13
 Art. 6
 Art. 19
 Art. 5
 Art. 38