Datenschutz bei der Shopsystem-Auswahl: Standort und Verträge

Ein Shopsystem verarbeitet Namen, Anschriften, E-Mail-Adressen, Bestellungen, Zahlungs- und Versanddaten. Wo diese Daten liegen und wer außer Ihnen und dem Anbieter darauf zugreift, entscheidet darüber, welche Pflichten Sie treffen und welche Nachweise Sie vor der Auftragsvergabe verlangen. Der Serverstandort ist nur ein Teil der Prüfung: Er sagt nichts darüber, auf welcher Grundlage die Daten dorthin gelangen und was der Vertrag regelt.

Worum es bei der Auswahl geht

Verantwortlicher für die Kundendaten Ihres Shops bleiben Sie. Der Anbieter verarbeitet diese Daten im Auftrag und ist insoweit Auftragsverarbeiter, also eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 7 und 8 DSGVO).

Prüfen Sie jede Verarbeitung einzeln: Betrieb und Backup des Shops, Support- und Wartungszugriffe, Monitoring, E-Mail-Versand, Zahlungsabwicklung, Versandetiketten und Auswertungen. Für eine Funktion kann der Anbieter Auftragsverarbeiter sein und für eine andere eigene Zwecke verfolgen; bestimmt er Zwecke und Mittel selbst, gilt er für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Legen mehrere Stellen die Zwecke gemeinsam fest, gilt Art. 26 DSGVO. Diese Einordnung entscheidet, welcher Vertrag nötig ist und wer die Betroffenen informiert.

Welches Recht gilt, entscheidet der räumliche Anwendungsbereich, nicht die Herkunft der Daten: Die DSGVO gilt für die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union (Art. 3 Abs. 1 DSGVO) und für einen nicht in der Union niedergelassenen Anbieter, der Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet (Art. 3 Abs. 2 DSGVO). Das DSG gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 Abs. 1 DSG). Ein in Deutschland oder Österreich niedergelassener Shop unterliegt damit der DSGVO für seine Verarbeitungen; bearbeitet er Daten in einer Weise, die sich in der Schweiz auswirkt, kann daneben das DSG anwendbar sein. Ein und derselbe Shop kann daher beide Regelwerke nebeneinander anwenden müssen.

Diese Kriterien zählen

Die Tabelle ordnet jedem Kriterium die Prüfung und die Frage zu, die Sie schriftlich an den Anbieter richten. Wo eine Norm genannt ist, steht das Recht, in dem sie gilt: DSGVO für Verarbeitungen im Anwendungsbereich der Verordnung (Deutschland und Österreich), DSG für Sachverhalte mit Wirkung in der Schweiz (Art. 3 Abs. 1 DSG).

Kriterium	Warum es zählt	Wie Sie es prüfen	Frage an den Anbieter
Rolle des Anbieters	Der Vertragstyp hängt davon ab, ob er Auftragsverarbeiter, gemeinsam Verantwortlicher oder selbst Verantwortlicher ist	Leistungsbeschreibung mit Ihren Verarbeitungen abgleichen	Für welche Funktionen verarbeiten Sie als Auftragsverarbeiter, für welche zu eigenen Zwecken?
Speicherorte	Rechenzentrum, Backups und Testsysteme können in verschiedenen Ländern liegen	Angaben zu Rechenzentren, Backup- und Teststandorten verlangen	In welchen Ländern werden Daten gespeichert, gesichert und bearbeitet?
Zugriffe	Greift eine andere Stelle im Drittland auf Produktivdaten zu, ist das selbst eine Übermittlung; der Zugriff eines Mitarbeiters derselben Stelle ist nach den EDSA-Leitlinien 05/2021 keine Übermittlung	Support- und Monitoringprozess beschreiben lassen	Wer greift aus welchen Ländern auf Produktivdaten zu, und wird das protokolliert?
Übermittlungsgrundlage	Jede Übermittlung in ein Drittland braucht eine Grundlage: im Anwendungsbereich der DSGVO nach Kapitel V, im Anwendungsbereich des DSG nach Art. 16 oder eine Ausnahme nach Art. 17 DSG	Angemessenheitsbeschluss, Standarddatenschutzklauseln oder einen Ausnahmefall nachweisen lassen	Auf welcher Grundlage erfolgt die Übermittlung in Drittländer?
Auftragsverarbeitungsvertrag	Ohne Vertrag oder ein anderes bindendes Rechtsinstrument ist die Verarbeitung im Auftrag unzulässig (DSGVO: Art. 28 Abs. 3; DSG: Art. 9 Abs. 1, der auch die Übertragung durch die Gesetzgebung zulässt)	Vertrag oder Rechtsinstrument gegen Art. 28 Abs. 3 DSGVO prüfen, für Schweizer Daten die Vergewisserung nach Art. 9 Abs. 2 DSG verlangen	Enthält das Rechtsinstrument die Pflichten nach Art. 28 Abs. 3 Buchst. a bis h DSGVO?
Unterauftragsverarbeiter	Sie müssen Änderungen erkennen und widersprechen können (Deutschland und Österreich: Art. 28 Abs. 2 DSGVO; Schweiz: Art. 9 Abs. 3 DSG und Art. 7 DSV)	aktuelle Liste und Mitteilungsweg verlangen	Welche Unterauftragsverarbeiter setzen Sie ein, wo sitzen sie, und wie melden Sie Änderungen?
Technische und organisatorische Maßnahmen	Sie brauchen sie für Ihre eigene Dokumentation (Deutschland und Österreich: Art. 32 DSGVO; Schweiz: Art. 9 Abs. 2 DSG)	Konzept zu Verschlüsselung, Zugriffen und Wiederherstellung anfordern	Welche Maßnahmen nach Art. 32 DSGVO bieten Sie, und können Sie sie belegen?
Störungen	Verletzungen sind der Aufsichtsbehörde zu melden, außer sie führen voraussichtlich nicht zu einem Risiko; der Anbieter muss sie Ihnen unverzüglich melden (Deutschland und Österreich: Art. 33 Abs. 1 und 2 DSGVO)	Ablauf, Frist und Kontaktstelle festhalten	Wie und binnen welcher Frist melden Sie eine Verletzung des Schutzes personenbezogener Daten?
Vertragsende	Nach Beendigung muss der Anbieter die Daten nach Ihrer Wahl löschen oder zurückgeben, sofern keine gesetzliche Speicherungspflicht entgegensteht (Deutschland und Österreich: Art. 28 Abs. 3 Buchst. g DSGVO); einen Export verlangt die Norm nicht, er ist ein redaktionelles Auswahlkriterium	Löschfristen und entgegenstehende Speicherungspflichten festhalten und zusätzlich einen Export verlangen	Was passiert bei Vertragsende mit den Daten, welche Speicherungspflichten bestehen, und in welchem Format kann ich sie vorher exportieren?
Prüf- und Nachweisrechte	Sie müssen die Einhaltung gegenüber Aufsichtsbehörden belegen können (Deutschland und Österreich: Art. 28 Abs. 3 Buchst. h DSGVO)	Recht auf Auskunft und Prüfung regeln	Welche Nachweise stellen Sie bereit, und wie darf ich selbst prüfen?

Was das Recht für Standort und Verträge verlangt

Deutschland und Österreich. Für einen Verantwortlichen mit Niederlassung in Deutschland oder Österreich gilt die DSGVO unmittelbar, ergänzt um nationale Vorschriften; für einen Anbieter ohne Niederlassung in der Union gilt sie, wenn er Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet (Art. 3 Abs. 1 und 2 DSGVO). Die Verordnung verbietet die Verarbeitung in einem Drittland nicht. Sie erlaubt eine Übermittlung, wenn die Bedingungen des Kapitels V erfüllt sind (Art. 44 DSGVO): Bei einem Angemessenheitsbeschluss der Kommission bedarf die Übermittlung keiner besonderen Genehmigung (Art. 45 Abs. 1 DSGVO). Ohne Beschluss ist sie nur mit geeigneten Garantien und durchsetzbaren Rechten der Betroffenen zulässig, etwa mit Standarddatenschutzklauseln der Kommission (Art. 46 Abs. 1 und Abs. 2 Buchst. c DSGVO); daneben stehen die Ausnahmen des Art. 49 DSGVO, etwa die ausdrückliche Einwilligung nach Unterrichtung über die möglichen Risiken (Art. 49 Abs. 1 Buchst. a DSGVO). Die Schweiz hat einen Angemessenheitsbeschluss; sie steht in der Liste der Kommission.

Für die Verarbeitung im Auftrag verlangt Art. 28 DSGVO hinreichende Garantien des Anbieters (Abs. 1) und einen Vertrag oder ein anderes bindendes Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festgelegt sind, darunter die Pflichten nach Abs. 3 Buchst. a bis h: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Maßnahmen nach Art. 32, Regeln für weitere Auftragsverarbeiter, Unterstützung bei Betroffenenrechten und bei den Pflichten nach Art. 32 bis 36, Löschung oder Rückgabe nach Wahl des Verantwortlichen, vorbehaltlich gesetzlicher Speicherungspflichten, und Nachweise. Das Rechtsinstrument ist schriftlich abzufassen, elektronisch genügt (Abs. 9). Unterauftragsverarbeiter dürfen nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung tätig werden; bei allgemeiner Genehmigung müssen Sie über jede beabsichtigte Änderung informiert werden und widersprechen können (Abs. 2). Dem weiteren Auftragsverarbeiter sind dieselben Pflichten aufzuerlegen; kommt er ihnen nicht nach, haftet Ihnen gegenüber der erste Auftragsverarbeiter (Abs. 4).

Dazu kommen Ihre eigenen Pflichten: angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, die Meldung von Verletzungen und die Dokumentation. Wird eine Verletzung dem Auftragsverarbeiter bekannt, muss er sie dem Verantwortlichen unverzüglich melden (Art. 33 Abs. 2 DSGVO); die Meldung an die Aufsichtsbehörde trifft den Verantwortlichen unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO).

Verstöße gegen die Pflichten aus Art. 28 und Art. 32 DSGVO können mit einer Geldbuße von bis zu 10 Mio. Euro oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 4 Buchst. a DSGVO), Verstöße gegen die Übermittlungsvorschriften der Art. 44 bis 49 DSGVO mit bis 20 Mio. Euro oder bis 4 % nach derselben Maßgabe (Art. 83 Abs. 5 Buchst. c DSGVO).

Schweiz. Für Personendaten im Anwendungsbereich des DSG gilt: Die Bearbeitung kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine Geheimhaltungspflicht entgegensteht (Art. 9 Abs. 1 DSG). Sie müssen sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 Abs. 2 DSG), und er darf die Bearbeitung nur mit Ihrer vorgängigen Genehmigung einem Dritten übertragen (Art. 9 Abs. 3 DSG); die Genehmigung kann nach Art. 7 DSV spezifisch oder allgemein sein, und bei einer allgemeinen Genehmigung muss er jede beabsichtigte Änderung mitteilen, gegen die Sie Widerspruch erheben können.

Für Bekanntgaben ins Ausland gilt Art. 16 DSG: Zulässig sind sie, wenn der Bundesrat einen angemessenen Schutz festgestellt hat, oder sonst, wenn ein geeigneter Datenschutz gewährleistet wird, etwa durch Datenschutzklauseln in einem Vertrag, die dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten vorgängig mitgeteilt wurden, durch spezifische Garantien oder durch verbindliche unternehmensinterne Datenschutzvorschriften; daneben stehen die Ausnahmen nach Art. 17 DSG. Welche Staaten als angemessen gelten, steht in Anhang 1 DSV: In der Fassung vom 1. Dezember 2025 sind dort unter anderem Deutschland und Österreich aufgeführt, sodass ein Schweizer Shop ohne weitere Garantien in diesen Ländern hosten kann.

USA. Die Kommission hat mit Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 festgestellt, dass die USA ein angemessenes Schutzniveau gewährleisten – aber nur für personenbezogene Daten, die aus der Union an Organisationen übermittelt werden, die in der vom U.S. Department of Commerce geführten und öffentlich zugänglichen Data Privacy Framework List stehen (Art. 1). Die Kommission überwacht die Anwendung, überprüft die Feststellung und kann den Beschluss aussetzen, ändern oder widerrufen (Art. 3). Der erste Überprüfungsbericht vom 9. Oktober 2024 (COM(2024) 451) kommt zum Ergebnis, dass die US-Behörden die notwendigen Strukturen und Verfahren eingerichtet haben. Das Gericht der Europäischen Union hat eine Klage gegen den Beschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23).

Für die Schweiz gilt ein eigener Rahmen: Nach Anhang 1 DSV besteht der angemessene Schutz nur für Personendaten, die von Organisationen bearbeitet werden, die gemäss den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind. Die beiden Rahmen sind getrennt: Der Angemessenheitsbeschluss (EU) 2023/1795 deckt Organisationen nach dem Datenschutzrahmen EU-USA, für Schweizer Personendaten gilt nach Anhang 1 DSV die Zertifizierung nach dem Datenschutzrahmen Schweiz-USA. Prüfen Sie deshalb, ob die aktive Zertifizierung des Anbieters den Rahmen abdeckt, unter dem Sie übermitteln. Deckt sie nur den Rahmen EU-USA ab, stützt sich die Bekanntgabe von Schweizer Personendaten auf Garantien nach Art. 16 Abs. 2 DSG oder auf eine Ausnahme nach Art. 17 DSG.

Was die Datenschutzerklärung sagen muss. Beabsichtigen Sie, Daten an einen Anbieter in einem Drittland zu übermitteln, gehören diese Absicht und das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses in Ihre Datenschutzerklärung; bei einer Übermittlung nach Art. 46 oder Art. 49 Abs. 1 Unterabsatz 2 DSGVO zusätzlich ein Verweis auf die Garantien und darauf, wie Sie eine Kopie erhalten (Art. 13 Abs. 1 Buchst. f DSGVO). Im Anwendungsbereich des DSG teilen Sie bei Bekanntgaben ins Ausland den Staat und die Garantien nach Art. 16 Abs. 2 oder die angewandte Ausnahme nach Art. 17 mit (Art. 19 Abs. 4 DSG).

Checkliste: Fragen zu Standort und Unterauftragsverarbeitern

1. In welchen Ländern liegen die Rechenzentren für Produktivsystem, Backups und Testsysteme?
2. Erreichen Support, Wartung und Monitoring die Produktivdaten, aus welchen Ländern erfolgt dieser Zugriff, und wird er protokolliert?
3. Welche Unterauftragsverarbeiter setzen Sie ein (Hosting, Auslieferungsnetz, E-Mail-Versand, Zahlungsabwicklung, Versand, Auswertung), und wo sind sie ansässig?
4. Erteile ich die Genehmigung für Unterauftragsverarbeiter allgemein oder einzeln, und wie werden neue oder ersetzte Unterauftragsverarbeiter mitgeteilt (Art. 28 Abs. 2 DSGVO; Art. 9 Abs. 3 DSG, Art. 7 DSV)?
5. Im Anwendungsbereich der DSGVO (Deutschland und Österreich): Auf welcher Grundlage werden Daten in Drittländer übermittelt — Angemessenheitsbeschluss nach Art. 45 DSGVO, Standarddatenschutzklauseln nach Art. 46 Abs. 2 Buchst. c DSGVO oder ein Ausnahmefall nach Art. 49 DSGVO?
6. Bei Leistungen aus den USA: Ist die Organisation in der Data Privacy Framework List geführt, und umfasst die aktive Zertifizierung den Rahmen, unter dem Sie übermitteln (Datenschutzrahmen EU-USA oder Schweiz-USA)?
7. Im Anwendungsbereich des DSG (Schweiz): Steht der Staat in Anhang 1 DSV, oder stützt sich die Bekanntgabe auf Garantien nach Art. 16 Abs. 2 DSG oder auf eine Ausnahme nach Art. 17 DSG?
8. Im Anwendungsbereich der DSGVO (Deutschland und Österreich): Enthält der Vertrag oder das andere bindende Rechtsinstrument die Pflichten nach Art. 28 Abs. 3 Buchst. a bis h DSGVO, und ist es schriftlich oder in einem elektronischen Format abgeschlossen (Art. 28 Abs. 9 DSGVO)?
9. Bei Schweizer Daten: Können Sie belegen, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 Abs. 2 DSG)?
10. Im Anwendungsbereich der DSGVO (Deutschland und Österreich): Über welche Kontaktstelle und binnen welcher Frist informiert mich der Anbieter über eine Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO)?
11. Im Anwendungsbereich der DSGVO (Deutschland und Österreich): Werden die Daten nach Vertragsende nach meiner Wahl gelöscht oder zurückgegeben, sofern keine gesetzliche Speicherungspflicht besteht (Art. 28 Abs. 3 Buchst. g DSGVO)? In welchem Format kann ich sie vorher exportieren (redaktionelles Auswahlkriterium, von der Norm nicht verlangt)?
12. Im Anwendungsbereich der DSGVO (Deutschland und Österreich): Welche Nachweise erhalte ich für meine Dokumentation, und darf ich die Einhaltung selbst prüfen (Art. 28 Abs. 3 Buchst. h DSGVO)?

Warnsignale in Angebot und Vertrag

• Der Anbieter nennt sich „DSGVO-konform“, ohne Rolle, Unterauftragsverarbeiter und Übermittlungsgrundlage zu benennen.
• Im Anwendungsbereich der DSGVO fehlt ein Auftragsverarbeitungsvertrag oder ein anderes bindendes Rechtsinstrument, oder es ist ein fremdes Muster ohne Bezug zur Leistung und nennt die Pflichten nach Art. 28 Abs. 3 DSGVO nicht.
• Die Liste der Unterauftragsverarbeiter fehlt oder wird ohne Mitteilung und ohne Widerspruchsmöglichkeit geändert.
• Der Serverstandort ist zugesagt, Support, Monitoring und Backup bleiben aber unbenannt.
• Eine Zertifizierung nach dem Datenschutzrahmen EU-USA wird vorgelegt, Schweizer Personendaten sind aber nicht durch eine Zertifizierung nach dem Datenschutzrahmen Schweiz-USA gedeckt.
• Löschung, Rückgabe und Export nach Vertragsende sind nicht geregelt.
• Für Verletzungen des Schutzes personenbezogener Daten fehlt ein fester Meldeweg mit Frist.

Welche Kriterien für welchen Betrieb

Betrieb	Was am stärksten wiegt
Shop mit gemietetem Shopsystem	Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter, Speicher- und Supportstandorte
Shop mit Kundschaft in Deutschland, Österreich und der Schweiz	Prüfung nach dem räumlichen Anwendungsbereich: DSGVO-Grundlage für Verarbeitungen unter der Verordnung, Anhang 1 DSV, Garantien nach Art. 16 Abs. 2 DSG oder Ausnahme nach Art. 17 DSG für Sachverhalte mit Wirkung in der Schweiz
Shop mit eigenen Servern (Self-Hosting)	Eigene Pflichten nach Art. 32 DSGVO, Zugriffsregelung, Backups und Wiederherstellung
Shop, der Dienste mit Serverstandort außerhalb der EU nutzt	Grundlage je Dienst; Zertifizierung und Subunternehmerkette je Dienst prüfen
Shop, der Auskunfts- und Löschungsanfragen selbst bearbeitet	Unterstützungspflicht des Anbieters, Exportformate, Löschfristen

So gehen Sie vor

1. Listen Sie Ihre Verarbeitungen auf: Datenarten, Zwecke und die Systeme, die sie verarbeiten.
2. Halten Sie für jede Verarbeitung die Rolle des Anbieters fest: Auftragsverarbeiter, gemeinsam Verantwortlicher oder selbst Verantwortlicher.
3. Fragen Sie Standorte und Zugriffe schriftlich ab: Rechenzentren, Backups, Testsysteme, Support, Monitoring.
4. Prüfen Sie die Übermittlungsgrundlage je Empfängerland: Angemessenheitsbeschluss, Standarddatenschutzklauseln oder ein Ausnahmefall nach Art. 44 ff. DSGVO; im Anwendungsbereich des DSG Anhang 1 DSV, Garantien nach Art. 16 Abs. 2 DSG oder eine Ausnahme nach Art. 17 DSG.
5. Vergleichen Sie den Vertrag oder das andere bindende Rechtsinstrument mit Art. 28 Abs. 3 DSGVO, klären Sie Löschung, Export und Prüfrechte und übernehmen Sie die Angaben in Ihre Datenschutzerklärung (Art. 13 Abs. 1 Buchst. f DSGVO, Art. 19 Abs. 4 DSG).

Für die Wahl zwischen Miete und eigener Installation siehe Shopsoftware mieten oder kaufen, für die Anforderungen an den Betrieb Hosting für den Onlineshop und für die Vertragsprüfung insgesamt Anbieter prüfen.