Identität und Adresse prüfen: Was im Shop erlaubt ist

Ein Checkout kann drei Fragen beantworten wollen: Ist die Adresse zustellbar, gibt es die Person, und kann sie zahlen. Alle drei sind Verarbeitungen personenbezogener Daten. In Deutschland und Österreich brauchen sie eine Bedingung des Art. 6 Abs. 1 DSGVO; in der Schweiz darf die Bearbeitung die Persönlichkeit nicht widerrechtlich verletzen (Art. 30 Abs. 1 DSG), und widerrechtlich ist eine Verletzung nur, wenn kein Rechtfertigungsgrund nach Art. 31 Abs. 1 DSG greift.

Was eine Prüfung im Checkout leistet

Zwei Gruppen sind auseinanderzuhalten. Die erste prüft die Bestellung: Zustellbarkeit, Schreibfehler, Abweichung zwischen Rechnungs- und Lieferadresse. Die zweite bewertet die Person: Abgleich von Name, Anschrift und Geburtsdatum mit Daten Dritter oder ein Wahrscheinlichkeitswert über die künftige Zahlungsfähigkeit. Der Zweck entscheidet über Grundlage und Informationstiefe: Ein Zustellbarkeitscheck gleicht die Adresse gegen einen Referenzbestand ab; legen Sie fest, welchen Bestand der konkrete Check dafür braucht und wie Sie ihn richtig und aktuell halten — in Deutschland und Österreich verlangt Art. 5 Abs. 1 Buchst. d DSGVO sachlich richtige und erforderlichenfalls auf dem neuesten Stand gehaltene Daten. Für einen Score kommen Daten Dritter hinzu.

Welche Prüfung welche Grundlage braucht

Die Tabelle ordnet die üblichen Prüfungen ihrer Grundlage zu. Deutschland und Österreich folgen der DSGVO, die Schweiz dem DSG; die Spalte nennt beide Rechtsräume getrennt.

Prüfung	Was sie tut	Rechtsgrundlage und Grenze	Land
Adresse prüfen und vergleichen	Format und Zustellbarkeit abgleichen, Abweichung zwischen Rechnungs- und Lieferadresse sichtbar machen	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. b DSGVO (Vertrag); Schweiz: Art. 31 Abs. 2 Buchst. a DSG (Bearbeitung über die Vertragspartnerin in unmittelbarem Zusammenhang mit Abschluss oder Abwicklung des Vertrags); die Abweichung allein ist ein Signal, keine Entscheidung	DE, AT, CH
Eigene Bestellhistorie auswerten	offene Forderungen, Stornos und Rückbuchungen aus dem eigenen System	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. f DSGVO, gegen die Verarbeitung Widerspruch nach Art. 21 Abs. 1 DSGVO; Schweiz: überwiegendes Interesse nach Art. 31 Abs. 1 DSG, das Sie darlegen	DE, AT, CH
Identitätsabgleich über eine Auskunftei	Name, Anschrift und Geburtsdatum mit Daten Dritter, ohne Score	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. f DSGVO, Information nach Art. 14 DSGVO; Schweiz: überwiegendes Interesse nach Art. 31 Abs. 1 DSG, Information nach Art. 19 DSG	DE, AT, CH
Bonitätsscore abfragen	Wahrscheinlichkeitswert der Auskunftei über die künftige Zahlungsfähigkeit	Deutschland und Österreich: Art. 6 Abs. 1 Buchst. f DSGVO, in Deutschland zusätzlich § 31 Abs. 1 und 2 BDSG; Österreich: § 1 Abs. 1 und 2 DSG schützt den Geheimhaltungsanspruch, Beschränkung nur zur Wahrung überwiegender berechtigter Interessen; Schweiz: Art. 31 Abs. 2 Buchst. c DSG	DE, AT, CH
Bestellung automatisch ablehnen	Entscheidung ohne Prüfung durch einen Menschen, die rechtliche Wirkung entfaltet oder ähnlich erheblich beeinträchtigt	Deutschland und Österreich: nur nach Art. 22 Abs. 2 DSGVO, mit Maßnahmen nach Abs. 3 in den Fällen der Buchstaben a und c; Schweiz: Art. 21 Abs. 1 und 2 DSG gibt Auskunft über die automatisierte Einzelentscheidung sowie Darlegung des Standpunkts und Überprüfung durch eine natürliche Person; Abs. 3 nimmt Entscheidungen im unmittelbaren Vertragszusammenhang mit stattgegebenem Begehren und ausdrücklich eingewilligte Entscheidungen aus	DE, AT, CH
Verbraucherdarlehen oder entgeltliche Finanzierungshilfe ablehnen	Kundin über die Ablehnung und die erhaltene Auskunft unterrichten	Deutschland: § 30 Abs. 2 BDSG, unverzüglich; die Unterrichtung unterbleibt, soweit die öffentliche Sicherheit oder Ordnung gefährdet würde	DE

Was für jede Prüfung gilt

In Deutschland und Österreich braucht jede Prüfung eine Bedingung des Art. 6 Abs. 1 DSGVO: für die Abwicklung der Bestellung den Vertrag (Buchst. b), für die Absicherung gegen Ausfälle das berechtigte Interesse (Buchst. f). Auf Buchst. f stützen Sie sich nur nach einer Abwägung, die Sie für jede Prüfung festhalten. In der Schweiz kommt es darauf an, ob die Bearbeitung die Persönlichkeit widerrechtlich verletzt: Eine Verletzung nach Art. 30 DSG ist nur widerrechtlich, wenn sie nicht durch Einwilligung der Kundin, ein überwiegendes privates oder öffentliches Interesse oder Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG).

Verarbeiten Sie nur, was die Prüfung verlangt (Art. 5 Abs. 1 Buchst. c DSGVO); in der Schweiz muss die Bearbeitung rechtmässig, nach Treu und Glauben und verhältnismässig sowie zweckgebunden erfolgen (Art. 6 Abs. 2 und 3 DSG). Ein Geburtsdatum, das der Adressabgleich nicht braucht, gehört nicht in das Formular. Über Angaben, die Sie bei der Kundin selbst erheben, informieren Sie nach Art. 13 DSGVO, über Daten aus dritter Quelle nach Art. 14 DSGVO. Die Information erteilen Sie innerhalb einer angemessenen Frist, längstens innerhalb eines Monats nach Erhalt der Daten; verwenden Sie die Daten zur Kommunikation mit der Kundin, spätestens bei der ersten Mitteilung an sie, und legen Sie sie einem Empfänger offen, spätestens bei der ersten Offenlegung (Art. 14 Abs. 3 Buchst. a bis c DSGVO). In der Schweiz gilt Art. 19 DSG: Information spätestens einen Monat nach Erhalt der Daten, bei früherer Bekanntgabe im Zeitpunkt der Bekanntgabe (Art. 19 Abs. 5 DSG). Besteht eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 Abs. 1 und 4 DSGVO, kommen aussagekräftige Informationen über Logik, Tragweite und Auswirkungen hinzu (Art. 13 Abs. 2 Buchst. f, Art. 14 Abs. 2 Buchst. g) und die Auskunft darüber (Art. 15 Abs. 1 Buchst. h); in der Schweiz gelten Art. 19 und Art. 25 Abs. 2 Buchst. f DSG. In Deutschland und Österreich können Verstöße gegen Art. 5 und 6 DSGVO mit einer Geldbuße von bis zu 20.000.000 Euro oder im Fall eines Unternehmens von bis zu 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. a DSGVO).

Beim Score gelten Zusatzregeln

In Deutschland dürfen Sie einen Wahrscheinlichkeitswert über ein künftiges Verhalten der Kundin nur verwenden, wenn das Datenschutzrecht eingehalten ist, die Daten nachweisbar für gerade dieses Verhalten erheblich sind, der Wert nicht ausschließlich auf Anschriftendaten beruht und die Kundin bei deren Nutzung vorher unterrichtet und die Unterrichtung dokumentiert wurde (§ 31 Abs. 1 Nr. 1 bis 4 BDSG). Fließen Forderungsinformationen ein, ist die Verwendung nur zulässig, soweit die Voraussetzungen des Absatzes 1 vorliegen, nur Forderungen über eine geschuldete Leistung berücksichtigt werden, die trotz Fälligkeit nicht erbracht worden ist, und die Forderung eine der fünf Voraussetzungen des § 31 Abs. 2 BDSG erfüllt: ein rechtskräftiges oder für vorläufig vollstreckbar erklärtes Urteil oder ein Schuldtitel nach § 794 der Zivilprozessordnung (Nr. 1), eine nach § 178 der Insolvenzordnung festgestellte und nicht im Prüfungstermin bestrittene Forderung (Nr. 2), eine ausdrücklich anerkannte Forderung (Nr. 3), die Mahnvariante (Nr. 4) oder eine Forderung aus einem Vertragsverhältnis, das wegen Zahlungsrückständen fristlos gekündigt werden kann, wenn die Kundin zuvor über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet wurde (Nr. 5). Die Mahnvariante verlangt, dass die Kundin nach Eintritt der Fälligkeit mindestens zweimal schriftlich gemahnt wurde, die erste Mahnung mindestens vier Wochen zurückliegt, sie zuvor, frühestens bei der ersten Mahnung, über eine mögliche Berücksichtigung durch eine Auskunftei unterrichtet wurde und sie die Forderung nicht bestritten hat (Nr. 4 Buchst. a bis d).

Die Datenschutzkonferenz (DSK) hat am 11. Mai 2023 der Bundesregierung empfohlen, auf Anschriftenwechsel, Geoscoring, die Bewertung von Namen und vergleichbare Informationen im Scoring zu verzichten oder sie zu verbieten; die Stellungnahme ist eine Empfehlung an die Bundesregierung und keine Rechtsnorm.

In der Schweiz fällt bei einer Kreditwürdigkeitsprüfung ein überwiegendes Interesse insbesondere in Betracht, wenn keine besonders schützenswerten Daten und kein Profiling mit hohem Risiko betroffen sind, die Daten Dritten nur bekanntgegeben werden, wenn diese sie für den Abschluss oder die Abwicklung eines Vertrags mit der Kundin benötigen, die Daten nicht älter als zehn Jahre sind und die Kundin volljährig ist (Art. 31 Abs. 2 Buchst. c DSG). Ob das Interesse im Einzelfall überwiegt, prüfen und dokumentieren Sie selbst.

Beispiel: eine Bestellung in drei Stufen

Die folgenden Zahlen sind erfunden. Ein Shop erhält 1.000 Bestellungen im Monat, 300 davon auf Rechnung. Der Adressabgleich im Checkout korrigiert zwölf falsch geschriebene Orte. In 40 Fällen weicht die Lieferadresse von der Rechnungsadresse ab. Für die 300 Rechnungskäufe fragt der Shop einen Score ab und lehnt 18 Bestellungen unterhalb der selbst gesetzten Schwelle ab.

Ergeht die Ablehnung ausschließlich automatisiert und entfaltet sie gegenüber der Kundin rechtliche Wirkung oder beeinträchtigt sie sie in ähnlicher Weise erheblich, ist sie in Deutschland und Österreich an Art. 22 DSGVO zu messen: zulässig nur mit einer der Ausnahmen des Abs. 2, und in den Fällen der Buchstaben a und c sind die Maßnahmen nach Abs. 3 zu treffen. In der Schweiz informiert Art. 21 Abs. 1 DSG über die automatisierte Einzelentscheidung; die Kundin kann nach Abs. 2 ihren Standpunkt darlegen und eine Überprüfung durch eine natürliche Person verlangen, sofern keine der Ausnahmen des Abs. 3 greift. Nach dem Urteil des Gerichtshofs der Europäischen Union vom 7. Dezember 2023 (C-634/21) liegt eine automatisierte Entscheidung im Einzelfall schon in der automatisierten Erstellung des Wahrscheinlichkeitswerts, wenn von diesem Wert maßgeblich abhängt, ob der Händler ein Vertragsverhältnis mit der Person begründet, durchführt oder beendet. Die 18 Fälle gehören deshalb auf den Tisch einer Person.

Typische Fehler

• Adressdaten als Score. Ein Wert, der ausschließlich auf Anschriftendaten beruht, ist in Deutschland nach § 31 Abs. 1 Nr. 3 BDSG unzulässig; ohne vorherige, dokumentierte Unterrichtung fehlt zusätzlich Nr. 4.
• Ablehnung ohne Überprüfungsweg. Bei Art. 22 Abs. 2 Buchst. a oder c DSGVO verlangt Abs. 3 mindestens das Eingreifen einer Person, die Darlegung des Standpunkts und die Anfechtung; in der Schweiz gibt Art. 21 Abs. 2 DSG der Kundin das Recht, ihren Standpunkt darzulegen und eine Überprüfung durch eine natürliche Person zu verlangen, vorbehaltlich der Ausnahmen des Abs. 3 (unmittelbarer Vertragszusammenhang mit stattgegebenem Begehren oder ausdrückliche Einwilligung).
• Forderung ohne Voraussetzung verwertet. Eine Forderung, die nur einmal gemahnt oder von der Kundin bestritten ist, erfüllt die Mahnvariante des § 31 Abs. 2 Nr. 4 BDSG nicht; auch wer den Hinweis auf eine mögliche Berücksichtigung durch eine Auskunftei nicht nachweist, erfüllt Nr. 4 Buchst. c nicht.
• DSGVO-Regeln auf die Schweiz übertragen. Dort hängt die Zulässigkeit nicht an einer Bedingung des Art. 6 Abs. 1 DSGVO, sondern an der Rechtfertigung einer Persönlichkeitsverletzung (Art. 30 und 31 DSG).

So gehen Sie vor

1. Listen Sie jede Prüfung im Checkout auf (Schritt, Datenquelle, Zweck). Notieren Sie den Grund: in Deutschland und Österreich die Bedingung aus Art. 6 Abs. 1 DSGVO, bei Buchst. f mit Abwägung, in der Schweiz, warum die Bearbeitung die Persönlichkeit nicht widerrechtlich verletzt (Art. 30 Abs. 1 DSG); greift kein Rechtfertigungsgrund nach Art. 31 Abs. 1 DSG, ist eine Verletzung widerrechtlich.
2. Lassen Sie sich von der Auskunftei schriftlich geben, für welches Verhalten der Wert berechnet wird und welche Daten einfließen (§ 31 Abs. 1 Nr. 2 BDSG).
3. Legen Sie den Entscheidungsweg fest: Schwellenwert, Stufe für das Eingreifen eines Menschen, Begründung der Ablehnung. In Deutschland und Österreich gilt Art. 22 Abs. 3 DSGVO in den Fällen der Buchstaben a und c; in der Schweiz kann die Kundin nach Art. 21 Abs. 2 DSG die Überprüfung durch eine natürliche Person verlangen, sofern keine der Ausnahmen des Abs. 3 greift.
4. Ergänzen Sie die Datenschutzerklärung um Zweck, Empfänger und die automatisierte Entscheidungsfindung (Deutschland und Österreich: Art. 13 und 14 DSGVO; Schweiz: Art. 19 DSG); Vorlage: Datenschutzerklärung für den Onlineshop in Deutschland.
5. Prüfen Sie einmal im Jahr Ablehnungsquote, Widersprüche und Auskunftsanfragen; bei betrügerischen Bestellungen hilft Betrug im Onlineshop erkennen und vorbeugen.

Verlagert eine Zahlart den Ausfall auf einen Dienstleister, klären Sie im Vertrag, wer welche Daten zu welchem Zweck verarbeitet. Bei Kartenzahlungen ist die starke Kundenauthentifizierung Sache des Zahlungsdienstleisters; bei elektronischen Fernzahlungsvorgängen darf er nach der Delegierten Verordnung (EU) 2018/389 in den Fällen der Art. 16 (Kleinbetragszahlungen) und 18 (Transaktionsrisikoanalyse) davon absehen (Starke Kundenauthentifizierung und 3-D Secure).