Auftragsverarbeitung im Shop: Verträge mit Dienstleistern
Kurz gesagt
Wer Dienstleister personenbezogene Daten aus dem Shop im Auftrag verarbeiten lässt, braucht mit jedem von ihnen ein schriftliches Rechtsinstrument nach Art. 28 Abs. 3 DSGVO; das gilt in Deutschland und Österreich unabhängig von der Unternehmensgröße. Verarbeitet ein Dienstleister die Daten für eigene Zwecke, ist er insoweit Verantwortlicher (Art. 4 Nr. 7 und Art. 28 Abs. 10 DSGVO), und für die Weitergabe brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Sitzt der Dienstleister oder ein Unterauftragsverarbeiter außerhalb der EU und des EWR, kommt die Übermittlungsfrage dazu: ein Angemessenheitsbeschluss der Kommission, geeignete Garantien nach Art. 46 DSGVO, etwa Standardvertragsklauseln, oder ein Ausnahmefall nach Art. 49 DSGVO. In der Schweiz gilt Art. 9 DSG.
Das Wichtigste
- Art. 28 DSGVO gilt nur für eine Verarbeitung im Auftrag: Wer über die Zwecke und Mittel selbst entscheidet, ist insoweit Verantwortlicher (Art. 4 Nr. 7 und Art. 28 Abs. 10 DSGVO); für Shopbetreiber in Deutschland und Österreich kennt Art. 28 DSGVO keine Größenschwelle.
- Schriftform genügt elektronisch; Mindestinhalt ist die Liste nach Art. 28 Abs. 3 Buchst. a bis h DSGVO.
- Unterauftragsverarbeiter brauchen eine vorherige Genehmigung und dieselben Pflichten (Art. 28 Abs. 2 und 4 DSGVO).
- Für die USA gilt der Angemessenheitsbeschluss (EU) 2023/1795 nur für Organisationen auf der Data-Privacy-Framework-Liste; sonst trägt eine Garantie nach Art. 46 DSGVO die Übermittlung, etwa Standardvertragsklauseln, samt Prüfung der Rechtsvorschriften des Bestimmungsdrittlands und nötigenfalls ergänzender Maßnahmen (Klausel 14 der Standardvertragsklauseln); daneben sind Ausnahmen nach Art. 49 DSGVO möglich.
- Verstoß gegen Art. 28 DSGVO: Geldbuße bis 10 Millionen Euro oder im Fall eines Unternehmens bis 2 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 4 Buchst. a DSGVO).
- In der Schweiz regelt Art. 9 DSG die Übertragung an einen Auftragsbearbeiter; eine Schriftform nennt die Norm nicht.
Was Art. 28 DSGVO von Ihnen verlangt
Verarbeiten Dienstleister personenbezogene Daten aus Ihrem Shop in Deutschland oder Österreich im Auftrag, sind Sie Verantwortlicher und der Dienstleister Auftragsverarbeiter (Art. 4 Nr. 7 und Nr. 8 DSGVO); den Begriff erklärt Auftragsverarbeitung. Sie dürfen nur Anbieter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO), und die Verarbeitung muss auf einem Vertrag oder einem anderen Rechtsinstrument beruhen, das den Dienstleister Ihnen gegenüber bindet (Art. 28 Abs. 3 DSGVO).
Der Vertrag legt Gegenstand und Dauer, Art und Zweck, die Art der Daten, die Kategorien betroffener Personen sowie Ihre Pflichten und Rechte fest. Buchst. a bis h verlangen zusätzlich Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit der zugriffsberechtigten Personen, die Maßnahmen nach Art. 32 DSGVO, die Bedingungen für Unterauftragsverarbeiter, Unterstützung bei Betroffenenanfragen und bei den Pflichten nach Art. 32 bis 36 DSGVO, Löschung oder Rückgabe nach Ihrer Wahl sowie Nachweise und Überprüfungen einschließlich Inspektionen. Schriftlich genügt in elektronischer Form (Art. 28 Abs. 9 DSGVO).
Nach den EDSA-Leitlinien 07/2020 (Version 2.0 vom 7. Juli 2021, Rn. 101 und 103) genügt eine nicht schriftliche Verabredung nicht. Die DSGVO gilt in Deutschland und Österreich unmittelbar und wird seit 25. Mai 2018 angewandt (Art. 99 Abs. 2 DSGVO). Eine Ausnahme für kleine Unternehmen enthält Art. 28 DSGVO nicht; die Größenschwelle nach Art. 30 Abs. 5 DSGVO betrifft nur das Verzeichnis.
Wer Auftragsverarbeiter ist – und wer nicht
Entscheidend ist nicht der Vertragstitel, sondern wer über Zweck und Mittel der Verarbeitung entscheidet (EDSA-Leitlinien 07/2020, Rn. 28 bis 30). Nicht wesentliche Mittel, etwa die eingesetzte Software, darf der Auftragsverarbeiter selbst bestimmen; Zweck, Datenarten und Speicherdauer entscheidet der Verantwortliche (Rn. 39 und 40).
Zwei Beispiele zeigen die Grenze: Ein Hosting-Dienst, der Daten nur speichert, ist Auftragsverarbeiter (Rn. 40); für einen standardisierten Cloud-Speicherdienst gilt das, solange er die Daten nicht für eigene Zwecke verarbeitet (Rn. 30). Eine Bank dagegen entscheidet bei der Ausführung einer Zahlung in ihrer Banktätigkeit selbst über die Daten und ist insoweit Verantwortlicher (Rn. 40).
Bestimmt der Dienstleister die Zwecke und Mittel selbst, greift Art. 28 Abs. 1 DSGVO nicht; er handelt dann als Verantwortlicher (Art. 4 Nr. 7 DSGVO), auch wenn der Vertrag ihn Auftragsverarbeiter nennt (Art. 28 Abs. 10 DSGVO), und für die Weitergabe an ihn brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Legen Sie und der Dienstleister die Zwecke gemeinsam fest, gilt Art. 26 DSGVO; dann hält eine Vereinbarung fest, wer welche Pflicht erfüllt.
Welche Dienste einen Vertrag brauchen
Die Tabelle ordnet Dienste ein, mit denen ein Shop Daten verarbeiten lassen kann; die Spalte zum Auftragsverarbeitungsvertrag gilt jeweils nur, soweit der Dienst die Daten im Auftrag verarbeitet. Die Einordnung ist unsere Anwendung der EDSA-Kriterien, maßgeblich bleibt die Weisungsbindung im Vertrag; entscheidet der Dienst über die Zwecke und Mittel selbst, ist er insoweit Verantwortlicher (Art. 4 Nr. 7, Art. 28 Abs. 1 und Abs. 10 DSGVO). Betreiben Sie Server und Shop vollständig selbst, gibt es keinen Auftragsverarbeiter und keinen Vertrag nach Art. 28 DSGVO.
| Dienst | Auftragsverarbeitungsvertrag (Deutschland, Österreich) | Übermittlung prüfen |
|---|---|---|
| Webhosting und Serverbetrieb | ja; Weisungen zu Speicherort und Löschung | Rechenzentrum außerhalb der EU und des EWR: Art. 45 oder 46 DSGVO |
| Shopsystem als Mietlösung, Betrieb durch eine Agentur | ja; Administratorenzugriffe regeln (siehe Datenschutz bei der Shopsystem-Auswahl) | Serverstandort und Unterauftragsverarbeiter |
| Warenwirtschaft und ERP als Dienst | ja; Schnittstellen zum Shop | Hosting des Dienstes |
| Zahlungsdienstleister | nur, soweit er die Zahlung nach Ihren Weisungen ausführt; führt er sie in eigener Banktätigkeit aus, entscheidet er nach den EDSA-Leitlinien 07/2020 (Rn. 40, Beispiel Bankzahlungen) selbst über Zwecke und Mittel und ist insoweit Verantwortlicher, die Weitergabe braucht dann eine Rechtsgrundlage nach Art. 6 DSGVO | Abwicklung und Kartenorganisation |
| Fulfillment: Lager, Kommissionierung, Verpackung | ja; Weisungen zu Bestands- und Retourendaten | Lagerstandort und -system |
| Versand- und Zustelldienst | ja, wenn er Name und Anschrift nur für Ihre Zustellung verwendet; die Wahl der Route bleibt als praktischer Aspekt der Umsetzung sein nicht wesentliches Mittel (EDSA-Leitlinien 07/2020, Rn. 40) | Zustellung ins Drittland |
| E-Mail-Versand für Newsletter und Bestellbestätigungen | ja, wenn der Dienst die Adressen nur in Ihrem Auftrag verarbeitet; für Werbe-Mails gilt in Deutschland § 7 Abs. 2 Nr. 2 UWG mit der Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG, in Österreich § 174 Abs. 3 TKG 2021 mit der Ausnahme nach Abs. 4 TKG 2021, und in beiden Ländern die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO | Serverstandort und Unterauftragsverarbeiter |
| Webanalyse und Tracking | ja, soweit der Anbieter die Daten nur nach Ihren Weisungen auswertet; verfolgt er mit ihnen eigene Zwecke, ist er insoweit Verantwortlicher (EDSA-Leitlinien 07/2020, Rn. 30 und 40), und die Weitergabe braucht eine Rechtsgrundlage nach Art. 6 DSGVO; die Einwilligung am Endgerät ist gesondert zu regeln (siehe Tracking im Onlineshop) | Messdienst im Drittland |
| Kundenservice und Chat | ja; Zugriff auf Kundendaten regeln | Standort des Dienstes |
| Adress- und Bonitätsprüfung | ja, wenn nur in Ihrem Auftrag geprüft wird; sonst Verantwortlicher | Auskunftei im Drittland |
| Buchhaltung und Steuerberatung | nach Weisungsbindung Auftragsverarbeitung oder eigene Verantwortung (EDSA Rn. 40) | Kanzlei im Drittland |
Ein Unterauftragsverarbeiter, etwa das Rechenzentrum des Shopsystem-Anbieters, darf nur mit vorheriger schriftlicher Genehmigung tätig werden; bei einer allgemeinen Genehmigung muss er geplante Änderungen anzeigen, damit Sie widersprechen können. Ihm sind dieselben Pflichten aufzuerlegen; kommt er ihnen nicht nach, haftet der erste Dienstleister Ihnen gegenüber (Art. 28 Abs. 2 und 4 DSGVO).
Wann eine Übermittlung in ein Drittland dazukommt
Sitzt der Dienstleister, sein Server oder ein Unterauftragsverarbeiter außerhalb der EU und des EWR, muss die Übermittlung Kapitel V der DSGVO einhalten (Art. 44 DSGVO). Der Vertrag nach Art. 28 DSGVO bleibt nötig, und die Weisung muss die Übermittlung umfassen (Art. 28 Abs. 3 Buchst. a DSGVO).
Der erste Weg ist ein Angemessenheitsbeschluss nach Art. 45 DSGVO; dann brauchen Sie keine besondere Genehmigung. Für die USA gilt der Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 nur für Organisationen auf der Data-Privacy-Framework-Liste des U.S. Department of Commerce (Art. 1 des Beschlusses); prüfen Sie die Zertifizierung des Anbieters dort.
Der zweite Weg sind geeignete Garantien nach Art. 46 DSGVO. Absatz 2 nennt dafür mehrere Möglichkeiten; nach Buchst. c sind das Standarddatenschutzklauseln, die die Kommission erlässt, hier die Klauseln des Durchführungsbeschlusses (EU) 2021/914 vom 4. Juni 2021. Der Anhang enthält vier Module; Modul zwei (Verantwortlicher an Auftragsverarbeiter) deckt nach Art. 1 Abs. 2 des Beschlusses zugleich die Pflichten nach Art. 28 Abs. 3 und 4 DSGVO ab, sodass ein Klauselsatz beides regeln kann. Für diesen Weg verlangt Klausel 14 des Beschlusses, dass die Parteien prüfen, ob die Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland, einschließlich Anforderungen zur Offenlegung personenbezogener Daten gegenüber Behörden, den Datenimporteur an der Einhaltung der Klauseln hindern; dabei sind die besonderen Umstände der Übermittlung sowie die einschlägigen Rechtsvorschriften, Beschränkungen und Garantien zu berücksichtigen. Die Parteien dokumentieren diese Beurteilung und halten sie der Aufsichtsbehörde auf Anfrage bereit; ergänzende vertragliche, technische oder organisatorische Maßnahmen sind zulässig, und wenn keine geeigneten Garantien gewährleistet werden können, setzt der Datenexporteur die Übermittlung aus (Klausel 14 Buchst. b bis d und f des Beschlusses). Die Vorgängerklauseln (Entscheidung 2001/497/EG, Beschluss 2010/87/EU) sind seit 27. September 2021 aufgehoben; für ältere Verträge galten sie bis zum 27. Dezember 2022 weiter (Art. 4 des Beschlusses). Liegt weder ein Angemessenheitsbeschluss noch eine geeignete Garantie vor, lässt Art. 49 DSGVO eine Übermittlung nur in bestimmten Fällen zu, etwa mit ausdrücklicher Einwilligung der betroffenen Person nach Unterrichtung über die Risiken oder wenn die Übermittlung für die Erfüllung eines Vertrags mit ihr erforderlich ist (Art. 49 Abs. 1 Buchst. a und b DSGVO).
Über Empfänger und Übermittlungen müssen Sie informieren: Empfänger oder Empfängerkategorien und, bei beabsichtigter Übermittlung in ein Drittland, das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses oder einen Verweis auf die Garantien (Art. 13 Abs. 1 Buchst. e und f DSGVO). Im Verzeichnis stehen Empfängerkategorien und Übermittlungen (Art. 30 Abs. 1 Buchst. d und e DSGVO).
Was in der Schweiz gilt
Für einen Shop mit Sitz in der Schweiz richtet sich die Übertragung an einen Auftragsbearbeiter nach Art. 9 des Datenschutzgesetzes (DSG, SR 235.1). Sie ist vertraglich oder durch die Gesetzgebung möglich, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine Geheimhaltungspflicht entgegensteht (Abs. 1). Der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Abs. 2); ein Dritter darf nur mit vorgängiger Genehmigung beigezogen werden (Abs. 3). Eine Schriftform und eine Liste von Vertragsinhalten wie in Art. 28 Abs. 3 und 9 DSGVO nennt Art. 9 DSG nicht. Das DSG gilt seit 1. September 2023 (Art. 74 DSG).
Für die Bekanntgabe ins Ausland gilt Art. 16 DSG: Sie ist zulässig, wenn der Bundesrat einen angemessenen Schutz festgestellt hat; diese Staaten stehen in Anhang 1 der Datenschutzverordnung (DSV, SR 235.11). Die Konsolidierung Stand 1. Dezember 2025 führt Deutschland (Ziff. 1) und Österreich (Ziff. 4) auf, die USA (Ziff. 44) nur für Organisationen, die gemäss dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind. Ohne Feststellung brauchen Sie einen Weg nach Art. 16 Abs. 2 DSG, etwa Datenschutzklauseln, die dem EDÖB vorgängig mitgeteilt wurden, oder vom EDÖB anerkannte Standarddatenschutzklauseln; daneben stehen die Ausnahmen nach Art. 17 DSG. Ein Shop in der Schweiz, der Personen in Deutschland oder Österreich Waren oder Dienstleistungen anbietet, kann nach Art. 3 Abs. 2 DSGVO zusätzlich der DSGVO unterliegen.
Was bei einem Verstoß droht
Verstöße gegen Art. 28 DSGVO ahndet die Aufsichtsbehörde mit einer Geldbuße bis 10.000.000 Euro oder im Fall eines Unternehmens bis 2 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 4 Buchst. a DSGVO). Bei Verstößen gegen die Übermittlungsregeln nach Art. 44 bis 49 DSGVO liegt der Rahmen bei bis 20.000.000 Euro oder im Fall eines Unternehmens bis 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 5 Buchst. c DSGVO). Nach den EDSA-Leitlinien 07/2020 (Rn. 103) sind Geldbußen gegen beide Seiten möglich. Ein Auftragsverarbeiter haftet nur, wenn er seine eigenen Pflichten verletzt hat oder den rechtmäßig erteilten Anweisungen zuwidergehandelt hat (Art. 82 Abs. 2 DSGVO).
Checkliste für Ihre Dienstleisterliste
- Zu jedem Dienst ist notiert, welche Daten er sieht, wo sie verarbeitet werden und ob er sie im Auftrag oder für eigene Zwecke verarbeitet.
- Mit jedem Dienst, der im Auftrag verarbeitet, besteht ein schriftlicher Vertrag mit dem Inhalt nach Art. 28 Abs. 3 DSGVO.
- Unterauftragsverarbeiter sind genehmigt; geplante Änderungen werden angezeigt (Art. 28 Abs. 2 DSGVO).
- Für jeden Dienst außerhalb der EU und des EWR liegt ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder eine geeignete Garantie nach Art. 46 DSGVO vor; eine Übermittlung, die sich auf eine Ausnahme nach Art. 49 DSGVO stützt, ist als solche festgehalten.
- Wird eine Übermittlung auf Standardvertragsklauseln gestützt, ist die Prüfung der Rechtsvorschriften des Bestimmungsdrittlands und die Entscheidung über ergänzende Maßnahmen nach Klausel 14 des Durchführungsbeschlusses (EU) 2021/914 dokumentiert.
- Für US-Anbieter ist die Zertifizierung auf der Data-Privacy-Framework-Liste mit Datum dokumentiert.
- Die Weisung zur Übermittlung in ein Drittland steht im Vertrag (Art. 28 Abs. 3 Buchst. a DSGVO).
- Empfänger und Drittlandübermittlungen stehen in der Datenschutzerklärung (Art. 13 Abs. 1 DSGVO) und im Verzeichnis (Art. 30 Abs. 1 DSGVO).