Datenschutzerklärung für den Onlineshop in Deutschland

Was die Verordnung verlangt

Die Pflicht zur Datenschutzinformation steht in Art. 13 der Datenschutz-Grundverordnung (DSGVO): Werden personenbezogene Daten bei der betroffenen Person erhoben, teilt der Verantwortliche ihr zum Zeitpunkt der Erhebung die dort aufgezählten Informationen mit. Bestellt ein Kunde im Shop, erhebt der Shopbetreiber als Verantwortlicher die Daten bei ihm. Die DSGVO gilt seit 25. Mai 2018 (Art. 99 Abs. 2 DSGVO).

Die Form regelt Art. 12 Abs. 1 DSGVO: Die Informationen werden in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache übermittelt, schriftlich oder in anderer Form, gegebenenfalls elektronisch. Eine Seite im Shop ist ein üblicher Weg dafür. Art. 12 Abs. 7 DSGVO lässt zusätzlich standardisierte Bildsymbole zu. Eine amtliche Mustervorlage für den Text haben wir in den geprüften Quellen nicht gefunden.

Welche Informationen Art. 13 DSGVO nennt

Pflichtinformation	Fundstelle	Beispiel im Shop
Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters	Abs. 1 Buchst. a	Firma und Anschrift des Betreibers
Kontaktdaten des Datenschutzbeauftragten, falls bestellt	Abs. 1 Buchst. b	Postadresse oder E-Mail der Datenschutzbeauftragten
Zwecke und Rechtsgrundlage der Verarbeitung	Abs. 1 Buchst. c	„Bestellabwicklung, Art. 6 Abs. 1 Buchst. b DSGVO“
Berechtigte Interessen, falls die Verarbeitung auf Art. 6 Abs. 1 Buchst. f beruht	Abs. 1 Buchst. d	Beschreibung des Interesses
Empfänger oder Kategorien von Empfängern	Abs. 1 Buchst. e	Zahlungsdienstleister, Versanddienstleister
Absicht der Übermittlung in ein Drittland; Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses, bei Garantien nach Art. 46, 47 oder 49 Abs. 1 Unterabs. 2 ein Verweis darauf und wie eine Kopie erhältlich ist oder wo sie verfügbar ist	Abs. 1 Buchst. f	Land, Grundlage der Übermittlung, Bezugsquelle der Garantien
Dauer der Speicherung oder Kriterien dafür	Abs. 2 Buchst. a	gesetzliche Aufbewahrungsfristen, Löschung nach Zweckfortfall
Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit	Abs. 2 Buchst. b	Liste der Rechte mit Kontakt
Recht, eine Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird, falls die Verarbeitung darauf beruht	Abs. 2 Buchst. c	Hinweis beim Newsletter
Beschwerderecht bei einer Aufsichtsbehörde	Abs. 2 Buchst. d	Hinweis auf das Recht
Ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben oder für den Vertragsschluss erforderlich ist, und die Folgen der Nichtbereitstellung	Abs. 2 Buchst. e	Pflichtfelder im Checkout
Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling nach Art. 22 Abs. 1 und 4, mit aussagekräftigen Informationen zur Logik sowie zu Tragweite und angestrebten Auswirkungen für die betroffene Person	Abs. 2 Buchst. f	nur falls eingesetzt

Beabsichtigt der Shop, Daten für einen anderen Zweck weiterzuverarbeiten, informiert er vor der Weiterverarbeitung über den anderen Zweck (Abs. 3). Die Informationen entfallen, soweit die betroffene Person sie bereits hat (Abs. 4). Erhebt der Shop Daten nicht bei der betroffenen Person, zum Beispiel aus einer Auskunft eines Dritten, gilt stattdessen Art. 14 DSGVO; er verlangt zusätzlich die Kategorien der verarbeiteten Daten (Art. 14 Abs. 1 Buchst. d).

Vorgänge im Shop und ihre Angaben

Die Tabelle ordnet typischen Vorgängen eines Onlineshops mögliche Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO zu und nennt, was die Erklärung zu dem Vorgang sagen muss. Welche Rechtsgrundlage im Einzelfall trägt, entscheidet der Shop selbst; die Zuordnung ist eine redaktionelle Einschätzung, keine Auskunft der Aufsichtsbehörden.

Vorgang	Mögliche Rechtsgrundlage	Zusätzlich zu den Grundangaben in der Erklärung
Bestellung im Checkout (Name, Anschrift, E-Mail, bestellte Waren)	Art. 6 Abs. 1 Buchst. b: Erfüllung des Vertrags	welche Angaben Pflicht sind und was die Nichtangabe bedeutet (Art. 13 Abs. 2 Buchst. e)
Zahlungsabwicklung	Buchst. b	Empfänger oder Empfängerkategorie (Zahlungsdienstleister); bei Übermittlung in ein Drittland die Grundlage (Art. 13 Abs. 1 Buchst. e und f)
Versand	Buchst. b	Empfänger oder Empfängerkategorie (Versanddienstleister)
Aufbewahrung von Rechnungen und Buchungsbelegen	Buchst. c: rechtliche Verpflichtung	Speicherdauer oder Kriterien; die Fristen stehen in § 147 Abs. 3 AO und § 257 Abs. 4 HGB und hängen von der Art der Unterlage ab
Kundenkonto	Buchst. b	Speicherdauer bis zur Löschung des Kontos oder nach den Kriterien, die der Shop festlegt
Newsletter mit Einwilligung	Buchst. a: Einwilligung	Hinweis auf den jederzeitigen Widerruf (Art. 13 Abs. 2 Buchst. c); E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung ist eine unzumutbare Belästigung (§ 7 Abs. 2 Nr. 2 UWG), und jede Werbenachricht braucht eine gültige Adresse für die Aufforderung, sie einzustellen (§ 7 Abs. 2 Nr. 3 Buchst. c UWG)
E-Mail-Werbung an Bestandskunden für eigene ähnliche Waren	Wettbewerbsrecht: § 7 Abs. 3 UWG nimmt die Werbung von der unzumutbaren Belästigung aus, wenn die Adresse beim Verkauf erhalten wurde, nur eigene ähnliche Waren beworben werden, kein Widerspruch vorliegt und bei Erhebung und jeder Verwendung klar auf die Widerspruchsmöglichkeit hingewiesen wird; die Rechtsgrundlage nach Art. 6 DSGVO ist gesondert zu bestimmen	Widerspruchsrecht und Hinweis auf die Verwendung der Adresse
Webanalyse, Marketing- und Reichweitenmessung mit Cookies oder Zugriff auf das Endgerät	Speichern oder Zugriff auf das Endgerät: Einwilligung nach § 25 Abs. 1 TDDDG; für die anschließende Verarbeitung personenbezogener Daten zusätzlich eine Grundlage nach Art. 6 DSGVO	Zwecke, Anbieter als Empfänger, Dauer der Cookies, Widerruf der Einwilligung
Warenkorb- und Zahlfunktion über Cookies	Kann nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig sein, soweit unbedingt erforderlich	Zweck und Dauer; die Aufsichtsbehörden sehen das erst als erfüllt an, wenn tatsächlich ein Artikel im Warenkorb liegt oder der Zahlprozess begonnen hat (OH Digitale Dienste, Rn. 76 und 80)

Cookies und Endgerät: § 25 TDDDG

Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat; Information und Einwilligung folgen der DSGVO (§ 25 Abs. 1 TDDDG). Keine Einwilligung braucht es, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann (§ 25 Abs. 2 TDDDG).

Die Datenschutzkonferenz (DSK) hat dazu die „Orientierungshilfe für Anbieter:innen von digitalen Diensten“, Version 1.2, Stand November 2024, veröffentlicht. Sie ist Auslegungshilfe der Aufsichtsbehörden, kein Gesetz. Sie behandelt unter anderem die Anforderungen an die Einwilligung: Informiertheit, eindeutig bestätigende Handlung, Freiwilligkeit und Widerruf.

Wer die Pflicht trifft und wann

Die Pflicht trifft den Verantwortlichen, also den Betreiber, der über Zwecke und Mittel der Verarbeitung entscheidet. Art. 13 DSGVO knüpft an die Erhebung personenbezogener Daten bei der betroffenen Person an, nicht an deren Eigenschaft als Verbraucher. Die Information ist zum Zeitpunkt der Erhebung zu geben (Art. 13 Abs. 1 DSGVO), also vor dem Absenden der Bestellung, vor dem Newsletter-Eintrag und vor dem Setzen einwilligungspflichtiger Cookies.

Was bei einem Verstoß droht

Verstöße gegen die Rechte der betroffenen Person nach den Art. 12 bis 22 DSGVO, zu denen die Informationen nach Art. 13 und 14 gehören, können mit Geldbußen bis zu 20.000.000 Euro oder bei einem Unternehmen bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. b DSGVO). Das TDDDG nennt eigens eine Ordnungswidrigkeit für das Speichern oder den Zugriff ohne die Voraussetzungen des § 25 Abs. 1 Satz 1 (§ 28 Abs. 1 Nr. 13); die Geldbuße beträgt bis zu 300.000 Euro (§ 28 Abs. 2 TDDDG).

Checkliste für Ihren Shop

• Alle Vorgänge sind erfasst: Checkout, Zahlung, Versand, Konto, Newsletter, Analyse, Marketing.
• Zu jedem Vorgang stehen Zweck und Rechtsgrundlage in der Erklärung.
• Empfänger und Drittlandübermittlungen sind benannt, soweit sie vorkommen.
• Speicherdauer oder Kriterien sind je Vorgang genannt.
• Rechte der Betroffenen, Widerruf und Beschwerderecht stehen in der Erklärung.
• Cookies und ähnliche Zugriffe sind je Zweck geprüft: unbedingt erforderlich oder einwilligungspflichtig.
• Die Erklärung ist von jeder Seite des Shops aus leicht erreichbar, und die Grundinformationen stehen im Einwilligungsbanner.