Datenschutzerklärung für den Onlineshop in Österreich

Was die Datenschutzerklärung enthalten muss

Wer personenbezogene Daten erhebt, muss die betroffene Person zum Zeitpunkt der Erhebung informieren. Diese Pflicht steht in Art. 13 der Datenschutz-Grundverordnung (DSGVO) und gilt seit 25. Mai 2018 in der Europäischen Union, also auch in Österreich (Art. 99 Abs. 2 DSGVO). Die Pflicht knüpft an die betroffene Person an, nicht an deren Verbrauchereigenschaft, und gilt daher auch für Geschäftskunden. Erhebt der Shop Daten nicht beim Kunden selbst, etwa von einem Zahlungsdienstleister, gilt Art. 14 DSGVO; er verlangt zusätzlich die Kategorien der verarbeiteten Daten (Art. 14 Abs. 1 Buchst. d).

Die Form regelt Art. 12 Abs. 1 DSGVO: präzise, transparent, verständlich und leicht zugänglich, in klarer und einfacher Sprache, schriftlich oder in anderer Form, gegebenenfalls elektronisch. Die Erklärung kann deshalb als Seite im Shop stehen; Bildsymbole sind nach Art. 12 Abs. 7 DSGVO als Ergänzung zulässig. Eine amtliche Mustervorlage für den Text haben wir in den geöffneten Quellen nicht gefunden.

Welche Angaben Art. 13 DSGVO verlangt

Art. 13 Abs. 1 DSGVO nennt sechs Angaben: Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters (Buchst. a); gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten (Buchst. b); die Zwecke der Verarbeitung und die Rechtsgrundlage (Buchst. c); bei der Rechtsgrundlage des Art. 6 Abs. 1 Buchst. f die berechtigten Interessen (Buchst. d); Empfänger oder Kategorien von Empfängern (Buchst. e); die Absicht einer Übermittlung in ein Drittland samt Angemessenheitsbeschluss oder Garantien und der Bezugsquelle einer Kopie (Buchst. f).

Nach Art. 13 Abs. 2 DSGVO kommen sechs weitere Angaben dazu: die Speicherdauer oder die Kriterien für ihre Festlegung (Buchst. a); das Bestehen der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit (Buchst. b); der jederzeitige Widerruf einer Einwilligung, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird (Buchst. c); das Beschwerderecht bei einer Aufsichtsbehörde (Buchst. d); ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben oder für den Vertragsabschluss erforderlich ist und welche Folgen die Nichtbereitstellung hätte (Buchst. e); das Bestehen automatisierter Entscheidungen einschließlich Profiling mit Informationen über Logik, Tragweite und angestrebte Auswirkungen (Buchst. f).

Will der Shop die Daten für einen anderen Zweck weiterverarbeiten, informiert er vorher über diesen anderen Zweck (Abs. 3). Die Informationen entfallen, soweit die betroffene Person sie bereits hat (Abs. 4).

Vorgänge im Shop: Rechtsgrundlage und Hinweistext

Die Tabelle ordnet typischen Vorgängen mögliche Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO zu und nennt, was die Erklärung dazu sagen muss. Die Zuordnung ist eine redaktionelle Einschätzung; welche Grundlage trägt, entscheidet der Shop nach seiner tatsächlichen Verarbeitung und den Verträgen nach Art. 28 DSGVO.

Vorgang	Mögliche Rechtsgrundlage	Zusätzlich zu den Grundangaben zu nennen
Bestellung im Checkout (Name, Anschrift, E-Mail, bestellte Waren)	Art. 6 Abs. 1 Buchst. b DSGVO: Erfüllung des Vertrags	welche Angaben Pflicht sind und was die Nichtangabe bedeutet (Art. 13 Abs. 2 Buchst. e)
Zahlungsabwicklung über einen Zahlungsdienstleister	Buchst. b; für die Aufbewahrung der Zahlungsbelege Buchst. c	Empfänger oder Empfängerkategorie; bei Übermittlung in ein Drittland die Grundlage (Art. 13 Abs. 1 Buchst. e und f)
Versand und Sendungsverfolgung	Buchst. b	Empfänger oder Empfängerkategorie (Versanddienstleister) und der Zweck der Weitergabe der E-Mail-Adresse
Rechnungen und Buchungsbelege aufbewahren	Buchst. c: rechtliche Verpflichtung	Speicherdauer; nach § 132 Abs. 1 BAO und § 212 Abs. 1 UGB sieben Jahre, gerechnet vom Schluss des Kalenderjahres, und darüber hinaus so lange, als die Unterlagen für ein anhängiges Abgaben-, gerichtliches oder behördliches Verfahren von Bedeutung sind
Kundenkonto	Buchst. b	Speicherdauer bis zur Löschung des Kontos oder die Kriterien, die der Shop festlegt
Newsletter mit Einwilligung	Buchst. a: Einwilligung; für die E-Mail-Werbung zusätzlich § 174 Abs. 3 TKG 2021	Hinweis auf den jederzeitigen Widerruf (Art. 13 Abs. 2 Buchst. c) und die kostenlose Ablehnungsmöglichkeit (§ 174 Abs. 4 Z 3 TKG 2021)
Werbe-E-Mail an Bestandskunden für eigene ähnliche Produkte	§ 174 Abs. 4 TKG 2021 nimmt sie von der Einwilligung aus; die Rechtsgrundlage nach Art. 6 DSGVO ist gesondert zu bestimmen	Widerspruchsrecht und Hinweis darauf, dass die Adresse aus einem Verkauf stammt
Webanalyse, Marketing- und Reichweitenmessung mit Zugriff auf das Endgerät	Einwilligung nach § 165 Abs. 3 TKG 2021; für die Verarbeitung personenbezogener Daten zusätzlich eine Grundlage nach Art. 6 DSGVO	Zwecke, Empfänger, Dauer des Zugriffs und Widerruf der Einwilligung
Warenkorb- und Session-Cookie	ohne Einwilligung zulässig, wenn nach § 165 Abs. 3 Satz 3 TKG 2021 unbedingt erforderlich für den ausdrücklich gewünschten Dienst	Zweck und Dauer

Was in Österreich zusätzlich gilt

§ 165 Abs. 3 TKG 2021 verpflichtet Betreiber öffentlicher Kommunikationsdienste und Anbieter eines Dienstes der Informationsgesellschaft im Sinne des § 3 Z 1 ECG; nach dieser Bestimmung zählt dazu insbesondere der Online-Vertrieb von Waren. Ein solcher Anbieter informiert den Nutzer darüber, welche personenbezogenen Daten verarbeitet werden, auf welcher Rechtsgrundlage, zu welchen Zwecken und wie lange. Eine Ermittlung dieser Daten ist nur zulässig, wenn der Nutzer aktiv und auf Grundlage klarer und umfassender Informationen eingewilligt hat. Ohne Einwilligung bleiben die technische Speicherung und der Zugang zulässig, wenn der alleinige Zweck die Übertragung einer Nachricht über ein Kommunikationsnetz ist oder wenn sie unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann (Satz 3). Die Information muss in geeigneter Form erfolgen, insbesondere im Rahmen Allgemeiner Geschäftsbedingungen, und spätestens bei Beginn der Rechtsbeziehungen (Satz 5). Cookies und ihre Zwecke gehören damit in die Erklärung und in das Einwilligungsfenster (Cookie-Einwilligung in Österreich).

§ 174 Abs. 3 TKG 2021 verbietet die Zusendung elektronischer Post zu Zwecken der Direktwerbung ohne vorherige Einwilligung des Empfängers. Die Ausnahme in Abs. 4 gilt nur, wenn der Absender die Kontaktinformation im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten hat, die Nachricht der Direktwerbung für eigene ähnliche Produkte dient, der Empfänger bei der Erhebung und bei jeder Übertragung kostenfrei und problemlos ablehnen konnte und er nicht von vornherein abgelehnt hat. Jede Werbenachricht braucht außerdem eine authentische Adresse für die Aufforderung, sie einzustellen (Abs. 5 Z 4). Wann die Ausnahme trägt, steht unter E-Mail-Werbung in Österreich.

Zwei weitere österreichische Punkte betreffen die Erklärung. Erstens ist die Einwilligung eines Kindes bei einem Angebot von Diensten der Informationsgesellschaft, das ihm direkt gemacht wird, nach § 4 Abs. 4 DSG rechtmäßig, wenn es das vierzehnte Lebensjahr vollendet hat. Zweitens gilt neben der DSGVO das Grundrecht auf Datenschutz nach Art. 1 § 1 DSG; die Datenschutzbehörde prüft auch dessen Verletzung (§ 24 Abs. 1 DSG). Für einen Shop mit Sitz in Deutschland gelten die Pflichten aus der DSGVO ebenso: Datenschutzerklärung in Deutschland.

Wer in Österreich Aufsicht führt und was ein Verstoß kostet

In Österreich ist die Datenschutzbehörde die nationale Aufsichtsbehörde nach Art. 51 DSGVO (§ 18 Abs. 1 DSG). Betroffene können sich nach Art. 77 DSGVO und § 24 Abs. 1 DSG an sie wenden, wenn sie einen Verstoß gegen die DSGVO oder § 1 DSG annehmen. Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn sie nicht binnen eines Jahres nach Kenntnis des Ereignisses eingebracht wird, längstens binnen drei Jahren nach dem Ereignis (§ 24 Abs. 4 DSG). Die Behörde unterrichtet binnen drei Monaten über Stand und Ergebnis (§ 24 Abs. 7 DSG); bleibt sie untätig, kann das Bundesverwaltungsgericht angerufen werden (§ 24 Abs. 8 DSG).

Bei Verstößen gegen die Informationspflichten nach Art. 12 bis 14 DSGVO sieht Art. 83 Abs. 5 Buchst. b DSGVO eine Geldbuße bis 20.000.000 Euro oder, bei einem Unternehmen, bis 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Für juristische Personen kann die Datenschutzbehörde Geldbußen unter den Voraussetzungen des § 30 Abs. 1 und 2 DSG verhängen. Nach § 11 DSG wendet sie den Katalog des Art. 83 Abs. 2 bis 6 DSGVO so an, dass die Verhältnismäßigkeit gewahrt bleibt, und greift bei erstmaligen Verstößen insbesondere auf das Verwarnen zurück.

Eigene Bußgeldtatbestände enthält das TKG 2021. Wer als Anbieter eines Dienstes der Informationsgesellschaft entgegen § 165 Abs. 3 die Nutzer nicht informiert, begeht eine Verwaltungsübertretung mit Geldstrafe bis zu 50.000 Euro (§ 188 Abs. 4 Z 24 TKG 2021); dasselbe gilt, wenn elektronische Post entgegen § 174 Abs. 3 oder Abs. 5 zugesendet wird (§ 188 Abs. 4 Z 28 TKG 2021).

Checkliste für Ihren Shop

• Die Erklärung nennt Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und Betroffenenrechte je Vorgang.
• Pflichtfelder im Checkout sind erkennbar und die Folgen der Nichtausfüllung genannt (Art. 13 Abs. 2 Buchst. e DSGVO).
• Cookies und ähnliche Zugriffe sind je Zweck geprüft: unbedingt erforderlich oder einwilligungspflichtig (§ 165 Abs. 3 TKG 2021).
• Für Werbe-E-Mails liegt eine Einwilligung vor, oder die Voraussetzungen des § 174 Abs. 4 TKG 2021 sind erfüllt und dokumentiert.
• Die Erklärung nennt das Beschwerderecht bei der Datenschutzbehörde (§ 24 DSG).
• Dienstleister, die Kundendaten im Auftrag verarbeiten, sind mit Vertrag und Empfängerkategorie erfasst (Art. 28 DSGVO).