Onlineshops verarbeiten personenbezogene Daten in einer Dichte, die andere Websites nicht erreichen: Bestelldaten, Zahlungsinformationen, Adressen, Verhaltensdaten, Kommunikationsverläufe. Entsprechend viele Berührungspunkte gibt es mit dem Datenschutzrecht.
Die gute Nachricht ist, dass sich die relevanten Fragen auf wenige Bereiche verdichten lassen.
Rechtsgrundlagen sauber trennen
Die Verarbeitung für die Abwicklung einer Bestellung stützt sich auf die Vertragserfüllung — dafür braucht es keine Einwilligung. Das gilt für Adresse, Bestellinhalt, Zahlungsabwicklung und Versand.
Die Aufbewahrung von Rechnungsdaten stützt sich auf gesetzliche Aufbewahrungspflichten. Diese Daten sind deshalb auch dann zu behalten, wenn ein Kunde die Löschung verlangt — die Löschpflicht tritt hinter die Aufbewahrungspflicht zurück, allerdings nur für die betroffenen Daten und nur für deren Dauer.
Alles darüber hinaus — Newsletter, Werbung, Verhaltensanalyse, Produktempfehlungen auf Basis früheren Verhaltens — braucht eine eigene Grundlage. Hier liegt der häufigste Mangel: Die Verarbeitung für Werbezwecke wird stillschweigend unter die Vertragserfüllung gefasst.
Gastbestellung
Ein Kundenkonto darf nicht Voraussetzung für eine Bestellung sein, wenn die Bestellung auch ohne möglich wäre. Die Verpflichtung zur Kontoerstellung ist eine zusätzliche Datenverarbeitung, die sich nicht auf die Vertragserfüllung stützen lässt.
Praktisch heisst das: Eine Gastbestellung sollte angeboten werden. Das ist gleichzeitig eine Massnahme zur Datensparsamkeit — Konten, die nicht existieren, müssen nicht geschützt und nicht gelöscht werden.
Newsletter
Für Werbung per E-Mail ist im deutschsprachigen Raum grundsätzlich eine Einwilligung erforderlich. Die Ausnahme für bestehende Kundenbeziehungen ist eng gefasst und an Bedingungen geknüpft — unter anderem an einen Hinweis auf die Widerspruchsmöglichkeit bei Erhebung und bei jeder Verwendung.
Der Nachweis der Einwilligung liegt beim Versender. Ein Bestätigungsverfahren mit doppelter Bestätigung ist deshalb nicht nur empfohlen, sondern der praktikable Weg, den Nachweis zu führen.
Die Einwilligung zum Newsletter darf nicht mit dem Kaufvorgang gekoppelt werden. Ein vorangekreuztes Kästchen im Bestellablauf ist keine wirksame Einwilligung.
Zahlungsdienstleister und Versanddienste
Beide verarbeiten Daten im Auftrag oder als eigene Verantwortliche — die Einordnung hängt vom Dienst ab und ist im Einzelfall zu klären.
Für alle Dienste, die im Auftrag verarbeiten, braucht es eine vertragliche Grundlage. Die Liste ist bei Shops länger als erwartet: neben Zahlung und Versand auch Betrugserkennung, Bewertungsdienste, Chat-Werkzeuge, Empfehlungsdienste und Analysewerkzeuge.
Aufbewahrung und Löschung
Der häufigste Mangel ist eine Aufbewahrung ohne Ende. Bestelldaten werden aufbewahrt, weil sie da sind, nicht weil eine Pflicht besteht.
Sinnvoll ist eine Festlegung je Datenkategorie: Rechnungsdaten für die Dauer der gesetzlichen Aufbewahrungsfrist, Kundenkonten nach einer definierten Zeit ohne Aktivität, Verhaltensdaten deutlich kürzer.
Diese Festlegung gehört anschliessend technisch durchgesetzt. Eine Löschfrist, die nur in der Erklärung steht, ist keine.
Betroffenenrechte im Shopalltag
Auskunfts- und Löschersuchen kommen bei Shops häufiger vor als bei anderen Websites. Ein Ablauf dafür sollte definiert sein, bevor das erste eintrifft.
Zu klären ist insbesondere, wie die Identität der anfragenden Person geprüft wird — eine Auskunft an die falsche Person ist ihrerseits eine Verletzung. Angemessen ist eine Prüfung, die zum Risiko passt, nicht eine, die die Ausübung des Rechts faktisch verhindert.