DSGVO Online-Shop: E-Commerce Deutschland 2026

In einem Satz. Online-Shops in Deutschland sind ein DSGVO-Hochrisikobereich: Notebooksbilliger zahlte 10,4 Mio. € Bußgeld (LfDI BaWü 2021) wegen rechtswidriger Videoüberwachung — typische Risiken betreffen Cookie-Banner, Payment-Provider, Versanddienstleister, Tracking-Tools, US-Datentransfers nach Trump-II und Beschäftigtendatenschutz.

E-Commerce ist seit 2020 eine der meistsanktionierten Branchen. Für den stationären Einzelhandel gelten eigene Schwerpunkte wie Kundenkarten und Videoüberwachung. Siehe DSGVO Bußgelder und DSGVO Anforderungen. Einen kompakten Überblick über die wichtigsten Pflichten bietet unser DSGVO-Leitfaden für Onlineshops.

Wichtige Punkte

• Notebooksbilliger 2021: 10,4 Mio. € (LfDI BaWü).
• Cookie-Banner mit echter Wahl (TTDSG/TDDDG).
• AVV mit allen Dienstleistern.
• TIA für US-Tools (Google, Meta, Klaviyo).
• Beschäftigtendatenschutz strikt nach BDSG § 26.

1. Rechtsgrundlagen

Verarbeitung	Rechtsgrundlage
Kaufvertrag	Art. 6 Abs. 1 lit. b
Newsletter	Art. 6 lit. a (Double-Opt-In)
Tracking	Einwilligung (TTDSG/TDDDG)
Personalisierung	Einwilligung
Bonitätsprüfung	Art. 6 lit. f
Beschäftigte	BDSG § 26

2. Cookie-Banner

TTDSG (jetzt TDDDG 2024) verlangt — Details in unserem Leitfaden zum TTDSG-Cookie-Banner:

• Klare Information.
• Echte Wahl: Ablehnen so einfach wie Akzeptieren.
• Granular pro Kategorie.
• Kein implizites Einwilligung (Scrollen ≠ Einwilligung).
• Speicherung Einwilligungs-Nachweis.

3. Notebooksbilliger-Fall

10,4 Mio. € (LfDI BaWü 2021) wegen dauerhafter Videoüberwachung von Mitarbeiterarbeitsplätzen über mindestens 2 Jahre. Verstoß: Art. 5, 6, 25, 32 DSGVO. Lehre: Beschäftigtenüberwachung nur bei konkretem Anlass und mit Mitbestimmung.

4. Payment-Provider

• Klarna, PayPal, Stripe: AVV vorhanden.
• Datenfluss zum Provider streng zweckgebunden.
• Bonitätsprüfung durch Klarna: Information Kunde.
• Drittland-Transfer bei US-Providern: TIA.

5. Versanddienstleister

• DHL, DPD, Hermes, UPS: AVV.
• Adressdaten zwingend, weitere Daten nicht.
• Sendungsverfolgung an Kunde: erforderlich.
• Bei Auslandsversand: Zoll-Anforderungen beachten.

6. Tracking und Analytics

• Google Analytics: Trump-II-Risiken, Server-Side-Tagging als Alternative.
• Meta-Pixel: hohe Aufsichtsaufmerksamkeit, oft DSFA-Pflicht.
• TikTok-Pixel: zusätzliche Sensibilität.
• Matomo on-premise: DSGVO-freundlich.
• AVVs mit allen Drittanbietern.

7. Bewertungssysteme

• Trusted Shops, Trustpilot, eKomi: AVV.
• Bewertungs-Anfrage nach Kauf: nur mit ausdrücklicher Einwilligung (UWG).
• Eigene Bewertungssysteme: Pseudonymisierung.

8. Marketing-Automation

• Klaviyo, HubSpot, Mailchimp: US-Tools, TIA Pflicht.
• Tagging und Profilbildung: Einwilligung.
• Predictive Analytics: DSFA prüfen.
• Behavioral Targeting: Art. 9 möglich (sensible Inferenz).

9. Beschäftigtendatenschutz

• Pickerstationen Logistik: Performance-Erfassung mit Mitbestimmung.
• Videoüberwachung Lager: nur Zugangsbereich, nicht Arbeitsplatz.
• Kennzahlen-Dashboards Mitarbeiter: Verhältnismäßigkeit prüfen.
• Notebooksbilliger-Lehre: kein dauerhaftes Monitoring.

10. Datenpannen E-Commerce

• Shop-Hack mit Kunden-/Zahlungsdaten: Art. 33 + Art. 34.
• Falsche Versandsendung mit Belegen: Art. 33.
• Klartext-Passwörter im Log: meldepflichtig.
• Frist 72h, Information Kunde bei hohem Risiko.

11. Tool-Unterstützung

Legiscope liefert E-Commerce-Vorlagen für Cookie-Konfiguration, AVV-Bibliothek, TIA und Datenschutzerklärung. Den Einstieg erleichtert ein Datenschutzerklärung-Muster für Websites.

11. Sektor-spezifische Enforcement-Fälle

Jahr	Behörde	Fall	Sanktion	Lehre
2020	LfDI BW	H&M Hamburg (Retail-Beispiel)	35.300.000 €	exzessive Mitarbeiterprofile
2020	LfD Berlin	Deutsche Wohnen (Immobilien)	14.500.000 €	Aufbewahrungsverstoß
2021	LfDI Niedersachsen	Notebooksbilliger (E-Commerce)	10.400.000 €	dauerhafte Videoüberwachung
2022	LDA Bayern	VW (Industrie)	1.100.000 €	unzureichende AVV-Kontrolle
2023	HmbBfDI	Vattenfall (Energie)	900.000 €	unzulässige Bonitätsprüfung
2023	LfD Berlin	Online-Plattform	525.000 €	unzulässiges Targeted Advertising
2024	LDA Bayern	Pflegedienst	280.000 €	Patientenakten ungesichert

Aus diesen Fällen lassen sich Branchenmuster ableiten: Sanktionen treffen typisch Großbetriebe mit jahrelang aufgebauten unzulässigen Praktiken (Massenüberwachung, Profilbildung) oder mittelständische Akteure mit systematischen TOM-Defiziten.

12. Sektor-Standards und Codes of Conduct

Branchenspezifische Standards reduzieren das Compliance-Risiko:

• B3S (Branchenspezifische Sicherheitsstandards) nach § 8a BSI-Gesetz / NIS2UmsuCG.
• ISO 27001:2022 für ISMS-Zertifizierung.
• ISO 27701:2019 für Privacy Information Management (PIMS).
• BSI IT-Grundschutz Bausteine pro Sektor (siehe BSI-Grundschutz).
• TISAX für Automotive-Lieferketten.
• C5 (Cloud Computing Compliance Criteria Catalogue) für Cloud-Anbieter.
• Branchenkodizes nach Art. 40 DSGVO (Verband akkreditiert).

Zertifizierung allein schützt nicht vor Sanktionen, dokumentiert aber Sorgfalt — wirkt sich bußgeldmindernd aus.

13. AVV-Anforderungen im Sektor

Auftragsverarbeitungsverträge nach Art. 28 DSGVO sind sektorkritisch. Mindestinhalt: Gegenstand, Dauer, Art und Zweck, Datenkategorien, Betroffene, Weisungsrecht, Verschwiegenheit, TOM, Sub-Auftragsverarbeiter-Klausel, Audit-Recht, Löschung bei Vertragsende, Haftung. Mustervorlage: Auftragsverarbeitungsvertrag AVV.

Typische Sub-Auftragsverarbeiter im Sektor: Cloud-Hoster (AWS, Azure, GCP, Deutsche Cloud-Anbieter), CRM-Anbieter (HubSpot, Salesforce, Pipedrive), E-Mail-Versender (Brevo, Mailjet, Inxmail), Hosting (Hetzner, Strato), Analytics (Matomo, Plausible). Jeder benötigt eigenen AVV plus TIA bei Drittlandstransfer.

14. 5-Schritte-Compliance-Plan für den Sektor

1. Bestandsaufnahme (Datenkartierung, Datenkategorien, Empfänger, Aufbewahrungsfristen, Sub-Prozessoren).
2. Risikoanalyse pro Verarbeitungstätigkeit nach Standard-Datenschutzmodell (SDM), mit Schwellenwertanalyse für DSFA-Pflicht nach Art. 35.
3. Rechtsgrundlagen-Mapping: Art. 6 Abs. 1 (a-f) pro Tätigkeit, bei besonderen Kategorien Art. 9 Abs. 2.
4. TOM und AVV nach DSGVO Art. 32 Sicherheit und Art. 28.
5. Wirksamkeitsprüfung mindestens jährlich, DSB-Bericht an Geschäftsleitung, Re-Audit nach Vorfällen.

15. Häufige Audit-Befunde im Sektor

• Verarbeitungsverzeichnis unvollständig oder veraltet (häufigster Befund, 70 % der Audits).
• AVV-Lücken bei IT-Dienstleistern, Druckerei, Lohnbüro.
• Fehlende oder unvollständige DSFA bei Hochrisiko-Verarbeitungen.
• Cookie-Banner ohne TTDSG-konforme Reject-Option.
• Bewerberdaten länger als 6 Monate gespeichert (Verstoß Art. 5 Abs. 1 lit. e).
• Newsletter ohne dokumentierten Double-Opt-In-Nachweis.
• Kameraüberwachung ohne Beschilderung und Interessensabwägung.
• Mitarbeiterüberwachung (Bossware) ohne Information / Betriebsvereinbarung.
• Backups unverschlüsselt oder offen erreichbar.
• Verspätete Datenpannenmeldung — siehe Datenpanne melden.

16. Branchenvergleich Sanktionsrisiko

Branche	Typisches Sanktionsvolumen	Häufigste Verstöße
Handel/E-Commerce	50.000 - 10 Mio. €	Marketing-Tracking, AVV-Lücken
Industrie	100.000 - 35 Mio. €	Beschäftigtendatenschutz
Gesundheit/Pflege	30.000 - 1 Mio. €	TOM-Defizite, Akten ungesichert
Energie/Versorger	50.000 - 900.000 €	SCHUFA-Abfragen, Smart-Meter
Bildung	5.000 - 100.000 €	MS 365 ohne TIA, Schülerdaten
Vereine/NGO	1.000 - 50.000 €	fehlender DSB, AVV-Lücken
Influencer/Creator	5.000 - 200.000 €	Cookie-Banner, Tracking-Pixel

Höhere Sanktionen treten meist erst nach systematischen Verstößen oder Wiederholungsfällen auf. Erstverfahren enden in 60-70 % der Fälle mit Verwarnung oder Anordnung.

18. DSFA-Pflicht im Sektor

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist im Sektor regelmäßig erforderlich bei: systematischer Überwachung von Personen, Verarbeitung besonderer Kategorien in großem Umfang, Profiling mit Rechtsfolgen, Einsatz neuer Technologien (KI, Biometrie, IoT). Die DSK-Liste “Muss-DSFA” gibt verbindliche Beispiele. Ablauf: (1) Schwellenwertanalyse, (2) systematische Beschreibung, (3) Notwendigkeits- und Verhältnismäßigkeitsprüfung, (4) Risikobewertung, (5) Schutzmaßnahmen, (6) DSB-Stellungnahme, ggf. Konsultation Aufsichtsbehörde nach Art. 36.

Praxis-Tipp: DSFA-Templates der DSK oder der CNIL (PIA-Tool) verwenden — beide werden von deutschen Aufsichten anerkannt.

19. Branchenkodex und Zertifizierung

Branchenspezifische Verhaltensregeln nach Art. 40 DSGVO können bei akkreditiertem Verband bindende Wirkung entfalten. Bestehende Kodizes: GDD-Code für KMU, BVDW-Code für Online-Marketing, DGUV-Sektorstandards Gesundheit. Zertifizierung nach Art. 42 DSGVO durch akkreditierte Stellen (z.B. TÜV, DEKRA, EuroPriSe) dokumentiert Sorgfalt, wirkt bußgeldmindernd. Kosten Erstzertifizierung 15.000-80.000 €, Re-Audit alle 3 Jahre.

20. Schnittstelle zu NIS2 und DORA

Sektoren mit KRITIS- oder NIS2-Pflicht müssen ihr Datenschutz-Compliance-System mit dem Cybersecurity-Programm integrieren. Doppelmeldepflichten beachten: Datenpannenmeldung an Datenschutzbehörde nach Art. 33 (Datenpanne melden) UND Cyber-Vorfallmeldung ans BSI nach § 35 NIS2UmsuCG (NIS2 Deutschland) — Fristen 72 h bzw. 24 h. Finanzinstitute zusätzlich DORA-Meldung an BaFin.

21. Häufige strategische Fehler im Sektor

• Datenschutz wird als reine IT-Aufgabe gesehen, nicht als Geschäftsprozess.
• DSB ohne Direktzugang zur Geschäftsleitung — Verstoß Art. 38 Abs. 3.
• Kein Budget für Schulungen — Risiko über Mitarbeiterfehler.
• Cloud-Migration ohne TIA und ohne Vertragsanpassung.
• Marketing-Tracking ohne TTDSG-konforme Einwilligung.
• Keine dokumentierte Schwellenwertanalyse für DSFA-Pflicht.
• Vorhandene AVV werden nicht regelmäßig auf Aktualität geprüft.

Fazit

E-Commerce kombiniert hohe Datenvolumen mit hohem Tracking-Bedarf und US-Tool-Abhängigkeit. Nach Notebooksbilliger ist Beschäftigtendatenschutz Top-Priorität, Trump-II macht TIA für US-Tools zur Pflicht. Wer beides sauber dokumentiert, fährt deutlich ruhiger. Wer als Creator einen eigenen Shop betreibt, findet die Besonderheiten in unserem Leitfaden für Influencer und Content Creator.

FAQ

Wie hoch war das Notebooksbilliger-Bußgeld?

10,4 Mio. € (LfDI Baden-Württemberg 2021) wegen rechtswidriger Mitarbeiter-Videoüberwachung über 2+ Jahre.

Brauche ich Cookie-Banner?

Ja, sobald Tracking-Cookies oder ähnliche Technologien (Local Storage, Pixel) eingesetzt werden. TDDDG verlangt Einwilligung.

Ist Google Analytics 2026 noch erlaubt?

Mit Server-Side-Tagging, IP-Anonymisierung, AVV und TIA möglich — bei kritischer Bewertung durch viele DPAs. Matomo als Alternative.

Welche AVVs sind Pflicht?

Mit jedem Dienstleister, der personenbezogene Daten weisungsgebunden verarbeitet: Hosting, Payment, Versand, E-Mail, Analytics, Cloud.

Was bei Shop-Hack mit Zahlungsdaten?

Sofortige Meldung Art. 33 (72h), Information betroffener Kunden Art. 34, Strafanzeige, Forensik-Untersuchung.

Welche Behörde ist für meinen Sektor zuständig?

Grundsätzlich die Landesdatenschutzbehörde am Sitz des Verantwortlichen — siehe etwa BayLDA für Bayern. Bei mehreren Niederlassungen greift One-Stop-Shop nach Art. 56 DSGVO mit Federführung der Hauptniederlassungs-Behörde. Telekommunikation, Post und Bundesbehörden unterliegen dem BfDI. Bei grenzüberschreitenden EU-Verfahren koordiniert der EDSA über das Konsistenzverfahren nach Art. 63 ff.

Brauche ich einen Datenschutzbeauftragten?

Nach § 38 BDSG ab 20 mit der automatisierten Verarbeitung beschäftigten Personen, unabhängig vom Sektor. Zusätzlich Pflicht nach Art. 37 DSGVO bei Kernverarbeitung sensibler Daten oder umfangreicher systematischer Überwachung — typisch bei Pflegediensten, Online-Shops mit Profiling, Influencern mit Tracking. Externer DSB kann beauftragt werden; Vorteile: spezialisierte Expertise, Kosten 6.000-30.000 €/Jahr je nach Unternehmensgröße.

Wie hoch sind realistische Bußgelder im Mittelstand?

Erstverfahren ohne Vorsatz typisch 5.000-50.000 €. Wiederholungsfälle oder vorsätzliche Verstöße können in den 6-stelligen Bereich gehen. Systematische Verstöße (Massenverarbeitung, Profilbildung) bis 7-stellig und höher — siehe Notebooksbilliger 10,4 Mio. €. Die Bemessung folgt EDSA-Guidelines 4/2022 mit Multiplikator nach Konzernumsatz. Kooperation und Mitwirkung senken den Betrag deutlich.

Welche TOM sind im Sektor Pflicht?

Mindestens: Zugangs-, Zutritts-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrolle nach Anlage zu § 9 BDSG a.F. (gilt fort als Auslegungshilfe). Konkret nach DSGVO Art. 32 Sicherheit: Pseudonymisierung, Verschlüsselung (BSI TR-02102), Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, regelmäßige Wirksamkeitsprüfung. Bei besonderen Kategorien (Art. 9) zusätzlich erweiterte Maßnahmen.

Wie läuft ein Audit der Behörde ab?

Ankündigung (in der Regel 2-6 Wochen vor Ort), Unterlagenanforderung (Art. 30-Verzeichnis, AVV-Liste, DSFA, TOM-Dokumentation, Schulungsnachweise, DSB-Berichte), Vor-Ort-Besuch (1-3 Tage), Befundbericht, Anhörung, Maßnahmenkatalog mit Fristen, bei Verstößen Bußgeldverfahren. Vorbereitung: dokumentierte Compliance, klare Verantwortlichkeiten, geübter DSB als Single Point of Contact.