Kurzantwort. Für einen Onlineshop ist Datenschutz keine einzelne Banner-Einstellung. Bestellabwicklung, freiwilliges Kundenkonto, Zahlung, Versand, Analyse und E-Mail-Werbung haben unterschiedliche Zwecke und teils unterschiedliche Rechtsgrundlagen. Der Shop muss diese Wege technisch trennen und erklären können, welche Daten wann benötigt, weitergegeben und gelöscht werden.
Dieser Leitfaden geht eine typische Bestellung vom ersten Seitenaufruf bis zur Rückgabe durch. Die breitere deutsche Rechtsübersicht steht in DSGVO für Online-Shops in Deutschland. Hier geht es um konkrete Entscheidungen im Checkout, bei Dienstleistern und in den nachgelagerten Systemen. Grundlage sind die Rechtsgrundlagen des Artikels 6 DSGVO.
Datenfluss vom Besuch bis zur Bestellung
Schon vor dem Kauf verarbeiten Webserver und Sicherheitsdienste technische Daten wie IP-Adresse und Zugriffszeit. Im Warenkorb kommen Session-Informationen hinzu; im Checkout Name, Lieferadresse, Kontakt, Produkte und gewählte Zahlungsart. Nach Abschluss entstehen Bestellhistorie, Rechnung, Versandstatus, eventuell Reklamation und Rücksendung. Tracking, Newsletter und Profilbildung sind davon zu trennen. Erstellen Sie eine einfache Skizze: Welche Daten gelangen vom Browser an Shop, Hoster, Zahlungsdienst, Versanddienst und Werbeplattform? Wer entscheidet über den jeweiligen Zweck?
Für die konkrete Bestellung können notwendige Daten auf Artikel 6 Absatz 1 Buchstabe b DSGVO gestützt werden. Die Rechnung und steuerliche Aufbewahrung folgen gesetzlichen Pflichten nach Buchstabe c. Für Betrugsabwehr oder Sicherheit kann ein berechtigtes Interesse nach Buchstabe f in Betracht kommen, wenn Erforderlichkeit und Interessenabwägung tragen. Marketing-Tracking oder ein freiwilliger Newsletter erfordern eine eigene Prüfung und dürfen nicht im Kleingedruckten der Bestellung verschwinden. Ein Checkout-Häkchen „Kauf und Werbung akzeptieren“ vermischt Zwecke.
Nehmen Sie einen Shop für Ersatzteile: Für eine Lieferung sind Name und Anschrift nötig, das Geburtsdatum möglicherweise nicht. Für einen digitalen Download kann eine Postanschrift entbehrlich sein, während Rechnungsangaben je nach Vorgang erforderlich bleiben. Datenminimierung nach Artikel 5 DSGVO beurteilt die konkrete Leistung, nicht eine starre Liste für sämtliche Shops. Prüfen Sie Pflichtfelder für jede Produkt- und Lieferart.
Gastkauf und Kundenkonto sauber entscheiden
Ein dauerhaftes Konto kann für Abonnements, digitale Bibliotheken oder wiederkehrende B2B-Bestellungen nützlich sein. Bei einem einmaligen Kauf ist aber zu fragen, ob die Registrierung für die Vertragserfüllung tatsächlich erforderlich ist. Falls nicht, ist eine Gastbestellung eine naheliegende datensparsame Gestaltung. Die DSGVO enthält keinen Satz „jeder Shop muss Gastkauf anbieten“; maßgeblich sind Erforderlichkeit, Datenminimierung und die konkrete Leistung. Dokumentieren Sie, warum ein Konto für bestimmte Funktionen benötigt wird, und machen Sie freiwillige Zusatzfunktionen als solche erkennbar.
Ein Gastkauf bedeutet nicht, dass nach der Lieferung alle Daten sofort verschwinden. Rechnungsbelege oder Rückabwicklung können weiter erforderlich sein. Umgekehrt ist ein Kundenkonto nicht die Aufbewahrungsgrundlage für sämtliche Bestellungen auf unbestimmte Zeit. Trennen Sie aktives Profil, Kaufbelege und Marketingpräferenzen. Ein Wunsch, das Konto zu schließen, sollte das Profil und optionale Funktionen beenden; aufbewahrungspflichtige Belege können mit eingeschränktem Zugriff weitergeführt werden.
Prüfen Sie auch Kontowiederherstellung und Löschung: Kann ein Kunde eine Adresse ändern, ohne ältere Rechnungen stillschweigend umzuschreiben? Bleiben abgeschlossene Bestellungen auffindbar, ohne dass ein Werbeprofil aktiv bleibt? Eine transparente Kontoverwaltung reduziert spätere Konflikte um Auskunft und Löschung.
Zahlung, Bonitätsprüfung und Versand
Bei Kreditkarte, Lastschrift oder Rechnungskauf hängt die Rollenverteilung vom konkreten Zahlungsmodell ab. Ein Zahlungsdienst kann eigene regulatorische Zwecke und Entscheidungsspielräume haben; in anderen Teilen arbeitet ein Dienstleister möglicherweise nach Weisung. Ein AVV nach Artikel 28 DSGVO ist nur für echte Auftragsverarbeitung erforderlich. Prüfen Sie Vertrag, Datenschutzhinweise und tatsächlichen Datenfluss, statt jeden Payment-Provider pauschal als Auftragsverarbeiter zu bezeichnen. Gleiches gilt für Versandunternehmen, die bei der Beförderung eigene Pflichten erfüllen.
Der Shop sollte Zahlungsinformationen auf das erforderliche Maß begrenzen und Sicherheitsverantwortlichkeiten mit Anbieter und Technikteam klären. Ob ein bestimmter Kartenstandard gilt, richtet sich nach Karten- und Vertragsumgebung; die DSGVO schreibt keinen namentlichen Zahlungsanbieter vor. Achten Sie besonders auf Testsysteme: Eine Kopie der produktiven Bestelldatenbank mit echten Karten- oder Adressdaten ist für viele Testzwecke nicht nötig. Verwenden Sie geeignete Testdaten und begrenzen Sie Administratorzugriffe.
Bei einer Bonitätsprüfung vor Rechnungskauf brauchen Sie eine tragfähige Rechtsgrundlage, transparente Information und eine Prüfung der Erforderlichkeit. Ein negativer Score darf nicht ohne Weiteres als unkontrollierte vollautomatische Entscheidung über jede Kaufmöglichkeit behandelt werden; Artikel 22 DSGVO kann relevant werden. Erklären Sie, wann geprüft wird, welche Stelle Daten erhält und ob eine andere Zahlart angeboten wird. Ein pauschaler „Betrugsschutz“-Hinweis deckt keine beliebig umfangreiche Profilbildung.
Für den Versand benötigt der Transportdienst in der Regel Lieferanschrift und gegebenenfalls eine Kontaktmöglichkeit für Zustellhinweise. Übermitteln Sie nicht die gesamte Warenkorb- oder Marketinghistorie. Bei besonders aussagekräftigen Produkten kann schon die Produktbezeichnung sensible Rückschlüsse ermöglichen. Prüfen Sie, was auf Versandetikett, Tracking-Link und Kundenservice-Ansicht sichtbar wird.
Cookies, Pixel und Einwilligung
§ 25 TDDDG betrifft das Speichern von Informationen auf einem Endgerät oder den Zugriff darauf. Für nicht unbedingt erforderliche Zugriffe ist grundsätzlich eine informierte Einwilligung nötig. Die Ausnahme umfasst unter anderem eine Speicherung, die unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Eine Warenkorb-Session kann darunter fallen; ein Retargeting-Pixel regelmäßig nicht. Danach ist die Verarbeitung personenbezogener Daten zusätzlich nach DSGVO zu prüfen. Ein Tool kann also sowohl eine TDDDG- als auch eine DSGVO-Frage auslösen.
Inventarisieren Sie Tags im echten Browser. Öffnen Sie den Shop ohne Auswahl im Banner, lehnen Sie optionale Zwecke ab und prüfen Sie Netzwerkaufrufe auch auf Produkt-, Checkout- und Danke-Seite. Viele Tags werden über Shop-Plugins oder externe eingebettete Inhalte geladen. Ein Bannertext behebt keinen Pixel, der schon vor der Entscheidung startet. Die DSK-Orientierungshilfe für Telemedien erläutert die Gestaltung. Eine Ablehnmöglichkeit auf erster Ebene kann bei einer dort angebotenen Zustimmung und blockierendem Banner erforderlich sein; sie ist nicht als wörtliche, ausnahmslose Schaltflächenpflicht im Gesetz formuliert. Unser Beitrag zum Cookie-Banner in Deutschland vertieft die technische Prüfung.
Dokumentieren Sie Zweck, Anbieter, Speicherdauer und Widerrufsmöglichkeit je optionaler Technologie. Wenn ein Kunde die Einwilligung zurückzieht, dürfen künftige Zugriffe zu diesem Zweck nicht fortgesetzt werden. Beachten Sie, dass die Entscheidung für Analyse nicht automatisch personalisierte Werbung erlaubt. Eine grobe Kategorie „alles verbessern“ macht unterschiedliche Zwecke schwer nachvollziehbar.
Newsletter und Bestandskundenwerbung
Für Werbung per E-Mail verlangt § 7 Absatz 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung. Ein Double-Opt-In-Verfahren ist eine verbreitete und sinnvolle Methode, den Einwilligungsvorgang zu belegen; der Gesetzestext nennt aber nicht jedes technische Detail als eigenständige Pflicht. Speichern Sie nachvollziehbar, welchen Text die Person gesehen hat, wann sie sich anmeldete und wie sie bestätigte. Sammeln Sie nur Nachweise, die für diesen Zweck erforderlich sind. Die Einwilligung nach Artikel 7 DSGVO muss freiwillig, informiert und widerrufbar sein.
§ 7 Absatz 3 UWG erlaubt unter engen kumulativen Bedingungen E-Mail-Werbung ohne neue ausdrückliche Einwilligung: Die Adresse stammt aus einem Verkauf, die Werbung betrifft eigene ähnliche Waren oder Dienstleistungen, es liegt kein Widerspruch vor und der Kunde wurde bei Erhebung sowie in jeder Nachricht deutlich auf den jederzeitigen Widerspruch hingewiesen. Ein bloßes Warenkorbabbruch-Ereignis oder eine erfolglose Anfrage reicht dafür nicht automatisch. Die datenschutzrechtliche Rechtsgrundlage der Verarbeitung bleibt zusätzlich zu prüfen. Ein Abmeldelink sollte auch technisch verhindern, dass dieselbe Kampagne aus einem zweiten Tool weiterläuft.
Transaktionsmails wie Bestellbestätigung und Versandstatus sind von Werbung zu unterscheiden. Fügen Sie einer Pflichtnachricht keine unaufgeforderte Werbefläche hinzu, ohne deren Rechtslage zu prüfen. Wenn ein externer Versanddienst Newsletter nach Weisung betreibt, prüfen Sie Auftragsverarbeitung, Löschung und Unterauftragnehmer.
Dienstleister und internationale Übermittlungen
Führen Sie eine Liste für Hosting, Shop-Plattform, Support, Zahlungsdienst, Versand, Analyse und Newsletter. Notieren Sie pro Dienst Empfänger, Zweck, Rolle und Speicherort beziehungsweise Zugriffsort. Artikel 28 verlangt bei weisungsgebundener Auftragsverarbeitung eine Vereinbarung mit vorgeschriebenen Inhalten; ein bloßer Link zu AGB genügt nicht immer. Bei gemeinsam bestimmten Zwecken kann Artikel 26 einschlägig sein, bei eigenständig Verantwortlichen eine andere Information und Rechtsgrundlage. Die tatsächliche Rollenverteilung kann für einzelne Teilvorgänge eines Dienstes unterschiedlich sein.
Bei Übermittlungen außerhalb des EWR ist Kapitel V DSGVO zu prüfen. Ein Angemessenheitsbeschluss für den passenden Empfänger und Umfang, Standardvertragsklauseln und weitere Garantien sind unterschiedliche Wege. Zusätzliche Maßnahmen oder eine Folgenbewertung können bei Standardvertragsklauseln nötig werden; eine „TIA für alle US-Tools“ ist ebenso ungenau wie „EU-Server löst alles“. Prüfen Sie Fernzugriffe, Support und Unterauftragnehmer. Halten Sie die Entscheidung im Dienstleisterregister fest und überprüfen Sie wesentliche Änderungen.
Betroffenenrechte und Löschfristen im System
Eine Anfrage nach Auskunft kann Bestellungen, Kontodaten, Marketingpräferenzen und Supportfälle betreffen. Artikel 12 Absatz 3 DSGVO sieht grundsätzlich eine Antwort innerhalb eines Monats vor; unter Voraussetzungen ist eine Verlängerung möglich, über die rechtzeitig informiert werden muss. Prüfen Sie bei Zweifel die Identität verhältnismäßig. Eine Anfrage darf nicht automatisch alle Bestellungen anderer Personen mit gleicher Haushaltsadresse freigeben. Halten Sie fest, welche Systeme durchsucht und welche Empfänger beteiligt wurden.
Löschung ist ebenso differenziert. Bücher und bestimmte Aufzeichnungen unterliegen nach § 147 AO zehn Jahren, Buchungsbelege acht Jahren, sonstige dort genannte Unterlagen oft sechs Jahren. § 257 HGB kennt für Kaufleute dieselbe Unterscheidung zwischen Büchern, Buchungsbelegen und Handelsbriefen. Die Frist beginnt grundsätzlich mit Ablauf des maßgeblichen Kalenderjahrs; Steuerverfahren können sie verlängern. Eine Rechnung kann ein Buchungsbeleg sein, aber nicht alle mit ihr verbundenen Trackingdaten sind deshalb acht Jahre aufzubewahren. Die Buchhaltung sollte Dokumentarten einordnen, die Shoptechnik Profile und Tracking getrennt löschen können.
Legen Sie keine pauschale Zahl für inaktive Konten oder Serverlogs als gesetzliche DSGVO-Frist fest. Definieren Sie Zwecke, Sicherheitserfordernisse und angemessene Zeiträume. Prüfen Sie Backup-Zyklen: Eine gelöschte Person darf nicht versehentlich über eine Wiederherstellung dauerhaft ins aktive Marketing zurückkehren. Das Recht auf Löschung hat Ausnahmen für rechtliche Pflichten und Ansprüche; kommunizieren Sie, welche Daten deshalb noch bleiben und wofür sie nicht mehr genutzt werden.
Sicherheit und Datenpannen bei Bestellungen
Schützen Sie Administratorkonten mit starken Zugangsmethoden, begrenzen Sie Plugin-Rechte und installieren Sie Sicherheitsupdates nach einem verantworteten Verfahren. Testen Sie Backup und Wiederherstellung, bevor ein Angriff geschieht. Für ein kleines Shopteam kann eine Rollenliste mit „Bestellungen bearbeiten“, „Erstattungen auslösen“ und „Marketing verwalten“ mehr bewirken als ein gemeinsames Admin-Passwort. Artikel 32 DSGVO verlangt angemessene Maßnahmen nach Risiko, nicht eine starre Technikliste für alle Shops.
Bei einem Datenabfluss aus einem Plugin müssen Sie feststellen, ob personenbezogene Daten betroffen sind, seit wann Zugriff bestand und welches Risiko entsteht. Artikel 33 verlangt eine Behördenmeldung ohne unangemessene Verzögerung und möglichst binnen 72 Stunden ab Bekanntwerden, sofern ein Risiko nicht unwahrscheinlich ist; bei späterer Meldung sind die Gründe für die Verzögerung mitzuteilen. Artikel 34 betrifft bei hohem Risiko die Mitteilung an Betroffene. Ein Zahlungsdienstvorfall kann eigene Meldewege des Anbieters haben; der Shop muss dennoch seine eigene Rolle und Betroffenheit prüfen. Nutzen Sie den Ablauf unter Datenpanne melden, statt jede technische Störung pauschal zu melden.
Ein Prüfweg für den nächsten Release
Gehen Sie einen Testkauf mit verweigerter Tracking-Einwilligung durch. Prüfen Sie, welche Anfragen an Dritte trotzdem gesendet werden, welche Pflichtfelder erscheinen und wer die Bestelldaten erhält. Löschen Sie danach ein Testkonto und kontrollieren Sie, ob Marketingpräferenzen und Shopprofil getrennt von gesetzlich benötigten Belegen behandelt werden. Wiederholen Sie den Ablauf nach Plugin-Wechsel, neuem Zahlungsdienst oder Newsletter-Kampagne. Die allgemeine DSGVO-Checkliste dient als breiter Kontrollrahmen; diese Shop-Prüfung deckt die konkrete Kaufstrecke ab.
Rücksendung und Kundenservice als zweite Datenstrecke
Die Bestellung ist nicht der letzte Datenfluss. Bei Rückgabe, Reklamation oder Garantie kann der Kundenservice Fotos, Fehlerbeschreibungen, Gesprächsnotizen und Erstattungsdaten erfassen. Prüfen Sie, ob diese Angaben im Shopsystem, Ticketsystem oder beim Hersteller landen. Eine Fehlerbeschreibung kann unbeabsichtigt sensible Angaben enthalten, etwa wenn ein Medizinprodukt betroffen ist. Begrenzen Sie Freitext und Anhänge auf das für die Bearbeitung Erforderliche und legen Sie fest, wann ein geschlossener Vorgang archiviert oder gelöscht wird.
Bei einer Erstattung muss der Support unter Umständen einen Zahlungsbezug herstellen, benötigt aber nicht die vollständigen Kartendaten. Lassen Sie in einer Testbestellung vorführen, was eine Servicekraft tatsächlich sieht und welche Aktionen sie auslösen darf. Trennen Sie Berechtigungen für Adressänderungen, Gutscheine und Rückzahlungen, wenn das Risiko dies erfordert. Kontrollieren Sie, ob Dienstleister bei der Retourenabwicklung eine eigene Rolle haben und ob sie den Kunden unmittelbar informieren.
Auch Auskunft und Löschung müssen den Nachlauf erfassen. Ein Kunde, der sein Profil schließt, kann später eine berechtigte Reklamation haben. Der Shop sollte die für den Anspruch nötigen Informationen gezielt wiederfinden können, ohne das geschlossene Profil als aktives Werbekonto zu behandeln. Dokumentieren Sie deshalb nicht nur Fristen, sondern den Übergang zwischen aktiver Bestellung, Servicefall und rechtlich begründetem Archiv. Das macht die Antwort auf einen Löschwunsch genauer als die pauschale Aussage „alles bleibt wegen der Steuer“.
Häufige Fragen
Ist ein Gastkauf gesetzlich immer vorgeschrieben?
Nein, die DSGVO enthält keine allgemeine Gastkauf-Klausel. Ein dauerhaftes Konto muss aber für die konkrete Leistung erforderlich oder freiwillig sein. Für einmalige Käufe ist der Gastkauf häufig die datensparsame Lösung. Begründen Sie Ausnahmen anhand des tatsächlichen Produkts.
Brauche ich mit jedem Zahlungs- und Versanddienst einen AVV?
Nein. Artikel 28 gilt bei Auftragsverarbeitung. Zahlungs- und Versanddienste können für Teile ihrer Leistung eigenständig verantwortlich sein. Prüfen Sie die Rollen je Vorgang und schließen Sie dort einen AVV, wo tatsächlich weisungsgebundene Verarbeitung stattfindet.
Muss jedes Newsletter-Abo per Double-Opt-In bestätigt werden?
Das UWG verlangt grundsätzlich die vorherige ausdrückliche Einwilligung für Werbe-E-Mails; Double-Opt-In ist ein bewährter Nachweisweg. Die enge Bestandskundenausnahme des § 7 Absatz 3 UWG ist gesondert zu prüfen und setzt vier Bedingungen voraus.
Wie lange müssen Bestelldaten bleiben?
Nicht sämtliche Daten gleich lang. Buchungsbelege unterliegen regelmäßig acht Jahren, Bücher zehn und bestimmte Geschäftsbriefe sechs Jahren nach AO beziehungsweise HGB. Die jeweilige Dokumentfunktion und etwaige verlängerte steuerliche Bedeutung entscheiden. Optionale Trackingdaten haben keine automatische Belegfrist.
Braucht jeder Shop ein Cookie-Banner?
Nur wenn einwilligungspflichtige Endgerätezugriffe eingesetzt werden, muss die Einwilligung dafür vorab wirksam eingeholt werden. Für unbedingt erforderliche Funktionen gilt die enge Ausnahme des § 25 Absatz 2 TDDDG. Prüfen Sie konkrete Technologien und die anschließende personenbezogene Verarbeitung.
Rechtsquellen (geprüft am 27. September 2026): DSGVO, § 25 TDDDG, § 7 UWG, § 147 AO, § 257 HGB und DSK-Orientierungshilfen.