Die Datenschutz­­grund­­­verordnung (DSGVO) im Online-Handel: Welche Änderungen kommen auf eCommerce-Betreiber zu?

Am 25. Mai 2018 greift die europaweit geltende Datenschutzgrundverordnung (DSGVO), welche einen einheitlichen Rechtsrahmen in Bezug auf den Datenschutz bildet.

Wen betreffen die Änderungen durch die DSGVO?

Im Groben lässt sich feststellen, dass prinzipiell jeder von der europäischen DSGVO betroffen ist, der auf seiner Webseite ein Formular oder Cookies nutzt, GoogleAnalytics oder eine Alternative im Einsatz hat, Newsletter versendet und/oder Werbung schaltet. Somit kommt jeder in Betracht, der sein eCommerce professionell betreibt.

Da es eine Vielzahl von Änderungen gibt, sollten vor allem Betreiber eines eCommerce diese nicht auf die lange Bank schieben und bestenfalls zeitnah mit der Umsetzung beginnen.

Gutes vorweg: viele im deutschen Datenschutzrecht festgehaltenen Normen werden erhalten bleiben, da hierzulande bereits hohe Standards hinsichtlich des Umgangs mit Daten bestehen.

Besonderheit der DSGVO stellt das sogenannte „Recht auf Vergessen“ dar, wodurch Unternehmer persönliche Daten löschen müssen, wenn der Verbraucher dies wünscht oder der Speicherung keine berechtigten Gründe vorliegen. Zudem muss im Zuge des DSGVO ein Datenschutzbeauftragter benannt werden. Eine zentrale Änderung wird für alle Unternehmen ist die Einführung der „Rechenschaftspflicht“ (Art. 5 DSGVO), welche von den Datenschutzverantwortlichen fordert, dass die Einhaltung der Gesetzes nachweisen können. 

Besonders beliebte Verkaufsförderungsmaßnahmen wie E-Mails bei Abbruch des Warenkorbdialogs oder personalisierte Newsletter auf Basis des bisherigen Einkaufsverhaltens, dürfen nach den DSGVO-Grundsätzen keine Anwendung finden, da hier anzunehmen ist, dass Daten aus unterschiedlichen Quellen miteinander in Verbindung gebracht wurden (E-Mai-Adresse, Kundendaten, IP, Nutzungsverlauf). Gleiches gilt für die Zusammenführung von Daten vor dem Login und nach dem Login im System.

Worauf Online-Händler zudem achten sollten

• Persönliche Daten sollen nur in dem Umfang erhoben werden, wie sie im tatsächlich Umfang benötigt werden. Hierzu gehören:
  • Name
  • Adresse
  • E-Mail-Adresse
  • Telefonnummer
  • Geburtstag
  • Kontodaten
  • Kfz-Kennzeichen
  • Standortdaten
  • IP-Adressen
• Einwilligungen – beispielsweise für den Versand von Newslettern – müssen durch eine eindeutige bestätigende Handlung erfolgen. Stillschweigende Einwilligungen durch bereits angewählte/aktive Kästchen stellen dagegen keine Einwilligung dar.
• Einwilligungen dürfen nicht vom Vertragsabschluss abhängig gemacht werden, sofern die Verarbeitung personenbezogener Daten für die Vertragserfüllung nicht erforderlich ist.
• Tracking-, Analyse und Remarketing-Tools dürfen erst ab ausdrücklicher Zustimmung durch den Nutzer Daten sammeln, falls die Daten nicht bereits anonym erhoben werden oder ein berechtigtes Interesse an der Erhebung besteht.
• Bereits eingeholte Einwilligungen bleiben wirksam, sofern diese den Anforderungen der DSGVO entsprechen.
• Informationen zu Datenverarbeitungsvorgängen müssen zukünftig "in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache" (Art. 12 DSGVO) vermittelt werden.
• Die Datenschutzerklärung muss auf einer separaten und eigenstehenden Seite eingebunden werden.

Eine besonders detaillierte Artikelreihe zum Thema Datenschutzgrundverordnung (DSGVO) im Online-Business findet sich bei t3n.de von Rechtsanwalt Dr. Thomas Schwenke. Zudem findet sich unter presseportal.de eine verständliche Kurzfassung der Gesetzestexte in Form von „zehn Geboten“, welche von TrustedShops zusammengefasst wurden.

Schlussbemerkung zur Datenschutz­grund­verordnung im Online-Handel

Noch ist bis zum 25. Mai 2018 etwas Zeit, Shop-Betreiber sollten jedoch beginnen sich mit dem Thema zu befassen:

• Welche Einwilligungen werden und müssen eingeholt werden?
• Müssen die Verträge zur Auftragsdatenverarbeitung angepasst werden?
• Werden alle Vorgaben für die Datenschutzerklärung und korrekte Verwendung von Tracking- und Remarketing-Tools eingehalten?