Dein Shop sammelt jeden Tag Kundendaten. E-Mail-Adressen im Checkout. Telefonnummern für den Versand. Zahlungsdaten. IP-Adressen aus der Analyse. Browserverlauf aus Tracking-Pixeln. Mit jedem Datenpunkt, den du sammelst, übernimmst du die rechtliche Pflicht, ihn zu schützen und den Kunden zu sagen, wie du ihn nutzt.
Hier kommen Datenschutzerklärung, Cookie-Einwilligung und DSGVO ins Spiel. Sie sind nicht nur juristische Formalitäten. Sie sind die Regeln dafür, wie du Kundendaten sammelst, speicherst und nutzt. Machst du es falsch, drohen Bussgelder, Misstrauen bei Kunden und rechtliche Probleme. Machst du es richtig, stärkst du das Vertrauen in deine Marke.
Viele Shop-Betreiber schieben den Datenschutz beiseite, weil er langweilig und kompliziert wirkt. Er ist kompliziert. Dieser Artikel zeigt dir aber, was du wirklich tun musst.
Was ist die DSGVO und wen betrifft sie
DSGVO steht für Datenschutz-Grundverordnung. Es ist ein Gesetz der Europäischen Union, das regelt, wie Unternehmen personenbezogene Daten erheben und nutzen. Wenn du auch nur einen Kunden in der EU hast, gilt die DSGVO für dich. Wenn dein Shop Kunden in der EU bedient, musst du die DSGVO einhalten.
Die DSGVO ist nicht optional. Sie ist keine Empfehlung. Die Europäische Kommission hat Unternehmen wegen Verstössen Bussgelder in Milliardenhöhe auferlegt. Ein grosser Softwarekonzern zahlte 20 Millionen USD. Facebook zahlte 5 Milliarden USD. Das sind riesige Unternehmen. Ein kleiner Onlineshop zahlt womöglich kleinere Bussgelder, aber das Prinzip ist dasselbe: DSGVO-Verstösse sind teuer.
Der Kerngedanke der DSGVO ist einfach: Die Daten gehören den Kunden. Du leihst sie dir nur. Du musst um Erlaubnis fragen, bevor du sie sammelst. Du musst erklären, was du damit tust. Und du musst sie löschen, wenn Kunden es verlangen.
Die wichtigsten DSGVO-Regeln für Onlineshops
Du brauchst eine Erlaubnis, bevor du Daten sammelst
Du darfst E-Mail-Adressen, Telefonnummern oder andere personenbezogene Daten nicht einfach ohne klare Einwilligung sammeln. Im Checkout brauchst du ausdrückliche Opt-in-Kontrollkästchen, keine vorausgewählten. Wenn ein Kunde bei „Ich möchte Marketing-E-Mails erhalten“ den Haken entfernt, darfst du ihn nicht für das Marketing anmelden. Du brauchst seine aktive, informierte Zustimmung.
Das gilt für Marketinglisten, Analyse-Tracking und Werbe-Cookies. Wenn du Google Analytics nutzt, musst du Kunden sagen, dass du es nutzt, und ihnen die Möglichkeit geben, abzulehnen. Wenn du das Facebook Pixel zum Retargeting nutzt, brauchst du die Einwilligung, bevor das Pixel ausgelöst wird.
Du musst erklären, was du mit Daten tust
Deine Datenschutzerklärung ist nicht nur ein Rechtsdokument. Sie ist Kommunikation mit deinen Kunden. Du musst in einfacher Sprache (nicht in Juristendeutsch) erklären, welche Daten du sammelst, warum du sie sammelst, wie lange du sie aufbewahrst und wer Zugriff darauf hat. Die DSGVO verlangt, dass diese Informationen „leicht zugänglich“ und „in klarer und einfacher Sprache“ bereitgestellt werden.
Eine Datenschutzerklärung, die hinter fünf Klicks versteckt oder in Juristendeutsch geschrieben ist, erfüllt den Massstab „klar und einfach“ nicht.
Du musst Daten auf Wunsch löschen
Kunden haben das Recht, die Löschung ihrer Daten zu verlangen. Das nennt man das „Recht auf Vergessenwerden“. Wenn ein Kunde dir schreibt und die Löschung seines Kontos und seiner Daten verlangt, hast du 30 Tage Zeit dafür. Du darfst dafür kein Geld verlangen. Du darfst die Anfrage nicht ignorieren. Du musst die Daten löschen und bestätigen, dass sie weg sind.
Du musst Datenpannen melden
Wenn deine Kundendaten kompromittiert oder gestohlen werden, hast du 72 Stunden Zeit, das den europäischen Behörden zu melden. Ausserdem musst du die betroffenen Kunden benachrichtigen. Du darfst eine Panne nicht verheimlichen oder hoffen, dass es niemand merkt. Allein diese Pflicht hat die DSGVO für viele Unternehmen teuer gemacht, weil sie Transparenz und Verantwortung erzwingt. Tipps zur Sicherheit im Checkout findest du im Artikel So hältst du den Checkout deines Onlineshops sicher.
Datenübermittlungen brauchen eine Grundlage
Wenn du Kundendaten ausserhalb der EU speicherst, musst du zugelassene Übermittlungsverfahren nutzen. Das ist wichtig, wenn dein Zahlungsanbieter in den USA sitzt, wenn du einen US-amerikanischen E-Mail-Dienst nutzt oder wenn du Daten in einem amerikanischen Rechenzentrum sicherst. Du darfst Daten von EU-Kunden nicht einfach irgendwohin verschieben. Du brauchst dafür rechtliche Rahmen.
Was ist eine Datenschutzerklärung und warum brauchst du eine
Eine Datenschutzerklärung ist ein Dokument, das erklärt, wie dein Shop Kundendaten sammelt, nutzt und schützt. Sie ist durch die DSGVO, durch viele Gesetze der US-Bundesstaaten und durch Branchenstandards vorgeschrieben. Ohne sie verstösst du gegen das Gesetz, und Kunden können nicht nachvollziehen, wie du mit ihren Daten umgehst.
Deine Datenschutzerklärung muss Folgendes abdecken:
Welche Daten du sammelst
Liste jede Art von Daten auf, die du erfasst. Dazu gehören offensichtliche Dinge wie E-Mail-Adressen und Lieferadressen, aber auch weniger offensichtliche wie IP-Adressen vom Webserver, Cookies aus der Analyse, Verhaltens-Tracking und Standortdaten. Sei konkret. Schreibe nicht nur „personenbezogene Daten“. Schreibe „E-Mail-Adresse, Telefonnummer, Lieferadresse, Kaufhistorie und Surfverhalten“. Wenn du Zahlungen über ein Zahlungsgateway annimmst, muss deine Datenschutzerklärung erklären, welche Zahlungsdaten dein Zahlungsanbieter verarbeitet. Wie Zahlungsgateways funktionieren und welche Daten durch dein Zahlungssystem laufen, liest du im Artikel So funktionieren Zahlungsgateways.
Wie du sie sammelst
Sammelst du Daten über Formulare, Checkout-Seiten oder Cookies? Über Kundenservice-Kontakte oder Support-Tickets? Über Analyse-Tools oder Werbe-Pixel? Erkläre die Methoden. Hier erwähnst du Google Analytics, das Facebook Pixel, deinen Zahlungsanbieter oder welche Tools du sonst zur Datenerfassung nutzt.
Warum du sie sammelst
Du sammelst E-Mail-Adressen, um Bestellungen zu bearbeiten und Versandinfos zu senden. Du sammelst Telefonnummern für den Kundenservice. Du sammelst Analysedaten, um zu verstehen, wie Besucher deine Seite nutzen. Du nutzt Cookies, damit sich Kunden nicht jedes Mal neu anmelden müssen. Erkläre den geschäftlichen Grund für jede Art der Datenerfassung.
Wie lange du sie aufbewahrst
Du bewahrst Daten nicht ewig auf. Du musst Aufbewahrungsfristen festlegen. Die Kaufhistorie bewahrst du vielleicht 7 Jahre aus steuerlichen und rechtlichen Gründen auf. E-Mail-Adressen für das Marketing vielleicht 3 Jahre nach dem letzten Kauf. Support-Tickets vielleicht 1 Jahr. Welche Fristen du auch festlegst, nenne sie klar.
Wer Zugriff darauf hat
Wenn du einen Zahlungsanbieter nutzt, hat er Zugriff auf Zahlungsdaten. Wenn du einen Versanddienstleister nutzt, hat er Zugriff auf Adressen und kann sie für die Zustellung verwenden. Wenn du den Kundenservice auslagerst, sieht dein Support-Team Kundennamen und E-Mail-Adressen. Liste alle Dritten auf, die Kundendaten sehen können, und erkläre, warum. Wie der Versand abläuft, liest du im Artikel So richtest du den Versand für deinen Onlineshop ein.
Wie du sie schützt
Nutzt du SSL-Zertifikate, um Daten bei der Übertragung zu verschlüsseln? Verlangst du sichere Passwörter? Sicherst du Daten regelmässig? Schulst du dein Team in Datensicherheit? Erkläre deine Sicherheitsmassnahmen. Wenn deine Sicherheit schwach ist, sag es trotzdem, verpflichte dich aber zur Verbesserung.
Rechte der Kunden
Nach der DSGVO haben Kunden das Recht, ihre Daten einzusehen, zu berichtigen, zu löschen und zu einem anderen Dienst mitzunehmen. Deine Datenschutzerklärung muss ihnen sagen, wie sie diese Rechte ausüben. Gib eine E-Mail-Adresse oder ein Kontaktformular an, über das Kunden Auskunft oder Löschung verlangen können.
Cookie-Einwilligung und Tracking
Cookies sind kleine Dateien, die Websites auf dem Computer eines Kunden speichern, um ihn wiederzuerkennen. Sie halten dich angemeldet, merken sich Artikel im Warenkorb und verfolgen dein Verhalten über Websites hinweg.
Die DSGVO unterscheidet zwischen notwendigen und nicht notwendigen Cookies. Notwendige Cookies (wie Warenkorb- oder Sitzungs-Cookies) brauchen keine Einwilligung. Alles andere schon.
Notwendige Cookies ohne Einwilligung
Warenkorb-Cookies sind notwendig, denn ohne sie würden Kunden ihren Warenkorb bei jedem Seitenwechsel verlieren. Sitzungs-Cookies, die dich angemeldet halten, sind notwendig. Sicherheits-Cookies, die Betrug verhindern, sind notwendig. Diese Cookies darfst du ohne Erlaubnis nutzen, weil der Shop sie zum Funktionieren braucht.
Nicht notwendige Cookies mit Einwilligung
Analyse-Cookies (Google Analytics, Heatmap-Tools, Produktanalyse) sind für den Betrieb deines Shops nicht notwendig. Sie helfen dir, das Verhalten zu verstehen, aber der Shop läuft auch ohne sie. Die Besucherdaten zu verstehen ist für die Optimierung nützlich, aber Kunden sollten einwilligen, bevor du sie trackst. Marketing-Cookies und Retargeting-Pixel (Facebook Pixel, Conversion-Tracking von Google Ads) sind ganz sicher nicht notwendig. Diese Cookies verfolgen Kunden im Internet, um ihnen Werbung zu zeigen. Sie brauchen eine ausdrückliche Einwilligung, bevor sie ausgelöst werden. Was du aus Analysen lernen kannst, liest du im Artikel So nutzt du Analysen, um das Besucherverhalten zu verstehen.
So setzt du die Cookie-Einwilligung um
Du brauchst ein Cookie-Banner, das beim ersten Besuch deiner Seite erscheint. Das Banner muss erklären, welche Cookies du nutzt und warum. Es sollte mindestens drei Optionen haben: Alle akzeptieren, Nicht notwendige ablehnen und Anpassen. „Alle akzeptieren“ sollte ein einziger Button sein. Das Ablehnen muss genauso einfach anzuklicken sein (nicht in einem Menü versteckt). Kunden sollten Analyse- und Marketing-Cookies ablehnen können, ohne dass sie nicht mehr einkaufen können.
Mach die Einwilligung nicht mit Dark Patterns unübersichtlich, etwa „Akzeptieren“ in grosser blauer Schrift und „Ablehnen“ in winziger grauer Schrift. Das verstösst gegen die DSGVO. Beide Optionen müssen gleich sichtbar und gleich leicht anklickbar sein.
Du kannst ein Tool für die Cookie-Einwilligung nutzen. Diese Dienste übernehmen das Banner, die Einwilligung zum Tracking und die Aktualisierung deiner Einstellungen. Sie kosten Geld, ersparen dir aber rechtliche Risiken.
Datenschutz für Shops ausserhalb der EU
Die DSGVO ist EU-Recht, aber Datenschutzregeln gibt es überall. Wenn dein Shop in Kalifornien tätig ist, gilt für dich der CCPA (California Consumer Privacy Act). In Virginia gibt es den VDPA. Kanada hat PIPEDA. Brasilien hat das LGPD. Australien hat die APPs.
Diese Gesetze sind nicht identisch mit der DSGVO, folgen aber ähnlichen Grundsätzen: Die Daten gehören den Kunden, du musst um Erlaubnis fragen, du musst transparent sein und du musst Daten auf Wunsch löschen.
Wenn du Kunden in mehreren Regionen hast, funktioniert keine einzelne Datenschutzerklärung überall. Du musst das strengste Gesetz einhalten, das für dich gilt. Für die meisten Shops ist das die DSGVO, weil sie am strengsten ist. Wenn du die DSGVO einhältst, erfüllst du wahrscheinlich auch die meisten anderen Datenschutzgesetze.
AGB und Datenschutzerklärung im Vergleich
Deine Datenschutzerklärung und deine Allgemeinen Geschäftsbedingungen (AGB) sind unterschiedliche Dokumente mit unterschiedlichem Zweck.
Die Datenschutzerklärung regelt, wie du mit Daten umgehst: was du sammelst, warum, wie lange du es aufbewahrst und wie Kunden Zugriff darauf bekommen oder die Löschung verlangen.
Die AGB regeln, wie Kunden deinen Shop nutzen können: Zahlungsbedingungen, Rückgaberecht, Erstattungsregeln, Haftungsgrenzen und was Kunden nicht tun dürfen. Ein Kunde kann mit deinem Umgang mit Daten (Datenschutz) einverstanden sein, aber mit deiner Regel ohne Erstattung (AGB) nicht.
Du brauchst beide Dokumente. Wie du AGB schreibst, liest du im Artikel So schreibst du AGB für deinen Onlineshop.
So hilft dir WEMASY bei Datenschutz und Compliance
Der Website-Builder von WEMASY enthält eine integrierte SSL-Verschlüsselung für alle Daten bei der Übertragung. Deine Kundendaten liegen auf sicheren Servern mit regelmässigen Backups. WEMASY unterstützt ausserdem, Datenschutzerklärung und Cookie-Banner direkt auf deiner Seite einzubinden, ohne eigenen Code. Du legst fest, welche Cookies notwendig sind und welche eine Einwilligung brauchen, und WEMASY übernimmt den Ablauf der Einwilligung.
Das nimmt dir nicht die rechtliche Pflicht ab, eine klare Datenschutzerklärung zu haben, macht die Umsetzung aber einfacher. Sieh nach, was in deinem WEMASY-Tarif enthalten ist.
Datenschutz-Checkliste für deinen Shop
Gehe diese Liste durch, bevor du live gehst:
Datenschutzerklärung
Hast du eine Datenschutzerklärung auf deiner Seite? Ist sie öffentlich zugänglich? Erklärt sie, welche Daten du sammelst, warum, wie lange du sie aufbewahrst und wer Zugriff hat? Enthält sie Kontaktdaten für Anfragen zu Daten? Kopiere nicht die Datenschutzerklärung eines anderen. Allgemeine Erklärungen beschreiben deine konkrete Praxis nicht.
Cookie-Einwilligung
Wenn du Analyse- oder Marketing-Cookies nutzt, hast du ein Cookie-Banner? Gibt es Kunden eine echte Möglichkeit, abzulehnen? Ist der Ablehnen-Button so leicht anzuklicken wie der Akzeptieren-Button? Erklärt das Banner, was jede Art von Cookie tut?
Notwendige Sicherheit
Nutzt du SSL (HTTPS) für deinen gesamten Shop? Verlangst du sichere Passwörter? Hast du einen Plan für den Fall, dass Daten kompromittiert werden? Sicherst du Kundendaten regelmässig?
Tools von Drittanbietern
Liste jedes Tool auf, das Kundendaten verarbeitet: Zahlungsanbieter, Versanddienstleister, E-Mail-Dienst, Analyseplattform, Marketing-Tool, Support-Software. Nennt deine Datenschutzerklärung alle davon? Hast du ihre Datenschutzerklärungen gelesen? Halten sie die DSGVO oder deine örtlichen Gesetze ein?
Ablauf für die Datenlöschung
Wenn ein Kunde per E-Mail die Löschung seiner Daten verlangt, hast du einen Ablauf dafür? Weisst du, wie du Daten aus deinem Shopsystem, bei deinem Zahlungsanbieter, in deinem E-Mail-Dienst und in allen anderen Tools löschst? Du brauchst einen dokumentierten Ablauf, keine Vermutung.
Rechtliche Beratung
Hast du dich zum Datenschutz anwaltlich beraten lassen? Du brauchst nicht für jede Frage einen Anwalt, aber für deinen ersten Shop lohnen sich 1 bis 2 Stunden juristische Beratung, damit du auf dem richtigen Weg bist. Viele Anwälte prüfen eine einfache Datenschutzerklärung für 200 bis 400 EUR.
Häufige Fragen
Brauche ich eine Datenschutzerklärung, wenn mein Shop klein ist?
Ja. Die DSGVO und andere Datenschutzgesetze gelten unabhängig von der Shopgrösse. Auch ein Shop mit 10 Kunden pro Monat hat die rechtliche Pflicht, deren Daten zu schützen und zu erklären, wie er sie nutzt. Eine Datenschutzerklärung ist das gesetzliche Minimum.
Kann ich eine Vorlage für die Datenschutzerklärung nutzen?
Ja, aber nur als Ausgangspunkt. Generatoren für Datenschutzerklärungen erstellen Texte auf Basis deiner konkreten Tools und Abläufe. Kopiere nicht Wort für Wort die Erklärung eines Mitbewerbers. Die Erklärung muss zu deiner tatsächlichen Datenpraxis passen. Wenn in deiner Erklärung steht, dass du Daten nach 1 Jahr löschst, du sie aber tatsächlich 7 Jahre aufbewahrst, schaffst du ein rechtliches Risiko.
Was, wenn ich keine Kunden in der EU habe?
Du hast womöglich trotzdem Datenschutzpflichten. In den USA gibt es den CCPA in Kalifornien und den VDPA in Virginia. Kanada hat PIPEDA. Brasilien hat das LGPD. Die meisten Länder haben irgendeine Form von Datenschutzrecht. Selbst wenn du nur Kunden in den USA ansprichst, ist es sicherer, der DSGVO zu folgen, weil sie die strengste ist. Wer die DSGVO einhält, erfüllt meist auch schwächere Gesetze.
Was kostet eine Datenschutzerklärung wirklich?
Eine einfache Erklärung kannst du kostenlos mit einem Generator erstellen. Für eine individuelle, von einem Anwalt geschriebene Erklärung rechnest du mit 500 bis 2.000 EUR. Die meisten kleinen Shops starten mit einer generierten Erklärung und lassen sie für 200 bis 400 EUR von einem Anwalt prüfen, damit sie zu ihrem Aufbau passt.
Was ist der Unterschied zwischen DSGVO und CCPA?
Die DSGVO ist EU-Recht. Der CCPA ist ein Gesetz des Bundesstaats Kalifornien. Die DSGVO ist strenger. Beide geben Kunden das Recht, ihre Daten einzusehen, zu löschen und zu berichtigen. Beide verlangen eine Opt-in-Einwilligung für Marketing. Die DSGVO verlangt eine Einwilligung, bevor die meisten Daten gesammelt werden. Der CCPA erlaubt die Erfassung, verlangt aber Möglichkeiten zum Opt-out. Wenn du die DSGVO einhältst, erfüllst du wahrscheinlich auch den CCPA.
Wie reagiere ich auf die Anfrage eines Kunden, seine Daten zu löschen?
Wenn ein Kunde die Löschung seiner Daten verlangt, antworte innerhalb von 30 Tagen. Lösche sein Konto in deinem Shopsystem. Entferne ihn aus deiner E-Mail-Marketing-Liste. Entferne ihn aus deiner Analyse. Weise deinen Zahlungsanbieter an, seine Daten zu löschen. Bestätige schriftlich, dass die Daten gelöscht wurden. Dokumentiere die Löschung, falls du nachweisen musst, dass du die Regeln eingehalten hast.