Datenschutzkonformität für Online-Shops

Dieser Leitfaden bietet umfassende Einblicke in rechtliche Anforderungen, praktische Maßnahmen und die Folgen von Nichtkonformität angesichts des zunehmenden Datenschutzbedarfs und der Datensicherheitsbedenken im Online-Handel.

Der Leitfaden zur Datenschutzkonformität für Online-Shops

Laut Statista lag die Anzahl der Menschen, die vor der Pandemie online einkauften, bei rund 451 Millionen. Im Jahr 2023 stieg diese Zahl auf 540 Millionen und wird voraussichtlich bis 2027 auf 586 Millionen steigen. Gleichzeitig sind Datenschutz- und Datenschutzbedenken zunehmend präsent geworden - insbesondere wenn es um sensible Daten wie Zahlungsdaten geht. Die Menschen sind vorsichtiger geworden, wenn es darum geht, ihre Daten mit Unternehmen zu teilen, und ergreifen proaktiv Maßnahmen zum Schutz ihrer persönlichen Informationen.

Wie du sehen kannst, kannst du als erfolgreicher Online-Shop Besitzer den Datenschutz und die Datenschutzkonformität nicht ignorieren. In diesem Guide erklären wir, welche Schritte du unternehmen kannst, um Datenschutzgesetze einzuhalten und deine Kunden sowie dein Unternehmen zu schützen.

Übersicht über Datenschutzgesetze

Der erste Schritt zur Datenschutzkonformität besteht darin zu verstehen, welche Datenschutzgesetze für dich gelten. Normalerweise haben Datenschutzgesetze einen extraterritorialen Geltungsbereich, was bedeutet, dass sie auch außerhalb des Landes oder der Region gelten können, in dem sie erlassen wurden.

Als Faustregel solltest du diese Gesetze einhalten:

• des Landes (oder der Länder), in dem du deinen Sitz hast/deine Geschäfte betreibst;
• des Landes (oder der Länder), in dem sich deine Benutzer und Kunden befinden.

Zum Beispiel kannst du dich in den Vereinigten Staaten befinden, aber deine Produkte an Personen in der Europäischen Union versenden. In diesem Fall müsstest du dich an die Datenschutz-Grundverordnung der EU (DSGVO) sowie an das Datenschutzgesetz deines Bundesstaates halten.

Es gibt viele verschiedene Datenschutzgesetze auf der ganzen Welt, aber hier sind einige der bekanntesten:

• Die Europäische Datenschutz-Grundverordnung (DSGVO): Es ist das Datenschutzgesetz der EU und wurde 2018 erlassen. Ziel ist es, die Daten europäischer Benutzer zu schützen und zu regeln, wie Unternehmen personenbezogene Daten sammeln, verarbeiten und schützen sollten.
• Die EU-Richtlinie für elektronische Kommunikation (Cookie-Gesetz): Sie wurde erstmals 2002 herausgegeben und regelt alle Aspekte des elektronischen Datenschutzes, einschließlich E-Mail-Marketing und der Verwendung von Cookies. Es gilt neben der DSGVO und kann zusätzliche Anforderungen haben (siehe Absatz unten).
• Datenschutzgesetze der US-Bundesstaaten: Auf der anderen Seite haben die Vereinigten Staaten noch kein bundesweites Datenschutzgesetz, sondern viele verschiedene Gesetze auf Bundesebene. Du kennst wahrscheinlich bereits den California Consumer Privacy Act (CCPA), aber es gibt auch den Virginia Consumer Data Protection Act (VCDPA), den Colorado Privacy Act (CPA) und viele mehr.
• Das brasilianische Allgemeine Datenschutzgesetz (LGPD): Das LGPD ist das brasilianische Datenschutzgesetz und wurde 2020 erlassen. Es ist dem GDPR irgendwie ähnlich und zielt darauf ab, einen soliden rechtlichen Rahmen für die Verwendung personenbezogener Daten in Brasilien zu schaffen.

Wenn du also einen E-Commerce betreibst, solltest du auch die Verbraucherschutzgesetze beachten. Verbraucherschutzgesetze sind Vorschriften, die Verbraucher vor unfairer oder irreführender Geschäftspraxis schützen sollen. Sie stellen sicher, dass Verbraucher genaue Informationen über Produkte und Dienstleistungen erhalten und Mechanismen für eine Entschädigung im Falle von Schäden oder Unzufriedenheit mit einem Kauf bereitstellen.

Die wichtigsten rechtlichen Anforderungen für den E-Commerce

Lass uns nun darüber sprechen, was du in der Praxis tun solltest, um diesen Gesetzen zu entsprechen. Bevor wir beginnen, beachte bitte, dass die rechtlichen Anforderungen von Unternehmen zu Unternehmen variieren können. Nimm daher die folgende Liste als Ausgangspunkt, sei dir aber bewusst, dass zusätzliche Anforderungen auftreten können.

Datenschutzrichtlinie

Das Erste, was du deinen Kunden bereitstellen solltest, ist eine Datenschutzrichtlinie. Die Datenschutzrichtlinie ist das Dokument, das deine Benutzer über deine Datensammlungs- und -verarbeitungsaktivitäten informiert, das heißt, warum du ihre Daten sammelst und wie du es tust.

Wenn du einen Online-Shop betreibst, sammelst du höchstwahrscheinlich Daten. Denke nur an den Checkout-Prozess und alle Informationen, die du von deinen Kunden benötigst, um ihnen das zu senden, was sie gekauft haben.

Um konform zu sein, sollte eine Datenschutzrichtlinie mindestens Folgendes enthalten:

• welche Daten du sammelst;
• warum du die Daten sammelst;
• mit wem du die Daten teilst, oder jede Drittpartei wie einen Zahlungsanbieter oder einen Analysedienst;
• alle Details zur Cookie-Nutzung;
• welche Rechte die Benutzer laut geltendem Recht haben;
• deine Kontaktinformationen.

Um zu sehen, wie all diese Elemente zusammenpassen, wirf einen Blick auf diese Datenschutzrichtlinienvorlage für E-Commerce.

Cookie- und Einwilligungsverwaltung

Zweitens verwendet dein E-Commerce wahrscheinlich Cookies. Cookies sind kleine Dateien, die Websites auf dem Browser oder Gerät des Benutzers installieren, und sie können unterschiedliche Zwecke haben: Sie können die Funktionalität deiner Website verbessern oder dir helfen, deinen Benutzern personalisierte Anzeigen zu zeigen. E-Commerce-Websites verwenden Cookies oft für Analysen, soziale Buttons oder Remarketing-Dienste.

Wir haben bereits die EU-Richtlinie für elektronische Kommunikation (Cookie-Gesetz) erwähnt. Wenn du dich in der EU befindest oder EU-Benutzer ansprichst und deine Website nicht-technische Cookies verwendet, verlangt das Cookie-Gesetz von dir:

• zeige ein Cookie-Einwilligungs-Banner an, wenn ein Benutzer deine Website zum ersten Mal besucht;
• stelle eine Cookie-Richtlinie bereit, in der du erklärst, warum deine Website Cookies verwendet;
• blockiere Cookies, bevor die Einwilligung erteilt wird oder wenn die Einwilligung abgelehnt wird;
• speichere die Cookie-Präferenzen deiner Benutzer.

In den USA können gemäß dem California Consumer Privacy Act nicht-technische Cookies ohne die Einwilligung des Benutzers installiert werden, aber du musst immer eine einfache Möglichkeit zum Opt-Out bereitstellen (zum Beispiel, um ihre Einwilligung zurückzuziehen). Dies geschieht normalerweise über ein Einwilligungs-Banner.

Allgemeine Geschäftsbedingungen

Allgemeine Geschäftsbedingungen (AGB) sind zwar nicht mit der DSGVO verbunden, aber oft obligatorisch, wenn es um Online-Shops geht. AGB sind ein Vertrag zwischen dir und deinen Kunden und legen die Bedingungen fest, unter denen deine Dienstleistungen oder Produkte verwendet werden können. Sie umreißen auch alle notwendigen Informationen zu Versand, Zahlung, Garantie, Widerrufsrecht und Stornierung, die gesetzlich vorgeschrieben sind. AGB sind ein sehr nützliches Dokument, da sie dir helfen, dein Geschäft zu schützen und potenzielle Probleme zu verhindern.

Zusätzliche Schritte

Datenschutz betrifft nicht nur rechtliche Dokumente. Es geht auch darum, proaktiv die Daten deiner Benutzer zu schützen und sie vor unbefugtem Zugriff zu schützen. Leider kann jedes Unternehmen Opfer eines Datenlecks werden, aber durch die Ergreifung der notwendigen technischen und Sicherheitsmaßnahmen kannst du es verhindern.

Hier sind ein paar Schritte, die du unternehmen kannst:

• Stelle sicheres Surfen mit einem SSL-Zertifikat und HTTPS-Übertragung sicher.
• Halte Daten anonym oder verschlüsselt.
• Sichere regelmäßige Backups der Daten.
• Definiere einen geeigneten Aktionsplan im Falle eines Datenlecks.

Außerdem solltest du bedenken, dass Nutzer spezifische Rechte über ihre Daten haben, die sie jederzeit ausüben können. Zum Beispiel können sie dich auffordern, auf alle Daten zuzugreifen, die du über sie hast, oder die Daten vollständig zu löschen. Deshalb musst du ihnen einen klaren und zugänglichen Weg bieten, um dir diese Anfragen zu senden, und du musst sie prompt erfüllen.

Was passiert, wenn du dich nicht daran hältst?

Die rechtlichen Konsequenzen bei Nichtbeachtung können hohe Geldstrafen (bis zu 20 Millionen Euro für die DSGVO!) sowie behördliche Rügen, regelmäßige Datenschutzprüfungen und Haftungsschäden umfassen.

Wie du sehen kannst, kann die Nichtbeachtung von Datenschutzgesetzen dich teuer zu stehen kommen. Alle diese Gesetze sehen hohe Geldstrafen für Nichtbeachtung vor, aber es geht nicht nur um das Geld. Dein Unternehmen könnte seinen Ruf verlieren, was zu weniger Kunden führt: Wer möchte schon bei einem E-Commerce-Unternehmen kaufen, das die Daten seiner Kunden nicht schützt?

Aus diesem Grund solltest du die Einhaltung auch als Wettbewerbsvorteil betrachten. Ein Unternehmen, das transparent mit seinen Datenpraktiken umgeht, ist auch ein Unternehmen, dem du vertrauen kannst!

Über iubenda

iubenda ist ein Legal-Tech-Start-up, das 2011 gegründet wurde und jetzt von über 100.000 Kunden in mehr als 100 Ländern vertraut wird. Es bietet Compliance-Lösungen für Websites und Apps an, um ihnen zu helfen, Datenschutzgesetze in mehreren Ländern und Rechtsvorschriften einzuhalten, wie die DSGVO der EU, das Cookie-Gesetz oder die Datenschutzgesetze der US-Bundesstaaten. Die Lösungen von iubenda vereinen das Fachwissen eines internationalen Rechtsteams mit der Einfachheit einer Softwarelösung.

Veröffentlicht am 26.03.2024 | Datenschutzkonformität für Online-Shops | DW