Ja. Ein Online-Shop hat gegenüber einer einfachen Informationswebsite deutlich erweiterte Datenschutzanforderungen, da umfangreichere personenbezogene Daten verarbeitet werden.
Vertragsabwicklung
Die Verarbeitung von Name, Adresse, E-Mail, Zahlungsdaten und Bestellhistorie ist für die Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Die Datenschutzerklärung muss diese Zwecke detailliert benennen.
Zahlungsdienstleister
Werden externe Zahlungsdienste (PayPal, Klarna, Stripe) eingebunden, erfolgt eine Datenübermittlung an Dritte. Dies muss in der Datenschutzerklärung angegeben werden (Art. 13 Abs. 1 lit. e DSGVO). Je nach Ausgestaltung liegt eine Auftragsverarbeitung (Art. 28 DSGVO) oder eine eigenständige Verarbeitung vor; im letzteren Fall ist eine eigene Rechtsgrundlage erforderlich.
Bonitätsprüfung
Eine Bonitätsabfrage, etwa vor einem Kauf auf Rechnung, braucht eine Rechtsgrundlage, meist Art. 6 Abs. 1 lit. b oder f DSGVO, und muss vorab transparent gemacht werden. Hängt die Entscheidung maßgeblich vom Score ab, gilt Art. 22 DSGVO (EuGH, Urteil vom 07.12.2023, C-634/21). Die Anforderungen an Scoring regelt bis 19.11.2026 § 31 BDSG, danach der neue § 37a BDSG.
Tracking und Analyse
Für Tracking-Cookies (Retargeting, Conversion-Tracking, Affiliate-Marketing) gelten die Anforderungen des § 25 TDDDG: Eine vorherige Einwilligung ist erforderlich.
Drittlandstransfer
Werden Dienste eingesetzt, die Daten in Drittländer übermitteln (z. B. US-Zahlungsdienstleister, Cloud-Hosting), müssen die Anforderungen der Art. 44 ff. DSGVO erfüllt werden.
Aufbewahrungsfristen
Rechnungen sind Buchungsbelege und werden acht Jahre aufbewahrt, Handels- und Geschäftsbriefe sechs Jahre, Bücher und Jahresabschlüsse zehn Jahre (§ 147 AO, § 257 HGB). Dies ist eine Ausnahme vom Löschungsrecht nach Art. 17 Abs. 3 lit. b DSGVO.
Ob Datenschutzerklärung, Zahlungsdienste und Tracking in Ihrem Shop zusammenpassen, zeigt ein Datenschutz-Audit.