Datenschutz für Online-Shop, Website und Marketing
Datenschutz im Online-Shop und im Marketing – geprüft von jemandem, der solche Shops selbst gebaut hat.
Tracking-Pixel, Consent-Banner, Newsletter-Automation, Zahlungsdienste, Marktplatz-Anbindungen und Werbekonten: Jedes dieser Systeme verarbeitet personenbezogene Daten, und jedes hat seine eigenen Fallen. Seit 2008 entwickeln und betreiben wir Online-Shops und Kampagnen – heute prüfen wir sie als externer Datenschutzbeauftragter mit dem Blick des Shop- und Kampagnenbetreibers: im Quellcode, im Netzwerkverkehr und in den Tool-Einstellungen, nicht nur auf der Oberfläche.
Was die DSGVO im E-Commerce konkret verlangt
Ein Online-Shop verarbeitet Daten an mehr Stellen, als den meisten Betreibern bewusst ist: beim Seitenaufruf (Cookies, Tracking, eingebundene Dienste), bei der Bestellung (Kundenkonto, Zahlungsdienst, Versand), im Marketing (Newsletter, Remarketing, Kundenabgleich mit Werbeplattformen) und in der Verwaltung (ERP, Warenwirtschaft, Agenturzugänge). Für jede dieser Verarbeitungen braucht es eine Rechtsgrundlage, eine Information der Kunden, einen Vertrag mit dem Dienstleister und eine Löschfrist.
Für Cookies und Tracking gilt zusätzlich § 25 TDDDG: Alles, was nicht technisch notwendig ist, darf erst nach einer wirksamen Einwilligung laden. Genau hier scheitern die meisten Shops – nicht am Banner, sondern an der Ladereihenfolge dahinter. Abmahnvereine und Mitbewerber prüfen das automatisiert.
Die sieben typischen Baustellen im Online-Shop
Consent-Banner und Cookie-Einwilligung
Problem: Banner vorhanden, aber Google Analytics, Meta-Pixel oder YouTube laden bereits vor dem Klick, oder „Ablehnen“ ist versteckt. Das ist seit 2022 der häufigste Abmahn- und Beschwerdegrund. Wir prüfen die Ladereihenfolge technisch, die Gestaltung des Banners nach den Vorgaben der Aufsichtsbehörden und die Dokumentation der Einwilligungen.
Tracking und Online-Werbung
Problem: Conversion-Tracking, Remarketing-Listen und Kundenabgleiche (Customer Match, Custom Audiences) ohne passende Rechtsgrundlage, Server-Side-Tagging ohne Konzept. Wir ordnen jeden Tag und jeden Datenabgleich einer Rechtsgrundlage zu – oder streichen ihn – und dokumentieren das im Verarbeitungsverzeichnis.
Newsletter und Marketing-Automation
Problem: Double-Opt-in fehlt oder ist nicht protokolliert, Bestandskundenwerbung ohne den Hinweis nach § 7 Abs. 3 UWG, Öffnungs- und Klick-Tracking ohne Einwilligung, Warenkorbabbrecher-Mails ohne Grundlage. Wir prüfen Anmeldestrecke, Protokolle, Tool-Einstellungen und die Verträge mit dem Versanddienstleister.
Shop-Backend und Kundenkonten
Problem: Kundenkonten ohne Löschfrist, Gastbestellungen, die nie gelöscht werden, Admin-Zugänge ehemaliger Agenturen und Mitarbeiter, Exporte in Tabellen. Wir erstellen das Löschkonzept für Bestell-, Konto- und Marketingdaten und setzen Zugriffsregeln auf.
Zahlungs- und Versanddienste
Problem: PayPal, Klarna, Stripe, DHL, Marktplätze – jeder erhält Daten, nicht jeder braucht einen Auftragsverarbeitungsvertrag, manche sind eigenständig Verantwortliche. Wir sortieren die Rollen, prüfen die Verträge und dokumentieren das Ergebnis.
Drittlandtransfer
Problem: US-Dienste in Analytics, Hosting, E-Mail und Support. Wir prüfen Data Privacy Framework, Standardvertragsklauseln und Transfer-Folgenabschätzung – und nennen Alternativen aus der EU, wo sie den gleichen Zweck erfüllen.
Agenturen, Freelancer und Systemhäuser
Problem: Externe mit Zugriff auf Shop, Werbekonto und CRM, ohne Vertrag, ohne Protokoll, ohne Offboarding. Wir setzen Auftragsverarbeitung, Zugriffsregeln und ein Verfahren für den Wechsel von Dienstleistern auf.
Shop- und Website-Check zum Festpreis
Einmalige technische und rechtliche Prüfung Ihres Shops oder Ihrer Website: Cookies und Tags beim ersten Aufruf, Consent-Verhalten, Formulare, Datenschutzerklärung, eingebundene Dienste, Zahlungs- und Versandintegrationen, Newsletter-Anmeldung und Kundenkonto. Ergebnis: ein Bericht mit Prioritäten und konkreten Änderungsanweisungen, die Ihre Agentur direkt umsetzen kann – 490 € netto für einen Shop inklusive Bestellstrecke, 290 € für eine Website ohne Shop. Für Datenschutz-Mandanten ist der Check im Paket enthalten und wird regelmäßig wiederholt.
Welche Systeme wir kennen
Shopsysteme: plentymarkets, Shopware, WooCommerce, Shopify, JTL · Marketing: Google Ads, Microsoft Advertising, Meta, Google Analytics 4, Matomo · E-Mail: Mailchimp, CleverReach, Brevo, Klaviyo · CRM: SuiteCRM, HubSpot · Consent: Borlabs, Real Cookie Banner, Usercentrics, Cookiebot, Consentmanager
Wir wissen, wo in diesen Systemen die Einstellungen liegen, welche Standardwerte problematisch sind und welche Schnittstellen Daten weitergeben. Das verkürzt die Prüfung – und macht die Anweisungen an Ihre Agentur konkret.
Warum wir Ihren Shop nicht gleichzeitig bauen und prüfen
Ein Datenschutzbeauftragter darf nicht kontrollieren, was er selbst entschieden hat (Art. 38 Abs. 6 DSGVO). Deshalb gilt bei uns: Für ein Unternehmen sind wir entweder Datenschutzbeauftragter – oder Umsetzungspartner für Marketing und Shop. Nie beides. Wer Umsetzung sucht, findet sie unter Online-Marketing und E-Commerce – dort wird jedes Projekt von Anfang an mit Datenschutz im Fokus gebaut. Wer uns als Datenschutzbeauftragten hat, bekommt von uns die Prüfung und eine klare Anweisung an seine Agentur. Und die kommt an, weil wir mit beiden Seiten sprechen können – mit dem Marketing wie mit der IT. Wir haben in beiden gearbeitet.
Häufige Fragen zum Datenschutz im Online-Shop
Brauchen wir für den Shop ein Cookie-Banner?
Sobald Sie Dienste einsetzen, die nicht technisch notwendig sind – Analytics, Werbe-Pixel, eingebettete Videos, Chat-Tools -, ja. Ein Shop ohne Tracking kommt ohne Banner aus; das ist seltener geworden, aber möglich. Was zählt, ist nicht das Banner, sondern dass vor der Einwilligung nichts lädt.
Dürfen wir Bestandskunden per Newsletter anschreiben?
Ja, unter den Voraussetzungen des § 7 Abs. 3 UWG: E-Mail-Adresse im Zusammenhang mit einem Kauf erhalten, Werbung nur für ähnliche Produkte, Hinweis auf das Widerspruchsrecht bei Erhebung und in jeder Mail. Wir prüfen, ob Ihre Anmeldestrecke und Ihr Versandtool das sauber abbilden.
Ist Google Analytics im Shop erlaubt?
Mit wirksamer Einwilligung, IP-Anonymisierung und dem Data Privacy Framework als Grundlage für den Transfer ja. Ohne Einwilligung nicht. Für viele Shops ist eine selbst gehostete Alternative wie Matomo der einfachere Weg – wir rechnen Ihnen beide Varianten durch.
Wie lange dürfen wir Kundendaten speichern?
Bestell- und Rechnungsdaten unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen von sechs bis zehn Jahren. Kundenkonten ohne Bestellung, Gastbestellungen und Marketingdaten brauchen eigene, kürzere Fristen. Das Löschkonzept legt sie fest – und Ihr Shopsystem muss sie umsetzen können.
Lassen Sie den Shop prüfen, bevor es jemand anderes tut.
Ein Check, ein Bericht, klare Anweisungen für Ihre Agentur – zum Festpreis.
oder anrufen: 09636 5050048