Ein Onlineshop verarbeitet deutlich mehr Datenkategorien als eine reine Informationsseite. Neben den Standardklauseln brauchst du eigene Abschnitte zu Zahlung, Versand und Kundenkonten. Hier die wichtigsten Ergänzungen im Überblick.
Zahlungsdienstleister konkret benennen
Für jeden eingesetzten Zahlungsdienstleister solltest du namentlich erklären, welche Daten er erhält und ob er als Auftragsverarbeiter oder als eigenständig Verantwortlicher handelt. Bei eigenständiger Verantwortlichkeit verlinkst du zusätzlich auf die Datenschutzerklärung des Anbieters.
| Bereich | Was gehört in die Erklärung |
|---|---|
| Zahlungsabwicklung | Name des Anbieters, verarbeitete Daten, Rechtsgrundlage |
| Versand | Weitergabe von Name und Lieferadresse an den Versanddienstleister |
| Kundenkonto | Speicherdauer, Löschung nach Inaktivität |
| Rechnungsdaten | Zehnjährige Aufbewahrungsfrist nach § 147 AO |
| Newsletter mit Rabattcode | Getrennte Einwilligung, unabhängig vom Kauf |
Kundenkonten sauber regeln
Ein Kundenkonto speichert dauerhaft personenbezogene Daten. Lege fest, wie lange ein inaktives Konto gespeichert bleibt, bevor es gelöscht wird, und was mit noch aufbewahrungspflichtigen Rechnungsdaten nach der Löschung passiert. Diese gestaffelte Löschfrist gehört konkret in die Erklärung.
Was gehört nicht in die Datenschutzerklärung?
Das Widerrufsrecht bei Fernabsatzverträgen und Rücksendebedingungen gehören in deine AGB, nicht in die Datenschutzerklärung. Die Datenschutzerklärung regelt ausschließlich, welche personenbezogenen Daten bei einer Rücksendung verarbeitet werden, nicht die vertraglichen Bedingungen selbst.
Bewertungen und Rezensionen
Bietet dein Shop eine Bewertungsfunktion an, verarbeitest du zusätzlich Name, E-Mail-Adresse und den Bewertungstext des Kunden, teils auch über ein externes Bewertungsportal. Erkläre, ob Bewertungen automatisch oder nur nach Kauf angefragt werden, wie lange sie gespeichert bleiben, und ob ein externer Anbieter die Einladungsmails versendet. Nutzt du ein externes Portal, brauchst du dafür meist einen eigenen Auftragsverarbeitungsvertrag mit dem Anbieter.
Retouren und Widerruf datenschutzrechtlich betrachtet
Eine Rücksendung erzeugt eigene Daten: Retourengrund, Zustand der Ware und teils Fotos zur Dokumentation eines Transportschadens. Diese Daten dienen der Abwicklung des Widerrufs und sollten nach Abschluss des Vorgangs nicht länger als nötig aufbewahrt werden, getrennt von der zehnjährigen Aufbewahrungsfrist für die eigentlichen Rechnungsdaten. Ein häufiger Fehler ist, Retourenfotos dauerhaft im selben Ordner wie die laufenden Bestellungen zu belassen, statt sie nach Abschluss des Vorgangs gezielt zu löschen oder zu archivieren.
Praxisbeispiel
Ein kleiner Onlineshop für Naturkosmetik ergänzte seine Datenschutzerklärung um konkrete Namen der Zahlungsdienstleister, statt nur allgemein von “Zahlungsanbietern” zu sprechen. Zusätzlich beschrieb der Shop, dass Kundenkonten nach drei Jahren Inaktivität automatisch gelöscht werden, mit Ausnahme der zehn Jahre aufzubewahrenden Rechnungsdaten. Diese Präzisierung machte die Erklärung deutlich transparenter und rechtssicherer.
Häufige Fragen
Brauche ich eine eigene Klausel für jeden Zahlungsdienstleister? Ja, nenne jeden Anbieter einzeln mit Namen, verarbeiteten Daten und Rechtsgrundlage, statt pauschal von “Zahlungsanbietern” zu sprechen.
Muss ich Gastbestellungen anders behandeln als Kundenkonten? Ja, bei einer Gastbestellung ohne Konto solltest du eine kürzere Speicherdauer für die reinen Bestelldaten angeben, abgesehen von den aufbewahrungspflichtigen Rechnungsdaten.
Was gilt bei einem Marktplatz-Verkauf zusätzlich zum eigenen Shop? Verkaufst du zusätzlich über einen Marktplatz, gelten dort oft eigene Datenschutzregeln des Marktplatzbetreibers, die du in deiner eigenen Erklärung kurz erwähnen solltest.
Muss ich Wunschzettel- oder Merklisten-Funktionen extra erwähnen? Ja, sobald diese Funktion personenbezogene Daten speichert, etwa bei angemeldeten Kunden, gehört eine kurze Erklärung zu Zweck und Speicherdauer in die Erklärung.