Die DSGVO Onlineshop-Pflichten wirken für viele kleine Händler wie ein Bürokratie-Monster – dabei sind die Kernpflichten überschaubar, wenn man sie einmal sortiert hat. Nach etlichen WooCommerce-Projekten in Wien und im DACH-Raum weiß ich: Die meisten kleinen Shops brauchen kein juristisches Vollprogramm, sondern eine Handvoll sauber umgesetzter Bausteine. Dieser Leitfaden zeigt praxisnah, was ein kleiner Shop wirklich braucht, welche Verstöße am häufigsten sind und worauf Sie achten sollten.
Wichtiger Hinweis: Dies ist keine Rechtsberatung. Ich beschreibe die technische und praktische Umsetzung aus Entwicklersicht. Für rechtsverbindliche Aussagen – gerade zu Ihren konkreten Texten und Verträgen – wenden Sie sich an einen auf Datenschutz spezialisierten Anwalt.
Warum die DSGVO gerade Shops betrifft
Ein Onlineshop verarbeitet naturgemäß viele personenbezogene Daten: Name, Adresse, E-Mail, Bestellhistorie, Zahlungsdaten, manchmal Geburtsdatum oder Telefonnummer. Genau deshalb ist ein Shop datenschutzrechtlich sensibler als eine reine Info-Website. Die gute Nachricht: Standard-Systeme wie WooCommerce bringen vieles bereits mit, wenn man sie richtig konfiguriert. Die schlechte: Von allein wird kein Shop rechtskonform – es braucht bewusste Entscheidungen.
Was ein kleiner Shop wirklich braucht
Datenschutzerklärung – vollständig und aktuell
Die Datenschutzerklärung ist Pflicht und muss transparent auflisten, welche Daten Sie zu welchem Zweck verarbeiten, an wen sie gehen (Zahlungsanbieter, Versanddienstleister, Analyse-Tools) und wie lange sie gespeichert werden. Eine kopierte Vorlage reicht selten – sie muss zu Ihrem tatsächlichen Shop passen. Jedes Tool, das Daten verarbeitet, gehört hinein.
Cookie-Consent – aber richtig
Ein Cookie-Banner ist kein Deko-Element. Nicht notwendige Cookies (Tracking, Marketing, Analyse) dürfen erst nach aktiver Einwilligung gesetzt werden – nicht vorab. Das bedeutet: Ablehnen muss so einfach sein wie Zustimmen, und ohne Einwilligung darf kein Analyse- oder Marketing-Skript laden. Viele Shops setzen hier Banner ein, die zwar hübsch aussehen, aber die Skripte trotzdem sofort laden – das ist einer der häufigsten Verstöße.
Auftragsverarbeitung (AVV) mit Dienstleistern
Jeder externe Dienst, der in Ihrem Auftrag personenbezogene Daten verarbeitet – Hosting, Zahlungsanbieter, Newsletter-Tool, Versanddienstleister –, braucht einen Auftragsverarbeitungsvertrag (AVV). Die meisten seriösen Anbieter stellen diesen bereit; Sie müssen ihn nur abschließen und dokumentieren. Das wird gern vergessen, ist aber eine klare Pflicht.
Rechte der Betroffenen
Ihre Kunden haben Rechte, die Sie erfüllen können müssen: Auskunft über gespeicherte Daten, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch. Praktisch heißt das: Sie müssen wissen, wo welche Kundendaten liegen, und Anfragen in angemessener Frist beantworten können. Bei WooCommerce gibt es dafür Bordmittel zum Export und zur Löschung von Personendaten. Wichtig ist, dass jemand im Betrieb weiß, wie diese Funktionen aufgerufen werden – im Ernstfall zählt, dass eine Auskunft oder Löschung tatsächlich innerhalb der Frist erledigt wird und nicht in einem überfüllten Postfach untergeht. Ein kurzer, dokumentierter Ablauf, wer solche Anfragen bearbeitet, erspart im Zweifel viel Stress.
Zahlungsdaten – Verantwortung auslagern
Der sicherste Umgang mit Zahlungsdaten ist, sie gar nicht selbst zu speichern. Seriöse Zahlungsanbieter (Kreditkarte, PayPal, Klarna & Co.) verarbeiten die sensiblen Daten auf ihrer Seite – Ihr Shop sieht Kreditkartennummern idealerweise nie. Das reduziert Ihr Risiko massiv. Ein Shop, der Kreditkartendaten selbst speichert, öffnet ein Fass, das kaum ein kleiner Händler sicher zumachen kann. In WooCommerce lässt sich das sauber lösen: Die gängigen Zahlungserweiterungen sind so gebaut, dass die eigentlichen Kartendaten direkt beim Zahlungsanbieter landen und Ihr Server sie nie zu Gesicht bekommt. Achten Sie bei der Auswahl der Zahlungsart genau darauf – es ist der wirksamste einzelne Schritt, um Ihr Haftungsrisiko klein zu halten.
Die Praxis-Checkliste
Diese Punkte arbeite ich bei jedem Shop-Projekt ab. Sie decken die häufigsten Pflichten ab:
| Baustein | Pflicht? | Worauf achten |
|---|---|---|
| Datenschutzerklärung | Ja | Auf den echten Shop zugeschnitten, alle Tools genannt, aktuell gehalten |
| Impressum | Ja | Vollständige Anbieterkennzeichnung, leicht erreichbar |
| Cookie-Consent | Ja (bei Tracking) | Skripte erst nach Einwilligung, Ablehnen so einfach wie Zustimmen |
| AVV mit Dienstleistern | Ja | Für jeden Prozessor abgeschlossen und dokumentiert |
| SSL/HTTPS | Ja | Verschlüsselte Übertragung aller Daten, kein Formular über HTTP |
| Betroffenenrechte | Ja | Auskunft und Löschung technisch möglich, Anfragen fristgerecht |
| Datensparsamkeit | Ja | Nur Daten erheben, die wirklich gebraucht werden |
Datenschutz von Anfang an mitdenken
Die DSGVO kennt zwei Grundsätze, die viele überlesen, weil sie technisch klingen – dabei ersparen sie im Alltag die meiste Arbeit: „Privacy by Design“ und „Privacy by Default“. Übersetzt heißt das: Datenschutz gehört von Anfang an in den Shop eingebaut, nicht nachträglich draufgeschraubt, und die datenschutzfreundlichste Einstellung ist die Voreinstellung.
Praktisch bedeutet das ein paar konkrete Entscheidungen: Newsletter-Häkchen sind standardmäßig nicht vorausgewählt. Ein Gastbestell-Vorgang ist möglich, ohne dass ein Konto erzwungen wird. Optionale Felder sind auch wirklich optional. Diese Kleinigkeiten summieren sich zu einem Shop, der die DSGVO nicht als Bremse behandelt, sondern als selbstverständlichen Teil einer sauberen Umsetzung. Wer das von Beginn an mitdenkt, spart sich das teure Nachrüsten – und genau diese Herangehensweise ist Teil einer professionellen Umsetzung.
Aufbewahrung und Löschung: nicht ewig speichern
Ein oft übersehener Punkt: Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Für Bestell- und Rechnungsdaten gelten steuerliche Aufbewahrungsfristen – die Daten müssen also eine bestimmte Zeit vorgehalten werden, danach aber gelöscht oder anonymisiert werden. Für andere Daten – etwa Warenkorb-Reste, alte Konten inaktiver Kunden, Newsletter-Abmeldungen – gilt: Weg damit, sobald der Zweck erfüllt ist.
In der Praxis heißt das, ein Konzept für Löschfristen zu haben und es umzusetzen, statt Daten „für alle Fälle“ ewig aufzuheben. Ein Shop, der jede Bestellung seit fünf Jahren mitsamt allen Kundendaten hortet, ohne einen Grund dafür nennen zu können, verstößt gegen den Grundsatz der Speicherbegrenzung. Die konkreten Fristen klären Sie am besten mit Ihrem Steuerberater und, für die datenschutzrechtliche Seite, mit einem Anwalt.
Datenübermittlung in Drittländer
Ein technisch heikler Punkt: Viele beliebte Tools – Analyse, Marketing, teils auch Schriftarten oder Karten – übertragen Daten an Server außerhalb der EU. Das ist nicht automatisch verboten, aber an Bedingungen geknüpft und ein häufiger Streitpunkt bei Abmahnungen. Der pragmatische Ansatz für einen kleinen Shop: nach Möglichkeit Dienste wählen, die innerhalb der EU verarbeiten, externe Ressourcen lokal einbinden statt von fremden Servern zu laden, und bei jedem Drittanbieter prüfen, wohin die Daten wirklich fließen. Weniger externe Dienste bedeuten weniger Angriffsfläche – auch das ein Argument für einen schlanken, sauber gebauten Shop.
Die häufigsten Verstöße
Aus der Praxis die Fehler, die mir bei bestehenden Shops immer wieder begegnen:
- Tracking vor der Einwilligung. Google Analytics oder Marketing-Pixel laden sofort beim Seitenaufruf, obwohl der Nutzer noch nichts akzeptiert hat. Klassiker Nummer eins.
- Kopierte Datenschutzerklärung. Ein Text von einer anderen Seite übernommen, der Tools nennt, die es im Shop gar nicht gibt – und andere verschweigt, die tatsächlich laufen.
- Fehlende AVV. Newsletter-Tool und Zahlungsanbieter im Einsatz, aber kein Auftragsverarbeitungsvertrag abgeschlossen.
- Zu viele Daten erhoben. Pflichtfelder für Telefonnummer und Geburtsdatum, die für die Bestellung gar nicht nötig sind.
- Newsletter ohne Double-Opt-in. Anmeldungen ohne Bestätigungsmail – rechtlich heikel und praktisch angreifbar.
Ein eigener Blick lohnt sich beim Newsletter und beim Marketing. Eine E-Mail-Adresse, die ein Kunde bei der Bestellung angibt, dürfen Sie nicht ohne Weiteres für Werbung nutzen – dafür braucht es in aller Regel eine gesonderte, nachweisbare Einwilligung. Der saubere Weg ist das Double-Opt-in: Der Interessent trägt sich ein, erhält eine Bestätigungsmail und bestätigt aktiv. Erst dann steht er auf der Liste, und Sie können im Streitfall belegen, dass die Einwilligung echt war. Wer diesen Nachweis nicht führen kann, steht bei einer Beschwerde schlecht da. Der Aufwand ist gering – die meisten Newsletter-Tools bringen Double-Opt-in als Standard mit, man muss es nur aktivieren.
Die meisten dieser Punkte lassen sich in WooCommerce mit den richtigen Einstellungen und Erweiterungen sauber lösen. Wie ein Shop von Grund auf richtig aufgesetzt wird, beschreibe ich in Onlineshop erstellen lassen – und wenn Sie noch bei der Systemwahl stehen, hilft der Beitrag Onlineshop erstellen: welches Shopsystem weiter.
Was bei Verstößen droht
Die DSGVO sieht theoretisch hohe Bußgelder vor – bis zu einem prozentualen Anteil des Jahresumsatzes oder Millionenbeträge. In der Praxis treffen die spektakulären Summen große Konzerne. Für einen kleinen Shop ist das realistischere Risiko ein anderes: Abmahnungen von Mitbewerbern oder Verbänden, Beschwerden von Kunden bei der Datenschutzbehörde und der Reputationsschaden, wenn öffentlich wird, dass Kundendaten schlecht geschützt waren. Auch kleinere Bußgelder und Anwaltskosten summieren sich schnell. Der Aufwand für saubere Umsetzung ist fast immer geringer als die Kosten eines Verstoßes.
Fazit
Die DSGVO für einen kleinen Onlineshop ist beherrschbar, wenn man sie in ihre Bausteine zerlegt: eine auf den echten Shop zugeschnittene Datenschutzerklärung, ein Cookie-Consent, der Skripte erst nach Einwilligung lädt, AVV mit allen Dienstleistern, erfüllbare Betroffenenrechte und Zahlungsdaten, die man am besten gar nicht selbst speichert. Die meisten dieser Punkte lassen sich in einem sauber aufgesetzten WooCommerce-Shop technisch abbilden. Die häufigsten Verstöße – Tracking vor der Einwilligung, kopierte Erklärungen, fehlende Verträge – sind vermeidbar, wenn man sie kennt. Und noch einmal: Für die rechtlich verbindliche Prüfung Ihrer Texte holen Sie einen Anwalt dazu – dieser Leitfaden ist die technische Seite, keine Rechtsberatung.
Sie wollen einen Shop DSGVO-tauglich aufsetzen oder einen bestehenden prüfen und nachbessern? Schreiben Sie mir über das Kontaktformular – ich sehe mir Ihren Shop an und setze die technischen Bausteine sauber um, vom Consent bis zur Zahlungsanbindung.
