DSGVO-Checkliste für deinen Onlineshop
Ein Onlineshop verarbeitet personenbezogene Daten in Checkout, Zahlung, Versand, Support und häufig auch Marketing. Diese Checkliste hilft, tatsächliche Datenflüsse, Rollen, Rechtsgrundlagen, Informationen und technische Einstellungen strukturiert zu erfassen; sie ersetzt keine Datenschutzprüfung des Einzelfalls.
Warum gerade Shops getroffen werden
Name, Anschrift, Kontaktdaten, Zahlungs- und Gerätedaten können je nach Ablauf personenbezogen sein. Shop-Software, Apps und Einbettungen bauen zudem Datenflüsse zu Dienstleistern auf. Deshalb beginnt die Prüfung nicht beim Banner, sondern mit einem Verzeichnis der eingesetzten Systeme, Zwecke, Empfänger, Speicherfristen und Übermittlungen.
1. Datenschutzerklärung, passend zu deinen Tools
Jeder Shop braucht eine vollständige, aktuelle Datenschutzerklärung, die genau die Tools abbildet, die du wirklich einsetzt: Shopify, Zahlungsanbieter, Versanddienstleister, Analytics, Newsletter, eingebundene Schriftarten. Eine generische Vorlage, die nicht zu deinen tatsächlichen Tools passt, ist im Zweifel falsch.
2. Cookie-Consent, der wirklich vorher fragt
§ 25 TDDDG verlangt grundsätzlich eine Einwilligung, wenn Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden; die gesetzlichen Ausnahmen sind eng am konkreten Zweck zu prüfen. Zusätzlich braucht jede anschließende Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach der DSGVO.
3. Google Fonts und externe Schriftarten lokal einbinden
Werden Schriftarten, Karten, Videos oder Skripte von externen Servern geladen, entstehen Verbindungen zu Dritten und dabei können personenbezogene Daten übertragen werden. Ob dafür eine Einwilligung oder eine andere Rechtsgrundlage tragfähig ist, hängt von Dienst, Zweck, Erforderlichkeit und Datenfluss ab.
4. Auftragsverarbeitung im Blick behalten
Ein Vertrag nach Artikel 28 DSGVO ist erforderlich, wenn ein Dienstleister personenbezogene Daten als Auftragsverarbeiter nach dokumentierten Weisungen verarbeitet. Zahlungs-, Versand- oder Plattformanbieter können je nach Tätigkeit auch eigene Verantwortliche oder gemeinsam Verantwortliche sein. Der Vertragstyp folgt der tatsächlichen Rolle, nicht der Produktkategorie.
5. Bestell- und Kundendaten sparsam und sicher
Erhebe nur Daten, die du für die Bestellung wirklich brauchst (Datensparsamkeit). Pflichtfelder im Checkout auf das Nötige beschränken, Daten verschlüsselt übertragen (HTTPS ist bei Shopify Standard) und nicht länger speichern als nötig oder gesetzlich vorgeschrieben.
6. Newsletter nur mit Double-Opt-In
E-Mail-Werbung erfordert grundsätzlich eine vorherige ausdrückliche Einwilligung. § 7 Abs. 3 UWG enthält eine enge Ausnahme für eigene ähnliche Waren oder Dienstleistungen gegenüber Bestandskunden, wenn sämtliche Voraussetzungen erfüllt sind und bei Erhebung sowie jeder Nutzung klar widersprochen werden kann.
7. Betroffenenrechte und Erreichbarkeit
Betroffene haben unter anderem Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, jeweils unter den gesetzlichen Voraussetzungen. Eine funktionierende Kontaktstelle und ein interner Ablauf für Identitätsprüfung, Fristen und Dokumentation sind nötig. Ob ein Datenschutzbeauftragter zu benennen ist, richtet sich nach Artikel 37 DSGVO und ergänzend § 38 BDSG – nicht allein nach der Größe des Shops.
Woher die richtigen Texte kommen
Eine passende Datenschutzerklärung schreibst du nicht aus dem Bauch. Nutze Texte eines spezialisierten Anbieters oder anwaltliche Beratung und gleiche sie mit den tatsächlich eingesetzten Tools ab. Ob und wie Aktualisierungen erfolgen, hängt vom gewählten Anbieter und Tarif ab.
Consent-Wiring vor dem Launch technisch prüfen
Der Ladenfertig Shopify Launch-Check prüft, ob offensichtliche Tracking-Verbindungen vor einer Einwilligung starten und ob relevante Seiten erreichbar sind. Du erhältst eine priorisierte Fix-Liste und eine kommentierte Video-Übergabe. Der Gesamtpreis beträgt 149 €; gemäß § 19 UStG wird keine Umsatzsteuer ausgewiesen. Keine rechtliche Inhaltsprüfung.
Launch-Check ansehen →DSGVO-Checkliste zum Abhaken
- ☐ Datenschutzerklärung vollständig und passend zu den eingesetzten Tools
- ☐ Endgerätezugriffe nach § 25 TDDDG bewertet; einwilligungsbedürftige Tags vor Zustimmung blockiert
- ☐ „Alle ablehnen“ und „Alle akzeptieren“ gleichwertig erreichbar; Widerruf möglich
- ☐ Google Fonts und externe Schriftarten lokal eingebunden
- ☐ Externe Einbettungen inventarisiert und je Rechtsgrundlage gesteuert
- ☐ Rollen aller Dienstleister geprüft; AVV nur mit Auftragsverarbeitern abgeschlossen
- ☐ Checkout-Pflichtfelder auf das Nötige beschränkt (Datensparsamkeit)
- ☐ E-Mail-Werbung mit Einwilligungsnachweis oder dokumentierter §-7-Abs.-3-Ausnahme; kein vorausgewähltes Häkchen
- ☐ Betroffenenrechte erklärt, Kontaktstelle erreichbar
- ☐ Erforderlichkeit eines Datenschutzbeauftragten nach Art. 37 DSGVO / § 38 BDSG geprüft
- ☐ HTTPS aktiv; Zugriffe, Aufbewahrung und Löschung angemessen geregelt
- ☐ Testbestellung durchgeführt, Consent-Verhalten geprüft
DSGVO · § 25 TDDDG · § 7 UWG · § 38 BDSG · EDPB Guidelines 07/2020: Verantwortlicher/Auftragsverarbeiter
Hinweis: Dieser Beitrag bietet allgemeine Orientierung und ist keine Rechts- oder Datenschutzberatung. Für verbindliche, auf deinen Shop bezogene Aussagen wende dich an qualifizierte rechtliche oder datenschutzrechtliche Beratung.