Anforderungen an die Datenschutzerklärung im E-Commerce: Was Onlineshops enthalten müssen

Der Betrieb eines Onlineshops bringt besondere Datenschutzpflichten mit sich. Anders als Content-Websites oder SaaS-Anwendungen erheben E-Commerce-Unternehmen hochsensible Kundeninformationen, darunter Zahlungsdaten, Versandadressen und Kaufhistorien. Das macht Datenschutzerklärungen nicht nur zu einer rechtlichen Formalität, sondern zu einer kritischen Compliance-Anforderung.

Ob Sie einen Shopify-Shop starten, mit WooCommerce aufbauen oder eine eigene E-Commerce-Plattform betreiben: Zu verstehen, was Ihre Datenschutzerklärung enthalten muss, kann Sie vor teuren Bußgeldern und Vertrauensverlusten bei Kunden bewahren.

Warum E-Commerce-Datenschutzerklärungen anders sind

Onlineshops unterliegen strengeren Datenschutzanforderungen als die meisten Websites, weil sie:

• Zahlungsinformationen verarbeiten (Kreditkarten, Bankkonten, digitale Wallets)
• Versand- und Rechnungsadressen speichern
• Kaufhistorien und Kundenpräferenzen erfassen
• häufig Remarketing- und E-Mail-Marketing-Tools nutzen
• mit mehreren Drittanbietern zusammenarbeiten (Zahlungs-Gateways, Versanddienstleister, E-Mail-Dienste)
• oft international tätig sind und dadurch Gesetze wie GDPR und CCPA auslösen

Zahlungsdienstleister wie Stripe und PayPal verlangen Datenschutzerklärungen als Bestandteil ihrer Händlervereinbarungen. E-Commerce-Plattformen wie Shopify schreiben sie in ihren Nutzungsbedingungen ausdrücklich vor. Und Datenschutzgesetze wie die GDPR sehen bei Verstößen Bußgelder von bis zu 20 million euros vor.

Daten, die E-Commerce-Websites üblicherweise erheben

Eine umfassende E-Commerce-Datenschutzerklärung muss alle Praktiken der Datenerhebung offenlegen. Folgendes erfassen die meisten Onlineshops:

Konto- und Identitätsinformationen:

• Vollständige Namen
• E-Mail-Adressen
• Telefonnummern
• Konto-Passwörter (gehasht)
• Geburtsdatum (für altersbeschränkte Produkte)

Transaktionsinformationen:

• Rechnungsadressen
• Versandadressen
• Angaben zur Zahlungsmethode (letzte 4 Ziffern der Karte, PayPal-E-Mails)
• Kaufhistorie
• Bestellwerte und Produktpräferenzen

Technische Daten und Analysedaten:

• IP-Adressen
• Browsertyp und -version
• Geräteinformationen (Mobilgerät, Desktop, Betriebssystem)
• Surfverhalten (aufgerufene Seiten, Verweildauer auf der Website)
• Cookie-Daten und Tracking-Kennungen
• Verweisquellen (woher die Kunden gekommen sind)

Marketing- und Kommunikationsdaten:

• Präferenzen für E-Mail-Abonnements
• SMS-Opt-in-Status
• Interaktionen mit Marketingkampagnen
• Daten zu abgebrochenen Warenkörben
• Eingereichte Produktbewertungen

Ihre Datenschutzerklärung muss klar erläutern, welche Daten Sie erheben, warum Sie sie erheben, wie lange Sie sie aufbewahren und mit wem Sie sie teilen.

Rechtliche Anforderungen für Onlineshops

E-Commerce-Unternehmen müssen je nach Standort und Kundenkreis verschiedene Datenschutzgesetze einhalten:

GDPR (Europäische Union und Vereinigtes Königreich): Wenn Sie an Kunden in der EU oder im Vereinigten Königreich verkaufen, gilt die GDPR unabhängig vom Standort Ihres Unternehmens. Zu den Anforderungen gehören:

• Einholung einer ausdrücklichen Einwilligung in die Datenverarbeitung
• Bereitstellung eines klaren Opt-in für Marketing-E-Mails
• Gewährung einfacher Rechte auf Zugang, Berichtigung und Löschung von Daten
• Benennung eines EU-Vertreters, wenn Sie außerhalb der EU ansässig sind, aber erhebliche Mengen an Daten von EU-Kunden verarbeiten
• Meldung von Datenschutzverletzungen innerhalb von 72 hours

CCPA und CPRA (Kalifornien): Einwohner Kaliforniens haben besondere Rechte nach dem California Consumer Privacy Act und seinem Nachfolger, dem California Privacy Rights Act:

• Recht zu erfahren, welche personenbezogenen Daten erhoben werden
• Recht auf Löschung personenbezogener Daten
• Recht, dem Verkauf von Daten zu widersprechen
• Recht auf Nichtdiskriminierung bei Ausübung der Datenschutzrechte

Ihre Datenschutzerklärung muss einen Link "Do Not Sell My Personal Information" enthalten, wenn Sie Kundendaten an Dritte verkaufen (üblich bei Werbenetzwerken).

CalOPPA (California Online Privacy Protection Act): Verlangt von allen kommerziellen Websites, die personenbezogene Daten von Einwohnern Kaliforniens erheben, eine gut sichtbare Datenschutzerklärung zu veröffentlichen.

PCI-DSS-Compliance: Obwohl PCI-DSS (Payment Card Industry Data Security Standard) kein Datenschutzgesetz ist, regelt es, wie Sie mit Kreditkarteninformationen umgehen. Die meisten E-Commerce-Shops speichern keine unverschlüsselten Kartendaten (das übernimmt Ihr Zahlungsdienstleister), doch Ihre Datenschutzerklärung sollte dies klarstellen.

Plattformspezifische Anforderungen

Beliebte E-Commerce-Plattformen haben eigene Anforderungen an die Datenschutzerklärung:

Shopify: Die Nutzungsbedingungen von Shopify verlangen von allen Händlern, eine Datenschutzerklärung zu führen. Shopify stellt einen Generator bereit, doch dieser ist einfach gehalten und deckt möglicherweise nicht alle Ihre spezifischen Datenpraktiken ab. Sie müssen ihn anpassen, um Folgendes aufzunehmen:

• Den tatsächlichen Namen Ihres Unternehmens und Ihre Kontaktdaten
• Konkrete Apps und Integrationen, die Sie nutzen (E-Mail-Marketing, Bewertungen, Versand)
• Jede individuelle Datenerhebung, die über die Standardeinstellungen von Shopify hinausgeht

WooCommerce: Als WordPress-Plugin schreibt WooCommerce keine Datenschutzerklärung vor, doch der WordPress-Kern enthält Datenschutz-Tools. Sie sind verantwortlich für:

• Die Offenlegung aller WooCommerce-Erweiterungen, die Daten erheben (Abonnements, Buchungen, Mitgliedschaften)
• Drittanbieter-Zahlungs-Gateways über WooCommerce Payments hinaus
• Alle individuellen Checkout-Felder, die Sie hinzugefügt haben

BigCommerce: BigCommerce-Händler müssen einen Link zur Datenschutzerklärung in ihrer Fußzeile und im Checkout-Prozess vorhalten. Sie müssen Folgendes offenlegen:

• Die Rolle von BigCommerce als Datenverarbeiter
• Alle BigCommerce-Apps und -Integrationen
• Individuelle Skripte und Tracking-Pixel

Eigene Plattformen: Wenn Sie Ihre eigene E-Commerce-Lösung entwickelt haben, sind Sie vollständig für die Compliance verantwortlich. Arbeiten Sie mit einem Anwalt zusammen, um sicherzustellen, dass Ihre Datenschutzerklärung Ihre spezifische Architektur abdeckt, insbesondere wenn Sie Zahlungsdaten direkt speichern.

Angaben zu Zahlungsdienstleistern

Jeder Zahlungsdienstleister stellt Datenschutzanforderungen, die sich auf Ihre Datenschutzerklärung auswirken:

Stripe: Sie müssen offenlegen, dass Stripe Zahlungsinformationen verarbeitet, und auf die Datenschutzerklärung von Stripe verlinken. Nehmen Sie auf:

• "Wir verwenden Stripe für die Zahlungsabwicklung. Stripe erhebt Zahlungsinformationen direkt und verarbeitet sie gemäß seiner Privacy Policy: https://stripe.com/privacy"
• Stellen Sie klar, dass Sie keine vollständigen Kreditkartennummern speichern
• Erwähnen Sie die Nutzung von Cookies und Device-Fingerprinting durch Stripe zur Betrugserkennung

PayPal: Es gelten ähnliche Anforderungen:

• Legen Sie offen, dass Kunden, die PayPal wählen, der Datenschutzerklärung von PayPal unterliegen
• Verlinken Sie auf https://www.paypal.com/privacy
• Erwähnen Sie, dass PayPal begrenzte Transaktionsdaten an Sie zurückgeben kann

Square, Authorize.net und andere: Jedes Zahlungs-Gateway hat in seinen Händlervereinbarungen bestimmte Offenlegungsanforderungen. Prüfen Sie Ihren Vertrag und nehmen Sie auf:

• Name und Rolle des Dienstleisters
• Link zu dessen Datenschutzerklärung
• Welche Daten dieser erhebt und verarbeitet

Angaben zu Marketing und Analyse

E-Commerce-Shops nutzen in der Regel mehrere Marketing- und Analyse-Tools, von denen jedes offengelegt werden muss:

E-Mail-Marketing (Mailchimp, Klaviyo, Constant Contact):

• Wie Kunden E-Mails abonnieren und abbestellen können
• Welche Daten Sie mit Ihrer E-Mail-Plattform synchronisieren (Kaufhistorie, Surfverhalten)
• Link zur Datenschutzerklärung des E-Mail-Dienstes

Google Analytics und Google Ads:

• Legen Sie die Nutzung von Cookies und Tracking-Pixeln offen
• Erwähnen Sie die Datenverarbeitungspraktiken von Google
• Nehmen Sie Opt-out-Optionen auf (Google Analytics Opt-out Browser Add-on)
• Wenn Sie Google Ads Remarketing nutzen, erläutern Sie, wie Anzeigen Kunden im gesamten Web folgen

Facebook Pixel und Meta-Werbung:

• Erläutern Sie, dass der Facebook Pixel das Kundenverhalten verfolgt
• Legen Sie offen, dass Daten zu Werbezwecken mit Meta geteilt werden
• Verlinken Sie auf die Datenschutzerklärung von Meta
• Geben Sie Anweisungen zum Opt-out über die Facebook-Werbeeinstellungen

Weitere gängige Tools:

• Hotjar, Crazy Egg (Sitzungsaufzeichnung und Heatmaps)
• Trustpilot, Yotpo (Bewertungsplattformen)
• Versanddienstleister (FedEx, UPS, USPS) erhalten Kundenadressen
• Kundenservice-Tools (Zendesk, Intercom) greifen auf Gesprächsdaten zu

Wesentliche Abschnitte für E-Commerce-Datenschutzerklärungen

Eine vollständige E-Commerce-Datenschutzerklärung sollte diese Abschnitte enthalten:

1. Welche Informationen wir erheben - Umfassende Liste aller Datentypen
2. Wie wir Ihre Informationen verwenden - Bestellabwicklung, Kundenservice, Marketing
3. Dritte, mit denen wir Daten teilen - Vollständige Liste mit Links zu deren Datenschutzerklärungen
4. Zahlungsabwicklung - Konkrete Angaben zu Ihrem Zahlungsdienstleister
5. Versand und Fulfillment - Wie Adressen verwendet und mit Versanddienstleistern geteilt werden
6. Marketing-Kommunikation - Wie man E-Mails und SMS abonniert oder abbestellt
7. Cookies und Tracking - Welche Cookies Sie verwenden und warum
8. Datensicherheit - Wie Sie Kundeninformationen schützen
9. Datenspeicherung - Wie lange Sie Kundendaten aufbewahren
10. Ihre Rechte - Zugang, Löschung, Berichtigung, Übertragbarkeit (insbesondere für GDPR/CCPA)
11. Internationale Datenübermittlungen - Wenn Sie Daten grenzüberschreitend verarbeiten
12. Datenschutz für Kinder - Erklärung, dass Sie nicht wissentlich Daten von Minderjährigen erheben
13. Aktualisierungen der Richtlinie - Wie Sie Kunden über Änderungen informieren
14. Kontaktinformationen - Wie Kunden Sie bei Datenschutzfragen erreichen können

Häufige Compliance-Fehler, die Sie vermeiden sollten

Viele Onlineshop-Betreiber machen diese Fehler bei der Datenschutzerklärung:

Verwendung einer generischen Vorlage ohne Anpassung: Standardisierte Richtlinien, die Ihren tatsächlichen Zahlungsdienstleister, Ihr E-Mail-Marketing-Tool oder Ihr Analyse-Setup nicht nennen, machen Sie nicht konform und angreifbar.

Vergessen von Drittanbieter-Apps: Jede Shopify-App, jedes WooCommerce-Plugin und jede Drittanbieter-Integration, die auf Kundendaten zugreift, muss offengelegt werden. Überprüfen Sie Ihre Integrationen vierteljährlich.

Keine GDPR-Compliance bei internationalen Verkäufen: Wenn auch nur ein Kunde in der EU sitzt, benötigen Sie GDPR-Compliance. Dazu gehören Cookie-Einwilligungsbanner, Datenverarbeitungsvereinbarungen mit Anbietern und klare Angaben zu Rechten.

Fehlender Link zur Datenschutzerklärung im Checkout: Datenschutzgesetze verlangen häufig, dass Kunden Ihre Datenschutzerklärung leicht aufrufen können, wenn sie personenbezogene Daten angeben. Platzieren Sie einen Link in Ihrem Checkout-Ablauf, nicht nur in der Fußzeile.

Veraltete Richtlinien: Wenn Sie neue Tools hinzufügen, in neue Märkte expandieren oder Datenpraktiken ändern, aktualisieren Sie Ihre Datenschutzerklärung umgehend und informieren Sie Kunden, sofern dies gesetzlich vorgeschrieben ist.

Kein Mechanismus für die Cookie-Einwilligung: Die GDPR verlangt eine bejahende Einwilligung für nicht essenzielle Cookies. Wenn Sie Marketing-Pixel oder Analysedienste nutzen, setzen Sie ein ordnungsgemäßes Cookie-Einwilligungsbanner ein.

Behauptung, Sie verkauften keine Daten (obwohl Sie es tun): Das Teilen von Kundendaten mit Werbenetzwerken gilt nach CCPA häufig als "Verkauf". Seien Sie ehrlich und nehmen Sie den vorgeschriebenen Opt-out-Mechanismus auf.

Wie TermsBox E-Commerce-Datenschutzerklärungen vereinfacht

Eine konforme Datenschutzerklärung für Ihren Onlineshop zu erstellen muss nicht kompliziert sein. Der Generator von TermsBox enthält E-Commerce-spezifische Optionen, die Ihnen helfen:

• Integrationen von Zahlungsdienstleistern offenzulegen (Stripe, PayPal, Square)
• Gängige E-Commerce-Tools hinzuzufügen (Shopify, WooCommerce, E-Mail-Marketing-Plattformen)
• GDPR- und CCPA-Compliance-Abschnitte automatisch aufzunehmen
• Richtlinien zu erstellen, die auf Ihre tatsächlichen Datenpraktiken zugeschnitten sind
• problemlos zu aktualisieren, wenn Sie neue Tools hinzufügen oder in neue Märkte expandieren

Unser Generator stellt einfache Fragen zu Ihrem Shop und erstellt eine maßgeschneiderte Datenschutzerklärung, die alle in diesem Leitfaden besprochenen Anforderungen abdeckt. Sie können sie in mehreren Formaten herunterladen und erhalten eine gehostete URL, die sich automatisch aktualisiert.

Fazit

E-Commerce-Datenschutzerklärungen sind komplexer als Standardrichtlinien für Websites, weil Onlineshops mit sensiblen finanziellen und persönlichen Informationen umgehen. Die Anforderungen gehen über grundlegende Angaben hinaus und umfassen konkrete Formulierungen zur Zahlungsabwicklung, zum Teilen von Daten mit Dritten und zu internationalen Datenschutzrechten.

Ob Sie nebenbei einen Shopify-Shop betreiben oder einen millionenschweren Betrieb skalieren: Eine korrekte Datenschutzerklärung schützt Ihr Unternehmen vor rechtlichen Risiken und schafft Vertrauen bei Kunden. Nehmen Sie sich die Zeit, Ihre tatsächlichen Datenpraktiken zu prüfen, alle Drittanbieter-Integrationen offenzulegen und Ihre Richtlinie mit dem Wachstum Ihres Unternehmens aktuell zu halten.

Benötigen Sie eine Datenschutzerklärung, die alle Aspekte Ihres E-Commerce abdeckt? Testen Sie den Generator von TermsBox mit integrierter Unterstützung für Zahlungen, Versand, Marketing-Tools und GDPR/CCPA-Compliance. Erstellen Sie Ihre konforme Richtlinie in Minuten statt Stunden.