DSGVO

1. Definition: Was bedeutet DSGVO genau?

Die DSGVO (Datenschutz-Grundverordnung, englisch: General Data Protection Regulation, GDPR) ist eine EU-Verordnung, die seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten gilt. Sie legt einheitliche Regeln fest, wie personenbezogene Daten verarbeitet werden dürfen und welche Rechte betroffene Personen haben.

Personenbezogene Daten sind alle Informationen, mit denen eine Person direkt oder indirekt identifiziert werden kann, zum Beispiel Name, E-Mail-Adresse, IP-Adresse, Kundennummer oder Bestellhistorie.

Im Unterschied zu früheren nationalen Datenschutzgesetzen ist die DSGVO direkt anwendbar und sieht deutlich höhere Bußgelder vor. Sie betrifft jedes Unternehmen, das Daten von Personen aus der EU verarbeitet – unabhängig davon, wo das Unternehmen seinen Sitz hat.

2. Warum ist die DSGVO für E-Commerce so wichtig?

Onlineshops und digitale Geschäftsmodelle arbeiten permanent mit personenbezogenen Daten. Die DSGVO ist deshalb ein Kern-Thema für dich, wenn du im E-Commerce Verantwortung trägst – egal ob als Geschäftsführer, Head of E-Commerce, SEO-Manager, IT-Leitung oder Content-Verantwortlicher.

• Du verarbeitest Kundendaten (Bestellungen, Support, Newsletter)
• Du nutzt Tracking-Tools (z. B. Webanalyse, Remarketing, A/B-Testing)
• Du arbeitest mit externen Dienstleistern (Zahlungsanbieter, Fulfillment, Hosting)
• Du übergibst Produktdaten und Kampagnendaten an Plattformen (z. B. Google Shopping)

All diese Prozesse fallen unter die DSGVO. Sie verlangt, dass du nachweisen kannst, für welche Zwecke du Daten verarbeitest, auf welcher Rechtsgrundlage dies geschieht und wie du die Rechte der Nutzer sicherstellst.

3. Zentrale Begriffe der DSGVO einfach erklärt

3.1 Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Entscheidend ist, ob ein Bezug zu einer Person hergestellt werden kann – direkt oder über zusätzliche Informationen.

• Direkte Daten: Name, Anschrift, E-Mail-Adresse, Telefonnummer
• Indirekte Daten: IP-Adresse, Cookie-ID, Kundennummer
• Besondere Kategorien (sensibel): Gesundheitsdaten, religiöse Überzeugungen, politische Meinung

Im typischen E-Commerce-Alltag arbeitest du vor allem mit direkten und indirekten personenbezogenen Daten, selten mit sensiblen Daten. Für besondere Kategorien gelten nochmals strengere Regeln.

3.2 Verarbeitung personenbezogener Daten

Verarbeitung meint jeden Vorgang im Umgang mit personenbezogenen Daten. Der Begriff ist bewusst sehr weit gefasst.

• Erheben (z. B. Formulareingabe im Checkout)
• Speichern (z. B. CRM, Warenwirtschaft, PIM)
• Übermitteln (z. B. an Zahlungsanbieter, Versanddienstleister)
• Auswerten (z. B. Webanalyse, BI-Tools)
• Löschen oder Anonymisieren

Jeder dieser Schritte muss im Sinne der DSGVO zulässig, dokumentiert und abgesichert sein.

3.3 Verantwortlicher und Auftragsverarbeiter

Die DSGVO unterscheidet zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Diese Rollen musst du im E-Commerce klar zuordnen:

Zwischen Verantwortlichem und Auftragsverarbeiter muss ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden, der Rechte und Pflichten regelt.

3.4 Rechtsgrundlagen der DSGVO

Jede Datenverarbeitung braucht eine rechtliche Basis. Die wichtigsten Rechtsgrundlagen im E-Commerce sind:

• Vertragserfüllung (z. B. Bestellabwicklung, Versand)
• Rechtliche Verpflichtung (z. B. steuerliche Aufbewahrungspflichten)
• Berechtigtes Interesse (z. B. Betrugsprävention, IT-Sicherheit, bestimmte Analysen)
• Einwilligung (z. B. Newsletter-Marketing, Tracking für Marketingzwecke)

Die Einwilligung muss freiwillig, informiert, spezifisch und nachweisbar sein. Für viele Tracking- und Marketing-Cookies ist ein Consent-Banner erforderlich.

4. Grundprinzipien der DSGVO im Onlinehandel

Die DSGVO basiert auf mehreren Grundprinzipien, die als Leitplanken für alle Datenprozesse dienen. Wenn du deine Systeme und Workflows danach ausrichtest, verringerst du rechtliche Risiken und baust Vertrauen auf.

4.1 Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

• Du brauchst immer eine gültige Rechtsgrundlage
• Du musst verständlich erklären, was du mit den Daten machst (Datenschutzerklärung)
• Überraschende oder versteckte Verarbeitungen sind unzulässig

Praxisnah heißt das: Eine klare, gut strukturierte Datenschutzerklärung, ein transparentes Cookie-Banner und saubere Dokumentation deiner Tools und Zwecke.

4.2 Zweckbindung und Datenminimierung

Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Du darfst sie nicht einfach für beliebige andere Zwecke weiterverwenden.

• Nur Daten erheben, die du wirklich für Bestellung, Versand, Support oder Analysen brauchst
• Keine überflüssigen Pflichtfelder im Checkout
• Für neue Zwecke (z. B. Newsletter) ggf. separate Einwilligung einholen

4.3 Richtigkeit und Speicherbegrenzung

Daten müssen sachlich richtig und auf dem neuesten Stand sein. Gleichzeitig sollen sie nicht länger gespeichert werden, als es für die jeweiligen Zwecke erforderlich ist.

• Regelmäßige Bereinigung von inaktiven Konten (soweit rechtlich zulässig)
• Löschkonzepte und Aufbewahrungsfristen definieren
• Berücksichtigung steuerlicher und handelsrechtlicher Fristen

4.4 Integrität, Vertraulichkeit und Accountability

Du musst die Sicherheit personenbezogener Daten gewährleisten und jederzeit nachweisen können, dass du DSGVO-konform arbeitest.

• Technische Maßnahmen: Verschlüsselung, Zugriffskontrollen, Backups
• Organisatorische Maßnahmen: Rollen- und Rechtekonzepte, Schulungen, Prozesse
• Dokumentation: Verzeichnis von Verarbeitungstätigkeiten, AV-Verträge, Richtlinien

5. Wichtige Rechte der Betroffenen nach DSGVO

Die DSGVO stärkt die Position der Nutzer deutlich. Du musst technisch-organisatorisch in der Lage sein, diese Rechte effizient zu erfüllen – gerade bei großen Datenmengen und vielen Systemen.

5.1 Auskunftsrecht

Nutzer können Auskunft darüber verlangen, welche personenbezogenen Daten du über sie gespeichert hast, zu welchen Zwecken und an wen diese Daten weitergegeben wurden. Die Antwort muss verständlich, vollständig und fristgerecht erfolgen.

5.2 Recht auf Berichtigung und Löschung

• Berichtigung: Falsche oder unvollständige Daten sind auf Wunsch zu korrigieren.
• Löschung: In bestimmten Fällen (z. B. Widerruf der Einwilligung, Zweck erreicht) müssen Daten gelöscht werden, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

In der Praxis brauchst du klare Prozesse, um Löschanfragen systemübergreifend umzusetzen (Shop, Newsletter-System, CRM, Analytics-Tools etc.).

5.3 Recht auf Einschränkung, Widerspruch und Datenübertragbarkeit

• Einschränkung: Nutzer können verlangen, dass Daten zwar gespeichert, aber nicht weiterverarbeitet werden.
• Widerspruch: Gegen bestimmte Verarbeitungen auf Basis berechtigter Interessen, insbesondere Direktwerbung, kann widersprochen werden.
• Datenübertragbarkeit: Nutzer können ihre Daten in einem strukturierten, gängigen Format anfordern, um sie zu einem anderen Anbieter zu übertragen.

6. DSGVO im E-Commerce-Alltag: Typische Anwendungsfälle

Damit du die DSGVO in deinem Onlineshop praxisnah einordnen kannst, lohnt ein Blick auf typische Szenarien.

6.1 DSGVO und Webtracking (Cookies, Analytics, Marketing)

Tracking und Analyse sind für SEO, SEA und Conversion-Optimierung zentral. Gleichzeitig ist dieser Bereich rechtlich sensibel.

• Consent-Management-Plattform (CMP) für Cookie-Einwilligungen
• Klare Unterscheidung zwischen technisch notwendigen und Marketing-/Analyse-Cookies
• Serverseitiges Tracking und IP-Anonymisierung prüfen
• Vereinbarungen mit Anbietern von Tracking- und Analyse-Tools (AVV, ggf. Datenverarbeitungsstandorte)

Für KI-basierte Auswertungen und Personalisierungen gilt: Der eingesetzte Dienst darf nur auf der Basis deiner Daten und vereinbarten Zwecke agieren, nicht für eigene Marketingzwecke des Dienstleisters.

6.2 DSGVO und Newsletter-/E-Mail-Marketing

Für werbliche E-Mails brauchst du in der Regel eine ausdrückliche Einwilligung (Double-Opt-in). Die DSGVO verlangt außerdem eine klare Dokumentation dieser Einwilligung.

• Double-Opt-in-Verfahren (Anmeldung und Bestätigungslink)
• Protokollierung von Zeitpunkt, IP-Adresse und Text der Einwilligung
• Einfache Abbestellmöglichkeit in jeder E-Mail
• AV-Vertrag mit deinem E-Mail-Dienstleister

6.3 DSGVO und KI-gestützte Tools im E-Commerce

Wenn du KI im E-Commerce nutzt, etwa zur automatisierten Erstellung von Produkttexten aus Feeds, musst du insbesondere folgende Punkte beachten:

• Verarbeitung primär von Produktdaten (i. d. R. keine personenbezogenen Daten)
• Klare vertragliche Regelung, dass der Anbieter deine Daten nur für die vereinbarten Zwecke nutzt
• Sichere Übertragung und Speicherung, idealerweise in der EU oder mit geeigneten Garantien
• Transparente Darstellung im Verzeichnis der Verarbeitungstätigkeiten

Tools wie feed2content.ai ® arbeiten feedbasiert und greifen damit primär auf Produktdaten zu, nicht auf Kundendaten. Wichtig ist trotzdem, dass du Schnittstellen und Exporte so konfigurierst, dass keine unnötigen personenbezogenen Daten in externe Systeme gelangen.

7. Pflichten für Unternehmen: Was die DSGVO konkret verlangt

Die DSGVO enthält eine Reihe von Pflichten, die je nach Unternehmensgröße und Art der Datenverarbeitung unterschiedlich intensiv greifen. Im E-Commerce-Umfeld solltest du vor allem Folgendes im Blick haben:

7.1 Verzeichnis von Verarbeitungstätigkeiten

Du musst dokumentieren, welche Daten du wofür verarbeitest, auf welcher Rechtsgrundlage, mit welchen Empfängern und welchen technischen und organisatorischen Maßnahmen.

• Checkout und Bestellabwicklung
• Newsletter- und CRM-Prozesse
• Tracking, Webanalyse, A/B-Testing
• Anbindung externer Systeme (PIM, ERP, BI, KI-Tools)

7.2 Auftragsverarbeitungsverträge (AVV)

Mit allen Dienstleistern, die personenbezogene Daten in deinem Auftrag verarbeiten, brauchst du einen AV-Vertrag. Typische Beispiele sind:

• Hosting-Provider und Cloud-Infrastruktur
• E-Mail- und Newsletter-Anbieter
• Analyse-, Tracking- und Marketing-Tools
• KI-gestützte Content- und Datenverarbeitungsdienste

Der Vertrag regelt insbesondere Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschkonzepte und Kontrollrechte.

7.3 Datenschutz-Folgenabschätzung (DSFA)

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt, ist eine Datenschutz-Folgenabschätzung notwendig. Das kann zum Beispiel bei umfangreicher Profilbildung, sensiblen Daten oder systematischer Überwachung zutreffen.

Im E-Commerce ist eine DSFA vor allem bei sehr umfangreichen Tracking-Setups, starker Personalisierung oder datengetriebenen Loyalty-Programmen relevant.

7.4 Datenschutzbeauftragter

In bestimmten Fällen musst du einen Datenschutzbeauftragten benennen, intern oder extern. Das ist in Deutschland zum Beispiel notwendig, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder wenn besondere Kategorien von Daten in großem Umfang verarbeitet werden.

7.5 Meldepflichten bei Datenschutzverletzungen

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten (z. B. Datenleck, unbefugter Zugriff), musst du dies unter Umständen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden und in bestimmten Fällen auch die Betroffenen informieren.

8. Sanktionen und Risiken bei DSGVO-Verstößen

Die DSGVO sieht empfindliche Bußgelder vor. Diese können bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für E-Commerce-Unternehmen ist das ein ernst zu nehmendes Geschäftsrisiko.

• Bußgelder durch Aufsichtsbehörden
• Abmahnrisiko durch Wettbewerber oder Verbände (je nach Rechtslage)
• Reputationsschäden und Vertrauensverlust bei Kunden
• Interne Kosten für Krisenmanagement und Nachbesserungen

Ein strukturiertes Datenschutz-Management ist daher nicht nur eine Compliance-Pflicht, sondern auch ein wirtschaftlicher Schutzfaktor.

9. Best Practices: DSGVO-konform skalieren im E-Commerce

Gerade bei wachsendem Sortiment, vielen Systemen und automatisierten Prozessen brauchst du einen skalierbaren Ansatz, der DSGVO und Wachstum miteinander verbindet.

9.1 Datenflüsse zentral verstehen und dokumentieren

Ein klarer Überblick über deine Datenflüsse ist die Basis. Typische Fragen sind:

• Welche Systeme verarbeiten welche personenbezogenen Daten?
• Wo verlassen Daten dein Unternehmen (Schnittstellen, Exporte, APIs)?
• Welche Daten werden von KI- oder Automatisierungstools genutzt?

Für feedbasierte Prozesse, etwa zur Produkttext-Generierung, ist es sinnvoll, Produktdaten als zentrale Datenquelle (Single Source of Truth) zu nutzen und personenbezogene Daten strikt getrennt zu halten.

9.2 Privacy by Design und Privacy by Default

Die DSGVO verlangt, dass Datenschutz schon bei der Planung von Systemen berücksichtigt wird (Privacy by Design) und datenschutzfreundliche Voreinstellungen gewählt werden (Privacy by Default).

• Standard-Einstellungen, die nur notwendige Daten verarbeiten
• Optionale Features (z. B. Marketing-Tracking) nur nach Opt-in
• Systemarchitektur, die Datenminimierung und Trennung unterstützt

9.3 Automatisierung und DSGVO: Chancen richtig nutzen

Automatisierung und KI können helfen, DSGVO-Anforderungen effizient zu erfüllen, statt sie zu erschweren. Beispiele:

• Standardisierte Prozesse für Lösch- und Auskunftsersuchen
• Regelbasierte Datenflüsse zwischen Shop, PIM, ERP und Content-Systemen
• Automatische Aktualisierung von Inhalten auf Basis sauberer Stammdaten

Wenn du Tools einsetzt, die direkt auf strukturierte Feeds (z. B. XML, CSV) zugreifen, kannst du strikt steuern, welche Daten in die Verarbeitung einfließen. So lässt sich vermeiden, dass personenbezogene Daten unnötig in Drittsysteme übertragen werden.

10. Häufige Fragen zur DSGVO

11. Nächste Schritte: DSGVO-sicher skalieren und Content automatisieren

Du möchtest Produkttexte in großer Stückzahl erstellen und dabei deine DSGVO-Anforderungen im Griff behalten? Dann ist ein feedbasierter Ansatz sinnvoll: Du definierst sauber, welche Produktdaten in deine Content-Prozesse fließen, verhinderst unnötige Verarbeitung personenbezogener Daten und kannst trotzdem tausende SEO-optimierte Texte effizient ausspielen.

Du möchtest feed2content.ai ® kennenlernen? Sieh dir unsere Funktionen live an und teste feed2content.ai ® kostenfrei – auf Basis deiner eigenen Produktdaten.