Datenschutzbeauftragter E-Commerce

Spezialisierte DSGVO-Compliance für Unternehmen in Dresden & Sachsen.

Spezialisierte Fachkenntnis für E-Commerce in Dresden & Sachsen.

Online-Shops und E-Commerce-Unternehmen verarbeiten bei jeder Bestellung umfangreiche personenbezogene Daten: Namen, Lieferadressen, E-Mail-Adressen, Zahlungsinformationen und Kaufhistorien. Hinzu kommen Tracking-Technologien, Cookie-basierte Nutzungsanalysen und personalisierte Werbung, die den Datenschutz im E-Commerce besonders komplex machen. Das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) regelt zusätzlich zur DSGVO den Einsatz von Cookies und Tracking-Technologien.

Die Herausforderung für Online-Haendler liegt in der Vielzahl technischer Systeme und Dienstleister: Shopsysteme (Shopify, WooCommerce, Magento), Zahlungsanbieter (PayPal, Stripe, Klarna), Marketing-Tools (Google Analytics, Meta Pixel, Newsletter-Dienste), Logistikpartner und Kundenservice-Plattformen. Jede dieser Integrationen erfordert eigene Datenschutzbetrachtungen, AV-Vertraege und Einwilligungsmanagement.

DATUREX unterstützt E-Commerce-Unternehmen in Dresden und Sachsen bei der DSGVO-konformen Gestaltung ihres Online-Geschäfts — vom Cookie-Consent-Banner über die datenschutzkonforme Checkout-Gestaltung bis hin zur rechtskonformen Nutzung von Marketing-Tools und Kundendatenbanken.

Warum braucht E-Commerce einen Datenschutzbeauftragten?

Online-Shops sind zur Benennung eines Datenschutzbeauftragten verpflichtet, sobald mindestens 20 Personen regelmäßig personenbezogene Daten verarbeiten (Paragraph 38 Abs. 1 BDSG). Bei E-Commerce-Unternehmen zaehlen nicht nur die Mitarbeiter im Kundenservice und in der Auftragsbearbeitung, sondern auch Marketing-Mitarbeiter, die mit Kundendaten und Tracking-Systemen arbeiten. Zusaetzlich verlangt das TTDSG ein rechtssicheres Cookie-Consent-Management für alle nicht technisch notwendigen Cookies und Tracker.

Typische Datenschutz-Herausforderungen in E-Commerce

Cookie-Consent-Management: Rechtssicherer Consent-Banner nach TTDSG und DSGVO für Analytics, Marketing und Personalisierung
Checkout-Datensparsamkeit: Nur tatsaechlich benoetigte Daten im Bestellprozess erheben, Gastbestellungen ermöglichen
Zahlungsdaten-Sicherheit: PCI DSS Compliance bei Kreditkartenzahlung, Tokenisierung und sichere Weitergabe an Payment-Provider
Marketing-Compliance: Datenschutzkonforme Nutzung von Google Analytics, Meta Pixel, Newsletter-Versand und Retargeting
Kundenkonto und Profiling: Transparente Information über Datennutzung bei Kaufhistorie, Empfehlungen und personalisierten Angeboten

DSGVO-Checkliste für E-Commerce

Diese Checkliste hilft Online-Shops bei der systematischen Umsetzung der DSGVO- und TTDSG-Anforderungen:

Cookie-Consent-Banner implementieren: Opt-in für Analytics und Marketing, technisch notwendige Cookies ohne Einwilligung
Datenschutzerklärung aktualisieren: Alle eingesetzten Tracking-Tools, Zahlungsanbieter und Drittdienste auflisten
Verarbeitungsverzeichnis für alle Shop-Prozesse: Bestellabwicklung, Kundenkonto, Newsletter, Marketing, Retouren
AV-Vertraege mit allen E-Commerce-Dienstleistern: Shopsystem, Hosting, Payment-Provider, Versanddienstleister, Marketing-Tools
Checkout-Prozess prüfen: Datensparsamkeit, Pflichtfelder minimieren, Gastbestellung anbieten, SSL-Verschluesselung
Newsletter-Einwilligung: Double-Opt-in Verfahren, Abmeldelink, Dokumentation der Einwilligung
Datenschutz Kundendaten: Bestelldaten nach Ablauf steuerlicher Aufbewahrungsfristen löschen, inaktive Konten bereinigen
Widerrufsrecht und Datenportabilitaet: Kundendaten auf Anfrage in maschinenlesbarem Format bereitstellen (Art. 20 DSGVO)
Drittland-Transfers prüfen: Standardvertragsklauseln für US-basierte Tools (Google, Meta, Mailchimp)

Was kostet ein externer Datenschutzbeauftragter für E-Commerce?

Die Kosten werden bestimmt durch die Größe des Online-Shops (Umsatz, Bestellvolumen, Kundendatenbank), die Anzahl eingesetzter Drittanbieter-Tools und Integrationen, die Komplexitaet des Marketing-Stacks (Tracking, Retargeting, Newsletter) und den aktuellen Stand der Cookie-Consent-Implementierung. Ein Shopify-Shop mit 3 Mitarbeitern hat einen anderen Betreuungsbedarf als ein Multichannel-Haendler mit eigenem Warenwirtschaftssystem und 50 Mitarbeitern.

Ein externer DSB kennt die typischen E-Commerce-Datenschutzfallen und kann schnell praktikable Lösungen umsetzen — von der Cookie-Consent-Optimierung bis zur Marketing-Compliance. Vereinbaren Sie eine kostenlose Erstberatung bei DATUREX.

Paragraph 38 BDSG und die Auswirkung auf E-Commerce

Nach aktuellem Stand (März 2026) verpflichtet Paragraph 38 Abs. 1 BDSG Unternehmen zur Benennung eines Datenschutzbeauftragten, wenn mindestens 20 Personen regelmäßig personenbezogene Daten verarbeiten. Es ist eine Gesetzesänderung geplant, die diese Schwelle anheben oder Paragraph 38 vollständig streichen könnte.

Sollte Paragraph 38 BDSG entfallen, würde die DSB-Pflicht für E-Commerce-Unternehmen nur noch bestehen, wenn Art. 37 DSGVO direkt anwendbar ist — also bei umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer Überwachung. Viele Online-Shops mit weniger als 20 Mitarbeitern wären dann möglicherweise nicht mehr gesetzlich zur Benennung verpflichtet. Größere E-Commerce-Unternehmen mit umfangreichem Kundenprofiling oder systematischem Tracking könnten jedoch weiterhin unter Art. 37 Abs. 1 lit. c fallen.

Unabhaengig von der gesetzlichen Pflicht empfehlen wir E-Commerce-Unternehmen, einen Datenschutzbeauftragten zu benennen — DSGVO-Verstoße im Online-Handel fuehren regelmäßig zu Abmahnungen und Bußgeldern, und ein professioneller Datenschutz stärkt das Kundenvertrauen.

Datenschutz-Folgenabschätzung (DSFA) für E-Commerce

In der Regel ist für E-Commerce-Unternehmen keine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Ausnahmen bestehen bei umfangreichem Kundenprofiling mit automatisierten Einzelentscheidungen (z. B. KI-basierte Preisgestaltung oder automatische Bonitaetsprüfung) oder bei systematischer Überwachung des Nutzerverhaltens in grossem Umfang. Standardmaessiges Web-Analytics mit einwilligungsbasiertem Cookie-Consent loest in der Regel keine DSFA-Pflicht aus.

Häufige Fragen: Datenschutzbeauftragter für E-Commerce

Braucht mein Online-Shop einen Datenschutzbeauftragten?

Wenn mindestens 20 Personen in Ihrem Unternehmen regelmäßig personenbezogene Daten verarbeiten, ist ein DSB Pflicht nach Paragraph 38 BDSG. Dazu zaehlen alle Mitarbeiter mit Zugriff auf Kundendaten — Kundenservice, Versand, Marketing und IT. Auch bei weniger als 20 Mitarbeitern kann eine Pflicht bestehen, wenn Ihre Kerntätigkeit in der umfangreichen systematischen Überwachung besteht.

Welche Cookies brauchen eine Einwilligung?

Nach TTDSG und DSGVO benoetigen alle nicht technisch notwendigen Cookies eine aktive Einwilligung (Opt-in) vor dem Setzen. Technisch notwendig sind nur Cookies für den Warenkorb, die Session-Verwaltung und wesentliche Shop-Funktionen. Analytics-Cookies (Google Analytics), Marketing-Cookies (Meta Pixel, Retargeting) und Personalisierungs-Cookies erfordern immer eine vorherige Einwilligung.

Wie wird der Newsletter-Versand DSGVO-konform gestaltet?

Newsletter erfordern eine nachweisbare Einwilligung im Double-Opt-in-Verfahren: Der Kunde trägt seine E-Mail-Adresse ein und bestätigt den Erhalt per Klick auf einen Bestätigungslink. Jeder Newsletter muss einen Abmeldelink enthalten. Die Einwilligung muss dokumentiert und jederzeit widerrufbar sein. Koppelungsverbote beachten — die Newsletter-Anmeldung darf nicht Voraussetzung für einen Kauf sein.

Dürfen wir Google Analytics ohne Einwilligung nutzen?

Nein. Google Analytics setzt Cookies und verarbeitet personenbezogene Daten (IP-Adressen, Nutzerverhalten). Nach TTDSG und DSGVO ist eine aktive Einwilligung über den Cookie-Consent-Banner erforderlich. Datenschutzfreundliche Alternativen wie Matomo (selbst gehostet, ohne Cookies) können unter bestimmten Voraussetzungen ohne Einwilligung betrieben werden.

Welche Pflichten bestehen bei der Zahlungsabwicklung?

Bei der Zahlungsabwicklung müssen Kunden über die Weitergabe ihrer Daten an den Payment-Provider informiert werden (Art. 13 DSGVO). Mit Zahlungsanbietern wie PayPal, Stripe oder Klarna muss die datenschutzrechtliche Verantwortlichkeit klar geregelt sein. Bei Kreditkartenzahlung gelten zusätzlich PCI DSS Standards. Zahlungsdaten sollten tokenisiert und nicht im Shop-System gespeichert werden.

Kostenlose Erstberatung für E-Commerce

Als E-Commerce-Unternehmen stehen Sie vor besonderen Datenschutz-Herausforderungen: Cookie-Consent, Tracking-Compliance, Zahlungsdaten-Sicherheit und Marketing-Rechtmaessigkeit. DATUREX kennt die spezifischen Anforderungen des Online-Handels — von der TTDSG-konformen Cookie-Implementierung über die Datensparsamkeit im Checkout bis zur rechtssicheren Newsletter-Strategie. Vereinbaren Sie jetzt eine kostenlose Erstberatung.

Jetzt kostenlose Erstberatung für E-Commerce anfragen »

Unsere Datenschutz-Leistungen für E-Commerce

DSGVO-Checkliste für Online-Shops

Ein DSGVO-konformer Online-Shop muss zahlreiche datenschutzrechtliche Anforderungen erfüllen. Die folgende Checkliste gibt einen Überblick über die wichtigsten Punkte:

Datenschutzerklärung: Vollständig, aktuell und leicht auffindbar. Muss alle eingesetzten Dienste, Cookies und Datenverarbeitungen transparent beschreiben
SSL/TLS-Verschlüsselung: Die gesamte Website muss über HTTPS erreichbar sein — insbesondere der Checkout-Bereich und alle Formulare
Cookie-Consent-Banner: Technisch nicht notwendige Cookies dürfen erst nach ausdrücklicher Einwilligung gesetzt werden (Opt-in-Pflicht nach TTDSG)
Auftragsverarbeitungsverträge (AVV): Mit allen Dienstleistern, die personenbezogene Daten verarbeiten — Hosting, Payment, Versand, Newsletter, Analytics
Bestellabwicklung und Datenminimierung: Nur die für die Bestellung tatsächlich erforderlichen Daten erheben. Ein Geburtsdatum ist bei den meisten Produkten nicht erforderlich
Gastbestellung ermöglichen: Kunden dürfen nicht zur Erstellung eines Kundenkontos gezwungen werden. Eine Gastbestellung muss möglich sein
Löschkonzept: Klare Fristen, wann Bestelldaten, Kundendaten und Logfiles gelöscht werden. Steuerliche Aufbewahrungsfristen (10 Jahre) beachten
Recht auf Datenportabilität: Kunden müssen ihre Daten in einem maschinenlesbaren Format exportieren können
Datenschutz-Folgenabschätzung: Bei umfangreichem Profiling, Scoring oder der Verarbeitung besonderer Datenkategorien erforderlich
Verzeichnis der Verarbeitungstätigkeiten: Muss alle Datenverarbeitungen im Shop dokumentieren und auf Anfrage der Aufsichtsbehörde vorgelegt werden können

Wir prüfen Ihren Online-Shop anhand dieser Checkliste und identifizieren alle Handlungsfelder — schnell, pragmatisch und ohne Ihren Geschäftsbetrieb zu unterbrechen.

Tracking und Cookies im E-Commerce

Das Tracking von Nutzern im E-Commerce ist seit dem TTDSG und der verstärkten Durchsetzung der DSGVO deutlich komplexer geworden. Shop-Betreiber müssen genau wissen, welche Daten sie erheben und auf welcher Rechtsgrundlage dies geschieht.

Google Analytics und Alternativen

Google Analytics 4 (GA4) ist nur mit ausdrücklicher Einwilligung des Nutzers zulässig. Der Consent muss vor dem Laden des Tracking-Scripts eingeholt werden. Als datenschutzfreundliche Alternative bieten sich Matomo (selbstgehostet) oder Plausible Analytics an, die ohne Cookies auskommen und unter bestimmten Voraussetzungen ohne Einwilligung genutzt werden können.

Retargeting und Werbepixel

Facebook Pixel, Google Ads Remarketing und ähnliche Retargeting-Technologien erfordern eine ausdrückliche Einwilligung. Die Einwilligung muss informiert erfolgen — der Nutzer muss wissen, dass seine Daten an Facebook oder Google übermittelt werden. Bei Drittlandtransfers (USA) sind zusätzlich die Anforderungen des EU-US Data Privacy Frameworks zu beachten.

Server-Side Tracking

Viele Shop-Betreiber setzen zunehmend auf Server-Side Tracking, um Cookie-Blocker zu umgehen. Dies ist datenschutzrechtlich nicht unproblematisch: Auch serverseitiges Tracking muss transparent in der Datenschutzerklärung beschrieben werden, und für nicht erforderliche Datenverarbeitungen ist weiterhin eine Einwilligung nötig.

Newsletter und Bewertungen: DSGVO-konform umsetzen

Newsletter-Marketing

Der Versand von Werbe-Newslettern erfordert eine nachweisbare Einwilligung im Double-Opt-in-Verfahren. Für Bestandskunden gibt es eine Ausnahme nach § 7 Abs. 3 UWG: Sie dürfen per E-Mail auf ähnliche Produkte hingewiesen werden, wenn sie beim Kauf auf ihr Widerspruchsrecht hingewiesen wurden. Die Einwilligung muss getrennt von den AGB eingeholt werden und darf nicht vorausgefüllt sein.

Wichtig: Der Newsletter-Dienstleister (Mailchimp, CleverReach, Brevo etc.) verarbeitet Daten im Auftrag — eine AVV ist zwingend erforderlich. Bei US-Anbietern müssen zusätzlich die Anforderungen für Drittlandtransfers erfüllt sein.

Kundenbewertungen

Die Einholung von Kundenbewertungen per E-Mail nach dem Kauf ist zulässig, wenn sie als Teil der Vertragsabwicklung betrachtet wird. Allerdings muss der Kunde auf sein Widerspruchsrecht hingewiesen werden. Bewertungsplattformen wie Trusted Shops oder eKomi müssen als Auftragsverarbeiter vertraglich eingebunden werden.

Besonders zu beachten: Fake-Bewertungen und gekaufte Bewertungen sind nicht nur wettbewerbsrechtlich problematisch, sondern können auch gegen die DSGVO verstoßen, wenn sie mit realen Kundendaten verknüpft werden.

Häufig gestellte Fragen zum Datenschutz im E-Commerce

Braucht jeder Online-Shop einen Datenschutzbeauftragten?

Nicht zwingend, aber in der Praxis fast immer. Nach § 38 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Außerdem ist ein DSB erforderlich, wenn der Shop umfangreiches Profiling betreibt oder besondere Datenkategorien verarbeitet (z.B. Gesundheitsprodukte, religiöse Artikel). Auch bei geringerer Mitarbeiterzahl empfehlen wir einen externen DSB als Risikominimierung.

Wie lange dürfen Kundendaten nach einer Bestellung gespeichert werden?

Bestelldaten unterliegen steuerlichen Aufbewahrungsfristen von 6 bis 10 Jahren (§ 147 AO, § 257 HGB). Kundenkonten ohne Bestellungen sollten nach spätestens 3 Jahren Inaktivität gelöscht werden. Logfiles sind in der Regel nach 7 Tagen zu löschen, es sei denn, sie werden für die Fehleranalyse oder Missbrauchserkennung benötigt.

Was muss bei Zahlungsabwicklung über PayPal, Stripe oder Klarna beachtet werden?

Payment-Provider sind in der Regel eigenständige Verantwortliche, keine Auftragsverarbeiter. Dennoch muss die Datenweitergabe in der Datenschutzerklärung transparent beschrieben werden. Bei Klarna und anderen Buy-now-pay-later-Anbietern ist zu beachten, dass diese eine Bonitätsprüfung durchführen — hierüber muss der Kunde vor Abschluss der Bestellung informiert werden.

Gelten besondere Regeln für den Verkauf in andere EU-Länder?

Ja, wer gezielt Kunden in anderen EU-Mitgliedstaaten anspricht (z.B. durch länderspezifische Domains, Sprachen oder Währungen), muss auch die nationalen Datenschutzgesetze dieser Länder beachten. In der Praxis bedeutet dies vor allem: Datenschutzerklärung in der jeweiligen Landessprache und Berücksichtigung nationaler Besonderheiten beim Cookie-Consent.

Datenschutz für Ihren Online-Shop — jetzt professionell umsetzen

Als externer Datenschutzbeauftragter unterstützen wir E-Commerce-Unternehmen in ganz Sachsen bei der DSGVO-konformen Gestaltung ihrer Online-Shops. Von der Cookie-Compliance über Auftragsverarbeitungsverträge bis zum Löschkonzept — wir sorgen für rechtssichere Lösungen. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.