Datenübermittlung in Onlineshops datenschutzkonform umsetzen
Um Daten wie Name, E-Mail und Adresse von Kunden erheben zu dürfen, müssen Händler verschiedene datenschutzrechtliche Pflichten beachten:
Erlaubnis für Datenübermittlung einholen
Händler benötigen eine Erlaubnis, um Kundendaten aufnehmen zu dürfen. Diese Erlaubnis kann beispielsweise per Gesetz vorliegen. Das Gesetz erlaubt es Händlern, Daten zu erheben und zu übermitteln, wenn diese für den Abschluss eines Rechtsgeschäfts notwendig sind.
Für die Praxis heißt das: Schließen Händler mit einem Verbraucher einen Kaufvertrag, dürfen sie all die Daten im Bestellprozess abfragen, die sie benötigen, um den Vertrag zu erfüllen. Neben dem Namen und der E-Mail sind das vor allem auch die Liefer- und Rechnungsadresse.
Datenminimierung beachten
Händler dürfen nur die Daten erheben, die sie unbedingt für den Vertragsschluss benötigen. Das schreibt das Prinzip der Datenminimierung vor. Festgehalten ist diese in Art. 5 Abs. 1 lit. c Datenschutz-Grundverordnung (DSGVO). Demnach dürfen Onlineshops nur Daten sammeln, wenn diese
- für den Zweck angemessen und erheblich und
- auf das für den Zweck der Verarbeitung notwendige Maß beschränkt sind.
Bei einer Bestellung im Onlineshop mit Warenversand sind das in der Regel
- Name,
- E-Mail und
- Adresse.
Je nach Zahlungsweise kann zu den notwendigen Daten auch die Bankverbindung gehören.
Datenübermittlung sichern
Damit Dritte bei der Datenübermittlung keinen Zugriff auf die Kundendaten bekommen, sind Händler dazu verpflichtet, ein anerkanntes Verschlüsselungsverfahren zu nutzen. Im Gesetz gibt das das Telemediengesetz in § 13 Abs. 7 vor. Schützen Händler die personenbezogenen Daten während der Übermittlung nicht, drohen ihnen empfindliche Strafen. Pro Verstoß warten hier Geldbußen von bis zu 50.000 Euro.
Datenschutzerklärung aktualisieren
Die Datenübermittlung von Händlern stellt eine Art der Datenverarbeitung dar. Das bedeutet: Schließen Online-Händler Verträge mit Verbrauchern, müssen sie in ihrer Datenschutzerklärung darüber aufklären,
- welche Daten sie für die Datenübermittlung erheben,
- warum sie diese erheben,
- wie sie diese Daten verarbeiten,
- wie und warum sie diese gegebenenfalls an Dritte weiterreichen und
- dass sie Verantwortung übernehmen, die Daten der Kunden zu schützen.
Rechtsprechung zur Datenübermittlung in Onlineshops
Unternehmen, die das Prinzip der Datenminimierung missachten, müssen mit einem Bußgeld rechnen. Das französische Unternehmen Spartoo musste daher eine Geldbuße in Höhe von 250.000 Euro zahlen. Es hatte Kundengespräche zu Schulungszwecken aufgezeichnet. Von den aufgezeichneten Gesprächen hate es dann aber letztendlich zu wenige ausgewertet. Die französische Aufsichtsbehörde CNIL hatte das Unternehmen daher am 28.07.2020 mit dem Bußgeld versehen.
Alles, was Sie wissen müssen
