Was eine Shop-Datenschutzerklärung zusätzlich abdecken muss
Jede Website braucht eine Datenschutzerklärung, die nach Art. 13 DSGVO erklärt, wer verantwortlich ist, welche Daten zu welchem Zweck verarbeitet werden und an wen sie gehen. Ein Onlineshop hat dabei mehr zu erklären als eine Visitenkarten-Seite:
- Bestellabwicklung. Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse und Bestellpositionen werden für den Kaufvertrag verarbeitet. Die Datenschutzerklärung muss sagen, dass diese Angaben vertraglich erforderlich sind und was passiert, wenn sie fehlen.
- Zahlung und Versand. Zahlungs- und Versanddienstleister erhalten Daten Ihrer Kunden und sind deshalb Empfänger.
- Aufbewahrung. Bestelldaten unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen und dürfen nicht einfach gelöscht werden.
- Kundenkonto und Newsletter. Wer ein Konto anlegt oder sich anmeldet, gibt weitere Daten preis.
- Marketing auf der Seite. Shops binden besonders viele Dienste ein: Werbe-Pixel, Bewertungs-Widgets, E-Mail-Pop-ups, Empfehlungen, Live-Chat. Jeder dieser Dienste ist ein Empfänger, der in der Erklärung stehen muss.
Wie Vigilex Ihren Shop erkennt
Der Scan prüft Ihre Startseite auf typische Shop-Merkmale. Dazu gehören Produktdaten im Code, Schaltflächen wie „In den Warenkorb“, Links zu Warenkorb oder Kasse, Preisangaben wie „inkl. MwSt.“ und Verbindungen zu Zahlungsanbietern. Erkennt er einen Shop, steht im Ergebnis „Webshop“, und der Entwurf enthält die Shop-Abschnitte: Zwecke rund um Bestellung, Zahlung, Versand und Reklamation, die Aufbewahrungsfrist für Bestelldaten, die vertragliche Erforderlichkeit der Pflichtangaben und die Empfängergruppen Zahlungs- und Versanddienstleister.
Unabhängig davon erkennt der Scan das Shop-System selbst: Shopify, Shopware, WooCommerce, Magento beziehungsweise Adobe Commerce, JTL-Shop, plentymarkets, PrestaShop oder OXID eShop. Er erkennt es an Antwort-Headern, am Generator-Eintrag im HTML oder an typischen Code-Markern. Verlinkt Ihre Startseite auf eine Produktseite, öffnet der Scan zusätzlich eine. Er erkennt dabei die URL-Muster von Shopify, WooCommerce und Shopware 6. Gerade auf Produktseiten laden oft Dienste, die auf der Startseite fehlen: Bewertungen, Ratenzahlungshinweise oder Express-Buttons.
Was der Scan in Shops findet
Diese Dienste stehen im Vigilex-Katalog und tauchen in Shops häufig auf:
- Zahlung: PayPal, Klarna, Amazon Pay, Stripe, Mollie, Adyen und Google Pay, sobald ihr Skript auf einer der gescannten Seiten lädt, etwa für Express-Buttons oder Ratenzahlungshinweise.
- Bewertungen und Gütesiegel: Trusted Shops, Trustpilot, eKomi, ProvenExpert, Judge.me, Yotpo und weitere.
- Werbung und Analyse: Meta Pixel, Google Ads, TikTok Pixel, Pinterest Tag, Google Analytics 4 und Google Tag Manager.
- E-Mail-Marketing: Klaviyo, Mailchimp, CleverReach, Brevo und andere.
- Service und Versand: Live-Chats wie Tidio, Zendesk oder Userlike und Versand-Tools wie Sendcloud oder AfterShip.
Zu jedem Fund zeigt das Ergebnis den Nachweis und die Einordnung: Einwilligung nötig, US-Transfer, Vertrag zur Auftragsverarbeitung nötig.
Was der Scan im Shop nicht sieht
Ein Shop hat Bereiche, die ein öffentlicher Scan nicht erreicht:
- Kasse und Checkout. Welche Zahlarten Sie dort anbieten und welche Dienste im Bestellprozess laden, bleibt unsichtbar.
- Kundenkonto und alles hinter einem Login.
- Server-zu-Server-Verbindungen, etwa zu Warenwirtschaft, Buchhaltung oder Versandlabel-Diensten. Sie entstehen nicht im Browser Ihrer Kunden.
Der Entwurf geht damit ehrlich um. Zahlungs- und Versanddienstleister nennt er als Empfängergruppe, die Sie mit Ihren konkreten Anbietern ergänzen. Bei einem Shop behauptet er auch nie, dass keine Daten in Drittländer gehen. Ob Ihre Zahlungsanbieter Daten außerhalb der EU verarbeiten, kann der Scan nicht wissen.
Shop-Systeme im Detail
Jedes Shop-System bringt eigene Dienste und eigene Fallstricke mit:
- Datenschutzerklärung für Shopify-Shops: Plattform-Hosting durch Shopify, Shopify-Apps und der Shopify-Checkout.
- Datenschutzerklärung für Shopware: eigenes Hosting, Plugins und Zahlungsanbieter aus dem DACH-Raum.
- Datenschutzerklärung für WooCommerce: WordPress-Themes, Plugins und Bibliotheken von öffentlichen CDNs.
So entsteht Ihre Shop-Datenschutzerklärung
- URL eingeben. Optional tragen Sie Firma, Anschrift, Kontakt und Registerdaten ein. Sie landen in Ziffer 1 „Verantwortlicher“, fehlende Angaben markiert der Entwurf als Platzhalter.
- Scan abwarten. Meist dauert er 30 bis 60 Sekunden.
- Offene Punkte erledigen. Der Entwurf listet, was vor der Veröffentlichung fehlt, etwa Ihren Hosting-Anbieter oder die Rechtsgrundlage einzelner Dienste.
- Exportieren. Laden Sie den Entwurf als Word-Datei herunter oder kopieren Sie ihn als Markdown oder HTML in Ihren Shop.
Keine Rechtsberatung
Vigilex liefert Information, keine Rechtsberatung. Der Entwurf beruht auf dem, was der Scan beim Aufruf Ihres Shops beobachtet, und auf Vorlagen, die in Partnerschaft mit FX Legal München entstehen. Lassen Sie Ihre Datenschutzerklärung vor der Veröffentlichung anwaltlich prüfen. Vigilex ist in der Beta-Phase, Scan und Entwurf können unvollständig sein.