Welche Art von personenbezogenen Daten wird normalerweise im Bereich des elektronischen Geschäftsverkehrs verarbeitet und wie kritisch sind die Verarbeitungen?

Moderne Online-Shops beinhalten viele verschiedene Datenverarbeitungen, die das Einkaufen ermöglichen und / oder für ein attraktives Einkaufserlebnis sorgen. Personenbezogene Daten werden benötigt, um Bestellungen von Kunden entgegenzunehmen und anschließend die bestellten Produkte an den / die vorgesehenen Empfänger zu liefern.

Die Anonymität des Internets verstärkt das Misstrauen zwischen potenziellen Kunden und Shopbesitzern. Folglich hat das Unternehmen ein großes Interesse daran, Produkte nur an zuverlässige und solvente Kunden zu liefern. Das Betrugsrisiko kann beim Kauf auf Rechnung durch Bonitätsprüfungen minimiert werden, die der Auftragsbestätigung vorausgehen und die Verarbeitung sensibler Finanzdaten des Kunden erfordern.

Das Einkaufserlebnis kann durch integrierte Social Plugins verbessert werden, die es dem Kunden ermöglichen, die Zahlungsfunktionen sozialer Netzwerke oder anderer Technologieunternehmen anstelle der direkt im Webshop angebotenen Zahlungsfeatures zu nutzen.

Nicht zuletzt kann die Performance des Webshops durch eine Vielzahl von Analysetools gemessen werden, die detaillierte Einblicke in die Einkaufsgewohnheiten der Kunden ermöglichen.

Welche Gesetze und Bestimmungen zum Schutz der Privatsphäre müssen im Bereich des elektronischen Geschäftsverkehrs beachtet werden?

Die DSGVO sieht verschiedene Rechtsgrundlagen vor, die für die Verarbeitung von Kundendaten im Webshop herangezogen werden können. Händler sollten sorgfältig prüfen, ob eine durch den Webshop ausgelöste Verarbeitung aus datenschutzrechtlicher Sicht noch als notwendig für die Erbringung einer vom Kunden angeforderten Dienstleistung angesehen werden kann oder ob stattdessen die Einwilligung des Kunden eingeholt werden muss.

Da die DSGVO verlangt, dass der Verantwortliche – hier: der Shop-Betreiber – nachweisen kann, dass die betroffene Person (Kunde) eingewilligt hat, sollten entsprechende Einwilligungsformulare Teil eines übergreifenden Einwilligungsmanagementsystems sein, das die automatisierte Entgegennahme, Überprüfung und den Widerruf der Einwilligung ermöglicht. Selbst in Fällen, in denen eine Einwilligung aus Sicht der DSGVO nicht erforderlich ist, da überwiegende berechtigte Interessen des Shop-Betreibers die Datenverarbeitung ebenfalls legitimieren würden, können andere Gesetze – wie z.B. das deutsche TTDSG – eine Einwilligung verlangen.

Unabhängig von den Rechtsgrundlagen müssen Datenschutzhinweise in die Website integriert werden, die alle shopspezifischen Funktionen einschließlich der für den Kunden unsichtbaren Tracking- und Targeting-Technologien abdecken.

Welche Compliance-Risiken sind zu beachten und worauf haben Aufsichtsbehörden und Gerichte ihr Augenmerk gerichtet?

Werden Daten im E-Commerce nicht rechtskonform verarbeitet, kann dies starke persönliche Auswirkungen auf das Leben der betroffenen Personen (z.B. Websitebesucher) haben. Dies wäre z.B. der Fall, wenn umfangreiche Aufenthalts- und Interessenprofile zu potentiellen Kunden erstellt werden.

Vor diesem Hintergrund war die Verarbeitung von Daten im E-Commerce bereits Gegenstand verschiedener Behördenstellungnahmen und Gerichtsurteile.