Datenschutz-Grundverordnung im Mittelstand Was Online-Shops für die DSGVO noch tun müssen

Online-Händler beobachten besorgt die Entwicklung rund um die E-Privacy-Verordnung. Doch auch die Datenschutz-Grundverordnung (DSGVO / GDPR) hält Aufgaben bereit, die Online-Shop-Betreiber angehen müssen. Viele Datenschutz-Maßnahmen stehen auch dann an, wenn die Webshop-Lösung nicht als Cloud-Dienst bezogen wird, sondern auf eigenen Servern des Online-Händlers läuft.

Anbieter zum Thema

Insider Research

Arvato Systems

SEPPmail - Deutschland GmbH

„Die Welt des Online-Handels ist groß – und wird immer größer. Rund 98 Prozent der Internetnutzer sind Online-Käufer. Auf Seiten der Händler sind bereits 70 Prozent auch oder sogar ausschließlich im E-Commerce aktiv“, sagte Bitkom-Handelsexpertin Julia Miosga bei der Veröffentlichung der Studie „Digitaler Handel“. Doch es gibt auch Umfrageresultate von Bitkom, die den Online-Händlern Sorgen bereiten sollten: Zwei von drei Internetnutzern (67 Prozent) geben an, dass sie aus Sicherheitsgründen bewusst auf bestimmte Online-Aktivitäten verzichten. Rund jeder Siebte gibt an, online keine Reisen, Eintrittskarten oder Mietautos zu buchen (15 Prozent) bzw. nicht bei Online-Händlern oder auf Auktionsplattformen im Netz einzukaufen (14 Prozent). Nur jeder fünfte Internetnutzer hält seine Daten im Netz für sicher.

Entscheidend für den zukünftigen Erfolg von Online-Shops ist deshalb die weitere Steigerung von Vertrauen. Hier spielen insbesondere der Datenschutz und die Datensicherheit eine große Rolle. Viele Online-Shops setzen auf Gütesiegel als vertrauensbildende Maßnahme, das berichten EHI Retail Institute und Trusted Shops.

Datenschutz-Grundverordnung im Mittelstand

Was KMU jetzt für die DSGVO unbedingt noch tun müssen

Datenschutz-Zertifikate werden größere Rolle spielen

Mit der Datenschutz-Grundverordnung (DSGVO / GDPR) werden Zertifikate, die die Einhaltung des Datenschutzes bestätigen, in ihrer Bedeutung gestärkt, dazu wurden neue Anforderungen an die Zertifikate und Zertifizierungsstellen formuliert. Online-Shop-Betreiber sollten für sich prüfen, ob sie nicht ab dem 25. Mai 2018 auch ein Datenschutz-Zertifikat tragen wollen, das der DSGVO genügt.

Jedoch müssen die Online-Shops zuerst selbst einmal der Datenschutz-Grundverordnung genügen, sonst kann es keine in Zukunft sicherlich hilfreiche DSGVO-Zertifizierung für den Online-Shop geben. Es stellt sich also die Frage, was die Online-Shop-Betreiber nun tun sollten, um zum einen die Umsetzung der DSGVO im eigenen Unternehmen abzuschließen und um zum anderen die Voraussetzungen für eine Datenschutz-Zertifizierung nach DSGVO so früh wie möglich zu erfüllen.

Datenschutz-Grundverordnung im Mittelstand

Was Industrieunternehmen für die DSGVO noch tun müssen

Voraussetzung ist die komplette Umsetzung der DSGVO, aber …

Zuerst einmal müssen Online-Shop-Betreiber wie jedes Unternehmen alle, teilweise neuen oder verschärften Vorgaben der DSGVO umsetzen, die an die Stelle des heute bestehenden Bundesdatenschutzgesetzes (BDSG) treten werden und als nationale Ausgestaltung der Öffnungsklauseln der DSGVO im neuen BDSG (BDSG-neu) zu finden sind.

Doch Online-Shops sind in gewissen Bereichen auch besonders gefordert. Diese Punkte sollten Online-Shop-Betreiber sich nun ganz genau ansehen, denn diese werden in der allgemeinen Diskussion der DSGVO nicht speziell betont oder nur in anderer Form betrachtet.

Für den Online-Handel sind es im Speziellen diese Punkte, wenn bereits bisher geforderte Themen wie ein Verfahrensverzeichnis vorhanden sind: Überarbeitung der Verträge zur Auftragsverarbeitung, Überprüfung der Rechtsgrundlagen zur Verarbeitung, Umsetzung der (neuen) Betroffenenrechte, darunter auch die Informationspflichten, Überprüfung der Datenschutzeinstellungen (Privacy by Default) und die Umsetzung der verschärften Meldepflichten.

Meldepflichten bei IT-Sicherheitsvorfällen

Meldepflichten gibt es nicht nur bei der DSGVO

Eine aktuelle Händlerbund-Studie zeigt, dass die Inhalte der DSGVO zwar mittlerweile bekannt sind, bei der Umsetzung aber noch immer Unsicherheit unter den Händlern herrscht. „Die DSGVO ist durch ihre Komplexität und die vergleichsweise harten Strafen bei Missachtung sehr brisant. Sich mit den Inhalten auseinanderzusetzen bedeutet vor allem für kleinere und mittlere Händler großen Aufwand. Die Regelungen auch in der Praxis umzusetzen ist eine zusätzliche Herausforderung”, so der Händlerbund.

Die nächsten Schritte für Online-Shop-Betreiber

Wer einen Online-Shop betreibt, sollte zuerst überlegen, wo die Shop-Lösung mit den Kundendaten eigentlich betrieben wird. Kommt ein Cloud-Dienst zum Einsatz, wird also Webshop-Hosting genutzt, müssen die Vorgaben zur Auftragsverarbeitung (Artikel 28 DSGVO) umgesetzt sein.

Dazu wird in der Regel eine Anpassung der Verträge zur Auftragsverarbeitung notwendig sein, ebenso muss der Online-Shop-Betreiber prüfen, welche Garantien dafür bestehen, dass geeignete technische und organisatorische Maßnahmen bei dem Web-Shop-Hoster so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Im Idealfall hat der Webshop-Hoster sobald wie möglich selbst ein DSGVO-Zertifikat.

Zudem sollten die Online-Shop-Betreiber prüfen, wie es um die rechtlichen Grundlagen dafür steht, dass sie die Daten der Kunden verarbeiten. Bereits erteilte Einwilligungen zur Verarbeitung gelten unter bestimmten Bedingungen auch unter der DSGVO, wie die Aufsichtsbehörden für den Datenschutz erklärten.

Gerade die Betroffenenrechte werden den Online-Shop-Betreibern eigenen Aufwand bereiten, insbesondere das Recht auf Vergessenwerden (erweiterte Löschpflichten), das Recht auf Datenübertragbarkeit (Wechsel des Kunden zu einem anderen Anbieter) sowie die Information der Kunden über den Datenschutz (Artikel 13 und 14 DSGVO).

So fordert die DSGVO für eine Datenschutzerklärung, die Online-Shops haben müssen: Der Verantwortliche (also der Online-Shop-Betreiber) trifft geeignete Maßnahmen, um der betroffenen Person (dem Kunden des Online-Shops) alle Informationen (…), die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

Klarheit bei der Datenschutz-Grundverordnung

9 DSGVO-Mythen enttarnt!

Vorgaben der DSGVO wie Privacy by Default müssen dazu führen, dass die Standardeinstellungen hinsichtlich des Datenschutzes im Online-Shop so datenschutzfreundlich wie möglich sind, auch die Online-Shop-Software selbst sollte sich an Privacy by Design messen lassen. Wer sich also eine neue Shop-Lösung beschaffen will, sollte genau auf den Datenschutz dieser Lösung achten.

Nicht zuletzt die Meldepflichten bei Datenschutzverletzung an die Aufsichtsbehörden und ggf. an die Betroffenen sollten Online-Shop-Betreiber genau planen und umsetzen, denn Online-Shops gehören bekanntlich zu den beliebten Angriffszielen im Internet.

So groß der Aufwand auch erscheint: Die Umsetzung der DSGVO ist nicht nur für die Compliance zwingend, auch die Kunden erwarten einen besseren Datenschutz, wie viele der aktuellen Umfragen zeigen. Datenschutz ist und wird noch stärker zum Erfolgskriterium im Online-Handel.

(ID:45180928)