Onlineshop und Zahlung

Im Shop fallen mehr Kategorien zusammen als anderswo: Bestelldaten, Zahlungsdaten, Lieferdaten, Kontodaten und die Frage, wie lange das alles bleiben darf. Für die eigentliche Abwicklung ist Art. 6 Abs. 1 lit. b DSGVO die Grundlage, für die Aufbewahrung lit. c in Verbindung mit den handels- und steuerrechtlichen Fristen.

Zahlungsdienstleister sind fast immer eigene Verantwortliche und keine Auftragsverarbeiter. Sie unterliegen eigenen Pflichten aus dem Geldwäsche- und Aufsichtsrecht und entscheiden deshalb selbst über Zwecke und Mittel. Ein Vertrag zur Auftragsverarbeitung geht hier ins Leere, ein eigener Abschnitt in der Datenschutzerklärung ist dagegen Pflicht.

Der schärfste Punkt ist die Bonitätsprüfung. Der Europäische Gerichtshof hat 2023 entschieden, dass bereits die Berechnung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO ist, sofern ein Dritter seine Entscheidung maßgeblich darauf stützt. Wer im Bestellvorgang Zahlungsarten nach einem Score freischaltet, trifft damit eine solche Entscheidung. Erforderlich sind ein Hinweis darauf, die Angabe der beteiligten Auskunftei und die Möglichkeit, eine Überprüfung durch einen Menschen zu verlangen.

Zwei kleinere Punkte werden regelmäßig übersehen: Die Übermittlung der E-Mail-Adresse an den Paketdienst zur Sendungsbenachrichtigung ist für die Zustellung nicht erforderlich und braucht eine Einwilligung. Und eine Bestellung muss auch ohne Kundenkonto möglich sein.