Deutschland · DE
Datenschutzerklärung für Online-Shops in Deutschland (DSGVO 2026)
Eine Datenschutzerklärung ist für jeden Online-Shop in Deutschland Pflicht, sobald personenbezogene Daten verarbeitet werden. Das beginnt nicht erst beim Kauf, sondern bereits bei Kontaktformularen, Kundenkonten, Newsletter-Anmeldungen, Zahlungsdiensten, Tracking oder Server-Logs. Eine gute Datenschutzerklärung erklärt verständlich, wer verantwortlich ist, welche Daten verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden. Unten zeigen wir, welche Bausteine ein deutscher Shop braucht und wo typische DSGVO-Fehler entstehen.
Warum die Datenschutzerklärung im Shop kein Standardtext sein darf
Ein Online-Shop verarbeitet an vielen Stellen personenbezogene Daten. Dazu gehören Namen, Adressen, E-Mail-Adressen, Telefonnummern, Bestelldaten, Zahlungsinformationen, IP-Adressen, Support-Nachrichten und teilweise Marketingprofile. Eine Datenschutzerklärung muss diese Verarbeitung so erklären, dass Kunden verstehen, was mit ihren Daten passiert.
Die DSGVO verlangt transparente Informationen. Das bedeutet nicht nur, dass ein Text vorhanden ist. Er muss richtig, vollständig und verständlich sein. Eine alte Vorlage, die keine konkreten Zahlungsanbieter, Versanddienstleister oder Tracking-Tools nennt, erfüllt diesen Zweck nicht.
Pflichtangaben nach Art. 13 und 14 DSGVO
Kern der Datenschutzerklärung sind die Informationspflichten aus Art. 13 und 14 DSGVO. Der Shop muss den Verantwortlichen benennen, Zwecke und Rechtsgrundlagen erklären, Empfänger nennen, Speicherfristen beschreiben und auf Betroffenenrechte hinweisen. Wenn Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, müssen auch Drittlandübermittlungen und Schutzmechanismen erläutert werden.
Für Online-Shops ist die Zuordnung der Rechtsgrundlagen besonders wichtig. Die Bestellabwicklung stützt sich meist auf Vertragserfüllung, steuerliche Aufbewahrung auf gesetzliche Pflichten, Newsletter auf Einwilligung oder berechtigte Interessen, Betrugsprävention und Rechtsverteidigung auf berechtigte Interessen. Alles pauschal als “Einwilligung” zu beschreiben, ist ein häufiger Fehler.
Bestellung, Zahlung, Versand und Kundenkonto
Die Datenschutzerklärung muss erklären, welche Daten für die Bestellung verarbeitet werden und wer sie erhält. Typische Empfänger sind Hosting-Anbieter, Shopsystem, Zahlungsdienstleister, Versanddienstleister, Fulfillment-Partner, Steuerberatung und Buchhaltung. Wenn ein Kundenkonto angeboten wird, muss zusätzlich beschrieben werden, welche Daten dauerhaft gespeichert und wie sie gelöscht werden können.
Auch Support-Prozesse gehören dazu. Wer Rückfragen, Reklamationen oder Garantieanfragen per E-Mail, Chat oder Ticket-System bearbeitet, verarbeitet personenbezogene Daten außerhalb der reinen Bestellung. Diese Prozesse sollten nicht vergessen werden.
Cookies, Tracking und TDDDG
Neben der DSGVO spielt in Deutschland das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz eine Rolle. Für nicht notwendige Cookies und vergleichbare Technologien ist regelmäßig eine vorherige Einwilligung erforderlich. Analyse-, Marketing- und Retargeting-Tools dürfen deshalb nicht einfach beim ersten Seitenaufruf aktiv werden.
Die Datenschutzerklärung sollte nicht im Widerspruch zum Consent-Banner stehen. Wenn der Banner Google Analytics, Meta Pixel oder andere Tools nennt, müssen diese Dienste auch in der Datenschutzerklärung beschrieben werden. Werden Tools entfernt, sollte auch der Text aktualisiert werden.
So erstellen Sie eine DSGVO-konforme Datenschutzerklärung
Mit ecommerce.legal erstellen Sie eine Datenschutzerklärung, die zu Ihrem Shop passt. Sie wählen Zahlungsarten, Versanddienstleister, Newsletter, Tracking, Hosting, Kundenkonto und weitere Prozesse aus. Daraus entsteht ein strukturierter Text mit passenden Rechtsgrundlagen, Empfängern, Speicherfristen und Hinweisen zu Cookies und Drittlandtransfers.
Häufige Fragen
Braucht jeder Online-Shop eine Datenschutzerklärung?
Ja. Jeder Online-Shop verarbeitet personenbezogene Daten, etwa bei Bestellung, Zahlung, Versand, Kundenkonto, Kontaktaufnahme oder Server-Logs. Damit greifen die Informationspflichten der DSGVO.
Reicht eine allgemeine DSGVO-Vorlage?
Nein. Die Erklärung muss die tatsächlichen Prozesse des Shops abbilden. Zahlungsanbieter, Versanddienstleister, Newsletter-Tools, Tracking, Hosting und Drittlandtransfers unterscheiden sich je nach Shop.
Was ist der Unterschied zwischen Datenschutzerklärung und Cookie-Hinweis?
Die Datenschutzerklärung erklärt die Datenverarbeitung insgesamt. Der Cookie-Hinweis steuert Einwilligungen für nicht notwendige Cookies oder ähnliche Technologien. Beide müssen inhaltlich zusammenpassen.
Welche Behörde ist in Deutschland zuständig?
Datenschutzaufsicht ist in Deutschland föderal organisiert. Je nach Unternehmen ist meist eine Landesdatenschutzbehörde zuständig; für bestimmte Bereiche ist der BfDI zuständig.