Datenschutz im Schweizer Online-Shop: Praxis-Check

Ein Online-Shop verbindet Website, Shopsystem, Zahlungsdienst, Versand, Support, Analyse und Marketing. Dadurch gelangen Personendaten häufig an mehrere Systeme und Unternehmen. Wer nur den sichtbaren Checkout prüft, übersieht schnell Hintergrunddienste, Backups oder Tracking-Technologien. Die grundlegenden Anforderungen erläutert unser Leitfaden zum Schweizer DSG.

Beginnen Sie mit dem tatsächlichen Datenfluss

Erfassen Sie zuerst, welche Daten woher kommen, wofür sie benötigt werden, wohin sie fliessen und wann sie gelöscht werden. Typische Bereiche sind:

• Server- und Zugriffsdaten beim Shopbesuch;
• Warenkorb, Kundenkonto und Bestellungen;
• Liefer- und Rechnungsadressen;
• Zahlungs-, Bonitäts- und Betrugsprüfungen;
• Versand, Retouren und Kundendienst;
• Newsletter, Bewertungen, Analyse und Werbung.

Prüfen Sie dabei nicht nur das Shopsystem, sondern auch Plugins, eingebettete Inhalte, Supporttools und Schnittstellen. Erst diese Bestandsaufnahme ermöglicht eine zutreffende Datenschutzerklärung.

Die Grundsätze des DSG im Shopalltag

Personendaten müssen rechtmässig, nach Treu und Glauben, transparent, verhältnismässig und zweckgebunden bearbeitet werden. Beschaffen Sie nur Daten, die für einen nachvollziehbaren Zweck erforderlich sind. Ein Geburtsdatum sollte beispielsweise kein Pflichtfeld sein, wenn Alter oder Identität für die Bestellung keine Rolle spielen.

Das Schweizer DSG verlangt nicht für jede gewöhnliche Bearbeitung im Privatbereich pauschal ein Opt-in. Eine Einwilligung ist aber auch kein Freipass für unverhältnismässige oder intransparente Bearbeitungen. Für Bestellung und Lieferung dürfen die dafür notwendigen Daten bearbeitet werden; Marketing, umfangreiches Profiling oder unerwartete Weiterverwendungen sind getrennt zu beurteilen.

Eine konkrete Datenschutzerklärung bereitstellen

Informieren Sie Kundinnen und Kunden vor der Datenbeschaffung klar und leicht zugänglich. Dazu gehören insbesondere Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszwecke sowie gegebenenfalls Empfänger oder Empfängerkategorien. Bei Auslandtransfers müssen auch Empfängerstaat und nötige Garantien genannt werden.

Allgemeine Sätze wie «Wir können Daten an Partner weitergeben» bilden einen komplexen Shop selten ausreichend ab. Beschreiben Sie die tatsächlich eingesetzten Kategorien wie Hosting, Zahlung, Versand, Support und Analyse. Unser Beitrag zum Datenschutzerklärung-Generator für die Schweiz zeigt, welche Angaben Sie vor der Erstellung zusammentragen sollten.

Checkout und Kundenkonto datensparsam gestalten

Kennzeichnen Sie Pflichtfelder und optionale Angaben eindeutig. Marketingeinwilligungen gehören nicht in vorangekreuzte Kästchen und sollten nicht unnötig an die Bestellung gekoppelt werden. Ist ein dauerhaftes Konto für die Leistung nicht erforderlich, ist ein Gast-Checkout eine datenschutzfreundliche Lösung.

Schützen Sie Konten und Administrationszugänge mit sicheren Passwortrichtlinien, Mehrfaktor-Authentifizierung, beschränkten Rollen und regelmässigen Updates. Verschlüsseln Sie Übertragungen, testen Sie Backups und vermeiden Sie, vollständige Kartendaten selbst zu speichern, wenn ein spezialisierter Zahlungsdienst eine sichere Token-Lösung anbietet.

Dienstleister und Auslandzugriffe prüfen

Hoster, Cloud-Anbieter, Newsletter-Plattformen und viele Supportdienste handeln typischerweise als Auftragsbearbeiter. Regeln Sie Weisungen, Sicherheit, Vorfälle, Löschung und Unterauftragnehmer. Zahlungs- oder Versanddienstleister können abhängig von ihrer konkreten Tätigkeit auch selbst Verantwortliche sein. Übernehmen Sie Rollenangaben des Anbieters daher nicht ungeprüft.

Ermitteln Sie neben dem Firmensitz auch Speicher-, Support- und Backup-Standorte. Befinden sich Empfänger in Staaten ohne angemessenes Datenschutzniveau, müssen vor der Übermittlung geeignete Garantien oder eine gesetzliche Ausnahme geprüft werden.

Cookies, Analyse und personalisierte Werbung

Ein notwendiger Warenkorb-Cookie ist anders zu beurteilen als eine seitenübergreifende Werbe-ID. Nach der aktuellen EDÖB-Praxis hängt das erforderliche Gestaltungsrecht vom Risiko, den Erwartungen der Nutzer, der technischen Notwendigkeit und der Intensität eines möglichen Profilings ab. Je nach Einsatz ist mindestens ein wirksames Opt-out oder bei qualifizierten Eingriffen ein vorgängiges Opt-in erforderlich. Einzelheiten finden Sie im Ratgeber Brauche ich ein Cookie-Banner in der Schweiz?.

Newsletter sauber vom Kauf trennen

Elektronische Massenwerbung benötigt grundsätzlich eine vorgängige Einwilligung, einen erkennbaren Absender und eine einfache, kostenlose Ablehnungsmöglichkeit. Eine eng begrenzte Ausnahme besteht, wenn Sie die Kontaktangabe bei einem Verkauf erhalten, bereits dort auf die Ablehnungsmöglichkeit hinweisen und nur eigene ähnliche Angebote bewerben. Ein dokumentiertes Double-Opt-in ist ausserhalb dieser Ausnahme der robuste Praxisweg.

Aufbewahrung, Rechte und automatisierte Entscheide

Legen Sie für Bestellungen, Konten, Supportfälle und Marketingdaten getrennte Aufbewahrungsfristen fest. Gesetzliche Dokumentations- oder Aufbewahrungspflichten können einer sofortigen Löschung entgegenstehen; sie rechtfertigen aber keine unbegrenzte Nutzung für andere Zwecke. Organisieren Sie zudem Prozesse für Auskunft, Berichtigung, Löschung und gegebenenfalls Datenherausgabe.

Falls eine Bonitäts- oder Betrugsprüfung ohne menschliches Zutun zu einer Entscheidung mit erheblichen Auswirkungen führt, sind zusätzlich die Regeln zu automatisierten Einzelentscheidungen zu prüfen.

Auch das UWG betrifft den Checkout

Neben dem Datenschutz verlangt das Lauterkeitsrecht klare und vollständige Angaben zur Identität sowie Kontakt- und E-Mail-Adresse des Anbieters. Kundinnen und Kunden müssen die technischen Schritte bis zum Vertragsabschluss erkennen, Eingabefehler vor der Bestellung korrigieren können und unverzüglich eine elektronische Bestellbestätigung erhalten.

Kompakte Shop-Checkliste

1. Datenflüsse, Plugins und Empfänger inventarisieren.
2. Pflichtfelder auf das erforderliche Minimum reduzieren.
3. Datenschutzerklärung an die tatsächlichen Dienste anpassen.
4. Dienstleister, Unterauftragnehmer und Länder prüfen.
5. Tracking und Newsletter getrennt konfigurieren.
6. Zugriffe, Updates, Backups und Löschfristen kontrollieren.
7. Betroffenenanfragen und Sicherheitsvorfälle vorbereiten.

Welche Massnahmen nötig sind, hängt vom Sortiment, den Datenarten, den Zielmärkten und den eingesetzten Diensten ab. Die Checkliste ersetzt deshalb keine Prüfung besonderer Branchen- oder Auslandanforderungen.

Weiterführende Ratgeber

• Brauche ich ein Cookie-Banner in der Schweiz?
• Auftragsbearbeitung nach Schweizer DSG: Hosting, SaaS und Agenturen
• Datenschutzerklärung-Generator Schweiz: Worauf Sie achten sollten