Datenschutzerklärung für den Onlineshop: Pflichtangaben 2026

Ja, jeder Onlineshop braucht eine DSGVO-konforme Datenschutzerklärung. Das ist keine Kann-Empfehlung, sondern eine Pflicht nach Art. 13 DSGVO, sobald personenbezogene Daten verarbeitet werden. Und das tut praktisch jeder Shop, spätestens beim Checkout.

Handeln Sie in dieser Reihenfolge:

• Datenschutzerklärung leicht auffindbar im Footer verlinken, nicht in einem Untermenü verstecken
• Für jede Verarbeitung (Bestellung, Newsletter, Tracking) die passende Rechtsgrundlage benennen
• Cookie-Banner auf einen echten Ablehnen-Button prüfen
• Auftragsverarbeitungsverträge (AVV) mit Zahlungs-, Versand- und Analytics-Dienstleistern abschließen oder aktualisieren

Wer hier schludert, riskiert mehr als nur eine Beanstandung. Fehlende oder veraltete Rechtstexte gehören zu den häufigsten Gründen für Abmahnungen im Onlineshop, zusätzlich drohen Bußgelder nach Art. 83 DSGVO und im schlimmsten Fall ein Verfahren durch die Aufsichtsbehörde.

Profi-Tipp: Legen Sie sich eine Wiedervorlage im Kalender an, etwa alle drei Monate. Neue Plugins, ein neuer Versanddienstleister oder ein zusätzliches Tracking-Tool verändern Ihre Datenschutzerklärung sofort, auch wenn Sie das im Alltag leicht übersehen.

Wichtige Erkenntnisse

Eine DSGVO-konforme Datenschutzerklärung für den Onlineshop braucht konkrete Rechtsgrundlagen pro Verarbeitung, eine aktuelle Dienstleisterliste und regelmäßige Pflege statt eines einmalig kopierten Textes.

Inhaltsverzeichnis

• Checkliste: Was in Ihrer Datenschutzerklärung für den Onlineshop stehen muss
• Wie Sie Checkout, Kundenkonto, Zahlung und Tracking konkret formulieren
• Welche Rechtsgrundlage passt zu welcher Verarbeitung?
• AVV, Löschfristen und Datenschutzbeauftragter: Die operative Seite
• Generator oder Anwalt? So passen Sie Muster für Ihren Onlineshop sicher an
• Was Shopbetreiber beim Thema Datenschutz oft unterschätzen
• Ihr Fahrplan für eine rechtssichere Datenschutzerklärung
• Häufig gestellte Fragen
• Quellen

Checkliste: Was in Ihrer Datenschutzerklärung für den Onlineshop stehen muss

Eine vollständige Datenschutzerklärung für den Onlineshop folgt keiner Wunschliste, sondern einem gesetzlichen Mindeststandard. Art. 13 DSGVO verlangt konkrete Pflichtangaben für deutsche Websites, die sich in drei Gruppen aufteilen lassen.

Grundangaben, die niemals fehlen dürfen:

• Name und Kontaktdaten des Verantwortlichen (bei einer GmbH die Geschäftsführung, bei Einzelunternehmern der volle Name)
• Kontaktdaten eines Datenschutzbeauftragten, falls einer bestellt wurde
• Datum bzw. Stand der Datenschutzerklärung, damit Nachweisbarkeit gegenüber Behörden besteht
• Zwecke der Verarbeitung, jeweils einzeln benannt statt pauschal zusammengefasst

Prozessbezogene Punkte entlang der Customer Journey:

1. Checkout und Bestellvorgang: welche Daten erhoben werden und warum
2. Kundenkonto: Speicherumfang, Löschfristen, automatische Abmeldung
3. Newsletter und Marketing: Einwilligungsmechanismus und Widerrufsmöglichkeit
4. Tracking und Cookies: technisch notwendige versus einwilligungspflichtige Tools
5. Zahlungs- und Versanddaten: Nennung der konkreten Dienstleister als Empfänger

Vertragliche und rechtliche Elemente:

• Rechtsgrundlage nach Art. 6 DSGVO für jede einzelne Verarbeitung
• Auftragsverarbeitungsverträge mit allen externen Dienstleistern
• Hinweis auf Drittlandtransfers, sofern Tools außerhalb der EU Daten verarbeiten
• Speicherdauern, orientiert an handels- und steuerrechtlichen Fristen
• Betroffenenrechte: Auskunft, Löschung, Berichtigung, Widerspruch, Beschwerde bei der Aufsichtsbehörde

Diese Struktur folgt bewusst dem tatsächlichen Ablauf im Shop, von der ersten Produktansicht bis zur Retoure, weil sich Besucher darin leichter zurechtfinden als in einer abstrakten juristischen Aufzählung.

Wie Sie Checkout, Kundenkonto, Zahlung und Tracking konkret formulieren

Der größte Fehler bei Datenschutzerklärungen für Onlineshops ist die pauschale Formulierung. „Wir verarbeiten Ihre Daten zur Vertragserfüllung“ sagt nichts darüber aus, welche Daten das sind und wer sie außerdem bekommt. Genau das verlangt die DSGVO aber: Zweck, Rechtsgrundlage und Empfänger müssen konkret benannt werden.

Checkout und Bestellvorgang

Beim Bestellabschluss erheben Sie in der Regel Name, Adresse, E-Mail, Zahlungsdaten und die bestellten Artikel. Die Rechtsgrundlage ist fast immer Art. 6 Abs. 1 lit. b DSGVO, also Vertragserfüllung, weil ohne diese Daten kein Kaufvertrag zustande kommt. Nennen Sie explizit, dass diese Daten an Zahlungsdienstleister und Versanddienstleister weitergegeben werden, denn genau diese Weitergabe ist ein klassischer Abmahngrund, wenn sie fehlt oder zu vage bleibt, wie Datenschutz ausführlich darlegt.

Eine mögliche Formulierung: „Zur Abwicklung Ihrer Bestellung übermitteln wir Ihre Zahlungsdaten an [Name des Zahlungsdienstleisters] und Ihre Lieferadresse an [Name des Versanddienstleisters]. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.“ Wer Musterformulierungen aus einem Bestellprozess-Leitfaden übernimmt, sollte die genannten Dienstleisternamen trotzdem immer gegen die eigenen austauschen.

Kundenkonto

Speichern Sie Bestellhistorie, gespeicherte Adressen und Login-Daten dauerhaft, solange das Konto aktiv ist. Legen Sie fest, nach welcher Inaktivität ein Konto gelöscht wird, etwa nach drei Jahren ohne Login, und nennen Sie diese Frist auch in der Erklärung. Ein Kundenkonto ist freiwillig, die Rechtsgrundlage bleibt trotzdem meist Vertragserfüllung, sobald das Konto aktiv genutzt wird.

Bonitätsprüfungen

Wer Rechnungskauf oder Ratenzahlung anbietet, führt oft eine Bonitätsprüfung durch, etwa über eine Auskunftei. Genau das gehört ausdrücklich in die Datenschutzerklärung, mit Namen der Auskunftei, dem Zweck der Prüfung und der Rechtsgrundlage, die hier meist berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist, wie Onlineshops betont. Viele Shops verschweigen diesen Punkt komplett, weil er unangenehm wirkt, dabei ist er einer der am häufigsten übersehenen Bausteine überhaupt.

Newsletter und Marketing

Ohne Double-Opt-In geht bei Newsletter-Anmeldungen praktisch nichts. Der Nutzer meldet sich an, erhält eine Bestätigungsmail und muss aktiv klicken, erst dann ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO wirksam dokumentiert. Für Bestandskunden gilt eine Sonderregel: Wer bereits gekauft hat, darf unter engen Voraussetzungen ohne separate Einwilligung Direktwerbung für ähnliche Produkte erhalten, muss aber bei jeder E-Mail klar auf das Widerspruchsrecht hinweisen.

Tracking und Cookies

Technisch notwendige Cookies, etwa für den Warenkorb, brauchen keine Einwilligung. Alles andere, von Google Analytics bis Facebook-Pixel, braucht sie sehr wohl, und zwar bevor das Skript lädt, nicht danach. Datenschutzfreundliche Alternativen wie Matomo lassen sich selbst hosten und mit IP-Anonymisierung betreiben, was die Einwilligungspflicht zwar nicht automatisch aufhebt, das Risiko aber deutlich reduziert.

Profi-Tipp: Der häufigste Formulierungsfehler ist die Kopie einer fremden Datenschutzerklärung samt fremder Dienstleisternamen. Google findet solche Kopien erstaunlich schnell, und Abmahnanwälte gleich mit.

Welche Rechtsgrundlage passt zu welcher Verarbeitung?

Art. 6 DSGVO nennt sechs mögliche Rechtsgrundlagen, im Onlineshop-Alltag brauchen Sie meist nur drei davon wirklich:

• Vertragserfüllung (lit. b): für Bestellabwicklung, Versand, Rechnungsstellung
• Einwilligung (lit. a): für Newsletter, nicht notwendige Cookies, Tracking-Tools
• Berechtigtes Interesse (lit. f): für Betrugsprävention, teils für Bonitätsprüfungen, teils für Analyse-Tools ohne Personenbezug

Genau bei lit. f wird es heikel. Viele Generator-Texte schreiben pauschal „berechtigtes Interesse“ über jede unklare Verarbeitung, ohne die dahinterliegende Interessenabwägung zu dokumentieren. Die IHK München weist ausdrücklich darauf hin, dass diese Abwägung schriftlich vorliegen muss, bevor man sich überhaupt auf die Rechtsgrundlage berufen darf. Fehlt sie, ist die Berufung auf berechtigtes Interesse im Ernstfall wertlos.

Beim Cookie-Consent gilt seit der Reform des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (§ 25 TDDDG) eine klare Vorgabe: Der Ablehnen-Button muss auf der ersten Banner-Ebene genauso sichtbar sein wie der Zustimmen-Button, wie die 35-Punkte-Checkliste für deutsche Onlineshops zeigt. Ein Banner, das Zustimmung groß und Ablehnen versteckt im Kleingedruckten anbietet, ist ein beliebtes Ziel für Abmahnungen.

Zahlen zur Einordnung: Abmahnkosten bei fehlerhaften Rechtstexten bewegen sich oft im niedrigen vierstelligen Bereich, zusätzlich zum eigenen Aufwand für die Nachbesserung. Das trifft kleine Shops oft härter als große, weil die Rücklagen fehlen.

Profi-Tipp: Dokumentieren Sie Ihre Interessenabwägung schriftlich, auch nur als kurze interne Notiz. Drei Sätze reichen oft, aber sie müssen existieren, bevor eine Behörde danach fragt.

AVV, Löschfristen und Datenschutzbeauftragter: Die operative Seite

Eine Datenschutzerklärung ist nur die Oberfläche. Darunter braucht es funktionierende Prozesse, sonst ist der schönste Text wertlos.

Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO brauchen Sie mit jedem Dienstleister, der in Ihrem Auftrag Daten verarbeitet: Hosting-Anbieter, Versanddienstleister, E-Mail-Marketing-Tool, teils auch Zahlungsdienstleister. Prüfen Sie bei jedem Vertrag drei Dinge:

1. Gibt es Sub-Unterauftragsverarbeiter, und sind die benannt?
2. Wo findet die Verarbeitung statt, innerhalb oder außerhalb der EU?
3. Sind angemessene Garantien für Drittlandtransfers hinterlegt, etwa Standardvertragsklauseln?

Technische und organisatorische Maßnahmen gehören zwar nicht wortwörtlich in die Datenschutzerklärung, ihre Existenz aber schon: SSL-Verschlüsselung der gesamten Website, Zugriffsbeschränkungen auf Kundendaten, regelmäßige Backups.

Speicherdauern orientieren sich an gesetzlichen Fristen, nicht an Bauchgefühl. Diese Differenzierung gehört in die Erklärung, eine pauschale Löschfrist für alles ist juristisch angreifbar.

Ein Datenschutzbeauftragter wird nach deutschem Recht Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, oder wenn die Kerntätigkeit in umfangreicher Überwachung besteht. Kleine Shops mit wenigen Mitarbeitenden fallen meist nicht darunter, sollten das aber im Einzelfall prüfen lassen.

Die Konsequenzen bei Fehlern reichen von der kostenpflichtigen Abmahnung durch Wettbewerber über Verfahren bei der Landesdatenschutzbehörde bis zum Bußgeld nach Art. 83 DSGVO. Typische Fehlerquelle: eine Datenschutzerklärung, die seit dem Website-Relaunch nicht mehr aktualisiert wurde, obwohl sich Tools und Dienstleister geändert haben.

Profi-Tipp: Führen Sie eine interne Liste aller Dienstleister mit Datenzugriff, inklusive AVV-Status. Diese Liste ist Ihr erster Nachweis, falls eine Aufsichtsbehörde nachfragt.

Generator oder Anwalt? So passen Sie Muster für Ihren Onlineshop sicher an

Ein Generator für eine Datenschutzerklärung im Onlineshop kostenlos oder gegen kleine Gebühr erstellt eine solide Grundstruktur in Minuten, das spart Zeit gegenüber dem Aufsetzen von null. Der Nachteil: Generatoren kennen weder Ihre konkreten Dienstleister noch Ihre individuellen Datenflüsse, und genau diese Lücke wird bei einer Abmahnung zum Problem.

So passen Sie eine Vorlage sauber an:

1. Inventarisieren Sie alle Datenflüsse: Welches Tool, welcher Dienstleister, welcher Zweck
2. Aktualisieren Sie die Dienstleisterliste mit echten Namen statt Platzhaltern
3. Prüfen Sie für jede Verarbeitung einzeln, ob die im Muster genannte Rechtsgrundlage tatsächlich passt

Reicht ein angepasster Mustertext, oder brauchen Sie eine Rechtsberatung? Bei einem einfachen Shop mit Standardprozessen kann eine sorgfältig angepasste Vorlage genügen. Sobald Bonitätsprüfungen, internationale Datentransfers oder ungewöhnliche Tracking-Setups im Spiel sind, lohnt sich eine Prüfung durch eine Datenschutzberatung oder einen auf IT-Recht spezialisierten Anwalt, bevor der Shop live geht.

Was Shopbetreiber beim Thema Datenschutz oft unterschätzen

Die meisten Shopbetreiber stecken ihre Energie in den Cookie-Banner, weil er sichtbar ist. Doch der Ablehnen-Button ist selten das eigentliche Risiko. Größer ist die Lücke bei AVV-Verträgen mit kleineren Tool-Anbietern, die niemand regelmäßig kontrolliert, und bei Checkout-Flüssen, die sich nach jedem Plugin-Update leicht verändern, ohne dass jemand die Datenschutzerklärung anpasst.

Meine Prioritätenliste für begrenzte Zeit: erstens Cookie-Banner und Tracking-Setup, weil hier die meisten automatisierten Abmahnungen ansetzen. Zweitens der komplette Checkout-Flow inklusive aller Empfänger. Drittens der AVV-Status jedes einzelnen Dienstleisters. Setzen Sie sich einen festen Prüfrhythmus, etwa quartalsweise, und dokumentieren Sie jede Änderung schriftlich. Diese Dokumentation ist im Streitfall oft wichtiger als die Datenschutzerklärung selbst, weil sie zeigt, dass Sie sich aktiv um Konformität bemüht haben.

Ihr Fahrplan für eine rechtssichere Datenschutzerklärung

Eine DSGVO-konforme Datenschutzerklärung für den Onlineshop funktioniert nur, wenn Rechtsgrundlage, Dienstleisterliste und Cookie-Consent zueinander passen und regelmäßig aktualisiert werden.

Wer im eigenen Shop Vertrauen aufbauen will, sollte Datenschutz nicht als lästige Pflichtübung behandeln, sondern als Teil der Kundenkommunikation, ähnlich wie eine klar formulierte Versandinformation oder eine transparente Preisangabe. Auch bei Pimpertz gilt: Ob es um den Kauf von Schwimmabzeichen für den Verein oder eine personalisierte Bestellung für die Schwimmschule geht, jede Bestellung verarbeitet Daten, die transparent erklärt werden müssen. Ein Blick in unseren Trusted-Shops-Beitrag zum Elternvertrauen zeigt, wie stark eine klare Datenschutzerklärung das Vertrauen von Eltern beeinflusst, die Schwimmabzeichen für ihre Kinder bestellen. Als Beispiel für eine praxisnahe Umsetzung im Sportbereich lohnt sich auch ein Blick auf die Datenschutzseite von Grünflügel, die Zahlungs- und Versanddaten transparent auflistet.

Häufig gestellte Fragen

Reicht eine kostenlose Datenschutzerklärung für den Onlineshop aus? Eine kostenlose Vorlage kann als Grundstruktur dienen, muss aber zwingend an Ihre konkreten Dienstleister, Tracking-Tools und Zahlungsanbieter angepasst werden. Unangepasste Standardtexte sind ein häufiger Abmahngrund.

Muss ich Bonitätsprüfungen in der Datenschutzerklärung erwähnen? Ja, sobald Sie Rechnungskauf oder Ratenzahlung anbieten und dafür eine Auskunftei einbinden, gehört das mit Namen, Zweck und Rechtsgrundlage in die Erklärung.

Brauche ich für Google Analytics eine gesonderte Einwilligung? Ja, nicht technisch notwendige Tracking-Tools brauchen eine aktive Einwilligung, bevor das Skript lädt. Datenschutzfreundliche Alternativen wie eine selbstgehostete Matomo-Installation können das Risiko reduzieren, ersetzen die Einwilligungspflicht aber nicht automatisch.

Wie oft sollte ich meine Datenschutzerklärung aktualisieren? Immer dann, wenn sich Dienstleister, Plugins oder Tracking-Tools ändern, mindestens aber alle drei bis vier Monate zur Kontrolle.

Wann brauche ich einen Datenschutzbeauftragten für meinen Onlineshop? Wenn in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind oder Ihre Kerntätigkeit in umfangreicher Überwachung besteht. Im Zweifel hilft eine kurze rechtliche Prüfung.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Quellen

• DSGVO-Checkliste für deutsche Onlineshops: 35 Punkte (2026)
• Datenschutz
• Onlineshop: Abmahnung — Shopify Blog
• Onlineshops

Empfehlung

• Trusted Shop Datenschutzerklärung 2026: 75% Eltern Vertrauen
• Sets
• Schwimmabzeichen Bestellprozess Leitfaden 2026
• Badekappe mit Namen bestellen: Anleitung für Schwimmkurse 2026