Der Siegeszug des E-Commerce ist nicht mehr aufzuhalten. Die Vorteile für Händler sind offensichtlich: Ein Wegfall teurer Mieten für Verkaufsflächen, für die Instandhaltung des Ladens und nicht zuletzt die bargeldlose Geschäftsabwicklung. Ohne Datentransfer zwischen Händlern und seinen Dienstleistern funktioniert es allerdings nicht. Was gilt es nach DSGVO zu beachten?
Der Inhalt im Überblick
Datenverarbeitungen beim Versandhandel
Es ist also nicht verwunderlich, dass der Umsatz im Onlinehandel branchenübergreifend kontinuierlich wächst. Im Jahr 2019 wurden rund 58 Milliarden Euro mit dem Warenverkauf im Internet erwirtschaftet – gut 44-mal so viel wie im Jahr 2000. Im Gleichlauf erhöht sich auch die Menge an personenbezogener Daten, die tagtäglich zwischen den Akteuren des Versandhandels ausgetauscht werden. Hierzu zählen regelmäßig:
- Vorname, Nachname
- Rechnungs- und Lieferanschrift
- E-Mail-Adresse
- Rechnungs- und Bezahldaten
- Telefonnummer
Neben der Datenerhebung mittels Drittanbieter (Cookies) beim Besuch des Onlineshops, geben Händler personenbezogene Daten etwa an Auskunfteien, Zahlungsdienstleister, Großhändler oder Versandunternehmen weiter.
Datenweitergabe zum Zweck der Bonitätsauskunft
Die Verarbeitung von Daten durch Auskunfteien erfolgt entweder auf Basis einer Einwilligung des Kunden gem. Art. 6 Abs. 1 S.1 lit. a DSGGVO oder auf Grundlage des berechtigten Interesses des verantwortlichen Verkäufers gem. Art. 6 Abs. 1 S.1 lit f DSGVO. Das berechtigte Interesse ist regelmäßig insbesondere vor Eingehung von Geschäften mit wirtschaftlichem Risiko gegeben. Regelfall ist dabei der Kauf auf Rechnung. In den Fällen der Vorkasse etwa, wird das berechtigte Interesse des Verkäufers regelmäßig zurücktreten müssen, da ein Ausbleiben der Zahlung durch den Kunden nicht zu befürchten ist. Der Verkäufer kann den Eingang der Zahlung in Ruhe abwarten und seine Waren ohne Risiko eines Zahlungsausfalls abschicken.
Der Einsatz von Zahlungsdienstleistern
Regelmäßig werden dem Kunden bei Onlinebestellungen eine Vielzahl von Zahlungsdienstleistern und Onlinebezahlsystemen angeboten. Die Einschaltung eines Dienstleisters bietet für Käufer und Verkäufer die Möglichkeit, Risiken bei der Zahlungsabwicklung zu minimieren, da die Anbieter regelmäßig Ausfall- und Betrugsrisiken selbst übernehmen.
In der Regel erbringen Zahlungsdienstleister eine Fachleistung in eigenständiger Verantwortung und erfüllen nicht das Kriterium der Weisungsgebundenheit. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO muss der Händler daher mit dem Zahlungsdienstleister nicht abschließen. Oftmals werden die Zahlungsdaten gar direkt vom Kunden über den Zahlungsdienstleister an den Verkäufer übermittelt. Rechtsgrundlage für die Datenverarbeitung ist jedenfalls regelmäßig Art. 6 Abs. 1 S.1 lit. b DSGVO, da die Übermittlung an Zahlungsdienstleister zum Zweck der Erfüllung der kaufvertraglichen Verpflichtungen erfolgt.
Der Einsatz von Versand- und Transportdienstleistern
Da nur die wenigsten Händler über eigene Transportkapazitäten verfügen, ist der Einsatz von Versanddienstleistern gewöhnlich unverzichtbar und somit auch die Übermittlung personenbezogener Daten der Kunden zum Zwecke der Zustellung bestellter Waren. Rechtsgrundlage für die Datenübermittlung ist hier ebenfalls Art. 6 Abs. 1 S.1 lit. b DSGVO, da der Versand der Ware zur Abwicklung des Vertragsverhältnisses gehört und die Übermittlung der Daten insoweit der Erfüllung eigener rechtsgeschäftlicher Verpflichtungen des Händlers dient. Es bedarf in diesem Fall also keiner Einwilligung des Kunden.
Weitergabe der Telefonnummer bei Speditionsware
Im Gegensatz zu Adressdaten des Käufers ist die Übermittlung von Telefonnummern meist nicht zwingend zur Durchführung des Vertragsverhältnisses erforderlich. Ausnahmen können sich etwa dann ergeben, wenn es sich um Sperrgut handelt, welches durch eine Spedition beim Kunden angeliefert werden soll. In solch einem Fall kann die Weitergabe an den Spediteur zwecks Terminvereinbarung mit dem Kunden zulässig sein.
Weitergabe der E-Mail-Adresse
Die Ankündigung von Paketlieferungen oder die Sendungsverfolgung per Mail kann zwar einen Mehrwert für die Kunden bringen, ist jedoch letztlich als Serviceleistung zu qualifizieren, deren Übermittlung daher nicht mehr zur Durchführung des Vertrages erforderlich ist. Laut DSK ist die Übermittlung von E-Mail-Adressen der Händler an die Paketdienstleister daher nur bei Vorliegen einer Einwilligung der Kunden rechtmäßig.
Fraglich ist jedoch, ob die Übermittlung auch auf das berechtigte Interesse der Händler nach Art. 6 Abs. 1 S.1 lit. f DSGVO gestützt werden kann?
Die möglichst kundenfreundliche Zustellung und Ausgestaltung des Lieferzeitpunkts für den Empfänger und der damit womöglich einhergehenden Einsparung von Zweit- und Drittzustellversuchen sind zunächst nachvollziehbare Interessen auf Seiten des Händlers. Eine effiziente Abwicklung des Versandgeschäfts wird auch regelmäßig im Interesse des Bestellers liegen. E-Mail-Adressen werden tagtäglich von Verbrauchern für diverse Anmelde- und Bestellvorgänge verwendet. Es ist nicht selten, dass Mailadressen eigens für Onlineangebote eingerichtet und verwendet werden. Sofern die E-Mail-Adressen zweckgebunden eingesetzt werden, ist die Beeinträchtigung der Betroffenen objektiv betrachtet als gering einzuschätzen. Darüber hinaus ist der Besteller durch die Möglichkeit des formlosen Widerspruchs der Verarbeitung auch nicht schutzlos ausgeliefert.
Kein Onlinehandel ohne Datenschutz
In den meisten Fällen wird die Übermittlung von Kundendaten durch Händler aufgrund des vertraglichen Schuldverhältnisses gerechtfertigt sein. Schließlich ist eine Übermittlung in einer arbeitsteiligen Gesellschaft für die Besteller auch erwartbar. Die Verwendung der Daten über vertragliche Zwecke hinaus sollte jedoch stets genau geprüft werden, hier steckt der Teufel wie so oft im Detail.
Vielleicht könnt ihr hierzu eure Meinung abgeben:
Es gibt Versandvermittler wie z.B. shipcloud oder sendcloud die als Auftragsverarbeiter fungieren. Diese geben Adresse an den Transporteur weiter und übernehmen den Versand von Tracking- und Sendungsinformationen.
Da es sich um ein AV Verhältnis handelt, halte ich die Weitergabe der Email Adresse an diese für unproblematisch. Eure Meinung?
Laut DSK ist die Übermittlung von E-Mail-Adressen durch Onlinehändler an Postdienstleister nur bei Vorliegen einer Einwilligung der Kunden in eben diese Übermittlung rechtmäßig. Sofern aber, wie von Ihnen beschrieben, die Zustellinformationen vom Onlinehändler selbst an den Kunden weitergegeben werden, z.B. einen Link zur Sendungsverfolgung in die eigene Bestellbestätigung eingebunden wird, kann sich der Onlinehändler hierzu auch eines Auftragsverarbeiters bedienen, der die Bestellabwicklung übernimmt. Dieser verarbeitet die Mailadressen dann, im Gegensatz zum Postdienstleister, gerade nicht eigenverantwortlich, sondern stets nach Weisung des Händlers.
Müssen Onlinehändler über Cookies von Zahlungsdienstleistern informieren?
Beispielsweise wenn diese nach der Auswahl der Zahlungsart im Checkout Bereich vom Zahlungsdienstleister auf der Internetseite des Onlinehänders aktiviert werden, aber die damit verbundene Datenverarbeitung nicht in der Verantwortung des Onlinehändler liegt?
In der Regel erbringen Zahlungsdienstleister eine Fachleistung in eigenständiger Verantwortung und erfüllen nicht das Kriterium der Weisungsgebundenheit. Sie sind demnach keine Auftragsverarbeiter i.S.d Art. 28 DSGVO. Gleichwohl ist aus Transparenzgründen in der Datenschutzerklärung auf den Einsatz von Zahlungsdienstleistern hinzuweisen. Sofern der Zahlungsdienstleister in diesem Fall ein Third-Party-Cookie setzt, sollte auch darauf hingewiesen werden. Sofern das setzen des Cookies technisch erforderlich ist, um etwa den Zahlungsvorgang ordnungsgemäß durchführen oder auch zur Betrugsprävention, ist hierfür die Erteilung der Einwilligung entbehrlich.
Sofern der Käufer während des Zahlungsvorgangs auf Seiten der Zahlungsdienstleister weitergeleitet wird und somit das Cookie nicht mehr in der Sphäre des Händlers genutzt und ausgewertet wird, kann auf einen Cookie-Hinweis verzichtet werden.