DSGVO-Implementierungsleitfaden: Datenschutz für E-Commerce- und ERP-Systeme

Seit Beginn der Durchsetzung der DSGVO im Jahr 2018 haben die Aufsichtsbehörden Bußgelder in Höhe von über 5,3 Milliarden Euro verhängt. Die höchste Einzelstrafe – 1,2 Milliarden Euro gegen Meta im Jahr 2023 – zeigte, dass kein Unternehmen zu groß ist, um bestraft zu werden. Am härtesten trifft die Verordnung jedoch den Mittelstand, wo Unternehmen erhebliche Mengen personenbezogener Daten ohne die Rechtsabteilungen und Compliance-Budgets globaler Unternehmen verarbeiten.

Für E-Commerce-Unternehmen und ERP-abhängige Unternehmen berührt die DSGVO jedes System, das Kundendaten speichert: Ihren Online-Shop, Ihr CRM, Ihr Bestellmanagement, Ihr E-Mail-Marketing und Ihre Analysen. Dieser Leitfaden bietet einen praktischen, Artikel-für-Artikel-Implementierungsplan.

Wichtige Erkenntnisse

• Die Datenzuordnung ist der nicht verhandelbare erste Schritt – Sie können Daten, die Sie nicht inventarisiert haben, nicht schützen – Das Einwilligungsmanagement erfordert detaillierte, zweckspezifische Opt-Ins und kein einziges pauschales Kontrollkästchen
• DSAR-Automatisierung ist unerlässlich – die Reaktionsfrist von 30 Tagen lässt keinen Raum für manuelle Prozesse im großen Maßstab
• Ihr ERP-System ist wahrscheinlich Ihr größter Speicher für personenbezogene Daten und muss vom ersten Tag an für die Compliance konfiguriert werden

---

Den Geltungsbereich der DSGVO für digitale Unternehmen verstehen

Die DSGVO gilt für jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig davon, wo diese Organisation ihren Sitz hat. Für ein weltweit versendendes E-Commerce-Unternehmen oder eine SaaS-Plattform mit europäischen Nutzern ist die DSGVO aufgrund der extraterritorialen Reichweite unumgänglich.

Was als personenbezogene Daten gilt

Personenbezogene Daten im Rahmen der DSGVO sind umfassender, als die meisten Unternehmen erwarten:

Die entscheidende Erkenntnis für die meisten Unternehmen ist, dass ihr ERP-System – Odoo, SAP oder anders – jede dieser Datenkategorien in seinen Modulen enthält.

---

Schritt 1: Datenzuordnung und Inventarverarbeitung

Artikel 30 der DSGVO erfordert ein Verzeichnis der Verarbeitungstätigkeiten (ROPA). Dabei handelt es sich nicht um eine optionale Dokumentation, sondern um eine gesetzliche Anforderung und die Grundlage für alles andere.

So ordnen Sie Ihre Daten zu

Dokumentieren Sie für jedes System, das personenbezogene Daten verarbeitet:

1. Welche personenbezogenen Daten erfasst werden (spezifische Felder, keine vagen Kategorien)
2. Warum es erhoben wird (Rechtsgrundlage --- Einwilligung, Vertrag, berechtigtes Interesse, rechtliche Verpflichtung)
3. Wo es gespeichert ist (Datenbank, Serverstandort, Cloud-Region)
4. Wer hat Zugriff (Rollen, Dritte, Unterauftragsverarbeiter)
5. Wie lange es aufbewahrt wird (mit Begründung für den Aufbewahrungszeitraum)
6. Wie es geschützt ist (Verschlüsselung, Zugriffskontrollen, Anonymisierung)

DSGVO-Artikel zur Umsetzungs-Checkliste

---

Schritt 2: Einwilligungsmanagement

Die Einwilligung gemäß DSGVO muss freiwillig, spezifisch, informiert und eindeutig erfolgen. Die Zeiten der vorab angekreuzten Kontrollkästchen und der pauschalen Einwilligung sind vorbei.

Einwilligungsarchitektur für E-Commerce

Ihre E-Commerce-Plattform benötigt mehrere unabhängige Einwilligungsmechanismen:

Marketing-Einwilligung. Separates Opt-in für E-Mail-Marketing, SMS-Marketing und personalisierte Werbung. Jeder Kanal benötigt eine eigene Checkbox. Keine Vorauswahl.

Analytics-Zustimmung. Cookie-Zustimmungsbanner, der eine detaillierte Auswahl ermöglicht: notwendige Cookies (keine Zustimmung erforderlich), Analyse-Cookies, Marketing-Cookies, Präferenz-Cookies. Implementieren Sie eine geeignete Consent Management Platform (CMP), die Skripte blockiert, bis die Einwilligung erteilt wird.

Transaktionskommunikation. Für Bestellbestätigungen, Versandaktualisierungen und Kontosicherheitswarnungen ist keine Zustimmung erforderlich – diese fallen unter „vertragliche Notwendigkeit“ (Artikel 6(1)(b)). Aber schleichen Sie keine Marketinginhalte in Transaktions-E-Mails ein.

Weitergabe an Dritte. Wenn Sie Daten mit Partnern (Affiliate-Netzwerke, Bewertungsplattformen, Analyseanbieter) teilen, bedarf jede Weitergabebeziehung einer eigenen Offenlegung und ggf. Einwilligung.

Implementierung in ERP-Systemen

Implementieren Sie in Odoo und ähnlichen ERP-Systemen die Einwilligungsverfolgung wie folgt:

• Einwilligungsfelder zum Kontaktmodell hinzufügen: marketing_consent, analytics_consent, consent_date, consent_source
• Notieren Sie die genaue Version der Datenschutzerklärung, der der Benutzer zugestimmt hat
• Implementieren Sie einen Mechanismus zum Widerruf der Einwilligung, der sich über alle Module hinweg ausbreitet
• Protokollieren Sie alle Einwilligungsänderungen in einem unveränderlichen Audit Trail mit Zeitstempeln

Cookie-Compliance

Die Cookie-Anforderungen der DSGVO, verstärkt durch die Datenschutzrichtlinie für elektronische Kommunikation, erfordern:

1. Vor der ausdrücklichen Zustimmung werden keine nicht unbedingt notwendigen Cookies gesetzt
2. Gleiche Hervorhebung der Schaltflächen „Akzeptieren“ und „Ablehnen“ (keine dunklen Muster)
3. Detaillierte Auswahl der Cookie-Kategorie
4. Einfacher Widerruf der Einwilligung
5. Aufzeichnungen zur Cookie-Zustimmung, die zu Prüfungszwecken aufbewahrt werden

---

Schritt 3: Data Subject Access Requests (DSARs)

Die Artikel 15–22 geben EU-Bürgern umfassende Rechte an ihren Daten. Sie müssen innerhalb von 30 Tagen antworten. Die Uhr beginnt mit dem Eingang der Anfrage und nicht mit der Überprüfung Ihrer Identität.

DSAR-Typen und Antwortanforderungen

Aufbau eines DSAR-Workflows

Im großen Maßstab ist die manuelle DSAR-Bearbeitung nicht nachhaltig. Erstellen Sie einen automatisierten Workflow:

1. Aufnahme. Dedizierte E-Mail-Adresse und Webformular für DSARs. Automatische Empfangsbestätigung.
2. Identitätsüberprüfung. Überprüfen Sie die Identität des Antragstellers, ohne übermäßig viele zusätzliche Daten zu sammeln.
3. Datenerkennung. Automatisierte Suche in allen Systemen: ERP, CRM, E-Mail-Marketing, Analysen, Helpdesk, Backups.
4. Antwortkompilierung. Aggregieren Sie Daten in einem strukturierten Format. Geben Sie bei Zugriffsanfragen Verarbeitungszwecke, Kategorien, Empfänger, Aufbewahrungsfristen und die Quelle der Daten an.
5. Überprüfung. Das Rechts-/Datenschutzteam prüft die E-Mail vor dem Senden. Persönliche Daten Dritter schwärzen.
6. Erfüllung. Antwort innerhalb von 30 Tagen senden. Protokollieren Sie die Anfrage, Antwort und den Zeitplan.
7. Ausführung der Löschung. Kaskadieren Sie bei Löschanfragen die Löschung auf alle Systeme, einschließlich Backups (mit dokumentierten Ausnahmen für gesetzliche Aufbewahrungspflichten).

ERP-spezifische DSAR-Herausforderungen

ERP-Systeme stellen einzigartige DSAR-Herausforderungen dar, da personenbezogene Daten modulübergreifend tief integriert sind:

• Der Name eines Kunden erscheint in Kontakten, Rechnungen, Lieferaufträgen, Support-Tickets und Buchhaltungseinträgen
• Für Finanzunterlagen gelten möglicherweise gesetzliche Aufbewahrungspflichten (in der Regel 7–10 Jahre), die Vorrang vor dem Recht auf Löschung haben
• Pseudonymisierung ist bei Finanzunterlagen oft der Löschung vorzuziehen: Ersetzen Sie den Namen durch eine anonyme Kennung, während die Transaktionsdaten für Buchhaltungszwecke erhalten bleiben

---

Schritt 4: Datenminimierung und -aufbewahrung

Artikel 5 Absatz 1 Buchstabe c verlangt, dass personenbezogene Daten „angemessen, relevant und auf das Notwendige beschränkt“ sind. Artikel 5 Absatz 1 Buchstabe e verlangt, dass Daten „nicht länger als nötig“ aufbewahrt werden.

Praktische Datenminimierung

Überprüfen Sie jeden Datenerfassungspunkt:

• Anmeldeformulare. Benötigen Sie bei der Anmeldung wirklich das Geburtsdatum, das Geschlecht oder die Telefonnummer? Wenn nicht, entfernen Sie sie.
• Checkout-Abläufe. Sammeln Sie nur das, was zur Ausführung der Bestellung erforderlich ist. Bieten Sie Gast-Checkout an, um die Erstellung unnötiger Konten zu vermeiden.
• Analytics. Verwenden Sie datenschutzschonende Analysen (Plausible, Fathom) oder konfigurieren Sie GA4 für eine reduzierte Datenerfassung. IP-Anonymisierung, verkürzte Cookie-Dauer, deaktiviertes User-ID-Tracking.
• ERP-Felder. Überprüfen Sie benutzerdefinierte Felder, die zu Kontakten, Bestellungen und anderen Modulen hinzugefügt wurden. Entfernen Sie alle Daten, die keinem dokumentierten Geschäftszweck dienen.

Aufbewahrungsrichtlinie nach Datentyp

Automatisieren Sie die Aufbewahrung in Ihrem ERP

Konfigurieren Sie Ihr ERP-System so, dass Aufbewahrungsrichtlinien automatisch durchgesetzt werden:

• Geplante Jobs, die Datensätze identifizieren, deren Aufbewahrungsdatum überschritten ist
• Anonymisierungsskripte, die personenbezogene Daten durch generische Werte ersetzen und gleichzeitig aggregierte Daten für die Berichterstellung beibehalten – Backup-Rotationsrichtlinien, die sicherstellen, dass gelöschte Daten nicht auf unbestimmte Zeit in Backups verbleiben
• Dokumentierte Ausnahmen für gesetzliche Aufbewahrungsfristen und laufende Streitigkeiten

---

Schritt 5: Auftragsverarbeitervereinbarungen und Lieferantenmanagement

Artikel 28 erfordert eine schriftliche Datenverarbeitungsvereinbarung (DPA) mit jedem Anbieter, der personenbezogene Daten in Ihrem Namen verarbeitet. Das ist kein Nice-to-have, sondern eine gesetzliche Vorschrift.

Wesentliche DPA-Klauseln

Jede DPA muss Folgendes enthalten:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Arten der verarbeiteten personenbezogenen Daten
• Kategorien der betroffenen Personen
• Pflichten und Rechte des Verantwortlichen
• Genehmigungsverfahren für Unterauftragsverarbeiter
• Meldepflichten bei Datenschutzverletzungen (ohne unangemessene Verzögerung)
• Datenlöschung bzw. Rückgabe bei Kündigung
• Prüfrechte für den Controller
• Grenzüberschreitende Übertragungsmechanismen (SCCs oder Angemessenheitsentscheidungen)

Lieferanten-Compliance-Bewertung

Erstellen Sie eine Lieferantenrisikobewertung, die Folgendes bewertet:

1. Verfügt der Anbieter über eine veröffentlichte DPA? (Die meisten großen SaaS-Anbieter tun dies)
2. Über welche Zertifizierungen verfügt der Anbieter? (SOC2, ISO 27001)
3. Wo speichert der Anbieter Daten? (Siehe unseren Leitfaden zur Datenresidenz)
4. Setzt der Anbieter Unterauftragsverarbeiter ein und wie werden diese verwaltet?
5. Wie sieht der Zeitplan für die Benachrichtigung des Anbieters bei Verstößen aus?

Einen umfassenderen Überblick darüber, wie die DSGVO in die gesamte Compliance-Landschaft passt, finden Sie in unserem Enterprise-Compliance-Handbuch.

---

Häufig gestellte Fragen

Gilt die DSGVO für B2B-Unternehmen, die nur Geschäftskontakte pflegen?

Ja. Die DSGVO gilt für alle personenbezogenen Daten von EU-Bürgern, einschließlich geschäftlicher E-Mail-Adressen und direkter Telefonnummern. Geschäftskontaktdaten wie die geschäftliche E-Mail-Adresse einer benannten Person (john.smith@company.com) sind personenbezogene Daten. Allgemeine Firmen-E-Mails (info@company.com) sind nicht gültig. Die meisten B2B-Unternehmen verarbeiten personenbezogene Daten über CRM-Systeme, E-Mail-Marketing und Website-Analysen.

Was ist der Unterschied zwischen einem Datenverantwortlichen und einem Datenverarbeiter?

Der Datenverantwortliche bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten – in der Regel ist dies Ihr Unternehmen für Ihre eigenen Kundendaten. Der Datenverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen – dazu gehören Ihre SaaS-Anbieter, Cloud-Anbieter und Zahlungsabwickler. Verantwortliche haben umfassendere DSGVO-Pflichten, aber Auftragsverarbeiter müssen auch die Anforderungen von Artikel 28 einhalten und ihre eigenen Verarbeitungsaufzeichnungen führen.

Können wir uns beim Marketing auf „berechtigtes Interesse“ statt auf Einwilligung verlassen?

Theoretisch ja, aber in der Praxis ist es für das Direktmarketing riskant. Das ICO (Großbritannien) und die CNIL (Frankreich) vertreten den strikten Standpunkt, dass E-Mail-Marketing im Allgemeinen eine Einwilligung sowohl nach der DSGVO als auch nach der Datenschutzrichtlinie für elektronische Kommunikation erfordert. Berechtigtes Interesse kann in einigen Gerichtsbarkeiten für B2B-Marketing sinnvoll sein, Sie müssen jedoch eine Beurteilung des berechtigten Interesses (LIA) dokumentieren und einen klaren Opt-out-Mechanismus bereitstellen. Holen Sie im Zweifelsfall Ihr Einverständnis ein.

Wie gehen wir mit der DSGVO für in Backups gespeicherte Daten um?

Backups stellen eine echte Herausforderung dar. Das ICO hat anerkannt, dass das Löschen bestimmter Datensätze aus Backups technisch unpraktisch sein kann. Der akzeptierte Ansatz besteht darin, eine „Unterdrückungsliste“ der gelöschten betroffenen Personen zu führen und Löschungen vorzunehmen, wenn Backups wiederhergestellt werden. Dokumentieren Sie diesen Ansatz in Ihrer Datenschutzrichtlinie und Ihren DSAR-Antworten. Stellen Sie sicher, dass die Aufbewahrungsfristen für Backups so kurz wie möglich sind.

Welche Strafen können einem kleinen E-Commerce-Unternehmen tatsächlich drohen?

Auch wenn die Bußgelder in Millionenhöhe liegen, berücksichtigen die Aufsichtsbehörden bei der Festsetzung der Strafen die Unternehmensgröße und den Umsatz. Bei kleinen Unternehmen ist die Wahrscheinlichkeit höher, dass sie im Verhältnis zu ihrem Umsatz Verwarnungen, Anordnungen zur Einhaltung oder Bußgelder erhalten. Der Reputationsschaden und die Kosten der Sanierung können jedoch auch ohne Bußgeld verheerend sein. Der sicherste Ansatz ist die proaktive Compliance.

---

Was kommt als nächstes?

Die Einhaltung der DSGVO ist kein einmaliges Projekt, sondern ein fortlaufendes Programm, das sich weiterentwickeln muss, wenn Ihr Unternehmen wächst, sich Ihre Datenverarbeitungsaktivitäten ändern und sich regulatorische Richtlinien entwickeln. Die gute Nachricht ist, dass die Einhaltung der DSGVO eine solide Grundlage für jedes andere Compliance-Framework bildet.

ECOSIRE baut von Grund auf DSGVO-konforme E-Commerce- und ERP-Systeme auf. Unsere Odoo ERP-Implementierungen umfassen Zustimmungsmanagement, DSAR-Automatisierung, Audit-Trails und die Durchsetzung von Aufbewahrungsrichtlinien. Für KI-gestützte Datenerkennung und Datenschutzautomatisierung erkunden Sie unsere OpenClaw AI-Plattform. Kontaktieren Sie uns, um eine DSGVO-Bereitschaftsbewertung zu vereinbaren.

---

Veröffentlicht von ECOSIRE – Unterstützung von Unternehmen bei der Skalierung mit KI-gestützten Lösungen in Odoo ERP, Shopify eCommerce und OpenClaw AI.