ARLing

Datenschutzerklärung im Online-Shop: Pflichtangaben nach Art. 13

ARLing s. r. o. · 10. September 2026

Jeder Online-Shop, der beim Kauf Name, Adresse oder E-Mail-Adresse eines Kunden erhebt, muss eine Datenschutzerklärung veröffentlichen, die die Informationspflicht nach Art. 13 erfüllt: Identität und Kontaktdaten des Verantwortlichen, Zwecke und Rechtsgrundlage der Verarbeitung, Empfänger der Daten, Speicherdauer und die Rechte der betroffenen Person müssen darin stehen. Sobald der Shop Cookies setzt, etwa für Statistik oder Werbung, braucht er dafür zusätzlich eine Einwilligung nach klarer und verständlicher Aufklärung, denn das Speichern von Informationen im Endgerät des Nutzers ist in Deutschland an diese Zustimmung gebunden. Ab wann ein Datenschutzbeauftragter benannt werden muss, hängt von der Zahl der Beschäftigten ab, die regelmäßig mit automatisierter Verarbeitung personenbezogener Daten befasst sind. Dieser Beitrag zeigt, was die Datenschutzerklärung konkret enthalten muss, wie Cookies und der Datenschutzbeauftragter einzuordnen sind und wo sich die Pflichtangaben kostenlos zusammenstellen lassen, ausgefüllt mit den Daten des eigenen Unternehmens.

Pflichtangaben nach Art. 13 in der Datenschutzerklärung

Wer Kundendaten direkt über das eigene Bestellformular erhebt, muss dem Kunden vorab genau sagen, was mit diesen Daten passiert: Identität und Kontaktdaten des Verantwortlichen, den Kontakt zum Datenschutzbeauftragten, sofern einer bestellt ist, die Zwecke und die Rechtsgrundlage jeder einzelnen Verarbeitung, die Empfänger oder Kategorien von Empfängern der Daten, eine mögliche Übermittlung in ein Land außerhalb der EU, die Speicherdauer oder zumindest die Kriterien dafür, die vollständige Liste der Rechte der betroffenen Person einschließlich des Beschwerderechts bei der Aufsichtsbehörde und den Hinweis, ob die Angabe der Daten eine gesetzliche oder vertragliche Pflicht ist.

Fehlt auch nur einer dieser Punkte, etwa die Angabe der Speicherdauer oder der Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde, ist die Informationspflicht nach Art. 13 nicht vollständig erfüllt, unabhängig davon, wie umfangreich der restliche Text sonst ausfällt. Zu den Rechten, die die Datenschutzerklärung auflisten muss, zählen unter anderem Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und der jederzeitige Widerruf einer Einwilligung.

Cookies auf der Website: Einwilligung nach TDDDG

Sobald der Online-Shop Cookies setzt oder aus dem Browser des Besuchers Informationen ausliest, etwa für Statistik-Tools oder Werbenetzwerke, braucht er dafür in Deutschland die Einwilligung des Besuchers, die dieser erst nach einer klaren und verständlichen Aufklärung über den Zweck gibt; das schreibt § 25 Abs. 1 TDDDG vor.

Das TDDDG hat im Mai 2024 das bis dahin geltende TTDSG abgelöst, an der Pflicht zur Einwilligung vor dem Speichern oder Auslesen von Informationen im Endgerät des Besuchers hat sich dadurch nichts geändert.

Datenschutzbeauftragter: wann die BDSG-Schwelle greift

Für Deutschland gilt neben den allgemeinen Regeln aus Art. 37 der DSGVO zusätzlich eine eigene Schwelle nach nationalem Recht: Ein Unternehmen muss einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind; das schreibt § 38 Abs. 1 BDSG vor, und diese Grenze von 20 Personen gilt weiterhin.

Entscheidend ist dabei nicht die Gesamtzahl der Beschäftigten im Unternehmen, sondern wie viele von ihnen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten zu tun haben; die Zahl 20 zählt also nur Beschäftigte mit ständiger Befassung, nicht jede Mitarbeiterin und jeden Mitarbeiter im Betrieb.

Fazit: Pflichtangaben kostenlos zusammenstellen

Die Datenschutzerklärung, also Dokument D1, erstellt der ARLing DSGVO-Generator direkt im Browser aus einem Formular über das eigene Unternehmen: kostenlos, ohne Konto, und nichts aus dem Formular verlässt den Browser in Richtung eines Servers.

Wer das vollständige Paket mit bis zu zehn Dokumenten braucht, etwa Cookie-Regeln samt Banner-Text, ein Verzeichnis von Verarbeitungstätigkeiten, einen Auftragsverarbeitungsvertrag, Einwilligungstexte für Formulare, eine Mitarbeiterinformation, eine interne Richtlinie, ein Verfahren bei einer Datenpanne, ein Verfahren für Anfragen betroffener Personen und, falls benötigt, Dokumente zur Videoüberwachung, zahlt dafür einmalig 39 € inklusive Mehrwertsteuer per Karte über Stripe.

Der Generator macht dabei deutlich, dass seine Dokumente allgemeine, mit den eigenen Unternehmensdaten ausgefüllte Vorlagen sind und keine Rechtsberatung ersetzen; für eine mögliche Geldbuße haftet stets der Verantwortliche selbst, nicht der Autor der Vorlage, weshalb die Dokumente vor dem Einsatz gelesen und an die tatsächliche Praxis im eigenen Shop angepasst werden sollten.

Häufig gestellte Fragen

Muss auch ein kleiner Online-Shop mit wenigen Produkten eine vollständige Datenschutzerklärung haben?

Ja, die Informationspflicht nach Art. 13 gilt für jeden Verantwortlichen, der personenbezogene Daten direkt vom Kunden erhebt, unabhängig von der Größe des Shops.

Reicht es, wenn ich als Shop-Betreiber nur behaupte, dass ein Besucher der Cookie-Nutzung zugestimmt hat?

Nein: Der Verantwortliche muss nachweisen können, dass der Besucher wirklich zugestimmt hat, eine bloße Behauptung genügt nicht. Ebenso wichtig ist, dass der Widerruf der Einwilligung genauso einfach sein muss wie ihre Erteilung, ein Cookie-Banner darf den Widerruf also nicht über mehrere Schritte erschweren, während die Zustimmung mit einem Klick geht.

Kann mein Unternehmen auch mit weniger als 20 Beschäftigten einen Datenschutzbeauftragten brauchen?

Ja, wenn das Unternehmen aufgrund seiner Art, seines Umfangs oder seiner Zwecke eine regelmäßige und systematische Überwachung von betroffenen Personen in großem Umfang durchführt, etwa durch umfangreiches Tracking über Cookies und Werbenetzwerke, gilt die Pflicht zur Benennung eines Datenschutzbeauftragten unabhängig von der Beschäftigtenzahl.

Quellen. Die Fakten in diesem Text sind nach unserer internen Faktenliste nummeriert und zum Veröffentlichungsdatum geprüft. ARLing ist keine Bank; ein sauberes Prüfergebnis ist keine Garantie, dass die Bank die Zahlung annimmt. Sollte sich eine Quelle inzwischen geändert haben, schreiben Sie an andrej@arling.sk, wir korrigieren diese Seite.