Compliance bei der Datennutzung im E-Commerce-Gesetz

# Compliance bei der Datennutzung im E-Commerce-Gesetz: Ein Leitfaden für Investoren ## Einleitung: Warum Datenschutz im E-Commerce zum kritischen Erfolgsfaktor wird

Meine Damen und Herren, wenn ich auf über zwölf Jahre Beratungstätigkeit für ausländische Unternehmen bei der Jiaxi Steuerberatungsgesellschaft zurückblicke, dann hat sich eines ganz klar gezeigt: Das Thema Datenschutz und Datennutzung ist kein lästiges Anhängsel mehr, sondern ein harter unternehmerischer Erfolgsfaktor. Insbesondere im E-Commerce, wo Daten das Fundament jeglicher Geschäftsaktivität bilden, hat die rechtliche Landschaft in den letzten Jahren eine tiefgreifende Transformation durchlaufen. Die Einführung der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union sowie das neue deutsche E-Commerce-Gesetz haben die Spielregeln grundlegend verändert. Für Investoren, die in deutsche oder europäische E-Commerce-Unternehmen investieren möchten, ist ein fundiertes Verständnis dieser regulatorischen Anforderungen nicht mehr nur empfehlenswert, sondern schlichtweg überlebenswichtig.

Lassen Sie mich gleich zu Beginn ein ehrliches Geständnis machen: In meiner langjährigen Praxis habe ich mehr als einmal erlebt, wie vielversprechende Geschäftsmodelle an mangelnder Datenschutz-Compliance gescheitert sind. Da war zum Beispiel ein mittelständischer Modehändler aus Nordrhein-Westfalen, der mit einem innovativen KI-gestützten Empfehlungssystem expandieren wollte – nur um dann festzustellen, dass die dafür erforderliche Datenverarbeitung ohne Rechtsgrundlage erfolgte. Die anschließenden Abmahnungen und Bußgelder fraßen nicht nur die geplanten Investitionen auf, sondern beschädigten auch das Markenimage erheblich. Es ist mir ein persönliches Anliegen, dass Sie solche Fehler vermeiden können. Das neue E-Commerce-Gesetz, das im Januar 2024 in Kraft getreten ist, bringt dabei sowohl Herausforderungen als auch Chancen mit sich – und genau darüber werden wir heute ausführlich sprechen.

Die wirtschaftliche Bedeutung dieses Themas kann gar nicht hoch genug eingeschätzt werden. Aktuelle Studien des Bundesverbands E-Commerce und Versandhandel Deutschland (bevh) zeigen, dass über 80 Prozent der deutschen Online-Händler datengetriebene Geschäftsmodelle nutzen. Gleichzeitig meldeten die Landesdatenschutzbehörden im Jahr 2024 insgesamt über 3.200 Bußgeldverfahren im Zusammenhang mit Datenschutzverstößen im Online-Handel – eine Steigerung von rund 60 Prozent gegenüber dem Vorjahr. Diese Zahlen verdeutlichen: Compliance ist kein Kostenfaktor, sondern eine strategische Investition. Wer die Regeln versteht und clever umsetzt, kann sich einen echten Wettbewerbsvorteil verschaffen. In diesem Artikel möchte ich Ihnen daher einen umfassenden Überblick über die wichtigsten Aspekte der Datennutzungs-Compliance im E-Commerce geben – praxisnah, ehrlich und auf Basis meiner langjährigen Erfahrung als Berater für internationale Mandanten.

## 1. Rechtsgrundlagen: Wann und warum Daten verarbeitet werden dürfen

Fangen wir mit der wichtigsten Frage an: Wann ist die Verarbeitung von Kundendaten im E-Commerce überhaupt rechtmäßig? Die Antwort darauf mag auf den ersten Blick simpel erscheinen, enthält aber in der Praxis viele Feinheiten, die selbst erfahrenen Unternehmern nicht immer bewusst sind. Grundsätzlich gilt nach Artikel 6 der DSGVO, dass jede Datenverarbeitung auf einer Rechtsgrundlage beruhen muss. Die für den E-Commerce wichtigsten Grundlagen sind dabei die Einwilligung der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO), die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO) und das berechtigte Interesse des Verantwortlichen (Art. 6 Abs. 1 lit. f DSGVO). Jede dieser Grundlagen hat ihre eigenen Anforderungen und Fallstricke – und nur wer sie wirklich versteht, kann ein tragfähiges Datenschutzkonzept entwickeln.

In meiner 14-jährigen Erfahrung mit der Registrierungsabwicklung habe ich immer wieder festgestellt, dass insbesondere ausländische Investoren die Bedeutung der Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO unterschätzen. Eine Einwilligung muss informiert, spezifisch, freiwillig und unmissverständlich sein – das klingt theoretisch einfach, ist aber in der digitalen Praxis oft alles andere als unproblematisch. Beispielsweise genügt es nicht, ein Häkchen in einer AGB-Klausel zu setzen, das auf eine lange Liste von Datenverarbeitungszwecken verweist. Vielmehr verlangen die Aufsichtsbehörden eine klare, getrennte und aktive Zustimmung, die für den Nutzer verständlich ist. Nehmen wir ein Fallbeispiel aus meiner Beratungspraxis: Ein asiatischer Elektronik-Händler wollte den deutschen Markt erobern und hatte ein schlankes, aber modernes Online-Shop-System entwickelt. Bei der Prüfung stellte sich heraus, dass die Einwilligungserklärungen schlicht in den AGB versteckt waren – ein klarer Verstoß gegen die Anforderungen der DSGVO, der im schlimmsten Fall hohe Bußgelder nach sich ziehen kann.

Besondere Aufmerksamkeit verdient auch die Verarbeitung von Daten auf Basis des berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO. Diese Rechtsgrundlage wird oft als „Allzweckwaffe“ für Marketingaktivitäten missverstanden, unterliegt aber strengen Bedingungen: Es muss eine Interessenabwägung dokumentiert werden, die zeigt, dass die Interessen des Verantwortlichen die Rechte und Freiheiten der betroffenen Personen überwiegen. Diese Abwägung ist kein einmaliger Akt, sondern ein fortlaufender Prozess, der regelmäßig überprüft werden muss. In der Praxis empfehle ich meinen Mandanten, hier für Transparenz zu sorgen und die Interessenabwägung schriftlich festzuhalten. Zudem hat der Europäische Gerichtshof in mehreren Entscheidungen klargestellt, dass das berechtigte Interesse nicht zur Umgehung der strengeren Anforderungen an eine Einwilligung genutzt werden darf – ein Punkt, den auch die deutschen Aufsichtsbehörden sehr genau beobachten. Wer hier Fehler macht, riskiert nicht nur Bußgelder, sondern auch Vertrauensverlust bei den Kunden.

Ein weiterer kritischer Aspekt bei den Rechtsgrundlagen ist die sogenannte Datenminimierung. Das E-Commerce-Gesetz betont zu Recht, dass nur die Daten verarbeitet werden dürfen, die für den konkreten Zweck tatsächlich erforderlich sind. Das klingt banal, führt aber in der Praxis zu erheblichen Umstellungen. Viele Unternehmen sammeln automatisch umfangreiche Datenpakete, ohne sich zu fragen, ob diese wirklich nötig sind. Ich erinnere mich an einen Fall aus meiner Beratungstätigkeit, bei dem ein Online-Lebensmittelhändler bei jeder Bestellung Geburtsdaten seiner Kunden abfragte – mit der Begründung, man wolle altersgerechte Werbung ermöglichen. Dabei handelte es sich um ein völlig unverhältnismäßiges Vorgehen, das nicht nur gegen den Grundsatz der Datenminimierung verstieß, sondern auch ein unnötiges Sicherheitsrisiko darstellte. Nach einer datenschutzrechtlichen Beratung wurde das System grundlegend überarbeitet, was letztlich auch zu höheren Konversionsraten führte, weil die Kundschaft sich respektvoller behandelt fühlte. Denken Sie immer daran: Weniger ist oft mehr, wenn es um Daten geht.

## 2. Cookie-Einwilligungen und digitale Transparenzpflichten

Kaum ein Bereich der E-Commerce-Compliance sorgt in der Praxis für so viel Verwirrung und Unsicherheit wie die Cookie-Einwilligungen. Seit dem richtungsweisenden Urteil des Europäischen Gerichtshofs in der Rechtssache „Planet49“ ist klar, dass aktive Einwilligungen für das Setzen von Cookies – insbesondere für Tracking- und Marketingzwecke – erforderlich sind, und dass vorab angekreuzte Kästchen nicht den Anforderungen der DSGVO genügen. Viele Unternehmen tun sich schwer mit der Umsetzung dieser Anforderungen, denn die korrekte technische und organisatorische Gestaltung von Cookie-Bannern ist anspruchsvoller, als man auf den ersten Blick vermuten würde. Es geht nicht nur um die Frage, ob eingewilligt wurde, sondern auch darum, wer einwilligt, wie dokumentiert wird und wie die Einwilligung nachvollzogen werden kann.

Ich habe in meiner Beratungspraxis unzählige Cookie-Banner gesehen, die zwar auf den ersten Blick den Anforderungen zu entsprechen schienen, bei genauerer Betrachtung aber erhebliche Mängel aufwiesen. Ein typisches Beispiel: Ein international tätiger Bekleidungshändler hatte ein Cookie-Banner mit einer prominenten „Akzeptieren“-Schaltfläche, aber die „Einstellungen“-Schaltfläche war klein, unauffällig und fast am unteren Bildschirmrand platziert – ein klarer Fall von Nudging, der von den Aufsichtsbehörden zunehmend kritisch betrachtet wird. Das neue E-Commerce-Gesetz hat diese Anforderungen weiter konkretisiert und verlangt nun eine gleichwertige Gestaltung von „Akzeptieren“ und „Ablehnen“-Optionen. Wer hier spart, riskiert erhebliche Abmahnungen, die schnell fünfstellige Beträge erreichen können, ganz zu schweigen von den Kosten für die juristische Verteidigung und die technische Umsetzung von Korrekturen.

Neben den technischen Aspekten der Cookie-Einwilligungen spielen auch die Transparenzpflichten eine immer bedeutendere Rolle. Das E-Commerce-Gesetz verlangt, dass Verbraucher klar und verständlich über alle Datenverarbeitungsprozesse informiert werden, insbesondere über die Zwecke der Verarbeitung, die Dauer der Speicherung und die Empfänger von Daten. Die Datenschutzerklärung eines Online-Shops sollte daher nicht als lästige Pflichtübung betrachtet werden, sondern als Chance, Vertrauen aufzubauen. In meinen Beratungsgesprächen mit ausländischen Investoren betone ich immer wieder: Eine gute Datenschutzerklärung ist wie ein guter Reiseführer – sie erleichtert dem Kunden die Orientierung und nimmt Ängste. Reden Sie Klartext, vermeiden Sie Phrasen und verwirrende Schachtelsätze, denn die Aufsichtsbehörden prüfen längst nicht nur die bloße Existenz solcher Dokumente, sondern auch deren Qualität und Verständlichkeit.

Ein weiterer wichtiger Punkt im Zusammenhang mit Cookies ist die sogenannte Zweckbindung. Daten, die für einen bestimmten Zweck erhoben wurden, dürfen nicht einfach für andere Zwecke verwendet werden, es sei denn, es liegt eine Rechtsgrundlage dafür vor. In der Praxis sehen wir häufig Verstöße gegen diesen Grundsatz, etwa wenn Tracking-Daten ursprünglich für statistische Analysen erhoben wurden und später für personalisierte Werbung genutzt werden, ohne dass die Kundschaft ausreichend informiert oder eingewilligt hat. Ich empfehle meinen Mandanten daher, bereits bei der technischen Konzeption eine strikte Trennung der Datenverarbeitungszwecke vorzunehmen und diese auch technisch – etwa durch separate Datenbanken oder Zugriffsrechte – umzusetzen. Das erleichtert nicht nur die Einhaltung der gesetzlichen Anforderungen, sondern reduziert auch das Risiko von Datenpannen erheblich, was angesichts der Meldepflichten nach Art. 33 DSGVO ein nicht zu unterschätzender Vorteil ist. Gerade bei internationalen Konzernen mit komplexen Datenströmen ist ein durchdachtes Zweckbindungskonzept unverzichtbar, um Compliance-Risiken zu minimieren.

Meine Erfahrung zeigt übrigens, dass sich Investitionen in benutzerfreundliche und rechtskonforme Cookie-Lösungen langfristig auszahlen. Ich erinnere mich an einen Mandanten aus der Schweiz, der zunächst über die Umstellung seiner Systeme stöhnte – zu teuer, zu komplex, zu bürokratisch. Nach der erfolgreichen Umsetzung stellte er jedoch fest, dass die Kundenabwanderung deutlich zurückging und die Vertrauensquote in seine Marke spürbar stieg. In einer Zeit, in der Datenschutz-Skandale schnell viral gehen und Reputationen zerstören können, ist ein sichtbares Bekenntnis zu Compliance kein Wettbewerbsnachteil, sondern ein echtes Differenzierungsmerkmal im Markt. Ich rate daher jedem Investor, diesen Aspekt nicht als Kostenfaktor, sondern als strategische Chance zu betrachten – ganz nach dem Motto: „Wer transparent ist, dem vertraut man.“ Und Vertrauen ist im Online-Handel nun einmal bares Geld wert.

## 3. Auftragsverarbeitung: Die unterschätzte Verantwortungskette

Wenn es um Datennutzungs-Compliance im E-Commerce geht, wird die Auftragsverarbeitung oft stiefmütterlich behandelt – ein großer Fehler, wie ich aus eigener Praxis berichten kann. Gemäß Art. 28 DSGVO müssen alle Dienstleister, die personenbezogene Daten im Auftrag verarbeiten, als Auftragsverarbeiter vertraglich eingebunden werden, und dieser Vertrag muss eine Reihe von Mindestanforderungen erfüllen, darunter Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen. Was sich nach bürokratischer Fleißarbeit anhört, ist in Wirklichkeit eine der wichtigsten Stellschrauben für die Compliance-Strategie eines Unternehmens – denn jede Schwachstelle in dieser Verantwortungskette kann letztlich den Verantwortlichen zur Last gelegt werden.

Ein besonders häufiger Fall in meiner Beratungspraxis ist die Nutzung von US-amerikanischen Cloud-Diensten oder E-Mail-Marketing-Tools, ohne dass ein angemessener Datenschutz nachgewiesen wird. Der EuGH hat in seinem „Schrems II“-Urteil vom Juli 2020 klargestellt, dass der EU-US-Privacy-Shield nicht mehr als Rechtsgrundlage für Datentransfers in die USA ausreicht, und auch die Standardvertragsklauseln nur dann verwendbar sind, wenn sie durch zusätzliche Maßnahmen ergänzt werden. Viele Unternehmen haben auf dieses Urteil reagiert, aber ich sehe immer wieder Fälle, in denen zwar die Verträge angepasst wurden, aber eine echte Risikoanalyse für die Datenübertragung in Drittländer fehlt. Das neue E-Commerce-Gesetz hat diese Anforderungen noch weiter konkretisiert und verlangt nun eine umfassende Dokumentation aller internationalen Datenflüsse – eine Aufgabe, die nicht zu unterschätzen ist.

Ein wenig bekanntes Detail, aber in der Praxis enorm wichtig: Auftragsverarbeitungsverträge müssen nicht nur abgeschlossen, sondern auch aktiv gelebt werden. Das heißt, der Verantwortliche muss die Einhaltung der datenschutzrechtlichen Anforderungen durch den Auftragsverarbeiter regelmäßig überprüfen und gegebenenfalls sanktionieren. Ich habe schon viele Unternehmen erlebt, die zwar einen schönen Vertrag in der Schublade hatten, aber keine Ahnung hatten, wo ihre Daten tatsächlich gespeichert wurden oder wer Zugriff auf sie hatte. Ein konkretes Beispiel: Ein mittelständischer Online-Händler für Haushaltswaren hatte einen Auftragsverarbeitungsvertrag mit einem Logistikdienstleister abgeschlossen, traute sich aber nicht, die Unterauftragsverhältnisse dieses Dienstleisters zu prüfen. Als ich ihn darauf ansprach, meinte er: „Da verlassen wir uns auf den langjährigen Partner.“ Diese Haltung ist verständlich, aber rechtlich riskant, denn bei einem Datenleck beim Subunternehmer haftet im Zweifel der Verantwortliche – nicht der logistische Dienstleister.

Die Lösung dieser Probleme erfordert eine systematische Herangehensweise. Zunächst sollten Sie als Investor ein umfassendes Verzeichnis aller Datenverarbeitungsaktivitäten erstellen lassen, das nicht nur die internen Prozesse, sondern auch sämtliche externen Dienstleister umfasst. Auf dieser Basis können Sie dann die bestehende Vertragslandschaft analysieren und Lücken identifizieren. Bei der Bewertung von Auftragsverarbeitern sollten Sie nicht nur auf den Preis schauen, sondern auch auf die datenschutzrechtliche Qualifikation und die Bereitschaft, umfassende Informationen über Unterauftragsverhältnisse und Sicherheitsmaßnahmen bereitzustellen. In der Praxis hat sich auch die Einführung eines jährlichen Audit-Prozesses bewährt, bei dem die wichtigsten Auftragsverarbeiter anhand eines standardisierten Fragebogens überprüft werden. Das schafft nicht nur rechtliche Sicherheit, sondern sendet auch ein starkes Signal an Ihre Kundschaft und Ihre Geschäftspartner, dass Compliance bei Ihnen einen hohen Stellenwert hat.

Die Komplexität dieser Verantwortungskette darf nicht unterschätzt werden, insbesondere im internationalen Kontext. Das neue E-Commerce-Gesetz verlangt nicht nur, dass Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen nachweisen können, sondern auch, dass diese Nachweise gesammelt und auf aktuellem Stand gehalten werden. Vor dem Hintergrund der zunehmenden Vernetzung von E-Commerce-Systemen – denken Sie nur an die wachsende Bedeutung von Marktplätzen, Zahlungsdienstleistern und KI-gestützter Kundenanalyse – wird die Auftragsverarbeitung zu einem der zentralen Compliance-Risiken für die kommenden Jahre. Ich rate daher jedem Investor, diesem Thema schon in der Due-Diligence-Phase höchste Aufmerksamkeit zu schenken, anstatt hoffnungsvoll „den Teufel an die Wand zu malen“ und zu hoffen, dass nichts schiefgeht. Eine sorgfältige Prüfung der Auftragsverarbeitungsstruktur gehört definitiv zu den wichtigsten Investitionen in die Compliance-Zukunft Ihres Unternehmens.

## 4. Künstliche Intelligenz und automatisierte Entscheidungsfindung

Die zunehmende Integration von künstlicher Intelligenz (KI) und maschinellem Lernen in E-Commerce-Systeme ist deshalb so brisant, weil sie das Potenzial hat, die gesamte bisherige Datenverarbeitungslogik auf den Kopf zu stellen – während die rechtlichen Rahmenbedingungen kaum Schritt halten können. Das neue E-Commerce-Gesetz enthält erstmals spezifische Regelungen zur KI-basierten Datenverarbeitung, aber viele Vorschriften sind noch auslegungsbedürftig und werden erst durch die Rechtsprechung und die Aufsichtsbehörden konkretisiert. Für Investoren ist das eine doppelte Herausforderung: Einerseits müssen sie die aktuell geltenden Anforderungen einhalten, andererseits müssen sie antizipieren, wie sich die Rechtslage in den kommenden Jahren entwickeln wird, um nicht auf einer regulatorischen Zeitbombe zu sitzen.

Ein zentrales Thema ist die automatisierte Entscheidungsfindung nach Art. 22 DSGVO, die ein Verbot der ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen enthält, die rechtliche Folgen haben oder die betroffene Person in ähnlicher Weise erheblich beeinträchtigen. Im E-Commerce sind solche Entscheidungen besonders relevant bei Kreditprüfungen, Bonitätsbewertungen, personalisierten Preisangeboten und Risikobewertungen im Zusammenhang mit Zahlungsverkehr. Was viele nicht wissen: Auch dynamische Preisgestaltung, die auf Bewertungsalgorithmen basiert, kann unter diese Vorschrift fallen, wenn sie für einzelne Kunden spürbare Auswirkungen hat. Ich empfehle daher dringend, sämtliche KI-gestützten Entscheidungsprozesse im Unternehmen dahingehend zu prüfen, ob sie in den Anwendungsbereich von Art. 22 DSGVO fallen und ob sie die dort vorgesehenen Ausnahmetatbestände erfüllen.

Die Anforderungen an Transparenz bei KI-Systemen gehen jedoch weit über die Regelungen zur automatisierten Entscheidungsfindung hinaus. Das E-Commerce-Gesetz verlangt, dass Verbraucher darüber informiert werden, wenn sie mit KI-basierten Chatbots oder interaktiven Systemen kommunizieren, und dass sie die Möglichkeit haben, mit einem Menschen zu sprechen. Diese Vorgabe hat erhebliche praktische Implikationen für die Kundenerfahrung und die Gestaltung von Online-Shops. In einem konkreten Beratungsfall betreute ich einen deutschen Online-Apotheken-Markt, der einen KI-Chatbot für die Arzneimittelberatung einsetzte. Obwohl der Bot sehr ausgereift und hilfreich war, fehlte es an einem klaren Hinweis auf die KI-Natur des Systems und an einer Möglichkeit, zu einem menschlichen Berater umgeleitet zu werden – eine Unterlassung, die nach dem neuen Gesetz mit Geldbußen geahndet werden kann. Die nachträgliche Implementierung eines „Sprechen Sie mit einem Menschen“-Buttons war nicht nur technisch aufwendig, sondern auch betriebswirtschaftlich eine Notwendigkeit, da die Kunden ansonsten Vertrauen verlieren könnten.

Ein weiterer wichtiger Aspekt bei KI-basierten E-Commerce-Systemen ist die Qualität der verwendeten Daten und die Frage der Diskriminierung. Algorithmen, die auf historischen Daten trainiert werden, können unbewusst bestehende Vorurteile und Ungleichheiten reproduzieren oder sogar verstärken – ein Problem, das im anglo-amerikanischen Raum schon vielfach diskutiert wurde, aber auch in Europa zunehmend Beachtung findet. Die Datenschutzaufsichtsbehörden beginnen, diese Fragen bei ihren Prüfungen zu berücksichtigen, insbesondere wenn es um Bonitätsbewertungen oder personalisierte Health-Informationen geht. Ich empfehle daher, bei der Entwicklung und dem Einsatz von KI-Systemen im E-Commerce nicht nur technische, sondern auch ethische und rechtliche Aspekte zu berücksichtigen. Die Einrichtung eines unabhängigen Ethik-Beirats oder eines KI-Compliance-Officers mag für kleinere Unternehmen eine terminologische Hürde darstellen, ist aber bei größeren Systemen unverzichtbar, um Risiken frühzeitig zu erkennen und zu adressieren.

Die kommenden Jahre werden zeigen, ob der regulatorische Rahmen für KI-basierte E-Commerce-Anwendungen weiter nachgeschärft wird – ich halte das für sehr wahrscheinlich, auch wenn die EU-Kommission derzeit noch über die Details streitet. Was mir jedoch schon jetzt klar ist: Unternehmen, die frühzeitig in ethische KI-Entwicklung und transparente Datenverarbeitung investieren, werden nicht nur rechtliche Risiken minimieren, sondern auch langfristig das Vertrauen ihrer Kundschaft gewinnen. gerade im E-Commerce ist dieses Vertrauen ein kritischer Erfolgsfaktor, der sich nur schwer – wenn überhaupt – zurückgewinnen lässt, sobald er einmal verloren ist. Ich sehe es als meine Aufgabe, meine Mandanten nicht nur warnend auf Risiken hinzuweisen, sondern auch Wege aufzuzeigen, wie sie diese Risiken in Chancen verwandeln können. Die Integration von KI in E-Commerce-Systemen bietet enormes Potenzial für personalisierte Kundenerfahrungen, effizientere Prozesse und innovative Geschäftsmodelle – aber eben nur dann, wenn sie datenschutzkonform und ethisch verantwortungsvoll gestaltet ist. Genau dabei möchte ich Sie begleiten, und ich lade Sie dazu ein, sich diesen Anforderungen nicht widerwillig, sondern proaktiv zu stellen.

## 5. Datensicherheit und Technische Organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen (TOM) zur Datensicherheit sind das Fundament jeder Compliance-Strategie im E-Commerce, und das neue Gesetz hat die Anforderungen hier noch einmal spürbar verschärft. Es genügt längst nicht mehr, eine allgemeine Aussage zu treffen wie „Wir verwenden SSL-Verschlüsselung und aktualisieren unsere Software regelmäßig.“ Vielmehr verlangen die Aufsichtsbehörden einen dokumentierten und systematischen Ansatz, der die Angemessenheit der gewählten Maßnahmen in Bezug auf den Stand der Technik, die Kosten der Umsetzung und die Risiken für die Rechte und Freiheiten der betroffenen Personen nachweist. In meiner Beratungspraxis sind TOM-Prüfungen ein zentraler Bestandteil der Due-Diligence für Investoren geworden, und ich erlebe immer wieder Überraschungen, wenn sich herausstellt, dass vermeintlich sichere Systeme wesentliche Schutzlücken aufweisen.

Ein besonders kritischer Punkt ist die Verschlüsselung von Daten, sowohl bei der Übertragung als auch bei der Speicherung. Das E-Commerce-Gesetz verlangt hier die Verwendung geeigneter kryptografischer Verfahren, und die Aufsichtsbehörden überprüfen zunehmend, ob diese Anforderungen tatsächlich umgesetzt werden. Ich hatte einmal einen Mandanten, einen erfolgreichen Online-Schmuckhändler, der überzeugt war, dass seine Daten sicher seien, weil er SSL-Zertifikate nutzte. Bei einer eingehenden Prüfung stellte sich jedoch heraus, dass die eigentliche Datenspeicherung in einer unverschlüsselten Datenbank stattfand – ein Sicherheitsrisiko, das im Falle eines Angriffs schwerwiegende Folgen gehabt hätte. Der Aufwand zur Umstellung war erheblich, aber die Investition war notwendig, um langfristig handlungsfähig zu bleiben und nicht im Falle einer Sicherheitspanne in eine existenzielle Krise zu geraten. Solche „Schönwetter-Sicherheit“ ist leider weiterhin verbreitet, vor allem in Unternehmen, die in den letzten Jahren stark gewachsen sind und deren technische Infrastruktur nicht mit dem Wachstum Schritt gehalten hat.

Die organisatorischen Maßnahmen sind ebenso wichtig wie die technischen – und werden oft noch sträflicher vernachlässigt. Dazu gehören die Schulung der Mitarbeiterinnen und Mitarbeiter im Datenschutz und in Informationssicherheit, die Implementierung von Zugriffsrechten und das „Need-to-know“-Prinzip, die regelmäßige Überprüfung und Aktualisierung von Sicherheitsrichtlinien sowie die Einrichtung eines Notfallplans für den Fall einer Datenpanne. Ein häufiges Problem in der Praxis ist die Vergabe von Administratorrechten: In vielen Unternehmen gibt es eine große Zahl von Mitarbeitern, die Zugriff auf Systeme und Daten haben, die für ihre tägliche Arbeit gar nicht erforderlich sind. Das erhöht nicht nur das Risiko von internen Datenschutzverstößen, sondern auch von externen Angriffen, da ein komprimierter Konto mit umfangreichen Rechten einem Angreifer einen breiten Zugang ermöglicht. Ein systematisches Rechte-Management mit regelmäßigen Überprüfungen ist daher ein Muss – und ich kann Ihnen versichern, dass diese Prozesse in vielen Unternehmen noch in den Kinderschuhen stecken.

Im Hinblick auf die Dokumentation von TOMs verlangt das Gesetz, dass die Angemessenheit der Maßnahmen nicht nur behauptet, sondern auch belegt wird. Das bedeutet, Sie müssen in der Lage sein, gegenüber Aufsichtsbehörden nachzuweisen, welche Maßnahmen Sie konkret ergriffen haben, warum diese Maßnahmen ausreichend sind und wer für die Überwachung verantwortlich ist. Ein anerkanntes Hilfsmittel zur systematischen Dokumentation ist das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI), das eine Vielzahl von Bausteinen für die Umsetzung und Dokumentation von Sicherheitsmaßnahmen bereitstellt. Ich empfehle meinen Mandanten, diese Leitfäden als Grundlage für ihr eigenes Sicherheitskonzept zu verwenden und regelmäßig zu aktualisieren. Auch die Zertifizierung nach ISO/IEC 27001 wird von vielen Aufsichtsbehörden positiv aufgenommen, da sie einen strukturierten und extern überprüften Ansatz für das Informationssicherheitsmanagement darstellt. Natürlich ist eine solche Zertifizierung nicht verpflichtend, aber sie kann erheblich dazu beitragen, das Vertrauen von Investoren und Kunden zu stärken.

Ein weiterer Punkt, den ich in diesem Zusammenhang ansprechen möchte, ist die regelmäßige Notfallübungen für Datenschutzverletzungen. Viele Unternehmen haben zwar ein Notfallhandbuch, aber nur wenige haben jemals ein simuliertes Datenleck durchgespielt. In der Praxis zeigt sich dann häufig, dass die Prozesse nicht greifen, Verantwortlichkeiten unklar sind und die Kommunikation chaotisch verläuft. Im Falle einer echten Datenpanne zählt jede Stunde, denn laut Art. 33 DSGVO muss eine Benachrichtigung innerhalb von 72 Stunden erfolgen, und Verzögerungen können zu zusätzlichen Bußgeldern führen. Ich rate dazu, mindestens einmal jährlich ein simuliertes Szenario durchzuspielen und die Ergebnisse auszuwerten und Verbesserungen umzusetzen. Glaub es mir, ich spreche hier aus Erfahrung – die meisten Unternehmen reagieren mit überraschtem Staunen, wenn sie sehen, welche Lücken solche Übungen aufdecken. Die Kosten für diese Übungen sind im Vergleich zu den möglichen Schäden eines echten Sicherheitsvorfalls verschwindend gering, und sie zahlen sich auch durch ein gesteigertes Sicherheitsbewusstsein der Mitarbeiter aus, das wiederum präventiv wirkt.

## 6. Datenschutz-Folgeabschätzung und datenschutzfreundliche Voreinstellungen

Ein weiterer wichtiger Baustein im Compliance-Gefüge des E-Commerce-Gesetzes ist die Datenschutz-Folgeabschätzung (DSFA), die nach Art. 35 DSGVO durchzuführen ist, wenn voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Im E-Commerce ist das vor allem bei umfangreichen Profiling-Aktivitäten, der Verarbeitung besonders sensibler Daten oder bei der systematischen Überwachung großer öffentlicher Bereiche der Fall. Die regelmäßige Pflicht zur Durchführung einer DSFA ist bei vielen Unternehmen noch nicht vollständig verankert, was nicht zuletzt daran liegt, dass die DSFA als bürokratisches Hindernis empfunden wird, das man lieber vermeidet. Diese Haltung ist kurzsichtig, denn eine gut durchgeführte DSFA kann Ihnen nicht nur als Nachweis gegenüber Aufsichtsbehörden dienen, sondern auch wertvolle Einsichten in Ihre Datenverarbeitungsprozesse liefern, die zur Verbesserung Ihres Geschäftsmodells beitragen können.

Bei der Durchführung einer DSFA müssen Sie systematisch die geplanten Verarbeitungsvorgänge beschreiben, die Notwendigkeit und Verhältnismäßigkeit bewerten, die Risiken für die Rechte und Freiheiten der betroffenen Personen bewerten und die Maßnahmen zur Bewältigung dieser Risiken festlegen. Was nach einem sterilen Prozess klingt, erfordert in der Praxis ein tiefes Verständnis der zugrunde liegenden Datenverarbeitungsprozesse und -technologien. In einem konkreten Fall aus meiner Beratungserfahrung beauftragte mich ein internationaler Online-Marktplatz für individualisierte Geschenkartikel mit der Durchführung einer DSFA für ihr neues personalisiertes Empfehlungssystem. Die Analyse brachte zum Vorschein, dass das System auch Daten von Minderjährigen verarbeitete – was zu einer Reihe zusätzlicher Anforderungen führte, von denen das Unternehmen keine Ahnung hatte. Hätte man sich dieser Prüfung verweigert, wären die Compliance-Risiken mit hoher Wahrscheinlichkeit erst nach dem Eintritt eines Schadens oder bei einer staatlichen Prüfung aufgefallen – mit entsprechenden Konsequenzen.

Das Prinzip des datenschutzfreundlichen Designs (Data Protection by Design) ist eng mit der DSFA verbunden und bildet einen weiteren Pfeiler der Compliance im E-Commerce. Nach Art. 25 DSGVO müssen Sie technische und organisatorische Maßnahmen treffen, die sicherstellen, dass die Datenschutzprinzipien wie Datenminimierung und Zweckbindung effektiv umgesetzt werden – bereits zum Zeitpunkt der Festlegung der Verarbeitungsmittel und der Verarbeitung selbst. Konkret bedeutet das, dass datenschutzfreundliche Einstellungen in Ihren Systemen standardmäßig aktiviert sein müssen (Privacy by Default), damit Nutzerinnen und Nutzer keine zusätzlichen Schritte unternehmen müssen, um ihre Privatsphäre zu schützen. Das Bundeskartellamt und verschiedene Aufsichtsbehörden haben hier in den letzten Jahren verstärkt durchgesetzt und zum Beispiel sogenannte „Dark Patterns“ – manipulative Designmuster, die Nutzer zur Preisgabe von Daten verleiten – als unzulässig eingestuft. Wer diese Entwicklungen ignoriert, läuft Gefahr, nicht nur rechtliche Sanktionen zu erleiden, sondern auch das Vertrauen der Kundschaft zu verlieren.

Die gute Nachricht ist, dass datenschutzfreundliche Einstellungen nicht zwangsläufig einen Wettbewerbsnachteil darstellen müssen – im Gegenteil, sie können zu einem entscheidenden Differenzierungsmerkmal werden. Immer mehr Verbraucherinnen und Verbraucher achten bewusst darauf, wie Unternehmen mit ihren Daten umgehen, und sind bereit, für mehr Datenschutz sogar einen kleinen Aufpreis zu zahlen. Eine Studie des Bundesverbands Digitale Wirtschaft (BVDW) aus dem Jahr 2024 zeigt, dass rund 70 Prozent der deutschen Online-Shopperinnen und -Shopper angaben, bei der Auswahl von E-Commerce-Plattformen auf die Datenschutzpraktiken zu achten. Diese Präferenz ist nicht nur eine ethische Frage, sondern auch eine unternehmerische Chance, die es zu nutzen gilt. Ich empfehle daher, das Datenschutz-Design als integralen Bestandteil der Produktentwicklung und nicht als nachgelagertes Kontrollinstrument zu betrachten – das spart auf Dauer Kosten und vermeidet teure Umstellungen.

Abschließend möchte ich zur DSFA und Data Protection by Design betonen, dass diese Instrumente nicht als einmalige Pflichtübung zu verstehen sind, sondern als kontinuierlicher Prozess, der regelmäßig überprüft und angepasst werden muss. Technologien, Geschäftsmodelle und rechtliche Vorg