Eigenmarken-Onlineshops, die in die EU verkaufen

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy
• Directive 2011/83/EU — Consumer rights
• Directive 2005/29/EC — Unfair commercial practices
• Regulation (EU) 2023/988 — GPSR Article 19 for the listings

Wer muss benennen

Jeder Einzelhändler, der außerhalb der Union ansässig ist, seinen eigenen Shop betreibt und an Verbraucher in der EU verkauft. Es ergeben sich zwei distincte Verpflichtungen: die Datenseite, da Sie Kunden- und Besucherdaten verarbeiten und fast sicher Analysen und Werbe-Pixel betreiben, und die Produktseite, da jeder physische Artikel, den Sie versenden, einen wirtschaftlichen Betreiber in der EU benötigt.

Schwellen und Ausnahmen

Keine Schwelle auf beiden Seiten. Die enge Ausnahme gemäß Artikel 27(2) gilt nicht für einen Shop mit einer Kundendatenbank, und die GPSR gilt ab dem ersten versendeten Artikel.

Was auf das Etikett gehört

Auf der Seite: die Identität und Kontaktdaten des Vertreters in der Datenschutzerklärung, die vom Verbraucherschutzrecht geforderte Händleridentifikation, die Informationen zum Widerrufsrecht mit dem Musterformular, die Liefer- und Zahlungsbedingungen sowie gemäß GPSR Artikel 19 die Angaben zum Hersteller und zur verantwortlichen Person und Warnhinweise für jedes Produkt vor dem Kauf.

Marktplatz-Felder

Zahlungsanbieter und Plattformen überprüfen zunehmend die Identität der Händler und das Vorhandensein eines rechtmäßigen Cookie-Banners. Verbraucherbehörden führen koordinierte Kontrollen zu Widerrufsrechten, Countdown-Timern und falscher Knappheit durch, und grenzüberschreitende Fälle werden über das CPC-Netzwerk verfolgt.

Unterlagen, die Sie vorhalten müssen

Artikel 30 Aufzeichnungen, die jede Verarbeitungstätigkeit und jeden Verarbeiter auflisten, von der Shop-Plattform bis zum E-Mail-Tool und den Werbe-Pixeln. Die Benennung gemäß Artikel 27. Eine Plattform zur Einwilligungsverwaltung mit Einwilligungsprotokollen pro Nutzer. Datenverarbeitungsverträge mit jedem Verarbeiter. Standardvertragsklauseln und Übertragungsfolgenabschätzungen für Übertragungen außerhalb der EU. Technische Produktdokumentation für die Waren selbst.

Normen und Prüfungen

Nicht anwendbar, außer dass der Cookie-Banner effektiv von den Regulierungsbehörden getestet wird: ob nicht wesentliche Tags vor der Einwilligung ausgelöst werden, ob das Ablehnen so einfach ist wie das Akzeptieren und ob die Einwilligung aufgezeichnet wird. Automatisierte Kontrollen sind üblich.

Sprachanforderungen

Datenschutzerklärung, Cookie-Banner und Verbraucherinformationen in der Sprache jedes Marktes, den Sie anvisieren. Ein lokalisierter Shop mit einer nur englischen rechtlichen Schicht ist ein Transparenzversagen.

Ab wann es gilt

Der Vertreter vor Beginn der Verarbeitung. Einwilligung, bevor ein nicht wesentlicher Cookie oder Pixel ausgelöst wird, was bedeutet, bevor der erste Analyseaufruf erfolgt, nicht nachdem die Seite geladen ist. Informationen zu Widerrufsrechten vor der Bestellung.

Aufbewahrungsfristen

Verarbeitungsaufzeichnungen für die Dauer der Verarbeitung. Einwilligungsprotokolle so lange, wie die Verarbeitung fortgesetzt wird. Bestell- und Steuerunterlagen gemäß nationalem Recht, typischerweise sechs bis zehn Jahre, was eine separate und längere Aufbewahrung als Marketingdaten darstellt.

Was bei Verstößen passiert

Bis zu 20 Millionen € oder 4 % des Umsatzes für unrechtmäßige Verarbeitung, 10 Millionen € oder 2 % für einen fehlenden Vertreter, separate nationale Geldstrafen für Cookie-Verstöße und Verbraucherrechtsstrafen bis zu 4 % des Umsatzes gemäß den Omnibus-Regeln für weit verbreitete Verstöße. GPSR-Verstöße unterdrücken nichts auf Ihrer eigenen Seite, bringen jedoch Rückrufanordnungen für Produkte.

Wer kontrolliert

Datenschutzbehörden in jedem Mitgliedstaat, in dem sich Kunden befinden, Verbraucherbehörden über das CPC-Netzwerk und Marktüberwachungsbehörden für die Produkte.

Wo die Grenze verläuft

Der Betrieb Ihres eigenen Shops entfernt den Compliance-Filter des Marktplatzes, den Verkäufer oft als Freiheit und Behörden als unüberwachter Kanal erleben. Niemand unterdrückt Ihr Listing, sodass das erste Signal normalerweise eine Beschwerde oder eine Kontrolle ist, und bis dahin deckt die Exposition den gesamten Handelszeitraum ab.

Häufige Fragen

Wir nutzen Shopify – deckt das uns ab?

Shopify ist ein Verarbeiter für den Shop und ein Verantwortlicher für eigene Zwecke. Ihre Verpflichtungen als Verantwortlicher, einschließlich des Vertreters gemäß Artikel 27, werden durch die von Ihnen gewählte Plattform nicht beeinträchtigt.

Brauchen wir eine Einwilligung für Analysen?

Für das Speichern oder Lesen von Daten auf dem Gerät des Nutzers, die nicht unbedingt erforderlich sind, ja, bevor es passiert. Das umfasst Analyse- und Werbe-Cookies sowie die meisten pixelbasierten Tracking-Methoden.

Ist eine US-Datenschutzrichtlinie ausreichend?

Nein. Sie muss den EU-Vertreter, die rechtmäßigen Grundlagen, die Aufbewahrungsfristen, den Übertragungsmechanismus und die Rechte gemäß den Artikeln 15 bis 22 in der Sprache der Nutzer angeben.