Datenschutz im Etsy-Shop: DSGVO-Pflichten, Auftragsverarbeitung, Löschfristen

Datenschutz ist das Thema, bei dem Etsy-Verkäufer am häufigsten denken, es betreffe sie nicht. Der Gedanke geht so: Etsy hat die Kundendaten, Etsy hat eine Datenschutzerklärung, also ist Etsy dafür zuständig.

Der erste Teil stimmt. Der zweite auch. Der Schluss nicht.

Sobald Du eine Bestellung bearbeitest, verarbeitest Du personenbezogene Daten: Name, Lieferadresse, gegebenenfalls eine E-Mail-Adresse, den Inhalt der Nachrichten, die Ihr austauscht, und alles, was ein Käufer bei einer Personalisierung einträgt. Was Du damit machst. In ein Versandprogramm übertragen, in eine Buchhaltung überführen, in einer Tabelle sammeln, in einen Newsletter aufnehmen, liegt in Deiner Verantwortung, nicht in der von Etsy.

Die gute Nachricht: Für einen kleinen Shop ist der tatsächliche Aufwand überschaubar. Es geht nicht um ein Datenschutzmanagementsystem, sondern um vier oder fünf Dokumente und ein paar Gewohnheiten. Die schlechte: Diese vier oder fünf Dokumente fehlen in den allermeisten Shops vollständig.

Der Hinweis vorweg: Ich bin kein Rechtsanwalt. Dieser Beitrag beschreibt die Systematik und zeigt Dir, welche Fragen sich stellen. Datenschutzrecht ist ein Bereich mit vielen Einzelfallwertungen. Was in Deinem Shop konkret nötig ist, gehört einmal fachlich geprüft.

Was überhaupt ein personenbezogenes Datum ist

Weiter gefasst, als die meisten annehmen.

Personenbezogen ist jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. Name und Adresse sind der offensichtliche Fall. Aber auch eine Bestellnummer, die einer Person zugeordnet werden kann, eine E-Mail-Adresse, ein Foto, das ein Kunde für eine Auftragsarbeit schickt, oder der Inhalt einer Nachricht fallen darunter.

Auf Etsy typisch:

Der Käufername und die Lieferanschrift. Der Nutzername im Shop. Der Text einer Personalisierung, der oft einen Namen, ein Datum oder eine Widmung enthält. Nachrichten im Etsy-Postfach. Bewertungstexte. Und bei Auftragsarbeiten häufig Fotos, gelegentlich mit weiteren Personen darauf.

Der Fall, den fast niemand bedenkt: Personalisierungsangaben können besonders sensibel sein. Eine Gravur mit einem Sterbedatum, eine Karte zu einer Diagnose, ein Geschenk mit religiösem Bezug, solche Angaben sagen mehr über eine Person als eine Adresse. Sie gehören nicht in eine Tabelle, die Du jahrelang mitschleppst, und schon gar nicht in Beispielbilder für Deinen Shop.

Wer verantwortlich ist und wofür

Die Verordnung arbeitet mit zwei Rollen, und die Zuordnung entscheidet über die Pflichten.

Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet.

Auftragsverarbeiter ist, wer Daten weisungsgebunden für einen Verantwortlichen verarbeitet.

Für Dich heißt das: Für die Verarbeitung Deiner Verkaufsvorgänge bist Du Verantwortlicher. Wenn Du einen Dienstleister einsetzt, der in Deinem Auftrag Daten verarbeitet, eine Versandsoftware, ein Buchhaltungstool, einen Newsletter-Dienst, einen Fulfillment-Partner, ist dieser Dienstleister in aller Regel Dein Auftragsverarbeiter. Und dann brauchst Du mit ihm eine schriftliche Vereinbarung.

Die Rolle von Etsy ist komplexer und wird von der Plattform selbst beschrieben. Für die Verarbeitung im Rahmen des Marktplatzbetriebs ist Etsy eigenständig verantwortlich. Das entbindet Dich nicht von Deinen eigenen Pflichten für das, was Du außerhalb der Plattform tust.

Die Rechtsgrundlage: warum darfst Du das überhaupt

Jede Verarbeitung braucht eine Rechtsgrundlage. Ohne sie ist sie unzulässig, egal wie harmlos sie wirkt.

Vertragserfüllung ist der Regelfall im Shop. Um eine Bestellung auszuführen, brauchst Du Name und Adresse. Dafür ist keine Einwilligung nötig, weil die Verarbeitung zur Erfüllung des Vertrags erforderlich ist.

Rechtliche Verpflichtung deckt das ab, was Du aufbewahren musst, etwa Belege, die handels- und steuerrechtlichen Aufbewahrungsfristen unterliegen.

Berechtigtes Interesse trägt einen Teil dessen, was darüber hinausgeht: die Abwehr von Ansprüchen, die Sicherheit Deiner Systeme, in engen Grenzen auch Direktwerbung. Es verlangt aber eine Abwägung mit den Interessen der Betroffenen, und diese Abwägung solltest Du dokumentieren können.

Einwilligung ist die Grundlage für alles, was der Betroffene freiwillig zusätzlich erlaubt, allen voran der Newsletter. Sie muss freiwillig, informiert und nachweisbar sein und jederzeit widerrufbar bleiben.

Der Fehler, der daraus entsteht: Viele behandeln die Einwilligung als Universallösung. Sie ist die schwächste Grundlage, weil sie widerrufen werden kann und weil ihre Wirksamkeit an Bedingungen hängt. Wo Vertragserfüllung trägt, brauchst Du keine Einwilligung, und solltest auch keine einholen, weil Du sonst suggerierst, die Verarbeitung stünde zur Disposition.

Die Informationspflicht: was die Betroffenen wissen müssen

Wer Daten erhebt, muss darüber informieren. Diese Pflicht ist der Kern dessen, was umgangssprachlich „Datenschutzerklärung“ heißt.

Was hineingehört:

Wer der Verantwortliche ist, mit Kontaktdaten. Welche Daten zu welchen Zwecken verarbeitet werden. Auf welcher Rechtsgrundlage. An wen Daten weitergegeben werden. Ob eine Übermittlung in Drittländer stattfindet. Wie lange gespeichert wird beziehungsweise nach welchen Kriterien sich die Dauer bestimmt. Welche Rechte die Betroffenen haben. Und dass ein Beschwerderecht bei einer Aufsichtsbehörde besteht.

Der Marktplatz-Haken: Auf Etsy hast Du keine eigene Seite, auf der Du eine Datenschutzerklärung platzieren könntest, wie Du es in einem eigenen Shop tätest. Wie Du die Information dort bereitstellst, über die Shop-Angaben, über einen Verweis, über einen Text bei Auftragsarbeiten, ist eine Frage, die von den verfügbaren Feldern abhängt und die Du mit Deinem Rechtsberater klären solltest. Ich halte nichts davon, hier eine Bastellösung zu empfehlen.

Was in jedem Fall gilt: Sobald Du eine eigene Website, einen eigenen Shop oder ein Kontaktformular betreibst, brauchst Du dort eine vollständige Datenschutzerklärung. Und sobald Du außerhalb von Etsy mit Kunden kommunizierst, informierst Du dabei über die Verarbeitung.

Das Verzeichnis von Verarbeitungstätigkeiten

Das Dokument, das in kleinen Shops praktisch immer fehlt: und das am schnellsten erstellt ist.

Das Verzeichnis ist eine interne Übersicht darüber, welche Verarbeitungen in Deinem Betrieb stattfinden. Es geht nicht an die Öffentlichkeit, sondern wird auf Anfrage der Aufsichtsbehörde vorgelegt.

Die Ausnahme für kleine Unternehmen greift seltener, als der Name vermuten lässt. Sie gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt: und laufende Bestellabwicklung ist alles andere als gelegentlich. Praktisch heißt das: Auch ein Ein-Personen-Shop führt ein Verzeichnis.

Was hineingehört, je Verarbeitungstätigkeit:

• Name und Kontaktdaten des Verantwortlichen
• Zwecke der Verarbeitung: etwa Bestellabwicklung, Versand, Buchhaltung
• Kategorien betroffener Personen und Kategorien von Daten
• Kategorien von Empfängern, an die Daten weitergegeben werden
• Übermittlungen in Drittländer, falls vorhanden
• Vorgesehene Löschfristen, soweit möglich
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Der realistische Umfang für einen Etsy-Shop: vier bis sechs Verarbeitungstätigkeiten. Bestellabwicklung. Versand. Buchhaltung und Steuer. Kundenkommunikation. Gegebenenfalls Newsletter. Gegebenenfalls Auftragsarbeiten mit eingesandtem Material. Das passt auf drei Seiten und ist an einem Nachmittag geschrieben.

Auftragsverarbeitung: die Verträge, die Du brauchst

Sobald ein Dienstleister in Deinem Auftrag Daten verarbeitet, braucht es eine Vereinbarung zur Auftragsverarbeitung.

Wen das typischerweise betrifft:

Versandsoftware und Etikettendienste. Buchhaltungssoftware, in die Du Kundendaten überträgst. Newsletter-Dienste. Cloudspeicher, in dem Bestelldaten oder Kundenfotos liegen. Fulfillment-Partner und Print-on-Demand-Anbieter, die für Dich an Deine Kunden versenden. Und je nach Ausgestaltung ein Steuerbüro.

Was in der Praxis passiert: Die meisten seriösen Anbieter stellen eine solche Vereinbarung bereit, oft als abschließbares Dokument im Kundenkonto. Du musst sie finden, abschließen und ablegen. Das ist der ganze Aufwand, und er dauert je Dienstleister etwa zehn Minuten.

Was oft übersehen wird: Print-on-Demand-Anbieter. Wenn ein Dienstleister für Dich produziert und direkt an Deinen Kunden versendet, fließen Name und Adresse Deines Käufers dorthin. Das ist eine Datenweitergabe, die geregelt und in der Information an die Betroffenen erwähnt gehört. Wer über Print on Demand arbeitet, sollte diesen Punkt bei jedem Anbieter prüfen.

Und der Punkt Drittland: Sitzt der Dienstleister außerhalb der EU, kommen zusätzliche Anforderungen an die Übermittlung dazu. Das ist bei vielen Anbietern aus dem amerikanischen Raum der Fall. Ob der jeweilige Übermittlungsweg trägt, ist eine Frage, die sich über die Jahre mehrfach verändert hat, ich würde sie nicht aus dem Bauch beantworten.

• Passwortmanager statt wiederverwendeter Passwörter
• Zwei-Faktor-Authentifizierung für Etsy-Konto, E-Mail und alle Dienste mit Kundendaten
• Bildschirmsperre am Rechner und am Telefon
• Verschlüsselte Datenträger, vor allem bei Notebooks
• Getrennte Zugänge, wenn mehrere Personen mitarbeiten
• Sicherungen, die Daten nicht unkontrolliert an weiteren Stellen ablegen
• Aktenvernichter für Lieferscheine und Notizzettel mit Adressen

Technische und organisatorische Maßnahmen

Klingt nach IT-Abteilung, ist für einen kleinen Shop aber eine Liste von Selbstverständlichkeiten.

Was dazugehört:

Ein Passwortmanager statt wiederverwendeter Passwörter. Zwei-Faktor-Authentifizierung für das Etsy-Konto, das E-Mail-Postfach und alle Dienste mit Kundendaten. Ein gesperrter Rechner, wenn Du den Arbeitsplatz verlässt. Verschlüsselte Datenträger, vor allem bei Notebooks. Getrennte Konten, wenn mehrere Personen Zugriff haben. Ein Sicherungskonzept, das Daten nicht unkontrolliert an weiteren Stellen ablegt. Und Papier, das Kundendaten enthält, Lieferscheine, Notizzettel, gehört geschreddert, nicht in den Hausmüll.

Der Punkt, der am meisten bringt: die Zwei-Faktor-Authentifizierung. Der häufigste reale Datenschutzvorfall in kleinen Shops ist kein Hackerangriff auf ein System, sondern ein übernommenes Konto. Wie Du Dein Etsy-Konto absicherst, steht ausführlich im Beitrag zum Konto absichern.

Löschen: der Teil, den fast niemand macht

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Danach sind sie zu löschen.

Dem stehen handels- und steuerrechtliche Aufbewahrungspflichten gegenüber. Belege, aus denen sich Geschäftsvorfälle ergeben, müssen mehrere Jahre aufbewahrt werden.

Wie sich das auflöst: Die Aufbewahrungspflicht betrifft die Belege, nicht jede Datensammlung. Eine Rechnung mit Kundenanschrift bleibt so lange erhalten, wie das Steuerrecht es verlangt. Eine selbstgeführte Excel-Tabelle mit allen Käufernamen der letzten fünf Jahre, die Du für Marketingideen angelegt hast, unterliegt keiner Aufbewahrungspflicht: und ist zu löschen, sobald ihr Zweck entfällt.

Was ich in Shops regelmäßig finde:

Exportdateien mit Bestelldaten, die vor Jahren einmal für eine Auswertung heruntergeladen wurden und seitdem im Downloads-Ordner liegen. Kundenfotos für Auftragsarbeiten, die längst erledigt sind. Adresslisten in alten Versandprogrammen. Screenshots von Nachrichten. Und Sicherungskopien von all dem.

Was hilft: ein fester Termin einmal im Jahr, an dem Du Deine Ablage durchgehst und alles löschst, was keinen Zweck mehr hat. Zwanzig Minuten, und es verringert das Risiko erheblich, denn was nicht da ist, kann auch nicht abfließen.

Betroffenenrechte: was ein Kunde von Dir verlangen kann

Ein Käufer kann Auskunft verlangen, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen bestimmte Verarbeitungen.

In der Praxis kommt fast nur eines vor: die Auskunfts- oder Löschanfrage. Sie ist selten und in kleinen Shops meist in einer halben Stunde erledigt, wenn Du weißt, wo Deine Daten liegen.

Die Frist ist knapp. Grundsätzlich ist unverzüglich zu antworten, spätestens innerhalb eines Monats. Eine Verlängerung ist unter Voraussetzungen möglich, muss aber mitgeteilt werden.

Was Du dafür brauchst: eine Übersicht, wo überall Daten dieses Kunden liegen könnten. Genau dafür ist das Verzeichnis von Verarbeitungstätigkeiten gut. Ohne diese Übersicht wird aus einer halben Stunde ein halber Tag Suchen.

Ein Punkt zur Identität: Bevor Du Auskunft erteilst, solltest Du wissen, dass die anfragende Person auch die betroffene ist. Eine Auskunft an den Falschen ist selbst ein Datenschutzverstoß. Auf einem Marktplatz hilft der Abgleich über die Bestellhistorie.

Werbung und Newsletter: der häufigste Verstoß

Hier passieren die meisten Fehler, und sie passieren aus Unwissen, nicht aus Absicht.

Die Ausgangslage: Du hast die E-Mail-Adresse eines Käufers aus der Bestellabwicklung. Es liegt nahe, ihn später über neue Produkte zu informieren. Genau das ist der Punkt, an dem es eng wird.

Werbung per E-Mail setzt grundsätzlich eine vorherige ausdrückliche Einwilligung voraus. Es gibt eine eng gefasste Ausnahme für Bestandskunden, an die mehrere Bedingungen geknüpft sind: Die Adresse stammt aus einem Verkauf, die Werbung betrifft eigene ähnliche Waren, der Kunde hat nicht widersprochen, und er wurde bei Erhebung und bei jeder Verwendung klar auf sein Widerspruchsrecht hingewiesen.

Warum das auf Etsy schwierig ist: Die genannten Bedingungen müssen alle erfüllt und nachweisbar sein. Der Hinweis auf das Widerspruchsrecht bei der Erhebung ist auf einem Marktplatz, dessen Bestellprozess Du nicht gestaltest, kaum sauber abzubilden.

Was ich daraus mache: Baue Deinen Verteiler über eine ausdrückliche Anmeldung mit Bestätigungsmail auf, nicht aus Bestelladressen. Das ist der einzige Weg, bei dem Du im Streitfall etwas vorzeigen kannst. Und es ist auch der bessere Verteiler, weil er aus Menschen besteht, die tatsächlich hören wollen.

Was Etsy zusätzlich vorgibt: Die Plattform macht eigene Vorgaben dazu, wie Käuferdaten verwendet werden dürfen. Ein Verstoß dagegen ist unabhängig vom Datenschutzrecht ein Richtlinienverstoß und kann den Shop kosten. Zwei Regelwerke, beide zu beachten.

Bewertungen, Fotos und Social Media

Ein Bereich, in dem gut gemeinte Marketingideen regelmäßig kollidieren.

Kundenfotos aus Bewertungen gehören dem Kunden, nicht Dir. Sie in Deine Shop-Galerie oder auf Instagram zu übernehmen, braucht eine Erlaubnis: urheberrechtlich und, wenn Personen erkennbar sind, zusätzlich mit Blick auf deren Persönlichkeitsrechte.

Screenshots von Nachrichten, auch von lobenden, enthalten personenbezogene Daten. Ein geschwärzter Name reicht oft nicht, wenn der Inhalt Rückschlüsse zulässt.

Namen in Beispielbildern. Wer ein personalisiertes Produkt fotografiert, um es zu zeigen, sollte einen Fantasienamen verwenden und nicht den einer echten Bestellung. Das klingt banal und passiert trotzdem ständig, inklusive echter Adressen auf abfotografierten Paketen.

Der einfache Grundsatz: Alles, was von einem Kunden kommt, gehört ihm. Wenn Du es verwenden willst, frag. Eine kurze Nachricht mit der Bitte um Erlaubnis wird fast immer freundlich beantwortet: und Du hast die Zustimmung schriftlich.

1. Zuständige Behörde notieren Sie richtet sich nach Deinem Sitz, nachschlagen, bevor etwas passiert.
2. Zuständigkeit festlegen Wer im Ernstfall was tut, und wer entscheidet.
3. Systemübersicht bereithalten Eine kurze Beschreibung, wo überall Daten liegen.
4. Vorfall dokumentieren Jeder Fall gehört intern festgehalten, auch der gemeldete.

Datenpannen: die 72-Stunden-Frist

Der Fall, den niemand einplant und der deshalb im Ernstfall chaotisch verläuft.

Eine Verletzung des Schutzes personenbezogener Daten liegt nicht erst bei einem Hackerangriff vor. Auch ein verlorenes Notebook, ein an den falschen Empfänger geschickter Lieferschein, ein offener Verteiler in einer Rundmail oder ein übernommenes Konto können darunterfallen.

Was dann gilt: Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen, ist der Vorfall grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden. Bei hohem Risiko sind zusätzlich die Betroffenen zu informieren. Und in jedem Fall ist der Vorfall intern zu dokumentieren.

Was Du vorher tun kannst: Notier Dir, welche Aufsichtsbehörde für Dich zuständig ist, das richtet sich nach Deinem Sitz. Leg fest, wer im Ernstfall was tut. Und halte eine kurze Beschreibung Deiner Systeme bereit, damit Du im Fall der Fälle nicht erst recherchieren musst, wo überall Daten liegen.

72 Stunden klingen nach viel. Wenn der Vorfall an einem Freitagabend auffällt, sind es zwei Tage, an denen niemand erreichbar ist.

Brauchst Du einen Datenschutzbeauftragten?

Für die allermeisten Etsy-Shops: nein.

Nach deutschem Recht besteht eine Benennungspflicht unter anderem dann, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ein Ein-Personen-Shop oder ein kleiner Betrieb mit ein paar Aushilfen erreicht diese Schwelle nicht.

Es gibt weitere Auslöser, etwa wenn die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Kategorien von Daten besteht oder eine Datenschutz-Folgenabschätzung erforderlich ist. Für einen Warenshop ist das der Ausnahmefall, aber es ist kein Punkt, den ich pauschal abtun würde. Bei Produkten mit Gesundheits- oder Weltanschauungsbezug lohnt eine kurze Prüfung.

Was für den eigenen Shop dazukommt

Sobald Du neben Etsy eine eigene Website oder einen eigenen Shop betreibst, wird der Bereich größer.

Dann kommen Themen dazu, die auf einem Marktplatz keine Rolle spielen: Einwilligungen für nicht notwendige Cookies und vergleichbare Techniken, Einbindung externer Dienste wie Schriftarten, Karten oder Analysewerkzeuge, Kontaktformulare, Serverprotokolle.

Der Unterschied ist erheblich. Auf Etsy trägst Du für die Plattformtechnik keine Verantwortung. Auf Deiner eigenen Seite trägst Du sie vollständig. Wer über einen eigenen Shop neben Etsy nachdenkt, sollte diesen Zusatzaufwand einkalkulieren. Er ist einer der Punkte, die in der Rechnung „Etsy oder eigener Shop“ regelmäßig fehlen.

Etsy ist für den Marktplatz verantwortlich, Du für Deinen Betrieb, die Grenze verläuft dort, wo Daten die Plattform verlassen.

Was Etsy für Dich übernimmt und was nicht

Damit die Erwartung stimmt.

Etsy übernimmt: die Verarbeitung im Rahmen des Marktplatzbetriebs, die Zahlungsabwicklung, die Kontoverwaltung, die Sicherheit der eigenen Systeme und die Information der Nutzer über diese Verarbeitungen.

Etsy übernimmt nicht: Deine Informationspflicht gegenüber Betroffenen für Deine eigenen Verarbeitungen. Dein Verzeichnis. Deine Verträge mit Deinen Dienstleistern. Deine Löschfristen. Deine Reaktion auf Betroffenenanfragen, soweit sie Deine Verarbeitungen betreffen. Und die Absicherung Deiner eigenen Geräte.

Der Satz, den ich mir merken würde: Etsy ist verantwortlich für den Marktplatz. Du bist verantwortlich für Deinen Betrieb. Die Grenze verläuft dort, wo Daten die Plattform verlassen, und das tun sie bei jeder Bestellung, die Du verpackst.

Die Reihenfolge, in der ich das aufbauen würde

Wenn Du bei null anfängst und nicht weißt, wo Du beginnen sollst.

1. Bestandsaufnahme Schreib auf, welche Werkzeuge Du benutzt und wo überall Kundendaten liegen. Rechner, Cloud, Versandprogramm, Buchhaltung, Telefon, Papier.
2. Verzeichnis anlegen Vier bis sechs Verarbeitungstätigkeiten mit Zweck, Datenkategorien, Empfängern und Löschfristen. Drei Seiten reichen.
3. Verträge einsammeln Für jeden Dienstleister, der in Deinem Auftrag Daten verarbeitet, eine Vereinbarung zur Auftragsverarbeitung abschließen und ablegen.
4. Zugänge absichern Passwortmanager, Zwei-Faktor-Authentifizierung überall, verschlüsselte Geräte.
5. Aufräumen Alte Exporte, Kundenfotos und Listen löschen, die keinen Zweck mehr haben.
6. Informationstexte prüfen lassen Was Du den Betroffenen mitteilst und wie Du es auf einem Marktplatz bereitstellst, einmal fachlich klären.
7. Termin setzen Einmal im Jahr dieselbe Liste durchgehen. Der Aufwand sinkt danach auf eine halbe Stunde.

Was das Ganze kostet

Damit die Größenordnung klar ist.

Selbst gemacht: ein Nachmittag für das Verzeichnis, je zehn Minuten für die Verträge mit den Dienstleistern, eine Stunde fürs Aufräumen. Danach jährlich eine halbe Stunde.

Mit fachlicher Unterstützung: Rechtstextdienste mit Datenschutzmodul bewegen sich im überschaubaren monatlichen Bereich. Eine anwaltliche Einzelprüfung für einen kleinen Shop liegt typischerweise im niedrigen dreistelligen Bereich.

Ohne alles: Das Risiko ist schwer zu beziffern, weil Bußgelder in kleinen Fällen selten sind. Der realistischere Schaden ist ein anderer: eine Betroffenenanfrage, die Du nicht beantworten kannst, ein Vorfall, den Du nicht dokumentiert hast, oder ein Dienstleisterwechsel, bei dem sich herausstellt, dass nie jemand geregelt hat, wer welche Daten hat.

Verglichen mit dem, was ein Steuerberater kostet, ist das ein sehr kleiner Posten. Ich halte es für eine der günstigeren Ordnungsmaßnahmen im ganzen Geschäft.

• Das E-Mail-Postfach mit Jahren von Bestellbestätigungen und Nachrichten
• Der Downloads-Ordner mit Exporten, Rechnungen und Kundenfotos
• Das Telefon mit Fotos, Nachrichten und Adress-Screenshots
• Der Cloudspeicher samt alter Freigabelinks, die noch funktionieren
• Das Papier: Lieferscheine, Notizzettel, ausgedruckte Bestellungen

Die Werkzeuge, bei denen es typischerweise klemmt

Eine Bestandsaufnahme aus der Praxis. Es sind meist dieselben fünf Stellen.

Das E-Mail-Postfach. Dort liegen Bestellbestätigungen, Kundennachrichten und Adressen, oft jahrelang und ungeordnet. Ein Postfach mit zehntausend Nachrichten ist eine Datensammlung, auch wenn es sich nicht so anfühlt. Es gehört mit Zwei-Faktor-Authentifizierung geschützt, und alte Nachrichten mit Kundendaten gehören ausgemistet.

Der Downloads-Ordner. Hier landen Bestellexporte, Rechnungen, Kundenfotos. Niemand räumt ihn auf. Er ist in fast jedem Shop, in den ich Einblick hatte, die größte ungeordnete Datensammlung.

Das Telefon. Kundenfotos, Nachrichten, gelegentlich Screenshots von Adressen. Und häufig ohne Bildschirmsperre.

Der Cloudspeicher. Praktisch, weil überall verfügbar, und damit auch für jeden verfügbar, der Zugang zum Konto hat. Freigabelinks, die vor zwei Jahren für einen Kunden erstellt wurden, funktionieren oft noch.

Das Papier. Lieferscheine, Notizzettel mit Adressen, ausgedruckte Bestellungen. Sie gehören in den Aktenvernichter, nicht in den Papierkorb.

Was ich empfehle: Geh diese fünf Stellen einmal durch und notier, was Du findest. Diese Bestandsaufnahme ist die Grundlage für alles Weitere: für das Verzeichnis, für die Löschfristen und für die Frage, wo Du im Fall einer Betroffenenanfrage suchen musst.

Wenn Du mit Helfern arbeitest

Sobald jemand außer Dir Zugriff auf Kundendaten hat, kommen zwei Punkte dazu.

Erstens: Vertraulichkeit. Personen, die für Dich Daten verarbeiten, sind zur Vertraulichkeit zu verpflichten. Das gilt für die Aushilfe, die Bestellungen packt, genauso wie für das Familienmitglied, das gelegentlich Nachrichten beantwortet. Eine kurze schriftliche Verpflichtung reicht in der Regel.

Zweitens: Zugriffsrechte. Jeder bekommt nur, was er braucht. Ein gemeinsames Passwort für alles ist bequem und die schlechteste Lösung. Etsy unterstützt getrennte Zugänge, nutz sie, statt Zugangsdaten weiterzugeben.

Und ein dritter Punkt, der oft vergessen wird: Wenn jemand geht, gehören die Zugänge entzogen. Nicht irgendwann, sondern am selben Tag. In kleinen Betrieben passiert das fast nie, weil das Verhältnis freundschaftlich ist. Genau das ist der Grund, warum es geregelt gehört, bevor es unangenehm wird.

Was bei einer Betriebsübergabe oder Shopaufgabe gilt

Ein Fall, der selten bedacht wird und dann schnell entschieden werden muss.

Bei einer Aufgabe des Shops: Die Aufbewahrungspflichten für steuerliche Unterlagen laufen weiter, auch wenn der Betrieb endet. Alles, was darüber hinausgeht, eigene Listen, Kundenfotos, Marketingdaten, gehört gelöscht.

Bei einer Übergabe an eine andere Person: Kundendaten gehen nicht einfach mit. Eine Übertragung braucht eine Rechtsgrundlage, und die ist bei einer bloßen Shopübergabe nicht selbstverständlich. Etsy hat zudem eigene Regeln zur Übertragung von Konten.

Was ich empfehle: Wer einen Shop abgibt oder schließt, sollte diese Frage vorher klären. Mit dem Steuerberater für die Aufbewahrung und mit einer Rechtsberatung für alles andere. Es ist ein Punkt, der in der Aufregung eines Abschieds zuverlässig untergeht.

Der Datenschutz-Durchgang, den ich einmal im Jahr mache

Konkret, damit es nicht bei guten Vorsätzen bleibt.

Zugänge. Sind überall dort, wo Kundendaten liegen, sichere Passwörter und Zwei-Faktor-Authentifizierung aktiv? Gibt es alte Zugänge, die niemand mehr braucht?

Dienstleister. Ist die Liste der eingesetzten Werkzeuge noch aktuell? Für jeden neuen eine Vereinbarung zur Auftragsverarbeitung abgeschlossen? Für ausgemusterte die Daten gelöscht?

Ablage. Downloads-Ordner, Cloud, Telefon, Papier, was kann weg?

Verzeichnis. Sind neue Verarbeitungen dazugekommen? Ein neuer Newsletter, ein neues Versandprogramm, ein neuer Fulfillment-Partner?

Informationstexte. Passen sie noch zu dem, was Du tatsächlich tust?

Der Durchgang dauert im ersten Jahr einen Nachmittag und danach eine halbe Stunde. Für ein Thema, das viele für unbeherrschbar halten, ist das ein sehr überschaubarer Preis.

1. Eingangsdatum notieren Zu antworten ist unverzüglich, spätestens innerhalb eines Monats.
2. Identität prüfen Über die Bestellhistorie, Auskunft an die falsche Person ist selbst ein Verstoß.
3. Anhand des Verzeichnisses suchen Postfach, Versandprogramm, Buchhaltung, eigene Listen, Cloud.
4. Antworten und ablegen Schriftlich, verständlich, in der Frist, mit Datum dokumentiert.

Was Du bei einer Betroffenenanfrage konkret tust

Damit der seltene Fall nicht zum halben Tag wird.

Erstens: Frist notieren. Grundsätzlich ist unverzüglich zu antworten, spätestens innerhalb eines Monats. Notier das Eingangsdatum sofort.

Zweitens: Identität prüfen. Auf einem Marktplatz über die Bestellhistorie. Eine Auskunft an die falsche Person ist selbst ein Verstoß.

Drittens: Umfang klären. Was genau wird verlangt, Auskunft, Löschung, Berichtigung, eine Kopie der Daten? Bei unklaren Formulierungen darfst Du nachfragen.

Viertens: suchen. Anhand Deines Verzeichnisses alle Stellen durchgehen, an denen Daten dieser Person liegen können. E-Mail-Postfach, Versandprogramm, Buchhaltung, eigene Listen, Cloudspeicher.

Fünftens: prüfen, was bleiben muss. Belege mit Aufbewahrungspflicht bleiben. Das gehört in die Antwort, mit Begründung und mit dem Hinweis, wann gelöscht wird.

Sechstens: antworten und dokumentieren. Schriftlich, verständlich, innerhalb der Frist. Und die Antwort mit Datum ablegen.

Wie lange das dauert: mit Verzeichnis eine halbe Stunde, ohne Verzeichnis einen halben Tag. Das ist der greifbarste Nutzen dieses Dokuments, das sonst so bürokratisch wirkt, es sagt Dir, wo Du suchen musst.

Die Kurzfassung

Die DSGVO gilt auch für den kleinsten Shop. Es gibt keine Umsatzgrenze für die Grundpflichten.

Die Trennlinie verläuft an der Plattformgrenze. Etsy ist für den Marktplatz verantwortlich, Du für alles, was Du außerhalb damit machst.

Vier Dokumente decken den Kern ab: Verzeichnis von Verarbeitungstätigkeiten, Vereinbarungen zur Auftragsverarbeitung, Informationstexte für Betroffene, eine Übersicht Deiner technischen Maßnahmen.

Löschen ist die unterschätzte Pflicht. Was nicht mehr gebraucht wird, gehört weg, vor allem Kundenfotos und alte Exporte.

Newsletter aus Bestelladressen sind der häufigste Verstoß. Bau den Verteiler über eine ausdrückliche Anmeldung auf, nicht über die Bestellhistorie.

Mein Fazit zum Datenschutz im Etsy-Shop

Datenschutz ist im Etsy-Kontext weniger dramatisch und gleichzeitig weniger erledigt, als die meisten glauben.

Weniger dramatisch, weil Du auf einem Marktplatz einen großen Teil der technischen Verantwortung nicht trägst. Es gibt keine Cookie-Banner zu bauen, keine Serverprotokolle zu bewerten, keine Einbindung externer Dienste zu prüfen. Das ist ein echter Vorteil gegenüber einem eigenen Shop.

Weniger erledigt, weil genau dieser Vorteil zu dem Trugschluss führt, es sei alles abgedeckt. Ist es nicht. Sobald eine Adresse in ein Versandprogramm wandert, ein Kundenfoto auf Deiner Festplatte liegt oder ein Fulfillment-Partner für Dich versendet, bist Du am Zug: mit Verzeichnis, Verträgen und Löschfristen.

Der Punkt, der mir am wichtigsten ist, ist dabei nicht der formale. Es ist das Aufräumen. Kundenfotos von Auftragsarbeiten, alte Bestellexporte, Adresslisten in Programmen, die Du nicht mehr benutzt, dieser Berg wächst still und ist das eigentliche Risiko. Was gelöscht ist, kann nicht verloren gehen und nicht falsch verwendet werden.

Und wie überall in diesem Kapitel: Ich bin kein Rechtsanwalt. Der Beitrag zeigt Dir die Systematik und die Stellen, an denen es klemmt. Was für Deinen Shop konkret nötig ist, gehört einmal fachlich geprüft, danach ist es Routine.

Häufige Fragen zum Datenschutz auf Etsy

Muss ich eine Datenschutzerklärung in meinen Shop-Angaben hinterlegen? Du musst über Deine Verarbeitungen informieren. Wie das auf einem Marktplatz ohne eigene Seite zu erfüllen ist, hängt von den verfügbaren Feldern ab und gehört anwaltlich geklärt. Etsys eigene Erklärung deckt Deine Verarbeitungen nicht ab.

Darf ich die Adresse eines Käufers in mein Versandprogramm übertragen? Ja, soweit es für die Vertragserfüllung erforderlich ist. Der Anbieter des Programms ist dabei in aller Regel Dein Auftragsverarbeiter, dafür brauchst Du eine entsprechende Vereinbarung.

Was mache ich, wenn ein Kunde die Löschung seiner Daten verlangt? Prüfen, ob eine Aufbewahrungspflicht entgegensteht. Belege, die steuerlich aufzubewahren sind, bleiben. Alles darüber hinaus, eigene Listen, Notizen, Kundenfotos, ist zu löschen, und die Antwort gehört innerhalb der Frist.

Darf ich ein Foto verwenden, das ein Kunde mir für eine Auftragsarbeit geschickt hat? Für den Auftrag ja. Für Deine Shop-Galerie oder Social Media nur mit ausdrücklicher Erlaubnis, und wenn Personen erkennbar sind, sind zusätzlich deren Rechte zu beachten.

Gilt die DSGVO auch, wenn ich nur an deutsche Kunden verkaufe? Ja. Sie gilt für die Verarbeitung durch Verantwortliche mit Niederlassung in der EU, unabhängig davon, wo die Kunden sitzen.

Brauche ich eine Vereinbarung mit Etsy selbst? Etsy beschreibt seine Rolle in den eigenen Unterlagen. Für die Plattformverarbeitung ist Etsy eigenständig verantwortlich. Ob und in welchem Umfang darüber hinaus etwas zu regeln ist, ist eine Frage für die fachliche Prüfung.

Was ist mit Daten aus der Zeit vor 2018? Auch alte Bestände unterliegen der Verordnung. Wer Listen aus früheren Jahren mitschleppt, sollte sie durchgehen und alles löschen, wofür es keinen Zweck und keine Aufbewahrungspflicht mehr gibt.

Muss ich meine Aufsichtsbehörde von mir aus informieren, dass ich Daten verarbeite? Nein, eine allgemeine Anmeldepflicht gibt es nicht. Relevant wird die Behörde bei Betroffenenbeschwerden, bei Datenpannen und wenn sie Unterlagen anfordert, dann allerdings kurzfristig.