Wie es Onlineshops wirklich mit der DSGVO halten

Wie halten es eigentlich große Onlineshops mit ihren Daten- und Auskunftspflichten, die sie nach der EU-Datenschutzgrundverordnung (DSGVO) haben? Das hat im Rahmen einer Benchmarkstudie dazu unser Partner, der Qualitätsmonitoring-Dienstleister AC Süppmayer   aus Kleinbittersdorf, exklusiv untersucht. Ergebnis: Neun von zehn großen deutschen Onlinehändlern kommen ihrer Auskunftspflicht über gespeicherte Kundendaten korrekt nach. Nur in Einzelfällen erfolgte keine Datenauskunft. Ein Bezug zu einer speziellen Branche ließ sich dabei nicht feststellen.



Im September 2018 hatte AC Süppmeyer - als potenzieller Kunde getarnt - für uns bei den größten deutschsprachigen Onlinehändlern einen Katalog angefordert. Im zweiten Schritt wurde geprüft, wie die Händler auf Rückfragen zu den gespeicherten Kundendaten reagierten. Dazu kontaktierte der Qualitätsmonitoring-Dienstleister Anfang Januar 2019 die Onlinehändler per E-Mail und bat um Auskunft darüber, welche Daten im jeweiligen System gespeichert seien. 73 Unternehmen kamen ihrer Auskunftspflicht nach. Von drei Unternehmen kam überhaupt keine Reaktion, nicht einmal eine automatische Eingangsbestätigung zur Anfrage. Drei weitere Onlinehändler gaben keine Auskunft über die Daten, obwohl eine Datenverifizierung durch AC Süppmeyer erfolgte. Zwei Unternehmen forderten einen Identitätsnachweis, bevor sie Auskunft erteilen wollten; an dieser Stelle brach AC Süppmeyer in beiden Fällen den Test ab. Ein Onlinehändler versprach, die Auskunft per Post zu verschicken, die Antwort traf jedoch nie ein. Sechzehn der Unternehmen forderten vom Kunden eine Datenverifizierung, um korrekte Auskunft erteilen zu können.

Von den schwarzen Schafen, die eine Datenauskunft schuldig blieben, kamen jeweils zwei Onlineshops aus den Branchen 'Spielzeug und Baby' sowie 'B2B', und jeweils einer aus dem Bereich 'Büroartikel und Verpackung', 'Hobby und Schreibwaren', 'Generalist' sowie 'Drogerie und Gesundheit'. Bei den ECommerce-Branchen gab es keine, die sich in positivem oder negativem Sinne hervortat. In fast jeder Branche gab es einzelne Anbieter, die länger für eine Rückmeldung brauchten oder besonders schnell waren, während der Großteil sich um den allgemeinen Durchschnittswert für die Rückantwort bewegte.

Die schnellsten qualifizierten Antworten kamen bereits am selben Tag, an dem die Anfrage erfolgte. Die längste Antwortzeit betrug 50 Tage. Bei drei Unternehmen war eine zweite Anfrage notwendig, da innerhalb von zwei Wochen keine Rückmeldung erfolgt war. Im Durchschnitt benötigten die Unternehmen zehn Tage, um eine qualifizierte Auskunft über die Daten der Kunden zu geben.

Von den 73 Unternehmen, die ihrer Auskunftspflicht nachkamen, antworteten 61 per Mail und lediglich zwölf auf dem Postweg. Zwölf von ihnen gaben an, dass keine Daten in ihrem System hinterlegt seien. Die Daten wurden hier anscheinend nach Adresserfassung und Katalogversand wieder gelöscht. 61 Unternehmen hatten Daten in ihrem System gespeichert und teilten diese mit.

Abgefragte Daten bei der Kataloganforderung

Beim Abgleich, welche Daten die Versender bei der Datenauskunft abfragten und welche sie später bei der Datenauskunft angaben, fiel ins Auge, dass immerhin bei rund einem Sechstel der Versender die Angaben nicht übereinstimmten. Insgesamt zwölf Katalogversender gaben bei ihrer Datenauskunft weniger Daten an, als sie bei der Kataloganforderung von AC Süppmeyer abgefragt hatten. Siebenmal wurde die Telefonnummer, dreimal die EMail-Adresse und fünfmal das Geburtsdatum bei der Auskunft nicht angegeben. Diese Diskrepanz deutet darauf hin, dass einige Versender Probleme mit ihrem Datenmanagement haben. Entweder werden die abgefragten Daten nicht richtig dargestellt, oder es liegt ein Problem beim Front-End vor und die Daten werden zwar abgefragt, aber nicht gespeichert.



Eine Kopie der Daten fügten - bei den Antworten per Mail - nur zehn der Unternehmen als Anhang an. Weitere Maßnahmen, um diese Anhänge zu sichern, trafen nur drei der Unternehmen, die die Antworten zusätzlich mit einem Passwort schützten.

Wie wichtig die Deutschen den Datenschutz nehmen, zeigt beispielsweise die GfK-Studie, die noch vor dem Inkrafttreten der DSGVO erhoben worden ist.

Die wichtigsten Regeln zum Auskunftsrecht

Informationen darüber, wie Versender den Artikel 15 der DSGVO zum 'Auskunftsrecht der betroffenen Person' in der Praxis umsetzen können, geben die Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz - DSK  ). Wir haben die acht wichtigsten Aspekte für Sie zusammengefasst.

1. Auskunftsrecht als zentrales Recht zur Schaffung von Transparenz

Betroffene Personen haben das Recht, mit formlosem Antrag und ohne Begründung von einem Verantwortlichen Auskunft über dort gespeicherte personenbezogene Daten zu verlangen. Die Auskünfte können es beispielsweise erleichtern, gezielt weitere Rechte, wie auf Berichtigung, Löschung oder Einschränkung der Verarbeitung ("Sperrung"), geltend zu machen.

2. Umfang des Auskunftsrechts

Betroffenen Personen steht ein abgestuftes Auskunftsrecht zu:

• Zum einen können sie von dem Verantwortlichen eine Bestätigung darüber verlangen, ob betreffende personenbezogene Daten verarbeitet werden. Auch eine Negativauskunft ist erforderlich, wenn der Verantwortliche entweder keine Daten zu dieser Person verarbeitet oder personenbezogene Daten unumkehrbar anonymisiert hat.
  
• Zum anderen kann die betroffene Person ganz konkret Auskunft darüber verlangen, welche personenbezogenen Daten vom Verantwortlichen verarbeitet werden (z. B. Name, Vorname, Anschrift, Geburtsdatum, Beruf, medizinische Befunde).

Weiterhin sind bei der Datenauskunft vom Verantwortlichen vor allem noch folgende Informationen mitzuteilen:

• Verarbeitungszwecke
  
• Kategorien personenbezogener Daten, die verarbeitet werden
  
• Empfänger bzw. Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig noch erhalten werden
  
• Geplante Speicherdauer, falls möglich, andernfalls die Kriterien für die Festlegung der Speicherdauer
  
• Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung
  
• Widerspruchsrecht gegen diese Verarbeitung
  
• Beschwerderecht für die betroffene Person
  
• Herkunft der Daten, soweit diese nicht bei der betroffenen Person selbst erhoben wurden, und
  
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling mit aussagekräftigen Informationen über die dabei involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen solcher Verfahren.

3. Form der Auskunftserteilung

Die Auskunftserteilung an die betroffene Person kann je nach Sachverhalt schriftlich, elektronisch oder - auf Wunsch der betroffenen Person - mündlich erfolgen. Der Verantwortliche stellt eine Kopie der Daten zur Verfügung. Alle Kommunikationswege müssen angemessene Sicherheitsanforderungen erfüllen.

4. Frist für die Auskunftserteilung

Auskunftserteilungen müssen unverzüglich erfolgen, spätestens aber innerhalb eines Monats; nur in begründeten Ausnahmefällen kann die Monatsfrist überschritten werden, worüber die betroffene Person zu informieren ist. Der Verantwortliche muss (vorbereitend) geeignete organisatorische Maßnahmen treffen, damit die betroffene Person eine beantragte Auskunft zeitnah und in verständlicher Form erhalten kann.

5. Kosten der Auskunftserteilung

Die Auskunftserteilung an die betroffene Person (z. B. als Kopie) muss durch den Verantwortlichen regelmäßig unentgeltlich erfolgen. Für weitere Kopien kann er ein angemessenes Entgelt fordern.

6. Identitätsprüfung

Es muss sichergestellt werden, dass die zu beauskunftenden Daten nicht unbefugten Dritten zur Verfügung gestellt werden. Hierauf ist auch insbesondere bei mündlicher oder elektronischer Auskunftserteilung zu achten. Hat der Verantwortliche begründete Zweifel an der Identität eines Antragstellers auf Datenauskunft, so kann er zusätzliche Informationen zur Bestätigung der Identität nachfordern.

7. Grenzen des Auskunftsrechts

Bei einer großen Menge von gespeicherten Informationen über die betroffene Person kann der Verantwortliche verlangen, dass präzisiert wird, auf welche Informationen oder Verarbeitungsvorgänge sich das Auskunftsersuchen konkret bezieht.

8. Rechtsfolgen bei Verstoß

Bei unterlassenen oder nicht vollständigen Auskunftserteilungen an betroffene Personen sind Unternehmen nach Art. 83 Abs. 5 DSGVO   mit einer hohen Geldbuße bedroht.