DSGVO für Onlineshops: Was Sie tun müssen (und was Sie weglassen können)

Geprüft im Juni 2026. Die DSGVO gilt seit Mai 2018; die hier beschriebenen Pflichten spiegeln den Stand der Verordnung zu diesem Datum wider. Dies ist eine praktische Orientierung für PrestaShop-Händler, keine Rechtsberatung — für Ihre konkrete Situation sollten Sie eine Fachperson für Datenschutz hinzuziehen.

Die DSGVO gilt seit Mai 2018, und trotzdem sitzen die meisten Shopbetreiber noch immer in einem von zwei Lagern: Entweder erscheint sie als beängstigendes rechtliches Minenfeld, oder sie wird als etwas abgetan, das ein "kleiner" Shop stillschweigend ignorieren kann. Beides ist falsch, und beides kostet Sie. Die Verordnung ist tatsächlich ernst zu nehmen — Bußgelder sind real und Beschwerden lassen sich leicht einreichen — aber für einen normalen PrestaShop-Shop, der normale Verbraucherprodukte verkauft, sind die tatsächlichen Pflichten begrenzt, größtenteils einmalig zu erledigen, und mehrere davon sind bereits in der Software angelegt, die Sie einsetzen. Entscheidend ist zu wissen, welche Anforderungen nicht verhandelbar sind, welche häufig missverstanden werden und welche schwer klingenden Pflichten (ein Datenschutzbeauftragter, eine Folgenabschätzung, das Löschen jedes einzelnen Bytes auf Zuruf) mit sehr hoher Wahrscheinlichkeit gar nicht auf Sie zutreffen. Genau diese Grenze zieht dieser Leitfaden speziell für PrestaShop-Händler.

Eine Einordnung vorab, weil sie alles verändert: Die DSGVO folgt dem Kunden, nicht der Adresse Ihres Unternehmens. Wenn Sie an Menschen in der EU verkaufen, gilt die DSGVO für diese Bestellungen, selbst wenn Ihr Unternehmen in den USA, im Vereinigten Königreich oder irgendwo anders sitzt. Es gibt keine Umsatzgrenze und keine Ausnahme nach dem Motto "wir sind zu klein". Die Frage lautet also nie: "Gilt das für mich?" — sondern: "Was verlangt es konkret, und worüber kann ich aufhören, mir Sorgen zu machen?"

Die Muss-Liste und die Kann-ich-weglassen-Liste — auf einen Blick

Bevor wir ins Detail gehen, steht hier der ganze Artikel in einer Tabelle. Alles darunter erläutert diese Zeilen; der Zweck der Tabelle ist zu zeigen, dass die beängstigend klingenden Pflichten auf der rechten Seite diejenigen sind, die ein typischer Shop meist beiseitelegen kann.

Was Sie tun müssen

1. Eine Datenschutzerklärung, die Menschen verstehen

Das ist die eine Pflicht ohne Spielraum. Sie brauchen eine verständlich formulierte Datenschutzerklärung, die Kunden sagt, welche Daten Sie erheben (Namen, E-Mail-Adressen, Anschriften, Zahlungsdetails, Browser- und IP-Daten), warum Sie jeden Datentyp erheben, wie lange Sie ihn aufbewahren, mit wem Sie ihn teilen und wie Kunden ihre Rechte ausüben können. Die Zeile "mit wem Sie ihn teilen" ist wichtiger, als viele denken: Jeder PrestaShop-Shop gibt im Hintergrund Daten an Dritte weiter — an Ihren Zahlungsanbieter, Ihren Versanddienstleister, Ihre Analytics-Lösung, Ihren E-Mail-Versanddienst. Sie sollen diese Empfänger benennen oder zumindest klare Empfänger-/Auftragsverarbeiter-Kategorien angeben — und mit jedem davon Auftragsverarbeitungsverträge (DPAs) abgeschlossen haben.

Legen Sie dies in PrestaShop als CMS-Seite an (Design → Seiten in 1.7/8/9, früher Voreinstellungen → CMS in 1.6) und verlinken Sie sie im Footer, damit sie von jeder Seite aus erreichbar ist. PrestaShop liefert bei einer frischen Installation Platzhalterseiten wie "Impressum" / "Allgemeine Geschäftsbedingungen" als CMS-Seiten mit — behandeln Sie diese als leere Vorlagen, nicht als fertige Erklärung. Was bringt Ihnen das konkret? Eine einzelne, ehrliche, im Footer verlinkte Seite ist das Dokument, nach dem eine Datenschutzbehörde zuerst fragt, und sie ist der günstigste Compliance-Baustein, den Sie je erstellen werden. Sie muss nicht zwingend von einem Anwalt geschrieben werden, auch wenn eine Prüfung gut investiertes Geld ist; sie muss aber wahrheitsgemäß abbilden, wie Ihr Shop tatsächlich arbeitet.

2. Opt-in-Einwilligung für Marketing — und eine Rechtsgrundlage für alles andere

Sie dürfen Kunden nicht standardmäßig auf eine Marketingliste setzen. Eine Newsletter-Anmeldung muss eine bewusste, aktive Handlung sein: ein nicht vorausgewähltes Kästchen, das der Kunde anhakt, oder ein separates Anmeldeformular. Eine bereits angehakte Box "Newsletter abonnieren" während des Bezahlvorgangs ist der häufigste DSGVO-Mangel, den wir in PrestaShop-Shops sehen, und sie ist eindeutig nicht konform. Der native Newsletter-Block von PrestaShop (ps_emailsubscription) und das Registrierungsformular stellen diese Checkboxen bereit — Ihre Aufgabe ist sicherzustellen, dass keine davon vorab angehakt ausgeliefert wird und dass der Einwilligungstext konkret ist ("Ich möchte Angebote erhalten" statt einer vagen Sammelformulierung, die mit der Annahme der Datenschutzerklärung gebündelt wird).

Bestellbezogene (transaktionale) E-Mails — Bestätigungen, Versandbenachrichtigungen, Rechnungen — benötigen keine separate Einwilligung; sie sind zur Vertragserfüllung erforderlich. Und in den meisten EU-Ländern erlaubt der ePrivacy-"Soft-Opt-in", bestehenden Kunden E-Mails zu ähnlichen Produkten oder Dienstleistungen zu senden, aber nur, wenn Sie deren E-Mail-Adresse im Rahmen eines Verkaufs erhalten haben, beim Erfassen der Adresse und in jeder Nachricht eine Abmeldemöglichkeit anbieten und diese respektieren — die genauen Bedingungen unterscheiden sich je nach nationaler Umsetzung, prüfen Sie also Ihre lokalen Regeln. Na und? Sie müssen nicht jedes E-Mail-Marketing abwürgen, um konform zu sein — Sie müssen ehrlich damit umgehen, wie jemand auf die Liste gelangt ist, und das Verlassen der Liste mühelos machen.

3. Betroffenenrechte — und das PrestaShop-Modul, das den Großteil davon erledigt

Kunden haben das Recht, Auskunft über ihre Daten zu erhalten, sie zu berichtigen, löschen zu lassen ("Recht auf Vergessenwerden") und sie in einem übertragbaren, maschinenlesbaren Format zu bekommen. Das ist die Pflicht, vor der Händler im Tagesgeschäft am meisten zurückschrecken — "Muss ich jedes Mal Tabellen per Hand zusammenstellen, wenn mir jemand eine E-Mail schreibt?" — und genau hier nimmt Ihnen PrestaShop viel Arbeit ab.

Installieren Sie das Modul Official GDPR Compliance (technischer Name psgdpr, kostenlos von PrestaShop). Es erledigt zwei konkrete Dinge. Auf Kundenseite fügt es dem Konto eingeloggter Kunden einen Block "GDPR - Personal data" hinzu, über den sie ihre eigenen Daten als PDF und CSV herunterladen können, ohne Sie überhaupt zu kontaktieren — diese eine Funktion erfüllt bei den meisten Anfragen bereits die Auskunfts- und Datenübertragbarkeitsrechte. Auf Ihrer Seite ist die Konfigurationsseite des Moduls (Module → Module Manager → configure psgdpr) der Ort, an dem Sie Lösch- und Anonymisierungsanfragen bearbeiten, den Text der Einwilligungs-Checkbox anpassen und auswählen, welche Formulare und Module einen Einwilligungsblock anzeigen. Sauber gebaute Module registrieren sich bei psgdpr (über die Hooks registerGDPRConsent, actionExportGDPRData und actionDeleteGDPRCustomer), damit ihre gespeicherten Daten im Export enthalten sind und bei einer Löschanfrage entfernt werden — genau dafür ist die Plattformintegration "make your module GDPR-compliant" gedacht, und es lohnt sich zu prüfen, ob die Drittanbieter-Module, auf die Sie sich verlassen, das tatsächlich tun.

Was heißt das praktisch? Die meisten Auskunftsanfragen erledigen sich selbst — der Kunde lädt die Daten im eigenen Konto herunter. Die Anfragen, die bei Ihnen landen, betreffen Löschung und Anonymisierung, und das Modul gibt Ihnen dafür einen kontrollierten Weg, statt rohe SQL-Befehle gegen die Tabellen customer, address und orders auszuführen und zu hoffen, dass Sie alle Fremdschlüssel richtig erwischt haben.

4. Cookie-Einwilligung für nicht notwendige Cookies

Wenn Ihr Shop irgendetwas über zwingend notwendige Cookies hinaus lädt — Analytics, Werbepixel, Retargeting — brauchen Sie eine Einwilligung, bevor diese Skripte ausgeführt werden, mit einer echten Ablehnen-Option, die genauso leicht anklickbar ist wie Zustimmen. Das ist ein eigenes, tiefes Thema mit spezifischen Umsetzungsdetails in PrestaShop (Banner-Verhalten, Blockieren von Skripten bis zur Einwilligung, Unterschied zwischen Session-Cookies und Tracking-Cookies), und es verdient eine eigene Behandlung statt eines gehetzten Absatzes an dieser Stelle. Was das Gesetz genau verlangt und wie Sie es umsetzen, ohne Ihren Shop zu beschädigen, behandeln wir in Cookie-Einwilligung für PrestaShop; das größere Bild rund um Cookies und Tracking in DSGVO- und Cookie-Compliance für PrestaShop. Für die Muss-Checkliste unten behandeln Sie "konformes Cookie-Banner vorhanden" als einen Punkt und folgen für die Umsetzung diesen Leitfäden.

5. Angemessene Sicherheit — keine Enterprise-Sicherheit

Die DSGVO verlangt "geeignete technische und organisatorische Maßnahmen", und das entscheidende Wort ist geeignete, abgestimmt auf die Daten, die Sie verarbeiten. Für einen Shop, der Namen, Adressen und Bestellungen verarbeitet, bedeutet das HTTPS auf der gesamten Website, einen aktuellen PrestaShop-Core und aktuelle Module, starke Admin-Passwörter mit begrenzten Zugriffsrechten, sichere Kartenabwicklung (die Ihr PCI-konformer Zahlungsanbieter bereits bereitstellt — Ihr Shop sollte niemals rohe Kartennummern berühren) und Backups an einem sicheren Ort. Sie brauchen kein Security Operations Center. Die Details zur Härtung einer PrestaShop-Installation — Mitarbeiter-Berechtigungsprofile, die Protokolle unter Erweiterte Einstellungen, Schutz vor Brute-Force-Angriffen — finden Sie für die Zahlungsebene in Zahlungssicherheit in PrestaShop und für den Rest in der allgemeinen Shop-Sicherheits-Praxis.

Was Sie mit sehr hoher Wahrscheinlichkeit weglassen können

Das ist die Hälfte des Themas, über die kaum jemand mit Shopbetreibern spricht, und genau hier verschwindet ein Großteil der Anspannung. Die folgenden Pflichten existieren, aber sie sind für Organisationen geschrieben, deren Kerntätigkeit darin besteht, personenbezogene Daten in großem Umfang zu verarbeiten — nicht für einen Shop, der Produkte verkauft und dabei Kundendaten speichert.

Sie brauchen wahrscheinlich keinen Datenschutzbeauftragten

Ein DPO ist nur dann verpflichtend, wenn Ihre Kerntätigkeiten eine umfangreiche regelmäßige Überwachung von Personen umfassen oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheit, Religion, biometrische Daten und Ähnliches). Ein Shop, der Konsumgüter verkauft, tut nichts davon. Sie sollten jemanden haben, der für Datenschutz verantwortlich ist — meist Sie selbst oder die Person, die den Betrieb leitet — aber das ist keine formelle, registrierte DPO-Rolle, und Sie müssen keine Kontaktdaten eines DPO veröffentlichen.

Sie brauchen wahrscheinlich keine Datenschutz-Folgenabschätzung

Eine DPIA wird durch risikoreiche Verarbeitung ausgelöst: systematisches Profiling in großem Umfang, Überwachung öffentlicher Bereiche oder der Umgang mit sensiblen Daten in großem Umfang. Bestellungen anzunehmen und Marketing-E-Mails zu versenden ist keine risikoreiche Verarbeitung. Wenn Sie später etwas wirklich Eingriffsintensives hinzufügen — biometrischen Login, groß angelegtes Verhaltensprofiling, Altersverifikation für beschränkte Waren — prüfen Sie das erneut. Für einen Standardkatalog können Sie es weglassen.

Sie brauchen keine Checkbox für jedes einzelne Cookie

Ein hartnäckiger Mythos besagt, jedes Cookie brauche seine eigene Einwilligung. In der Praxis erwarten Datenschutzbehörden, dass Cookies nach Zweck gruppiert werden — zwingend erforderlich, Analytics, Marketing — und dass die Einwilligung pro Kategorie erfasst wird. Ein Schalter pro Kategorie, nicht pro Cookie.

Sie müssen nicht alles sofort löschen, sobald jemand danach fragt

Das Recht auf Löschung enthält eingebaute Ausnahmen, und genau diese schützt Sie. Sie dürfen — und müssen in den meisten Fällen — Daten aufbewahren, die nötig sind, um eine offene Bestellung abzuschließen, gesetzliche Pflichten zu erfüllen (Steuer- und Buchhaltungsunterlagen, je nach Land typischerweise mehrere Jahre aufzubewahren) oder Rechtsansprüche geltend zu machen und zu verteidigen. Wenn ein Kunde also darum bittet, vergessen zu werden, entfernen Sie sein Marketingprofil und seine Konto-Login-Daten, behalten aber die Bestell- und Rechnungsunterlagen, die die Steuerbehörde verlangt. Genau deshalb existiert Anonymisierung neben Löschung: Das psgdpr-Modul und die meisten DSGVO-Tools von Drittanbietern lassen Sie einen Kunden anonymisieren (Name und Kontaktdaten durch zufällige Werte ersetzen), während die darunterliegende Bestell- und Buchhaltungsspur erhalten bleibt. Na und? Sie erfüllen gleichzeitig die Anfrage des Kunden und Ihre Buchführungspflichten — sie stehen nicht im Widerspruch.

Irrtümer, die man ausräumen sollte

"Die DSGVO gilt nur für EU-Unternehmen." Sie gilt für jeden, der Daten von Menschen in der EU verarbeitet, egal wo das Unternehmen sitzt. Verkaufen Sie in die EU, gilt sie für Sie.

"Kleine Shops sind ausgenommen." Es gibt keine Ausnahme nach Größe. Einige Pflichten werden für kleine Organisationen schlanker gehandhabt — das formelle Verzeichnis von Verarbeitungstätigkeiten (ROPA) kann vereinfacht werden — aber die Kernpflichten (Rechtsgrundlage, Transparenz, Sicherheit, Betroffenenrechte) gelten in jeder Größenordnung.

"IP-Adressen sind keine personenbezogenen Daten." Der Gerichtshof der Europäischen Union hat das geklärt: Dynamische IP-Adressen sind personenbezogene Daten. Das ist in PrestaShop relevant, weil die Plattform IPs in der Tabelle connections protokolliert (verbunden mit der Tabelle guest) und im Mitarbeiter-Admin-log — IP-Protokollierung ist also Verarbeitung personenbezogener Daten, und Ihre Datenschutzerklärung muss das benennen.

"Wir brauchen Einwilligung, bevor irgendeine Seite lädt." Nein. Zwingend notwendige Cookies — Session, Warenkorb, Sicherheits-Token — werden ohne Einwilligung geladen; Ihr Shop funktioniert, bevor ein Besucher eine Cookie-Auswahl trifft. Warten müssen Analytics- und Marketing-Skripte.

Die PrestaShop-DSGVO-Checkliste

Gehen Sie diese Liste einmal durch, und Sie haben das DSGVO-Risiko eines typischen Shops im Griff. Nichts davon erfordert einen Entwickler, abgesehen von der Installation eines kostenlosen Moduls.

• Schreiben Sie eine echte Datenschutzerklärung als CMS-Seite unter Design → Seiten, verlinken Sie sie im Footer und stellen Sie sicher, dass sie Ihre tatsächlichen Auftragsverarbeiter nennt (Zahlung, Versanddienstleister, Analytics, E-Mail).
• Prüfen Sie jede Einwilligungsbox: Newsletter-Block und Kasse (ps_emailsubscription) müssen nicht vorausgewählt ausgeliefert werden, mit konkretem Wortlaut.
• Installieren und konfigurieren Sie das Modul psgdpr, damit Kunden ihre Daten selbst exportieren können und Sie Lösch-/Anonymisierungsanfragen sauber bearbeiten können.
• Setzen Sie ein konformes Cookie-Banner ein — folgen Sie für die Umsetzung dem Leitfaden zur Cookie-Einwilligung.
• Bestätigen Sie, dass HTTPS überall aktiv ist und Core, Theme und Module aktuell sind.
• Legen Sie Aufbewahrungsfristen bewusst fest — bewahren Sie Daten nicht für immer "nur für den Fall" auf. Nutzen Sie Anonymisierung, um Löschanfragen mit der Aufbewahrung steuerrelevanter Unterlagen in Einklang zu bringen.
• Schreiben Sie ein kurzes Verzeichnis von Verarbeitungstätigkeiten (was Sie erfassen, warum, wohin es geht, wie lange Sie es aufbewahren) — für die meisten Shops ein einseitiges Dokument, kein Projekt.
• Stellen Sie sicher, dass Ihre Allgemeinen Geschäftsbedingungen auf die Datenschutzerklärung verweisen und dass Ihre weiteren EU-E-Commerce-Pflichten (Verbraucherinformationen, Widerrufsrechte, Preisangaben) neben dem Datenschutz erfüllt sind.

Diese Liste deckt die überwältigende Mehrheit dessen ab, was ein kleiner bis mittlerer PrestaShop-Shop braucht. Wenn Sie ungewöhnliche Daten verarbeiten, altersbeschränkte Waren verkaufen oder in einem regulierten Bereich wie Gesundheit oder Finanzen tätig sind, betreten Sie das Gebiet, in dem sich eine DPIA oder spezialisierte Rechtsberatung wirklich bezahlt macht — aber Sie werden wissen, ob das auf Sie zutrifft.

Häufig gestellte Fragen

Macht die Installation des psgdpr-Moduls meinen Shop DSGVO-konform?

Nein — und kein Modul kann das. psgdpr ist eine technische Unterstützung für einige der Betroffenenrechte (Export, Löschung, Protokollierung von Formular-Einwilligungen). Compliance hängt außerdem von Ihrer Datenschutzerklärung, Ihren Rechtsgrundlagen, Ihren Aufbewahrungsfristen, Ihren Auftragsverarbeitungsverträgen und Ihrem Cookie-Handling ab — all das liegt in Ihrer Verantwortung als Verantwortlicher. Betrachten Sie das Modul als ein Werkzeug, das einige konkrete Aufgaben gut erledigt, nicht als Schalter, der Sie auf konform stellt.

Ein Kunde hat mich gebeten, alle seine Daten zu löschen, aber ich habe seine Rechnungen. Was mache ich?

Sie müssen sich nicht zwischen beidem entscheiden. Das Recht auf Löschung hat Ausnahmen, und die Aufbewahrung von Steuer- und Buchhaltungsunterlagen, zu der Sie gesetzlich verpflichtet sind, gehört dazu. Die übliche Antwort ist, zu anonymisieren statt hart zu löschen: psgdpr ersetzt den Namen und die Kontaktdaten des Kunden durch zufällige Werte, während die darunterliegenden Bestell- und Rechnungsdaten für Ihre Buchhaltung erhalten bleiben. Sie erfüllen die Anfrage und behalten die Spur, die die Steuerbehörde verlangt.

Brauche ich für einen normalen Shop wirklich einen Datenschutzbeauftragten?

Mit sehr hoher Wahrscheinlichkeit nicht. Ein formeller DPO ist nur bei umfangreicher regelmäßiger Überwachung von Personen oder umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheit, biometrische Daten und Ähnliches) verpflichtend. Ein Shop, der Konsumgüter verkauft, tut beides nicht. Sie sollten jemanden haben, der Datenschutz verantwortet — meist Sie selbst — aber das ist nicht die formelle, veröffentlichte DPO-Rolle, und Sie müssen niemanden registrieren.

Mein Unternehmen sitzt außerhalb der EU. Gilt die DSGVO trotzdem für mich?

Wenn Sie an Menschen in der EU verkaufen, ja, für diese Kunden — die DSGVO folgt dem Kunden, nicht der Adresse Ihres Unternehmens. Es gibt keine Umsatzgrenze und keine Ausnahme nach dem Motto "wir sind zu klein". Ein Shop in den USA oder im Vereinigten Königreich, der an Käufer in der EU liefert, verarbeitet Daten von EU-Bürgern und fällt für diese Bestellungen in den Anwendungsbereich.

Ist eine vorausgewählte Newsletter-Box an der Kasse wirklich ein Problem?

Ja — sie ist der häufigste DSGVO-Mangel, den wir in PrestaShop-Shops sehen. Marketing-Einwilligung muss eine aktive Handlung sein, also muss die Box nicht vorausgewählt ausgeliefert werden und der Wortlaut muss sich konkret auf Marketing beziehen, statt in "Ich akzeptiere die Datenschutzerklärung" gebündelt zu werden. Prüfen Sie sowohl den Block ps_emailsubscription als auch das Registrierungsformular; keines davon sollte bereits angehakt erscheinen.

Die ehrliche Zusammenfassung lautet: Die DSGVO-Durchsetzung nimmt zu, und die Verordnung verschwindet nicht, aber für einen normalen PrestaShop-Shop ist sie eine begrenzte, größtenteils einmalige Einrichtung statt einer laufenden Belastung. Das meiste davon besteht aus einer Datenschutzerklärung, ehrlicher Einwilligung, einem kostenlosen Modul und einem Cookie-Banner. Die großen, einschüchternden Pflichten — DPO, DPIA, sofortige vollständige Löschung — sind für andere geschrieben. Behandeln Sie personenbezogene Daten so, wie Sie möchten, dass Ihre eigenen behandelt werden, benennen Sie Ihre Auftragsverarbeiter ehrlich und geben Sie Kunden die Kontrolle, die das Gesetz ihnen zuspricht. Das ist Compliance, und es ist zugleich einfach ein gut geführter Shop.

Verwandte Leitfäden

• DSGVO- und Cookie-Compliance für PrestaShop: Was Sie wirklich brauchen — die PrestaShop-spezifische Daten- und Cookie-Landkarte.
• Cookie-Einwilligung für PrestaShop: Was das Gesetz tatsächlich verlangt — die Details zu Banner und vorherigem Blockieren.
• Allgemeine Geschäftsbedingungen für Ihren Shop: Was enthalten sein muss — die rechtlichen Seiten, die auf Ihre Datenschutzerklärung verweisen.
• E-Commerce-Recht in der EU: Die wichtigsten Regeln — die weiteren Pflichten, in die die DSGVO eingebettet ist.