DSGVO im Handel: Auskunft, Löschung, Aufbewahrung

Neun von zehn deutschen Unternehmen empfinden die Datenschutz-Grundverordnung als Belastung. Nach einer Erhebung des Digitalverbands Bitkom bezeichnen 97% den bürokratischen Aufwand als hoch oder sehr hoch, bei 69% hat er im vergangenen Jahr weiter zugenommen. Drei Viertel berichten von Projekten, die an konkreten Vorgaben gescheitert sind.

Diese Wahrnehmung ist berechtigt, und es hat wenig Sinn, sie wegzudiskutieren.

Bemerkenswert ist allerdings, woraus der Aufwand tatsächlich besteht. Nicht aus dem Lesen von Rechtstexten, sondern aus Handarbeit: aus dem Zusammensuchen von Datensätzen über fünf Systeme hinweg, aus Excel-Listen, aus Rückfragen bei Kollegen, wer wo welche Adresse gespeichert hat.

Der Aufwand ist real. Die Frage ist, ob er bei Menschen anfällt oder bei Systemen.

Die Frist, die den Takt vorgibt

Wenn ein Kunde Auskunft über seine gespeicherten Daten verlangt, beginnt die Zeit zu laufen.

Art. 12 Abs. 3 der Datenschutz-Grundverordnung verpflichtet Sie, unverzüglich zu reagieren, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags. Bei besonders komplexen Fällen ist eine Verlängerung um zwei weitere Monate möglich, diese muss dem Antragsteller allerdings innerhalb des ersten Monats mitgeteilt und begründet werden.

Für einen Händler mit Kassensystem, Onlineshop, Warenwirtschaft, Newsletter-Werkzeug und Servicedesk bedeutet das: Fünf Systeme, eine Frist und ein Datensatz, der vollständig sein muss.

Der Bitkom weist in diesem Zusammenhang darauf hin, dass die meisten Unternehmen gar nicht über die Ressourcen verfügen, um jede einzelne Auskunftsanfrage individuell zu bearbeiten. Das ist keine Nachlässigkeit, sondern eine Frage der Architektur. Wer aber Kundendaten an einem zentralen Ort führt, beantwortet dieselbe Anfrage in wenigen Minuten.

Fünf Pflichten und was ein System dafür können muss

Auskunft erteilen (Art. 15 DSGVO)

Die betroffene Person hat Anspruch auf Auskunft darüber, welche Daten über sie verarbeitet werden, zu welchem Zweck, aus welcher Quelle und an wen sie weitergegeben wurden.

Was das System leisten muss: Sämtliche Daten einer Person (Stammdaten, Käufe, Ereignisse, Kampagneninteraktionen) in einem einzigen Export zusammenführen. In Custobar geschieht das über eine CSV-Datei je Kunde.

Berichtigen (Art. 16 DSGVO)

Unrichtige Daten sind auf Verlangen zu korrigieren, unvollständige zu vervollständigen.

Was das System leisten muss: Korrekturen an einer Stelle, die in alle angebundenen Kanäle durchschlagen. Wird eine Adresse nur im Newsletter-Werkzeug geändert, nicht aber in der Warenwirtschaft, ist die Pflicht nicht erfüllt.

Löschen (Art. 17 DSGVO)

Unter bestimmten Voraussetzungen können Betroffene die Löschung ihrer Daten verlangen.

Was das System leisten muss: Löschung einzeln, im Stapel und über die Schnittstelle, und zwar so, dass die Datensätze tatsächlich verschwinden und nicht beim nächsten Import aus einem Vorsystem zurückkehren. Der zweite Punkt wird in der Praxis regelmäßig übersehen.

Nicht länger speichern als nötig (Art. 5 Abs. 1 lit. e DSGVO)

Der Grundsatz der Speicherbegrenzung verlangt, dass personenbezogene Daten nur so lange in identifizierbarer Form aufbewahrt werden, wie es für den Zweck erforderlich ist.

Was das System leisten muss: Regelbasierte, wiederkehrende Bereinigung. Ein Kontakt, der seit sieben Jahren nichts gekauft und auf nichts reagiert hat, gehört nicht mehr in den Bestand und kostet nebenbei Speicher- sowie Lizenzgebühren.

Zugriff begrenzen (Art. 32 DSGVO)

Die Verordnung verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Dazu gehört, dass nicht jeder Mitarbeitende alles sehen kann.

Was das System leisten muss: Rollen und Berechtigungen, die den Zugriff auf das beschränken, was die jeweilige Aufgabe erfordert.

Anonymisieren statt löschen und warum das zulässig ist

Ein Löschverlangen bringt Händler regelmäßig in eine Zwickmühle. Die Daten müssen weg, aber der Umsatz des vergangenen Jahres soll in der Auswertung nicht schrumpfen, nur weil drei Kunden ihre Löschung verlangt haben.

Die Auflösung liegt in der Anonymisierung, und sie ist rechtlich sauber – sofern man den Unterschied kennt.

Anonyme Daten fallen nicht unter die Verordnung. Erwägungsgrund 26 der DSGVO stellt klar, dass die Grundsätze des Datenschutzes für Informationen nicht gelten, die sich nicht auf eine identifizierte oder identifizierbare Person beziehen. Entscheidend ist die Irreversibilität: Der Personenbezug muss so entfernt sein, dass er mit verhältnismäßigem Aufwand nicht wiederhergestellt werden kann.

Pseudonyme Daten fallen weiterhin darunter. Art. 4 Nr. 5 definiert die Pseudonymisierung als Verarbeitung, bei der eine Zuordnung mithilfe zusätzlicher Informationen weiterhin möglich ist. Solche Daten bleiben personenbezogen.

In Custobar wird der Kundendatensatz bei einem Löschverlangen anonymisiert. Umsatz- und Kampagnenstatistiken bleiben als aggregierte Werte erhalten, der Personenbezug ist entfernt.

Ihr Anbieter ist Teil Ihrer Verantwortung

Ein Punkt, der in der Praxis unterschätzt wird: Die Verantwortung für die Verarbeitung bleibt bei Ihnen, auch wenn ein Dienstleister sie ausführt.

Art. 28 DSGVO regelt diese Auftragsverarbeitung. Sie setzt einen schriftlichen Vertrag mit festgelegtem Mindestinhalt voraus, den Auftragsverarbeitungsvertrag. Er regelt Gegenstand und Dauer der Verarbeitung, die Art der Daten, die Weisungsbindung, die Einbindung weiterer Unterauftragnehmer und die technischen Schutzmaßnahmen.

Custobar ist Auftragsverarbeiter seiner Kunden. Die Verarbeitung erfolgt auf Servern innerhalb der Europäischen Union, wodurch die Fragen entfallen, die bei einer Übermittlung in Drittländer zu klären wären.

Wer sich in die Systematik einarbeiten möchte, findet sie in unserem Whitepaper The Marketer's Manual to European Data Protection.

Wie ernst ist die Durchsetzung?

Seit Inkrafttreten der Verordnung wurden nach dem GDPR Enforcement Tracker der Kanzlei CMS über 2.600 Bußgelder mit einem Gesamtvolumen von rund 6,11 Milliarden Euro verhängt. Die Schwelle von sechs Milliarden wurde im März 2026 erstmals überschritten.

Diese Zahl sollte man richtig lesen. Das höchste Einzelbußgeld – 1,2 Milliarden Euro gegen Meta Platforms Ireland – macht allein ein Fünftel der Gesamtsumme aus. Die Rekordstrafen treffen große Plattformen, nicht mittelständische Händler.

Für einen Händler sieht das Risiko anders aus und ist deshalb nicht kleiner: eine Beschwerde bei der Aufsichtsbehörde, ausgelöst durch eine unbeantwortete Auskunftsanfrage. Eine wettbewerbsrechtliche Abmahnung wegen Werbung ohne Einwilligung. Ein Auditbericht, der ein Ausschreibungsverfahren verzögert.

Diese Fälle erscheinen in keiner Bußgeldstatistik und kosten trotzdem Zeit, Geld und Vertrauen.

Zum Schluss

Datenschutz wird selten dort zum Problem, wo jemand das Gesetz nicht kennt. Er wird dort zum Problem, wo Kundendaten in fünf Systemen liegen und niemand sie in einem Monat zusammenbekommt.

Wir schauen uns gemeinsam an, wie viele Systeme in Ihrem Haus Kundendaten führen und was eine Auskunftsanfrage heute an Arbeit auslöst. Es geht nicht um einen Pitch, sondern um eine Bestandsaufnahme.

Termin vereinbaren

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall sollte anwaltlich oder durch Ihre Datenschutzbeauftragte erfolgen.

Quellen

• Wahrgenommener Aufwand in deutschen Unternehmen: Bitkom, Datenschutz setzt Unternehmen unter Dauerdruck.
• Rechtsgrundlagen: Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 5, 12, 15, 16, 17, 28 und 32 sowie Erwägungsgrund 26.
• Bußgeldvolumen und Verteilung: CMS, GDPR Enforcement Tracker Report, 7. Auflage, Stichtag 1. März 2026.