Cookie-Banner, Tracking, Newsletter: Hier passieren die meisten Datenschutzverstöße im E-Commerce. Was 2026 gilt, was es kostet und wie Sie Ihren Shop absichern, inklusive Checkliste und Shopware-Praxisteil.
Die meisten Datenschutzverstöße im E-Commerce passieren an drei Stellen: Cookie-Banner, Tracking und Newsletter. Alle drei lassen sich mit überschaubarem Aufwand sauber lösen.
2025 haben europäische Behörden rund 690 Millionen Euro an DSGVO-Bußgeldern verhängt, in Deutschland waren es 249 Bußgelder mit zusammen rund 47 Millionen Euro. Getroffen hat es nicht nur Konzerne. Der Online-Händler Shein zahlte allein 150 Millionen Euro, weil Cookies ohne Einwilligung gesetzt wurden.
Wer Cookie-Consent, Auftragsverarbeitung und Double-Opt-in im Griff hat, deckt bereits den Großteil der Risiken ab. Die Checkliste in diesem Beitrag führt Sie durch die zwölf wichtigsten Punkte.
Dieser Beitrag richtet sich an Shopbetreiber, die ihren Onlineshop rechtlich sauber aufstellen wollen, ohne dafür Jura studieren zu müssen. Sie erfahren, welche Pflichten 2026 wirklich gelten, wo Abmahner und Aufsichtsbehörden am genauesten hinschauen und wie Sie die Anforderungen konkret in Shopware 6 umsetzen.
Ich bin seit Oktober 2026 TÜV-zertifizierter Datenschutzbeauftragter und betreue bei solution25 die Datenschutzthemen unserer Shop-Projekte. Die Beispiele in diesem Beitrag stammen aus echten Audits und Projekten. Eine Rechtsberatung ersetzt der Artikel nicht, er zeigt aber, wo die Prioritäten liegen.
Ein Onlineshop verarbeitet an fast jeder Stelle personenbezogene Daten: beim Seitenaufruf, im Warenkorb, im Checkout, beim Newsletter und im Kundenkonto. Für jede dieser Stellen gibt es eine klare rechtliche Anforderung.
| Bereich | Was gefordert ist | Rechtsgrundlage | Risiko bei Verstoß |
|---|---|---|---|
| Cookie-Banner | Echte Einwilligung vor dem Setzen nicht notwendiger Cookies, Ablehnen so einfach wie Akzeptieren | § 25 TDDDG, Art. 6 DSGVO | Bußgeld, Abmahnung |
| Datenschutzerklärung | Vollständig, aktuell, alle eingesetzten Dienste benannt | Art. 13 DSGVO | Abmahnung |
| Checkout | Nur notwendige Pflichtfelder, Gastbestellung möglich | Art. 5 DSGVO (Datenminimierung) | Bußgeld, Beschwerden |
| Newsletter | Double-Opt-in, dokumentierte Einwilligung | Art. 7 DSGVO, § 7 UWG | Abmahnung, Bußgeld |
| Dienstleister | Auftragsverarbeitungsvertrag mit Hosting, Payment, Tools | Art. 28 DSGVO | Bußgeld |
| Betroffenenrechte | Auskunft und Löschung innerhalb eines Monats | Art. 15, 17 DSGVO | Bußgeld, Schadensersatz |
| Datensicherheit | Technische und organisatorische Maßnahmen, Meldepflicht bei Pannen | Art. 32, 33 DSGVO | Bußgeld, Haftung |
Das Cookie-Banner ist die sichtbarste Datenschutz-Baustelle eines Shops und gleichzeitig die häufigste Fehlerquelle. In unseren Audits ist kaum ein Banner auf Anhieb sauber konfiguriert.
Wie teuer das Thema werden kann, zeigt der Fall Shein. Die französische Aufsichtsbehörde CNIL verhängte 2025 ein Bußgeld von 150 Millionen Euro, weil der Händler Cookies ohne wirksame Einwilligung gesetzt hatte. Das ist kein Sonderfall für Konzerne: Auch deutsche Behörden prüfen Banner inzwischen aktiv, teils mit automatisierten Scans. Ein Banner, das Tracking vor dem Klick startet, ist mit wenigen Minuten Prüfaufwand nachweisbar.
Praxis-Tipp: Öffnen Sie Ihren Shop im Inkognito-Fenster mit geöffneten Entwicklertools. Wenn vor Ihrem Klick auf „Akzeptieren“ bereits Marketing- oder Analyse-Cookies gesetzt werden, besteht Handlungsbedarf.
Die DSGVO folgt dem Grundsatz der Datenminimierung: erhoben wird nur, was für den Zweck nötig ist. Für den Kaufvertrag brauchen Sie Name, Liefer- und Rechnungsadresse, E-Mail-Adresse und Zahlungsdaten. Ein Geburtsdatum brauchen Sie nur, wenn Sie altersbeschränkte Ware verkaufen. Eine Telefonnummer ist nur dann ein Pflichtfeld, wenn die Spedition sie wirklich benötigt.
Wichtig ist auch die Gastbestellung. Die Datenschutzkonferenz der Aufsichtsbehörden hat 2022 klargestellt, dass ein Kundenkonto keine Pflicht sein darf. Ihr Checkout muss eine Bestellung ohne Registrierung ermöglichen. Das ist nebenbei auch gut für die Conversion, denn ein Registrierungszwang ist einer der häufigsten Gründe für Kaufabbrüche.
Tracking ist nicht verboten, es braucht nur eine saubere Grundlage. Google Analytics, Meta Pixel und vergleichbare Tools laufen ausschließlich mit Einwilligung über das Cookie-Banner. Ohne Consent darf kein Tag feuern, auch nicht „nur zur Sicherheit“.
Drei Punkte, die in der Praxis oft fehlen: Erstens gehört jedes Tool in die Datenschutzerklärung. Zweitens brauchen Sie mit Google einen Auftragsverarbeitungsvertrag, den Sie in den Kontoeinstellungen abschließen. Drittens sollte der Consent Mode korrekt eingebunden sein, damit Google-Dienste den Einwilligungsstatus respektieren. Wer auf Nummer sicher gehen will, prüft zusätzlich serverseitiges Tracking oder einwilligungsfreie Alternativen wie Matomo ohne Cookies für die Basis-Statistik.
Für Newsletter gilt doppelte Absicherung. Die Einwilligung muss per Double-Opt-in bestätigt werden: Der Kunde trägt sich ein und bestätigt die Anmeldung über einen Link in der ersten Mail. Erst danach dürfen Sie werben. Die Bestätigung protokollieren Sie mit Zeitstempel, denn im Streitfall müssen Sie die Einwilligung beweisen.
Eine Ausnahme gibt es für Bestandskunden nach § 7 Abs. 3 UWG: Wer bei Ihnen gekauft hat, darf unter engen Voraussetzungen Werbung für ähnliche Produkte erhalten, wenn er beim Kauf darauf hingewiesen wurde und jederzeit widersprechen kann. Diese Ausnahme ist nützlich, wird aber oft falsch umgesetzt. Fehlt der Hinweis im Checkout, ist die Grundlage weg.
Ihr Shop läuft nicht allein. Hoster, Payment-Anbieter, Newsletter-Tool, Fulfillment-Dienstleister und Support-Software verarbeiten Kundendaten in Ihrem Auftrag. Mit jedem dieser Anbieter brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei den großen Anbietern ist das ein Klick im Kundenbereich, es muss nur jemand machen und ablegen.
Bei Anbietern außerhalb der EU kommt der Drittlandtransfer dazu. Für US-Dienste ist seit Juli 2023 das EU-US Data Privacy Framework die wichtigste Grundlage: Prüfen Sie, ob Ihr Anbieter dort zertifiziert ist. Falls nicht, braucht es Standardvertragsklauseln und eine Risikoabschätzung. Führen Sie außerdem ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Das klingt bürokratisch, ist aber im Kern eine Tabelle, die jedes Audit massiv beschleunigt.
Wie das Hosting-Setup insgesamt aussehen sollte, haben wir im Beitrag über Shopware Hosting 2026 ausführlich beschrieben.
Jeder Kunde kann Auskunft über seine Daten verlangen, ihre Korrektur oder ihre Löschung. Dafür haben Sie einen Monat Zeit. Was viele unterschätzen: Auch ein formloser Zweizeiler per E-Mail löst die Frist aus. Legen Sie deshalb intern fest, wer solche Anfragen beantwortet und wie Sie die Identität des Anfragenden prüfen.
Bei der Löschung gilt: Rechnungsdaten unterliegen der zehnjährigen Aufbewahrungspflicht und werden nicht gelöscht, sondern für die weitere Nutzung gesperrt. Marketingdaten, Tracking-Profile und inaktive Kundenkonten dagegen brauchen ein Löschkonzept mit klaren Fristen.
Shopware 6 bringt vieles mit, was Sie brauchen. Es muss nur richtig konfiguriert sein. Diese Punkte prüfen wir in jedem Projekt:
Ein Blick auf die Durchsetzung zeigt, dass Datenschutz längst kein Papiertiger mehr ist. 2025 wurden europaweit rund 690 Millionen Euro an DSGVO-Bußgeldern verhängt. In Deutschland waren es 249 Bußgelder mit einer Gesamtsumme von rund 47 Millionen Euro, dazu über 10.000 gemeldete Datenpannen.
| Unternehmen | Bußgeld | Grund |
|---|---|---|
| TikTok | 530 Mio. € | Unzulässige Datenübermittlung nach China |
| 325 Mio. € | Werbung in Gmail ohne Einwilligung | |
| Shein | 150 Mio. € | Cookies ohne wirksame Einwilligung |
| Vodafone | 45 Mio. € | Mängel bei Partneragenturen und Authentifizierung |
Für kleinere Shops sind weniger die Rekordsummen relevant als die Masse der Verfahren. Die meisten deutschen Bußgelder liegen im vier- bis fünfstelligen Bereich und treffen genau die Themen aus diesem Beitrag: fehlende Einwilligungen, unbeantwortete Auskunftsersuchen und ungesicherte Kundendaten. Dazu kommt das Abmahnrisiko durch Wettbewerber und spezialisierte Kanzleien, das bei sichtbaren Fehlern wie dem Cookie-Banner am größten ist.
Es muss nicht notwendige Cookies bis zur Einwilligung blockieren, Ablehnen so einfach machen wie Akzeptieren und die Entscheidung protokollieren. Vorangekreuzte Kästchen und versteckte Ablehnen-Optionen sind unzulässig.
Ein Datenschutzbeauftragter ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Kleinere Shops brauchen meist keinen, müssen die DSGVO aber genauso einhalten.
Ja, mit wirksamer Einwilligung über das Cookie-Banner, einem Auftragsverarbeitungsvertrag mit Google und korrekter Einbindung des Consent Mode. Ohne Einwilligung darf das Tool nicht laden.
Der Rahmen reicht bis 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Realistisch liegen Bußgelder für kleinere Shops im vier- bis fünfstelligen Bereich, dazu kommen Abmahnkosten ab etwa 1.000 Euro und mögliche Schadensersatzforderungen von Betroffenen.
Ja. Nach Auffassung der deutschen Aufsichtsbehörden darf ein Kundenkonto nicht zur Pflicht gemacht werden. Eine Bestellung ohne Registrierung muss möglich sein.
Nur mit Einwilligung oder über die Bestandskundenausnahme des § 7 Abs. 3 UWG. Dafür müssen Sie beim Kauf auf die Werbung hinweisen, nur ähnliche Produkte bewerben und jederzeit eine einfache Abmeldung ermöglichen.
Ein Vertrag nach Art. 28 DSGVO mit jedem Dienstleister, der Daten für Sie verarbeitet: Hosting, Payment, Newsletter-Tool, Fulfillment, Support-Software. Bei den meisten Anbietern schließen Sie ihn digital im Kundenbereich ab.
Innerhalb eines Monats. Die Frist beginnt mit Eingang der Anfrage, auch wenn sie formlos per E-Mail kommt. In komplexen Fällen ist eine Verlängerung um zwei Monate möglich, die Sie innerhalb des ersten Monats begründen müssen.
Wir prüfen Cookie-Banner, Checkout, Tracking und Verträge Ihres Shops und zeigen Ihnen, wo Handlungsbedarf besteht. Als Shopware-Agentur setzen wir die Maßnahmen direkt mit um, von der Consent-Konfiguration bis zum Löschkonzept.
Kostenlosen Datenschutz-Check anfragen
Henrik Schäfer ist TÜV-zertifizierter Datenschutzbeauftragter und betreut bei solution25 die Datenschutz- und Compliance-Themen in E-Commerce-Projekten. Er unterstützt Shopbetreiber dabei, DSGVO-Anforderungen praxistauglich umzusetzen, ohne die Conversion aus dem Blick zu verlieren. Kontakt aufnehmen
Stand: November 2026. Nächste inhaltliche Prüfung: Februar 2027.
