Was macht CopeCart?
CopeCart ist eine Shop-Software, mit der Unternehmen physische und digitale Produkte und Dienstleistungen verkaufen können. Die Plattform ist ein Full-Service-Anbieter, der Händler bei allen Schritten des Verkaufs unterstützt. So können sie ihre Produkte bei CopeCart einstellen, verkaufen, Kunden über die Plattform bezahlen lassen und ihre Verkäufe auswerten. Was müssen Unternehmen dabei datenschutzrechtlich beachten?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenDarum spielt CopeCart datenschutzrechtlich eine Rolle
Kaufen Kunden das Produkt eines Händlers über CopeCart, geben sie personenbezogene Daten wie
- Namen,
- Adressen,
- E-Mail-Adressen,
- Zahlungsdaten und
- Telefonnummern
an die Plattform weiter. Händler müssen daher verschiedene datenschutzrechtliche Pflichten erfüllen.
Wie können Seitenbetreiber CopeCart datenschutzkonform verwenden?
Um die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG (ehemals TTDSG)) einzuhalten, müssen Händler diesen Anforderungen nachkommen:
Vertrag zur Auftragsverarbeitung abschließen
Kaufen Kunden ein Produkt über CopeCart, schließen sie mit dem entsprechenden Händler einen Kaufvertrag. Die Daten für die Kaufabwicklung erhält jedoch nicht nur der Händler selbst, sondern auch die Plattform CopeCart. Damit gehen personenbezogene Daten an einen Dritten. Händler müssen mit CopeCart daher einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Der Vertrag muss darüber informieren,
- welche Nutzerdaten CopeCart erhält und speichert,
- wie lange CopeCart diese Daten speichert,
- zu welchem Zweck CopeCart die Daten speichert und
- welche sonstigen Rechte und Pflichten die Verantwortlichen haben.
Datenschutzerklärung anpassen
Mit einer Verkaufspräsenz auf CopeCart geben Händler personenbezogene Daten ihrer Kunden an die Plattform weiter. Sie müssen Kunden in ihrer Datenschutzerklärung darauf aufmerksam machen. Und: Sie müssen in ihrer Datenschutzerklärung aufführen, dass sie mit CopeCart einen AV-Vertrag geschlossen haben. Dabei sollten sie aufführen,
- zu welchem Zweck sie über CopeCart personenbezogene Daten erheben,
- wie lange sie diese Daten speichern,
- wofür sie die Daten nutzen und
- welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. c DSGVO).
Zudem sollten Händler Kunden darauf hinweisen, dass sie der Datenverarbeitung durch CopeCart jederzeit widersprechen können. Das gilt jedoch nicht für die Daten, die CopeCart zwingend benötigt, um die Produkte zu verkaufen und Zahlungen abzuwickeln.
Rechtsprechung zu CopeCart
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zu CopeCart vor. Datenschutzbehörden haben jedoch wiederholt Bußgelder ausgesprochen, wenn Unternehmen keinen AV-Vertrag abschließen. Die DSGVO gibt vor: Geben Unternehmen personenbezogene Daten zur weisungsgebundenen Verarbeitung an einen Dritten weiter und schließen sie mit diesem keinen AV-Vertrag, droht ihnen ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes.
Datenschutzbehörde Hamburg zum AV-Vertrag
Ein Versandunternehmen musste im Dezember 2018 eine Strafe in Höhe von 5250 Euro zahlen. Die Datenschutzbehörde Hamburg hatte festgestellt, dass das Unternehmen mit einem spanischen Dienstleister keinen AV-Vertrag geschlossen hatte.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Der VfB Stuttgart hatte mehrere tausend Daten seiner Vereinsmitglieder an Dienstleister weitergegeben. Sie sollten die Daten weisungsgebunden verarbeiten. Der Fußballclub schloss dafür jedoch keinen AV-Vertrag mit den Dienstleistern. Das bestrafte die Datenschutzbehörde Baden-Württemberg im März 2021 mit einem Bußgeld von 300.000 Euro.
