Wir wurden gefragt: Was ändert sich mit der DSGVO beim Dropshipping?

Die Einhaltung der Datenschutzregelungen muss aufgrund der teilweise horrenden Bußgelder großgeschrieben werden. Doch in der Praxis machen sich viel zu wenig Online-Händler und Webseitenbetreiber Gedanken, wie leichtfertig sie mit den Daten ihrer Kunden umgehen. Ein Händler wollte es jedoch genauer wissen und fragte uns, welche Änderungen sich beim Dropshipping ergeben.

Status quo: Weitergabe zur Vertragsabwicklung

Gemäß dem derzeit gültigen Bundesdatenschutzgesetz (kurz: BDSG) ist das Übermitteln personenbezogener Daten (beim Dropshipping: Name und Adresse) zulässig, wenn es für die Durchführung eines Vertrages mit dem Betroffenen erforderlich ist.

Klingt ziemlich abstrakt, meint aber nichts anderes als dass die Weitergabe von vertraulichen Kundendaten an den Direktversender ohne gesonderte Einwilligung des Betroffenen rechtmäßig ist, da die Weitergabe zur Vertragsabwicklung erfolgt und auch notwendig ist.

Dropshipping und die DSGVO

Für das Sammeln und Weitergeben von sensiblen Kundendaten hat die DSGVO natürlich ähnliche Vorschriften auf Lager. Die Weitergabe von Daten (an das Dropshipping-Unternehmen) ist nach der DSGVO dann rechtmäßig, wenn mindestens einer der nachstehenden Bedingungen erfüllt ist (Auszug):

1. die betroffene Person ihre Einwilligung gegeben hat,
2. die Verarbeitung der Daten für die Erfüllung eines Vertrages erforderlich ist,
3. die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist,
4. die Verarbeitung erforderlich ist, um lebenswichtige Interessen der betreffenden Person zu schützen,
5. die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öf­fentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt,
6. die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortli­chen oder eines Dritten erforderlich ist.

Beim Dropshipping kommt, abgesehen von Variante eins, die zweite Alternative in Frage. Ohne Einwilligung ist die Datenweitergabe immer dann zulässig, wenn sie für die Erfüllung eines Vertrages erforderlich ist. Natürlich benötigt der Versender die Angabe der Adresse, um die Sendung auch zustellen zu können. Insoweit ist die Übermittlung gerade zur Vertragserfüllung notwendig. Das soll sich selbstredend auf die für die Abwicklung der Bestellung notwendigen Daten beschränken.

Auch bezieht sich die Grundlage für die Weitergabe nur auf die „Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist“. Es können also nur die Daten des Vertragspartners weitergegeben werden. Hier ist zu denken an die Versendung an einen abweichenden Empfänger, beispielsweise bei Geschenken, der gerade nicht Vertragspartei ist und somit weder von der Lieferung, noch von der Weitergabe seiner Daten wissen kann oder muss. Hier dürften jedoch keine schwerwiegenden berechtigten Interessen der abweichenden Empfänger entgegenstehen. Deshalb ist die Weitergabe abweichender Empfänger wohl unter der Voraussetzung Nummer sechs rechtmäßig.

Dropshipping ist keine Auftragsverarbeitung 

Bei der Auftragsverarbeitung erhebt, verarbeitet und/oder nutzt ein externer Dienstleister die personenbezogenen Daten für einen anderen, „Auftraggeber“, beispielsweise den Online-Händler. Es ist mit dem Dienstleister in diesen Fällen ein Vertrag abzuschließen, in welchem Mindestfestlegungen zu treffen sind (z. B. Gegenstand und die Dauer des Auftrags, Umfang, Art und Zweck der vorgesehenen Datenerhebung), der sog. Vertrag über die Auftragsverarbeitung. Das Dropshipping fällt jedoch nicht unter diese sog. Auftragsverarbeitung. Hierfür muss der Händler keinen gesonderten Vertrag abschließen.