Kurze Antwort
Die DSGVO selbst ändert sich nicht, sobald Sie auch an Kunden im Ausland verkaufen. Die Verordnung ist eine europäische Verordnung, keine Richtlinie, und gilt daher unmittelbar und auf die gleiche Weise in jedem EU- und EWR-Mitgliedstaat. Was sich unterscheidet, liegt nicht in der DSGVO selbst, sondern in den nationalen Gesetzen, die daneben bestehen bleiben, wie die Regeln für Cookies, und in praktischen Fragen wie die Sprache Ihrer Datenschutzerklärung und welche Aufsichtsbehörde Sie bei einer Frage oder Beschwerde ansprechen.
Für einen Webshop, der nur innerhalb Deutschlands verkauft, ist dieser Unterschied oft nicht relevant. Sobald Sie Besucher oder Kunden in anderen EU-Ländern oder darüber hinaus haben, ist es gut zu wissen, wo die gemeinsame Grundlage endet und wo nationale Regeln oder internationale Datenübermittlung ins Spiel kommen.
Warum die Grundlagen überall gleich sind
Weil die DSGVO eine Verordnung ist, müssen Mitgliedstaaten sie nicht zunächst in eigene Rechtsvorschriften umsetzen, wie dies bei einer europäischen Richtlinie der Fall sein müsste. Die Rechte der betroffenen Personen, die Rechtsgrundlagen für die Verarbeitung und die Verpflichtung, ein Verarbeitungsverzeichnis zu führen, gelten daher mit dem gleichen Wortlaut in Deutschland, Frankreich oder Spanien wie in den Niederlanden. Unterschiede in der Auslegung entstehen vor allem dadurch, dass Aufsichtsbehörden in verschiedenen Ländern manchmal eine etwas andere Gewichtung in ihren Leitlinien vornehmen, was Sie in den Veröffentlichungen des EDPB und der nationalen Aufsichtsbehörden selbst finden.
Wo es unterschiedlich ist: Cookies und ähnliche Technologien
Das Setzen von Cookies und ähnlichen Technologien auf dem Computer eines Besuchers fällt nicht unter die DSGVO, sondern unter die ePrivacy-Regeln. Diese sind in Europa in einer Richtlinie festgelegt, und eine Richtlinie muss von jedem Land in nationale Rechtsvorschriften umgesetzt werden. Dadurch kann die Art und Weise, wie die Zustimmung für Cookies verlangt und dokumentiert werden muss, im Detail zwischen Ländern unterschiedlich sein, auch wenn der Ausgangspunkt überall vergleichbar ist. Für einen Webshop, der mehrere Länder anspricht, ist dies einer der wenigen Orte, an denen die Regeln pro Land tatsächlich auseinandergehen und nicht nur in der Auslegung.
Sprache und Informationspflicht
Die DSGVO schreibt vor, dass Informationen für betroffene Personen verständlich sein müssen, gibt aber keine feste Liste mit Pflichtsprachen vor. In der Praxis schauen Aufsichtsbehörden, wer Ihren Webshop besucht: Wenn Sie sich aktiv an Kunden in Deutschland wenden, ist eine deutschsprachige Datenschutzerklärung naheliegend, einfach weil die Informationen sonst für diese Zielgruppe nicht verständlich sind. Das ist keine separate Rechtsregel pro Land, sondern eine praktische Auslegung der gleichen Anforderung, die überall gilt.
Grenzüberschreitende Verarbeitung und die zuständige Aufsichtsbehörde
Wenn Ihr Unternehmen in mehreren EU-Ländern tätig ist, kann sich die Frage stellen, welche Aufsichtsbehörde zuständig ist, wenn etwas schiefgeht. Die DSGVO kennt hierfür den sogenannten One-Stop-Shop-Mechanismus: Unternehmen mit Betriebsstätten in mehreren Mitgliedstaaten haben in bestimmten Fällen mit einer federführenden Aufsichtsbehörde zu tun, in der Regel der des Landes, in dem sich der Hauptsitz befindet. Für ein kleines Unternehmen mit nur einer niederländischen Betriebsstätte, das gelegentlich an Kunden aus dem Ausland verkauft, ist dies anders als für ein Unternehmen mit mehreren Betriebsstätten in der EU. Die genaue Ausarbeitung hierzu ist in der DSGVO selbst und in den Leitlinien des EDPB beschrieben; für die eigene Situation ist dies eine Frage für einen Juristen oder die zuständige Aufsichtsbehörde, nicht etwas, das Sie selbst beurteilen müssen.
Verkauf außerhalb der EU und des EWR
Eine andere Situation entsteht, sobald Kundendaten die EU und den EWR verlassen, etwa weil ein Lieferant, Zahlungsanbieter oder Hosting-Anbieter außerhalb Europas ansässig ist. Dann geht es nicht mehr um Unterschiede zwischen EU-Ländern untereinander, sondern um die Regeln für die Übermittlung personenbezogener Daten in ein Land außerhalb. Die DSGVO erlaubt dies unter Bedingungen, wie etwa ein Angemessenheitsbeschluss der Europäischen Kommission für das betreffende Land oder zusätzliche Vereinbarungen wie Standardvertragsbestimmungen. Dies ist einer der Punkte, bei dem eine Datenverarbeitungsvereinbarung mit einem ausländischen Partner besondere Aufmerksamkeit verdient, und worüber die Wissensdatenbank zu jedem Thema den Hintergrund erläutert.
Was dies für Ihr Verarbeitungsverzeichnis und Ihre Dokumente bedeutet
Das Verarbeitungsverzeichnis selbst ist verpflichtend unverändert: Sie dokumentieren, welche Verarbeitungen stattfinden, mit welchem Zweck und auf welcher Grundlage, unabhängig davon, in welchem Land Ihre Kunden ansässig sind. Was es allerdings sinnvoll ist festzuhalten, ist, ob und wo Daten die EU und den EWR verlassen, damit dies sichtbar bleibt, wenn ein Kunde, eine Aufsichtsbehörde oder ein Versicherer danach fragt. Wer hier Kontrolle erlangen möchte, ohne dies manuell pflegen zu müssen, kann dies in der Übersicht darüber, wo Daten stehen und wie sie geschützt sind.
laufen lassen. Ob Ihr Online-Shop gerade anfängt, grenzüberschreitend zu verkaufen, oder dies bereits länger tut, es ist vor allem wichtig, zu unterscheiden zwischen dem, was die DSGVO selbst regelt, und dem, was von nationalen Gesetzen oder von Datenübermittlungen außerhalb Europas abhängt. Antworten auf häufig gestellte Fragen dazu, einschließlich des Fundorts im Originaltext, finden Sie in der Sammlung häufig gestellter Fragen.
Möchten Sie sehen, wie dies für Ihr eigenes Unternehmen aussieht, ohne selbst einen Nachmittag zu investieren? Mit der kostenlosen Quick-Scan erhalten Sie eine erste Einschätzung und können danach selbst beurteilen, ob ein Geschäftskonto etwas für Sie darstellt.