VVT für E-Commerce: 8 typische Verarbeitungen

Hauptartikel: Verarbeitungsverzeichnis erstellen 2026 — der vollständige Pillar-Artikel zum Thema.

Die folgenden acht Verarbeitungen sind die typischen Einträge im Regelbetrieb eines Online-Shops — vom Bestelleingang bis zur Werbeanzeige. Jeder Punkt ist als übernehmbarer VVT-Eintrag formuliert: Zweck, Rechtsgrundlage und Speicherdauer stehen im ersten Absatz, dazu Datenarten und Empfänger, soweit sie für den Eintrag einschlägig sind; darunter steht, was der Eintrag auslöst und woher die Pflicht kommt. Die Verzeichnispflicht selbst folgt aus Art. 30 Abs. 1 DSGVO, die Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO.

Was jeder der acht Einträge enthalten muss

Jeder Eintrag braucht dieselben neun Felder: acht Pflichtfelder aus Art. 30 Abs. 1 lit. a–g plus die Rechtsgrundlage als Praxisfeld. Art. 30 Abs. 1 DSGVO zählt sieben Pflichtangaben auf; weil lit. c zwei Punkte bündelt (Kategorien betroffener Personen und Kategorien personenbezogener Daten), führt die Praxis daraus acht Pflichtfelder. Das neunte Feld steht nicht in Art. 30 Abs. 1, folgt aber aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

1. Name und Kontaktdaten des Verantwortlichen (ggf. Datenschutzbeauftragter)
2. Zwecke der Verarbeitung
3. Kategorien betroffener Personen
4. Kategorien personenbezogener Daten
5. Kategorien der Empfänger
6. Drittlandübermittlungen einschließlich Garantien
7. Geplante Löschfristen
8. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO)
9. Rechtsgrundlage (Praxisfeld)

Legen Sie diese neun Felder als Spalten Ihrer VVT-Tabelle (etwa in Excel) an — dann lässt sich jeder der folgenden acht Einträge zeilenweise übernehmen. Drei Felder füllen Sie weitgehend einheitlich: Feld 3 (Kategorien betroffener Personen) im Muster des Hauptartikels mit Kundinnen, Kunden und Interessenten — bei den Einträgen 4 und 8 prüfen Sie zusätzlich, welche weiteren Besuchergruppen erfasst sind; Feld 1 (Verantwortlicher, ggf. Datenschutzbeauftragter) und Feld 8 (Verweis auf das zentrale TOM-Konzept) legen Sie einmal shopweit fest und übernehmen sie unverändert in jeden Eintrag. Die Kopfzeilen der acht Einträge nennen daher nur die jeweils einschlägigen der übrigen Felder.

Die Ausnahme des Art. 30 Abs. 5 DSGVO entlastet einen Shop nicht: Sie greift nur kumulativ und scheitert im Shop schon daran, dass der Newsletter — wie die laufende Kundenstammdaten-/CRM-Verarbeitung — eine regelmäßige Verarbeitung ist. Die vier Voraussetzungen im Einzelnen — samt der Abgrenzung „ein Risiko“ gegen „hohes Risiko“ — stehen in der FAQ.

1. Bestellabwicklung

Zweck: Vertragsabwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenarten: Stammdaten, Adressen, Zahlungsdaten, Bestelldaten. Empfänger: Zahlungsdienstleister, Versanddienstleister, Steuerberater. Speicherdauer: 6 bzw. 10 Jahre je Belegart (HGB/AO).

Rechtmäßig ist die Verarbeitung, wenn mindestens eine Bedingung des Art. 6 Abs. 1 DSGVO erfüllt ist — hier lit. b, dessen Reichweite die Tabelle „Einwilligung, Vertrag, berechtigtes Interesse“ ausweist. Die genannten Empfänger gehören als Kategorien in Feld 5; für jeden Dienstleister, der die Daten in Ihrem Auftrag verarbeitet, kommt ein Vertrag nach Art. 28 Abs. 3 DSGVO hinzu. Die Speicherdauer folgt in Deutschland dem Handels- und Steuerrecht (6 Jahre HGB, 10 Jahre AO). Welche Frist gilt, ist je Datenkategorie aus HGB und AO zu bestimmen und im Eintrag zu vermerken — statt einer pauschalen Frist für den ganzen Eintrag. Dokumentieren Sie zugleich den Konflikt zwischen Aufbewahrungspflicht und dem Löschanspruch aus Art. 17 DSGVO. Für Österreich gelten UGB und BAO — siehe Abschnitt „Rechtslage in Österreich“.

2. Kundenkonto

Zweck: Login + Bestellhistorie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b. Datenarten: Login-Daten, Profilangaben. Empfänger: Shop-System (Auftragsverarbeiter). Speicherdauer: bis Kontolöschung + 12 Monate.

Das Kundenkonto ist ein eigener Eintrag, weil es über die einzelne Bestellung hinaus Daten vorhält: Login-Daten und Profilangaben bestehen unabhängig vom konkreten Vertrag. In Feld 8 gehört ein Verweis auf Ihr zentrales TOM-Konzept nach Art. 32 DSGVO — nicht der TOM-Inhalt selbst; TOM-Text in jedem Eintrag zu wiederholen steht auf der Fehlerliste im Hauptartikel (Abschnitt „9 häufige Fehler vermeiden“). Halten Sie außerdem fest, wer Auskunfts-, Berichtigungs- und Löschanträge aus dem Konto bearbeitet; die Fristen dafür stehen im Abschnitt „Aktualität und Nachweis“.

3. Newsletter

Zweck: Marketing. Rechtsgrundlage: Art. 6 Abs. 1 lit. a (Einwilligung). Datenarten: E-Mail, Klick-Verhalten. Empfänger: Newsletter-Provider (Brevo, Mailchimp). Speicherdauer: bis Widerruf + 3 Jahre Beweis.

Die Einwilligung legt zwei Zusatzlasten auf den Eintrag — Nachweis und jederzeitiger Widerruf; den Norminhalt führt die Tabelle weiter unten. Praxisempfehlung: Halten Sie je Adresse Zeitpunkt, Einwilligungstext und Herkunft fest und notieren Sie den Widerrufsweg im Eintrag. Für Empfänger in der EU genügt in der Regel die namentliche Auflistung; sitzt der Newsletter-Provider in einem Drittland, gehört die Übermittlung samt Garantie in Feld 6: SCC, DPF oder BCR. Feld 6 nennt Anbieter, Land und Garantie — im Muster des Hauptartikels etwa „Mailchimp (USA, DPF)“ —, nicht ein bloßes „Drittland ja“; der fehlende Drittland-Hinweis bei US-Tools gehört zu den dort genannten Fehlern. Für Österreich kommt § 174 TKG 2021 hinzu (siehe unten).

4. Cookies / Tracking

Zweck: Reichweitenmessung, Personalisierung. Rechtsgrundlage: § 25 TDDDG (Deutschland) + Art. 6 Abs. 1 lit. a DSGVO; in Österreich stattdessen § 165 TKG 2021 + Art. 6 Abs. 1 lit. a DSGVO. Datenarten: Nutzungsdaten. Empfänger: Tracking-Tools. Speicherdauer: max. 12 Monate (Praxiswert, keine gesetzliche Frist).

Der Eintrag steht in Deutschland auf zwei Normen — § 25 TDDDG und Art. 6 Abs. 1 lit. a DSGVO; was § 25 Abs. 1 verlangt und wann Abs. 2 die Einwilligung entbehrlich macht, steht in der Tabelle weiter unten. Operativ heißt das: Ordnen Sie im Eintrag jedes Cookie einem der beiden Ausnahmetatbestände des § 25 Abs. 2 TDDDG zu — oder führen Sie für alle übrigen den Einwilligungsnachweis nach Art. 7 Abs. 1 DSGVO. Praxisempfehlung: Dokumentieren Sie die Laufzeit je Cookie einzeln im Eintrag statt einer Sammelangabe für den gesamten Eintrag.

5. Produktbewertungen

Zweck: Marketing + Qualitäts-Feedback. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (berechtigtes Interesse). Datenarten: Pseudonym, Bewertung. Speicherdauer: max. 5 Jahre.

Unspezifische Sammeleinträge — im Muster „Sammelverarbeitung Kommunikation“ — gehören zu den dort genannten Fehlern; den Norminhalt des lit. f führt die Tabelle weiter unten. Praxisempfehlung: Tragen Sie im Eintrag ein, welches Interesse konkret gemeint ist — „berechtigtes Interesse“ allein bleibt zu unspezifisch. Legen Sie eine kurze Notiz an den Eintrag, die das eigene Interesse, die erkennbaren Gegeninteressen der bewertenden Personen und das Ergebnis Ihrer Abwägung festhält. Trennen Sie außerdem im Feld „Zwecke“ die Veröffentlichung der Bewertung von der internen Qualitätsauswertung; beide können unterschiedliche Empfänger und Löschfristen haben, und getrennte Zwecke lassen sich bei einer Aufsichtsanfrage einzeln begründen.

6. Versand-Tracking

Zweck: Vertragsabwicklung + Service. Rechtsgrundlage: Art. 6 Abs. 1 lit. b. Empfänger: DHL, UPS, Hermes. Speicherdauer: 6 Monate nach Zustellung.

Bevor der Eintrag steht, klären Sie die Rolle des Dienstleisters: Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO), eigener Verantwortlicher (Art. 4 Nr. 7 DSGVO) oder gemeinsame Verantwortlichkeit (Art. 26 DSGVO)? Die Verwechslung von Auftragsverarbeitung und gemeinsamer Verantwortlichkeit gehört zu den dort genannten Fehlern und entscheidet darüber, welchen Vertrag Sie brauchen. Die 6 Monate nach Zustellung gehören als konkrete Löschfrist in Feld 7 — ein Eintrag „keine konkrete Angabe“ zählt als fehlende Löschfrist.

7. Retouren-Management

Zweck: Vertragsabwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b + lit. f. Datenarten: Bestell- und Zahlungsdaten. Empfänger: Zahlungsdienstleister, soweit die Rückerstattung über ihn läuft. Speicherdauer: 10 Jahre (Steuern); für nicht steuerlich relevante Retourendaten gilt Vertragsdauer + Verjährung.

Hier stehen zwei Rechtsgrundlagen nebeneinander: lit. b für die Rückabwicklung des Vertrags, lit. f für das ergänzende berechtigte Interesse. Praxisempfehlung: Benennen Sie dieses Interesse konkret statt pauschal — im Retouren-Fall etwa die Erkennung von Missbrauch bei auffälligem Retourenverhalten — und halten Sie die Begründung am Eintrag fest. Führen Sie Retouren als eigenen Eintrag und nicht als Anhängsel der Bestellabwicklung: nur so bleibt nachvollziehbar, welcher Zweck welche Grundlage trägt, und nur so lassen sich die beiden Fristen getrennt ausweisen — 10 Jahre für die steuerlich relevanten Belege, für die übrigen Retourendaten Vertragsdauer plus Verjährung. Prüfen Sie außerdem, ob bei der Rückerstattung derselbe Zahlungsdienstleister Empfänger ist wie bei der Bestellung; Empfänger-Kategorien gehören auch dann in Feld 5, wenn sie in einem anderen Eintrag bereits genannt sind.

8. Re-Targeting / Werbeanzeigen

Zweck: Personalisierte Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a. Datenarten: Nutzungsdaten. Empfänger: Google Ads, Meta Pixel. Speicherdauer: 12 Monate.

An diesem Eintrag hängen drei Folgeprüfungen. Werden Informationen auf der Endeinrichtung gespeichert oder ausgelesen, gilt in Deutschland zusätzlich § 25 Abs. 1 TDDDG. Zweitens ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist: Art. 35 DSGVO nennt die systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung ausdrücklich als Fall. Praxisempfehlung: Halten Sie das Prüfergebnis auch dann fest, wenn es negativ ausfällt. Drittens hat das in Deutschland eine Personalfolge: Unterliegt eine Verarbeitung der DSFA-Pflicht nach Art. 35 DSGVO, ist unabhängig von der Zahl der Beschäftigten ein Datenschutzbeauftragter zu benennen (§ 38 Abs. 1 Satz 2 BDSG).

Einwilligung, Vertrag, berechtigtes Interesse: was die Wahl auslöst

Die Rechtsgrundlage entscheidet, welche Zusatzpflichten am Eintrag hängen — nicht nur, ob die Verarbeitung zulässig ist. In der folgenden Übersicht gibt die Spalte „Im Shop“ die Zuordnung dieses Artikels wieder; die Spalte „Inhalt der Norm / was zusätzlich gilt“ nennt bei Vertrag und berechtigtem Interesse den Tatbestand selbst, bei Einwilligung und § 25 TDDDG die daran hängenden Zusatzpflichten.

AVV-Pflicht: welche Shop-Dienstleister erfasst sind

Für jeden Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag — im Shop kommen dafür Shop-System, Zahlungsanbieter, Versanddienstleister und Tracking-Tools in Betracht; bei Versanddienstleistern klären Sie vorab die Rolle (siehe Abschnitt 6). Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag nach Art. 28 Abs. 3 DSGVO muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Jeder dieser Dienstleister muss zugleich als Empfänger-Kategorie im VVT stehen: Veraltete Empfänger-Listen — etwa ein abgelöstes Newsletter-Tool — gehören wie fehlende Löschfristen zu den typischen VVT-Fehlern (Praxiserfahrung).

Verarbeiten Sie umgekehrt Daten im Auftrag anderer, etwa als Fulfillment-Dienstleister, führen Sie dafür ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO mit vier Pflichtangaben: (a) Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist, gegebenenfalls des Vertreters und des Datenschutzbeauftragten; (b) die Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen; (c) gegebenenfalls Drittlandübermittlungen einschließlich der Dokumentation geeigneter Garantien; (d) wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO. Die in den acht Einträgen genannten Anbieter und Tools sind Beispiele; maßgeblich ist Ihr tatsächlicher Dienstleister-Bestand.

Aktualität und Nachweis

Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO) — es muss also jederzeit den aktuellen Stand abbilden. Praxisempfehlung zum Rhythmus: quartalsweises Review plus sofortige Aktualisierung bei jeder Änderung, mindestens jedoch eine jährliche Vollrevision. Das ist ein Praxis-Rhythmus, keine gesetzliche Frist. Halten Sie jede Aktualisierung mit Datum und Version fest; fehlende Versionierung und ein nicht bearbeitbares Format (PDF statt Excel/CSV) gehören zu den dort genannten Fehlern. Die Prüfreihenfolge der Aufsicht ist in der Praxis: VVT, dann AVV, dann TOM-Konzept, dann DSFA. Wird das Verzeichnis angefordert, erwarten Aufsichtsbehörden erfahrungsgemäß eine Übermittlung binnen 1 bis 2 Wochen (Erfahrungswert, keine gesetzliche Frist). Neben den Speicherdauern der Einträge gelten die folgenden Reaktionspflichten; alle Angaben in der Tabelle sind Vorgaben aus dem Verordnungstext, keine Praxiswerte:

Rechtslage in Österreich

Die oben genannten Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO (lit. a Einwilligung, lit. b Vertrag, lit. f berechtigtes Interesse) gelten in Österreich identisch — die DSGVO ist eine unmittelbar geltende EU-Verordnung. Abweichend sind nur die nationalen Anknüpfungen:

• VVT-Inhalt: Art. 30 DSGVO gilt in Österreich wortgleich — dieselben Pflichtangaben, keine abweichenden Schwellen oder Fristen. Übernehmbar sind die acht Einträge daher in Aufbau und Feldern; die deutschen Anknüpfungen — Aufbewahrungsfristen nach HGB/AO und § 25 TDDDG — sind durch die unten genannten österreichischen zu ersetzen.
• Cookies / Tracking: § 25 TDDDG ist deutsches Recht (Inhalt siehe Tabelle „Einwilligung, Vertrag, berechtigtes Interesse“). In Österreich richtet sich die Einwilligung nach § 165 Abs. 3 TKG 2021 (Opt-in für Tracking-Cookies). Der Einwilligungsmaßstab selbst ist in beiden Ländern gleich, weil Information und Einwilligung nach der DSGVO zu erfolgen haben (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO).
• Newsletter: Zusätzlich zu Art. 6 Abs. 1 lit. a DSGVO gilt in Österreich § 174 TKG 2021 (unerbetene Nachrichten) — Einwilligung erforderlich; in der Praxis über ein Double-Opt-In-Verfahren dokumentiert.
• Aufsicht: Deutschland — Landesdatenschutzbehörden für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), BfDI für Bundesstellen (§ 9 Abs. 1 BDSG). Österreich — die Datenschutzbehörde als nationale Aufsichtsbehörde (§ 18 Abs. 1 DSG).
• Aufbewahrungsfristen: Die oben genannten Fristen „6 Jahre HGB“ und „10 Jahre AO“ folgen deutschem Handels- und Steuerrecht. In Österreich ergeben sich die entsprechenden Pflichten aus UGB und BAO; die Fristen sind für den AT-Shop gesondert zu ermitteln und im VVT einzutragen.
• Datengeheimnis: § 6 DSG verpflichtet Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung. Bei Auftragsverarbeitung — auch mit einem deutschen Dienstleister — tritt diese Pflicht neben Art. 28 DSGVO, für den es in Österreich keine Sonderregel gibt.
• Datenschutzbeauftragter: Ein Shop kann in Deutschland nach § 38 Abs. 1 BDSG benennungspflichtig sein und in Österreich ohne Art.-37-Tatbestand nicht — prüfen Sie beide Standorte getrennt. Details in der FAQ.