Was ist die DSGVO? Abkürzung, Geltungsbereich & Pflichten

DSGVO ist die Abkürzung für Datenschutz-Grundverordnung, die englische Entsprechung heißt General Data Protection Regulation (GDPR). Die Verordnung regelt EU-weit einheitlich, wie Unternehmen personenbezogene Daten erheben, speichern und verarbeiten dürfen. Für Online-Shop-Betreiber ist das keine akademische Frage: Bestelldaten, E-Mail-Adressen und Cookie-IDs fallen unter genau diese Regeln, unabhängig davon, ob der Shop in München oder außerhalb der EU sitzt.

Was bedeutet die Abkürzung DSGVO?

DSGVO steht für Datenschutz-Grundverordnung, offiziell Verordnung (EU) 2016/679. International ist der Name GDPR (General Data Protection Regulation) gebräuchlicher, im Französischen heißt sie RGPD. Alle drei Bezeichnungen meinen dieselbe Rechtsvorschrift.

Die Verordnung selbst schreibt keine bestimmte Kurzform vor. Das führt in der Praxis zu zwei parallel genutzten Schreibweisen im Deutschen.

Schreibt man DSGVO mit oder ohne Bindestrich?

Beide Formen sind gebräuchlich, eine verbindliche Norm gibt es nicht. Der ursprüngliche Entwurf der EU-Kommission verwendete die Kurzform “DS-GVO” mit Bindestrich, und auch einige frühe Papiere deutscher Datenschutzbehörden griffen diese Schreibweise auf. Im allgemeinen Sprachgebrauch, in Verträgen und auf den meisten Websites hat sich inzwischen die Variante ohne Bindestrich durchgesetzt: DSGVO. Für die Praxis macht die Wahl keinen rechtlichen Unterschied, solange die gemeinte Verordnung eindeutig erkennbar bleibt.

Was ist die DSGVO?

Eine EU-Verordnung. Das ist der entscheidende Unterschied zur Vorgängerregelung: Sie gilt unmittelbar in jedem Mitgliedstaat, ohne dass nationale Parlamente sie erst in eigenes Recht umsetzen müssen. Die vorherige Richtlinie 95/46/EG musste dagegen von jedem EU-Land einzeln in nationales Recht gegossen werden, was zu spürbaren Unterschieden zwischen den Ländern führte. Genau das wollte der EU-Gesetzgeber mit der DSGVO beenden. Wie die Europäische Kommission den Datenschutz in der EU selbst einordnet, zeigt der Screenshot ihrer offiziellen Datenschutzseite unten.

Die Europäische Kommission bezeichnet Datenschutz als Grundrecht und listet GDPR, LED und EUDPR als die drei zentralen EU-Rechtsakte auf. (Quelle: Europäische Kommission)

Was zählt als personenbezogen? Jede Information, die eine natürliche Person direkt oder indirekt identifizierbar macht: Name, E-Mail-Adresse, Lieferanschrift, IP-Adresse, Kundennummer oder ein Verhaltensprofil aus einem Analyse-Tool. Sobald ein Shop eine Bestellung entgegennimmt, einen Newsletter verschickt oder Analytics einbindet, verarbeitet er solche Daten. Die DSGVO greift dann automatisch.

Wichtig ist die Unterscheidung zwischen Verboten und Erlaubnissen. Die DSGVO verbietet die Verarbeitung personenbezogener Daten nicht grundsätzlich, sie macht sie von einer gültigen Rechtsgrundlage abhängig. Fehlt diese Grundlage, etwa eine Einwilligung oder ein Kaufvertrag, ist die Verarbeitung unzulässig. Liegt sie vor, ist die Verarbeitung ausdrücklich erlaubt.

Seit wann gilt die DSGVO?

Die DSGVO ist am 24. Mai 2016 in Kraft getreten, verbindlich anzuwenden ist sie aber erst seit dem 25. Mai 2018. Diese zwei Jahre dazwischen waren als Übergangsfrist gedacht, damit Unternehmen und Behörden ihre Prozesse anpassen konnten. Seit dem Stichtag im Mai 2018 gilt sie unmittelbar und ohne weitere nationale Umsetzung in allen EU-Mitgliedstaaten, parallel ergänzt durch nationale Regelungen wie das deutsche Bundesdatenschutzgesetz (BDSG) für Bereiche, die die Verordnung den Mitgliedstaaten ausdrücklich offenlässt. Die folgende Zeitleiste fasst die beiden entscheidenden Daten noch einmal zusammen.

Für wen gilt die DSGVO?

Jedes Unternehmen fällt darunter, das personenbezogene Daten von Personen in der EU verarbeitet, unabhängig vom eigenen Firmensitz. Dieses sogenannte Marktortprinzip ist in Art. 3 DSGVO verankert. Es sorgt dafür, dass die Verordnung nicht an der EU-Außengrenze endet. Die folgende Grafik zeigt, warum sowohl Shops in der EU als auch Shops außerhalb der EU betroffen sein können.

Für einen Shopify-Shop bedeutet das konkret: Sobald Kundinnen und Kunden mit Wohnsitz in der EU bestellen können, unterliegt die Verarbeitung ihrer Daten der DSGVO. Das gilt egal, ob der Shop von Berlin, Zürich oder New York aus betrieben wird. Die Verordnung unterscheidet dabei zwei Rollen. Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung, das ist in der Regel der Shop-Betreiber selbst. Der Auftragsverarbeiter verarbeitet Daten nur im Auftrag, etwa Shopify als Plattform, der Versanddienstleister oder das E-Mail-Marketing-Tool.

Für jeden Auftragsverarbeiter braucht der Verantwortliche einen eigenen, schriftlichen Vertrag nach Art. 28 DSGVO. Wie ein solcher Auftragsverarbeitungsvertrag aufgebaut ist und mit welchen Dienstleistern er nötig wird, erklärt ein eigener Artikel im Detail.

Gilt die DSGVO auch für Shops außerhalb der EU?

Ja, sobald ein Shop gezielt Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten beobachtet, etwa durch Tracking-Cookies, greift die DSGVO unabhängig vom Firmensitz. Ein Shop mit Sitz in der Schweiz, Großbritannien oder den USA, der aktiv nach Deutschland, Österreich oder Frankreich verkauft, ist damit genauso gebunden wie ein Shop mit Sitz in der EU selbst.

Welche Grundprinzipien und Pflichten legt die DSGVO fest?

Sechs Grundsätze aus Art. 5 DSGVO bilden das Fundament jeder rechtmäßigen Datenverarbeitung, und aus ihnen leiten sich die konkreten Pflichten für Online-Shops ab:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz gegenüber Betroffenen
• Zweckbindung: Daten dürfen nur für den ursprünglich festgelegten Zweck verwendet werden
• Datenminimierung: nur die Daten erheben, die für den Zweck tatsächlich nötig sind
• Richtigkeit: Daten müssen sachlich korrekt und aktuell gehalten werden
• Speicherbegrenzung: Daten dürfen nicht länger als nötig aufbewahrt werden
• Integrität und Vertraulichkeit sowie Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung all dieser Grundsätze nachweisen können, nicht nur behaupten

Die folgende Übersicht fasst alle sechs Grundsätze noch einmal visuell zusammen.

Aus diesen Grundsätzen ergeben sich die praktischen Pflichten, die ein Shop im Alltag umsetzen muss. Für jede Verarbeitung braucht es eine gültige Rechtsgrundlage, Art. 6 DSGVO listet sechs mögliche Grundlagen auf, etwa die Vertragserfüllung bei einer Bestellung oder die Einwilligung bei einem Newsletter. Bei besonders sensiblen Datenkategorien wie Gesundheits- oder biometrischen Daten gelten nach Art. 9 DSGVO zusätzlich verschärfte Anforderungen, die auch Kosmetik- oder Größenberatungs-Quizze im Shop betreffen können.

Betroffene haben zudem eigene Rechte, die aktiv ermöglicht werden müssen, nicht nur auf dem Papier stehen dürfen. Das Auskunftsrecht nach Art. 15 DSGVO verpflichtet Shops, innerhalb eines Monats vollständig Auskunft über gespeicherte Daten zu geben. Das Recht auf Löschung nach Art. 17 DSGVO verlangt, Daten auf Wunsch fristgerecht zu entfernen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Hinzu kommt die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, etwa Verschlüsselung, Zugriffsschutz und ein funktionierender Prozess für den Fall einer Datenpanne. Auch der Newsletter-Versand unterliegt eigenen Regeln, insbesondere zur wirksamen Einwilligung per Double-Opt-in.

Was passiert bei Verstößen gegen die DSGVO?

Ein Bußgeld nach Art. 83 DSGVO kann bei den schwersten Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ausfällt. Für weniger schwere Verstöße sieht dieselbe Vorschrift eine niedrigere Stufe vor: bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Diese Obergrenzen richten sich an Konzerne mit entsprechendem Umsatz. Für die meisten Verfahren gegen kleine Shops sind sie keine realistische Erwartung.

Die Praxis zeigt deutlich kleinere, aber ebenso reale Beträge. Die rumänische Datenschutzbehörde ANSPDCP verhängte 2026 gegen einen Online-Shop ein Bußgeld von rund 20.000 Euro, nachdem dieser auf eine Anfrage zu ungenehmigten Tracking-Cookies nicht reagiert hatte. Der Hamburgische Beauftragte für Datenschutz belegte einen Online-Händler mit 6.000 Euro Bußgeld, weil eine Datenpanne zu spät gemeldet wurde. Solche Fälle zeigen, dass schon organisatorische Versäumnisse wie eine verspätete Meldung oder ausbleibende Kooperation mit der Behörde teuer werden können, unabhängig von der Millionenobergrenze im Gesetzestext.

Neben Bußgeldern drohen Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände sowie Schadensersatzforderungen betroffener Kundinnen und Kunden nach Art. 82 DSGVO. Diese zivilrechtliche Haftung existiert unabhängig davon, ob eine Aufsichtsbehörde überhaupt ein Bußgeldverfahren einleitet, und trifft auch Shops, die sonst nie mit einer Behörde in Kontakt kommen.

Zuständig für die Aufsicht sind in Deutschland die Datenschutzbehörden der Bundesländer, nicht eine einzelne Bundesbehörde. Welche Behörde ein Verfahren führt, richtet sich nach dem Sitz des Unternehmens. Für Shops außerhalb der EU, die unter das Marktortprinzip fallen, kann grundsätzlich die Behörde jedes betroffenen Mitgliedstaats aktiv werden.

Wie wird mein Online-Shop DSGVO-konform?

Dieser Artikel klärt, was die DSGVO ist, wofür die Abkürzung steht und wen sie betrifft. Die konkrete Umsetzung im Shop, von der Datenschutzerklärung über den Cookie-Banner bis zum Auftragsverarbeitungsvertrag, ist ein eigenes Thema mit eigener Checkliste. Der Artikel DSGVO-konform: Was es bedeutet und wie Online-Shops es umsetzen führt Schritt für Schritt durch alle sechs Pflichtbereiche und zeigt, was sich davon in Shopify ohne Theme-Code lösen lässt. Auch Shopify selbst äußert sich offiziell zur Rechtslage in Deutschland, wie der folgende Screenshot zeigt.

Shopify stellt in einem eigenen Blogbeitrag klar, dass die Plattform in Deutschland rechtskonform genutzt werden kann. (Quelle: Shopify)

Häufig gestellte Fragen zur DSGVO

Was ist der Unterschied zwischen DSGVO und GDPR?

Es gibt keinen inhaltlichen Unterschied, DSGVO und GDPR bezeichnen dieselbe Verordnung. DSGVO ist die deutsche Abkürzung für Datenschutz-Grundverordnung, GDPR die englische für General Data Protection Regulation. Beide Begriffe stehen für die Verordnung (EU) 2016/679 und werden in internationaler Fachliteratur häufig synonym verwendet, je nachdem, in welcher Sprache ein Text verfasst ist.

Muss ich als kleiner Online-Shop die DSGVO trotzdem einhalten?

Ja, die DSGVO kennt keine allgemeine Ausnahme für kleine Unternehmen oder geringe Bestellzahlen. Sobald ein Shop personenbezogene Daten von Personen in der EU verarbeitet, egal ob zehn oder zehntausend Bestellungen im Monat, gelten dieselben Grundpflichten. Einzelne Erleichterungen bestehen nur in engen Ausnahmefällen, etwa beim Verarbeitungsverzeichnis nach Art. 30 Abs. 5 DSGVO, das für Online-Shops wegen des damit verbundenen Risikos für Betroffene in der Praxis aber kaum greift.

Welche Daten in einem Shop gelten als personenbezogen?

Alle Daten, die sich einer identifizierbaren Person zuordnen lassen. Im Shop-Alltag betrifft das Namen, Rechnungs- und Lieferadressen, E-Mail-Adressen, Telefonnummern, IP-Adressen und Zahlungsdaten aus dem Checkout. Auch Cookie-IDs, Warenkorb-Verläufe und Klickpfade aus Analyse-Tools zählen dazu, sobald sie technisch einer Person zugeordnet werden können, selbst wenn kein Name dahintersteht.