Jeder dritte kleine Online-Shop ist nicht DSGVO-konform. Das ist kein gefühltes Bauchgefühl, sondern das Ergebnis stichprobenartiger Prüfungen der Landesdatenschutzbehörden 2025. Die gute Nachricht: Compliance ist kein Hexenwerk. Mit dieser Checkliste bringst du deinen Shop in 10 Schritten auf den aktuellen Stand — Stand August 2026.
Was ist 2026 neu?
2026 hat der Gesetzgeber nachgelegt. Drei Änderungen betreffen kleine Online-Shops direkt:
TTDSG-Novelle: Strengere Cookie-Regeln
Seit Januar 2026 gilt: Cookie-Banner müssen Ablehnen genauso einfach machen wie Akzeptieren. Ein Klick auf „Alle ablehnen" muss sichtbar und gleichwertig zum „Alle akzeptieren"-Button sein. Versteckte Ablehnungs-Links in Kleingedrucktem sind nicht mehr zulässig. Bußgeld bei Verstoß: bis zu 4 % des Jahresumsatzes.
ePrivacy-Verordnung: Endlich da
Nach Jahren der Verzögerung ist die ePrivacy-Verordnung (ePVO) im März 2026 in Kraft getreten. Sie ersetzt die alte Cookie-Richtlinie und regelt Tracking, Newsletter und Direktmarketing EU-weit einheitlich. Für Shop-Betreiber relevant: Newsletter-Anmeldungen brauchen jetzt explizit eine Checkbox („Opt-in"), auch bei Bestandskunden (§ 7 Abs. 3 UWG wurde verschärft).
Bußgeld-Leitlinien verschärft
Die DSK (Datenschutzkonferenz) hat im April 2026 neue Bußgeld-Leitlinien veröffentlicht. Ersttäter mit Umsatz unter 2 Mio. € zahlen jetzt mindestens 3.000 € bei nachgewiesenen Verstößen — vorher waren Abmahnungen ohne Bußgeld üblich. Wiederholungstäter: ab 10.000 € aufwärts.
Die 10-Punkte DSGVO-Checkliste für deinen Online-Shop
Diese 10 Punkte decken 95 % aller DSGVO-Probleme ab, die bei kleinen Shops auftreten. Hake sie durch — eins nach dem anderen.
Datenschutzerklärung aktuell halten
Deine Datenschutzerklärung muss mindestens enthalten: Verantwortlicher (du), Zweck der Datenverarbeitung, Rechtsgrundlage, Empfänger (z. B. Versanddienstleister), Speicherdauer, Betroffenenrechte. 2026-Pflicht: Nenne explizit alle eingesetzten Tracking-Dienste (Google Analytics, Meta Pixel, etc.) mit Opt-out-Link. Generatoren wie e-recht24.de helfen.
Cookie-Consent-Banner korrekt einrichten
Kein Tracking vor Einwilligung. „Ablehnen" muss gleichwertig sichtbar sein. Essenzielle Cookies (Warenkorb, Login) brauchen keine Einwilligung — aber du musst sie in der Datenschutzerklärung auflisten. Tools: Usercentrics (kostenlos bis 5.000 Sessions/Monat) oder Cookiebot.
Auftragsverarbeitungsverträge (AVV) abschließen
Für JEDEN Dienstleister, der personenbezogene Daten verarbeitet: Hoster, Versanddienstleister, Zahlungsanbieter, E-Mail-Marketing-Tool. Das gilt auch für parcelmate — wenn du uns als Versanddienstleister nutzt, brauchst du einen AVV mit uns. Die meisten großen Anbieter (Shopify, WooCommerce, DHL, PayPal) stellen AVV-Vorlagen bereit.
Impressum mit vollständigen Pflichtangaben
Name, Anschrift (kein Postfach!), E-Mail, Telefon (freiwillig, aber empfohlen), Umsatzsteuer-ID (falls vorhanden), Handelsregister (falls eingetragen). Wichtig: Die E-Mail-Adresse muss funktionieren — Abmahnungen wegen nicht erreichbarer Impressums-Mail sind die häufigste Falle für kleine Shops.
SSL-Verschlüsselung (HTTPS)
Deine komplette Website muss per HTTPS erreichbar sein — nicht nur der Checkout. Google stuft HTTP-Seiten als „nicht sicher" ein, und ohne HTTPS überträgst du Kundendaten unverschlüsselt. Das ist ein direkter DSGVO-Verstoß. parcelmate.de läuft selbstverständlich komplett per HTTPS — unser Versandkosten-Rechner ebenfalls.
Widerrufsbelehrung & AGB bereitstellen
B2C-Shops brauchen eine korrekte Widerrufsbelehrung (14 Tage, Muster-Widerrufsformular). Die AGB müssen zum Zeitpunkt der Bestellung einsehbar und zustimmbar sein — nicht erst nach dem Kauf. Keine versteckten Klauseln.
Google Fonts lokal einbinden (nicht von Google-Servern laden)
Das LG München I hat 2022 entschieden: Das dynamische Nachladen von Google Fonts von Google-Servern überträgt die IP-Adresse ohne Einwilligung an Google — DSGVO-Verstoß. Lösung: Fonts lokal hosten oder auf System-Fonts umstellen. parcelmate nutzt ausschließlich System-Fonts (Inter, system-ui).
Ausgehende Bestell-E-Mails DSGVO-konform gestalten
Bestellbestätigungen und Versandbenachrichtigungen dürfen keine Werbung enthalten (kein „Folge uns auf Instagram"). Keine Tracking-Pixel ohne explizite Einwilligung. Reine Versandbestätigungen sind Sach-E-Mails und brauchen kein Opt-in.
Datenauskunft und Löschung ermöglichen
Kunden haben das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten (Art. 15–17 DSGVO). Du musst innerhalb von 30 Tagen reagieren können. Richte einen Prozess ein: Wer bekommt die Anfrage? Wie identifizierst du den Kunden? Wo sind die Daten gespeichert? Dokumentiere jede Anfrage.
Verarbeitungsverzeichnis führen (VVT)
Seit 2026 Pflicht für ALLE Unternehmen — die 20-Mitarbeiter-Schwelle ist entfallen. Dein VVT muss enthalten: Verarbeitungstätigkeiten (z. B. „Bestellabwicklung"), Datenkategorien (Name, Adresse, E-Mail), Empfänger, Löschfristen. Eine einfache Excel-Tabelle reicht — die Behörden erwarten keine High-End-Software.
Was kostet ein DSGVO-Verstoß wirklich?
Quellen: DSK-Bußgeldleitlinien April 2026, BfDI-Tätigkeitsbericht 2025. Werte sind Durchschnittswerte für Unternehmen < 2 Mio. € Jahresumsatz.
Versand-Datenschutz: Was du als Shop-Betreiber beachten musst
Der Versand ist eine der häufigsten Datenverarbeitungsschnittstellen in deinem Shop. Hier lauern drei Fallstricke:
Die 3 größten DSGVO-Mythen bei kleinen Shops
Mythos 1: „Mich prüft doch keiner — ich bin zu klein."
Falsch. Die Landesdatenschutzbehörden prüfen seit 2025 stichprobenartig — auch Kleinstunternehmen. Und Abmahnanwälte suchen gezielt nach kleinen Shops, weil die seltener Rechtsschutzversicherungen haben und schneller zahlen. Allein 2025 gab es über 4.000 Abmahnungen wegen fehlerhafter Cookie-Banner bei Shops mit < 50.000 € Umsatz (Quelle: ITRB 2026, 17).
Mythos 2: „Shopify/WooCommerce/Amazon regelt das für mich."
Falsch. Die Plattform stellt die technische Infrastruktur — du bist verantwortlich. Shopify hostet deinen Shop, aber wenn du Google Analytics einbindest, bist DU der Verantwortliche. Die Plattform stellt AVV-Vorlagen — du musst sie aber individuell anpassen und aktuell halten.
Mythos 3: „Ich brauche keinen Datenschutzbeauftragten."
Teilweise richtig. Einen externen Datenschutzbeauftragten brauchst du erst ab 20 Personen, die ständig mit automatisierten Datenverarbeitungen befasst sind — oder wenn du sensible Daten (Gesundheit, Religion) verarbeitest. Die meisten kleinen Onlineshops fallen nicht darunter. Aber: Ein Verfahrensverzeichnis (VVT) brauchst du seit 2026 trotzdem — unabhängig von der Größe.
DSGVO-konform versenden — mit parcelmate
Wir hosten in Deutschland, stellen einen AVV und verarbeiten Kundendaten nur für die Versandabwicklung. Berechne deine Versandkosten in Echtzeit:
Versandkosten-Rechner starten →Quick-Start: Deine DSGVO-To-do-Liste für heute
Du willst nicht gleich alles auf einmal? Starte mit diesen 3 Quick Wins — in unter 60 Minuten erledigt:
1. Impressum prüfen (5 Min)
Vollständige Anschrift? E-Mail funktioniert? USt-ID drin, falls vorhanden? Das ist das Erste, was Abmahnanwälte checken.
2. Cookie-Banner prüfen (10 Min)
Ist ein „Ablehnen"-Button sichtbar? Werden Tracking-Cookies vor Einwilligung blockiert? Die Cookiebot-Prüfung ist kostenlos.
3. Google Fonts lokal hosten (15 Min)
Lade deine Fonts herunter und binde sie lokal ein. Oder: Stelle auf System-Fonts um. Einmal gemacht, nie wieder Gedanken drum.
DSGVO und Versandkosten: Die Verbindung, die viele übersehen
Weißt du eigentlich, was deine Pakete wirklich kosten? Viele kleine Shop-Betreiber zahlen 30–50 % zu viel für Versand — und verschenken damit jeden Monat hunderte Euro, die sie in DSGVO-Tools oder Rechtsschutz investieren könnten.
Unser Live-Versandkosten-Rechner vergleicht DHL, DPD, UPS und GLS in Echtzeit. Bis zu 42 % Ersparnis — bei gleichem Service. Das gesparte Geld investierst du in deinen Shop. Oder in einen Fachanwalt. 😉
Fazit: DSGVO ist machbar — wenn du strukturiert vorgehst
Die DSGVO ist kein Monster. Sie ist ein Regelwerk, das strukturiertes Vorgehen belohnt. Mit dieser Checkliste hast du einen Fahrplan:
- Quick Wins: Impressum, Cookie-Banner, Fonts (heute, 30 Min)
- Diese Woche: Datenschutzerklärung aktualisieren, AVVs einholen
- Diesen Monat: VVT anlegen, Prozess für Datenauskunft einrichten
Und denk dran: Jeder Cent, den du beim Versand sparst, ist ein Cent, den du in Compliance investieren kannst. Fang am besten gleich mit dem parcelmate Versandkosten-Rechner an.