Datenschutz und Datensicherheit im Checkout

Yusuf findet die Lücke

Yusuf ändert die Bestellnummer in der URL des Testshops - und sieht plötzlich fremde Kundendaten. Name, Adresse, Zahlungsart, letzte vier Kreditkartenziffern. Samstagnachmittag, 13:30 Uhr. Das gestrige Software-Update hat die Zugriffskontrolle auf Bestellseiten zerstört. Stichprobenartig zählt er zwölf betroffene Bestellungen aus den letzten 24 Stunden.

Ab diesem Moment tickt die Uhr: Die DSGVO (Datenschutz-Grundverordnung) gibt dem Unternehmen maximal 72 Stunden für die Meldung an die Aufsichtsbehörde. Wird die Frist versäumt, drohen Bußgelder im sechsstelligen Bereich.

Vom Datenfluss zum Datenschutzproblem

Der Informationsfluss klärt, welche Daten zwischen Kundschaft und Shop fließen - jetzt geht es darum, wie diese Daten geschützt werden müssen. Im Checkout sammelt ein Shop besonders sensible Informationen: Zahlungsdaten, Lieferadressen, Kontaktdaten. Die DSGVO regelt mit verbindlichen Grundsätzen, was mit diesen Daten passieren darf und welche Schutzmaßnahmen Pflicht sind.

Was muss Yusuf jetzt veranlassen, und in welcher Reihenfolge?

🎬 Vorstellung: Du testest ein Shop-Update und merkst, dass über eine veränderte URL fremde Bestelldaten sichtbar sind - Name, Adresse, Kreditkartenziffern. Die Uhr läuft.

Vier DSGVO-Grundsätze im Checkout

Yusufs Datenpanne verletzt mindestens einen der vier DSGVO-Grundsätze, die jeden Checkout bestimmen:

1. Datenminimierung - nur die Daten erheben, die für den Kaufzweck nötig sind. Ein Pflichtfeld für das Geburtsdatum beim E-Book-Kauf verstößt dagegen, weil das Alter für die Vertragserfüllung nicht erforderlich ist.
2. Erhobene Daten dürfen nur für den angegebenen Zweck verwendet werden (Zweckbindung). Die E-Mail aus der Bestellbestätigung darf nicht automatisch in den Newsletter-Verteiler wandern.
3. Speicherbegrenzung verlangt, Daten zu löschen, sobald der Zweck erfüllt ist. Kreditkartendaten nach Zahlungsabschluss dauerhaft zu speichern, ist ohne Rechtsgrundlage unzulässig.
4. Der Grundsatz der Integrität und Vertraulichkeit fordert technischen Schutz vor unbefugtem Zugriff. Genau dieser Grundsatz wurde in Yusufs Fall verletzt.

Fünf Schutzmaßnahmen für den Checkout

Technische und organisatorische Maßnahmen (kurz: TOM) setzen diese Grundsätze in die Praxis um. Fünf Maßnahmen sind im Checkout zentral:

1. TLS-Verschlüsselung schützt bei der Übertragung: Ohne sie könnten Dritte Zahlungsdaten zwischen Browser und Server mitlesen.
2. Bei der Zahlungsverarbeitung ersetzt Tokenisierung die echte Kreditkartennummer durch einen zufälligen Platzhalter. Der Shop speichert nie die echte Nummer.
3. Der Branchenstandard PCI-DSS regelt übergreifend, wie Zahlungsdaten verarbeitet und gespeichert werden dürfen.
4. Intern begrenzen Zugriffsrechte, wer Bestelldaten einsehen kann. Nicht jede Person im Team braucht Zugang zu Zahlungsinformationen.
5. Jeder Datenzugriff wird per Logging protokolliert. Bei einer Panne lässt sich so nachvollziehen, wer wann was gesehen hat.

🔮 Bevor du weiterliest: Welche der fünf TOM hätte Yusufs Datenpanne am wahrscheinlichsten verhindert?

Art. 33 DSGVO - Meldung an die Aufsichtsbehörde

Zurück zu Yusufs Fall: Die Bestelldaten waren 24 Stunden öffentlich einsehbar. Name, Adresse und Kreditkartenziffern ermöglichen Identitätsdiebstahl - es liegt ein klares Risiko für die Betroffenen vor. Also greift die Meldepflicht nach Art. 33 DSGVO.

Die Meldung an die Aufsichtsbehörde muss innerhalb von 72 Stunden erfolgen und mindestens vier Inhalte enthalten:

1. Art der Panne (fehlerhafte Zugriffskontrolle nach Software-Update)
2. Betroffene Datenkategorien und ungefähre Anzahl (Name, Adresse, Zahlungsdaten; mindestens 12 Bestellungen)
3. Kontaktdaten der oder des Datenschutzbeauftragten
4. Beschreibung der ergriffenen und geplanten Gegenmaßnahmen (URL-Zugriff gesperrt, Update zurückgerollt, Kundschaft informiert)

Müssen auch die Betroffenen informiert werden?

Art. 34 DSGVO verlangt zusätzlich eine direkte Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko für deren Rechte besteht. Kreditkartenziffern plus Name plus Adresse? Das Risiko für Identitätsmissbrauch ist hoch. Yusuf muss also nicht nur die Behörde informieren, sondern auch die zwölf betroffenen Kundinnen und Kunden direkt benachrichtigen.

Welche TOM hätte den Vorfall verhindert? Funktionierende Zugriffsrechte hätten sichergestellt, dass nur authentifizierte Kontoinhaber:innen ihre eigene Bestellung sehen. Ergänzend hätte Logging den fehlerhaften Zugriff sofort sichtbar gemacht.

🤔 Frage dich: Deine Kollegin sagt: "Die 72-Stunden-Frist läuft erst ab Montag, weil am Wochenende niemand in der Behörde arbeitet." Warum ist das falsch?