In einem Satz. Der deutsche Einzelhandel unterliegt einer Reihe DSGVO-Spezifika: Kundenkarten-Programme (PAYBACK, DeutschlandCard), Videoüberwachung, Beschäftigtenkontrolle (H&M-Skandal Hamburg 35,3 Mio. €), Bonitätsprüfung beim Kauf auf Rechnung — mit hohen Bußgeldrisiken bei Verstößen.
Wichtige Punkte
- H&M Hamburg 2020: 35,3 Mio. € — größtes deutsches Bußgeld lange Zeit.
- Notebooksbilliger 2021: 10,4 Mio. € (LfDI BaWü) wegen Videoüberwachung.
- Kundenkarten brauchen explizite Einwilligung nach Art. 6 + 7.
- Videoüberwachung: BGB § 6b — Hinweisschild, Speicherdauer max. 72h Standard.
- Bonitätsprüfung: berechtigtes Interesse oder Einwilligung.
1. Rechtsgrundlagen Verkauf
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Kaufvertrag | Art. 6 Abs. 1 lit. b |
| Kundenkarte | Art. 6 Abs. 1 lit. a (Einwilligung) |
| Newsletter | Art. 6 Abs. 1 lit. a (Einwilligung) |
| Bonitätsprüfung | Art. 6 Abs. 1 lit. f (berechtigtes Interesse) |
| Videoüberwachung | Art. 6 Abs. 1 lit. f + BDSG § 4 |
| Beschäftigtendaten | BDSG § 26 |
2. Kundenkarten und Loyalty
- Klare Trennung Vertragsabwicklung vs. Marketing.
- Granulare Einwilligungen (E-Mail, SMS, App-Push).
- Profilbildung erfordert ausdrückliche Einwilligung.
- Widerruf jederzeit, einfach umsetzbar.
3. Videoüberwachung im Laden
- Hinweisschild am Eingang mit Symbol, Verantwortlichem, Kontakt.
- Speicherdauer 48-72h Standard, längere Speicherung begründungspflichtig.
- Keine Erfassung Mitarbeiterarbeitsplatz (BAG-Rechtsprechung).
- Notebooksbilliger-Fall: 10,4 Mio. € (LfDI BaWü) für rechtswidrige Dauerüberwachung Mitarbeiter.
4. Bonitätsprüfung
- Kauf auf Rechnung/Ratenzahlung: Bonität erforderlich.
- Information nach Art. 13/14 bei Auskunfteien-Abfrage.
- BGH-Urteil 2023 zu SCHUFA Scoring: kein automatisches Scoring ohne menschliche Letztentscheidung (Art. 22).
- Nur erforderliche Daten erheben.
5. H&M Hamburg-Fall
35,3 Mio. € (2020) — größtes Einzelhandels-Bußgeld in Deutschland. Verstoß: detaillierte Mitarbeiter-Profile (Krankheiten, Familienverhältnisse, religiöse Überzeugungen) in zentraler Datenbank ohne Rechtsgrundlage. Auslöser: Konfigurationsfehler legte Datenbank intern offen.
6. Beschäftigtendatenschutz
- Strenge Grenzen nach BDSG § 26.
- Leistungs- und Verhaltenskontrolle nur mit Mitbestimmung.
- Mitarbeiter-Tracking (z.B. via Kassensystem) eng begrenzt.
- H&M-Lehre: keine systematische Sammlung sensibler Daten.
7. Online-Shop und Versand
Siehe unseren Spezial-Leitfaden für Online-Shops und E-Commerce; kompakt zusammengefasst auch in DSGVO im Onlineshop. Wichtige Punkte:
- Cookie-Banner mit echter Wahl.
- AVV mit Versanddienstleistern (DHL, DPD).
- AVV mit Payment-Providern.
- Drittland-Transfers bei US-Tools.
8. Bonprogramme und Coupons
- Bon-Druck mit personenbezogenem Coupon erfordert Einwilligung.
- App-basierte Coupons nur an angemeldete Nutzer.
- A/B-Tests mit Pseudonymisierung.
9. WLAN für Kunden
- Pseudonymisierte Authentisierung statt Klarnamen-Pflicht.
- AGB nach BGH-Urteil 2016 (Sony) ohne Datenabgreifung.
- Tracking nur mit Einwilligung.
10. Meldepflichten
11. Tool-Unterstützung
11. Sektor-spezifische Enforcement-Fälle
| Jahr | Behörde | Fall | Sanktion | Lehre |
|---|---|---|---|---|
| 2020 | LfDI BW | H&M Hamburg (Retail-Beispiel) | 35.300.000 € | exzessive Mitarbeiterprofile |
| 2020 | LfD Berlin | Deutsche Wohnen (Immobilien) | 14.500.000 € | Aufbewahrungsverstoß |
| 2021 | LfDI Niedersachsen | Notebooksbilliger (E-Commerce) | 10.400.000 € | dauerhafte Videoüberwachung |
| 2022 | LDA Bayern | VW (Industrie) | 1.100.000 € | unzureichende AVV-Kontrolle |
| 2023 | HmbBfDI | Vattenfall (Energie) | 900.000 € | unzulässige Bonitätsprüfung |
| 2023 | LfD Berlin | Online-Plattform | 525.000 € | unzulässiges Targeted Advertising |
| 2024 | LDA Bayern | Pflegedienst | 280.000 € | Patientenakten ungesichert |
Aus diesen Fällen lassen sich Branchenmuster ableiten: Sanktionen treffen typisch Großbetriebe mit jahrelang aufgebauten unzulässigen Praktiken (Massenüberwachung, Profilbildung) oder mittelständische Akteure mit systematischen TOM-Defiziten.
12. Sektor-Standards und Codes of Conduct
Branchenspezifische Standards reduzieren das Compliance-Risiko:
Zertifizierung allein schützt nicht vor Sanktionen, dokumentiert aber Sorgfalt — wirkt sich bußgeldmindernd aus.
13. AVV-Anforderungen im Sektor
Typische Sub-Auftragsverarbeiter im Sektor: Cloud-Hoster (AWS, Azure, GCP, Deutsche Cloud-Anbieter), CRM-Anbieter (HubSpot, Salesforce, Pipedrive), E-Mail-Versender (Brevo, Mailjet, Inxmail), Hosting (Hetzner, Strato), Analytics (Matomo, Plausible). Jeder benötigt eigenen AVV plus TIA bei Drittlandstransfer.
14. 5-Schritte-Compliance-Plan für den Sektor
15. Häufige Audit-Befunde im Sektor
16. Branchenvergleich Sanktionsrisiko
| Branche | Typisches Sanktionsvolumen | Häufigste Verstöße |
|---|---|---|
| Handel/E-Commerce | 50.000 - 10 Mio. € | Marketing-Tracking, AVV-Lücken |
| Industrie | 100.000 - 35 Mio. € | Beschäftigtendatenschutz |
| Gesundheit/Pflege | 30.000 - 1 Mio. € | TOM-Defizite, Akten ungesichert |
| Energie/Versorger | 50.000 - 900.000 € | SCHUFA-Abfragen, Smart-Meter |
| Bildung | 5.000 - 100.000 € | MS 365 ohne TIA, Schülerdaten |
| Vereine/NGO | 1.000 - 50.000 € | fehlender DSB, AVV-Lücken |
| Influencer/Creator | 5.000 - 200.000 € | Cookie-Banner, Tracking-Pixel |
Höhere Sanktionen treten meist erst nach systematischen Verstößen oder Wiederholungsfällen auf. Erstverfahren enden in 60-70 % der Fälle mit Verwarnung oder Anordnung.
18. DSFA-Pflicht im Sektor
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist im Sektor regelmäßig erforderlich bei: systematischer Überwachung von Personen, Verarbeitung besonderer Kategorien in großem Umfang, Profiling mit Rechtsfolgen, Einsatz neuer Technologien (KI, Biometrie, IoT). Die DSK-Liste “Muss-DSFA” gibt verbindliche Beispiele. Ablauf: (1) Schwellenwertanalyse, (2) systematische Beschreibung, (3) Notwendigkeits- und Verhältnismäßigkeitsprüfung, (4) Risikobewertung, (5) Schutzmaßnahmen, (6) DSB-Stellungnahme, ggf. Konsultation Aufsichtsbehörde nach Art. 36.
Praxis-Tipp: DSFA-Templates der DSK oder der CNIL (PIA-Tool) verwenden — beide werden von deutschen Aufsichten anerkannt.
19. Branchenkodex und Zertifizierung
Branchenspezifische Verhaltensregeln nach Art. 40 DSGVO können bei akkreditiertem Verband bindende Wirkung entfalten. Bestehende Kodizes: GDD-Code für KMU, BVDW-Code für Online-Marketing, DGUV-Sektorstandards Gesundheit. Zertifizierung nach Art. 42 DSGVO durch akkreditierte Stellen (z.B. TÜV, DEKRA, EuroPriSe) dokumentiert Sorgfalt, wirkt bußgeldmindernd. Kosten Erstzertifizierung 15.000-80.000 €, Re-Audit alle 3 Jahre.
20. Schnittstelle zu NIS2 und DORA
21. Häufige strategische Fehler im Sektor
- Datenschutz wird als reine IT-Aufgabe gesehen, nicht als Geschäftsprozess.
- DSB ohne Direktzugang zur Geschäftsleitung — Verstoß Art. 38 Abs. 3.
- Kein Budget für Schulungen — Risiko über Mitarbeiterfehler.
- Cloud-Migration ohne TIA und ohne Vertragsanpassung.
- Marketing-Tracking ohne TTDSG-konforme Einwilligung.
- Keine dokumentierte Schwellenwertanalyse für DSFA-Pflicht.
- Vorhandene AVV werden nicht regelmäßig auf Aktualität geprüft.
Fazit
Einzelhandel hat hohe Datenschutz-Risiken: Kunden, Mitarbeiter, Video. Nach H&M und Notebooksbilliger ist die Aufsichtssensibilität hoch. Wer Kundenkarte, Videoüberwachung und Beschäftigten-Tracking sauber dokumentiert, schläft ruhiger. Für kleinere Betriebe mit Ladengeschäft und Werkstatt lohnt auch ein Blick in unseren DSGVO-Leitfaden für Handwerksbetriebe. Betriebe mit Bewirtungs- oder Beherbergungsangebot finden passende Hinweise in DSGVO im Hotel- und Gastgewerbe.
Amtliche Quellen
- Verordnung (EU) 2016/679 (DSGVO) — konsolidierter Volltext auf EUR-Lex
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)
- Datenschutzkonferenz (DSK) — Beschlüsse und Orientierungshilfen der Aufsichtsbehörden
- Europäischer Datenschutzausschuss (EDPB) — Leitlinien
FAQ
Wie hoch war das H&M-Bußgeld?
35,3 Mio. € (2020, Hamburgische DPA) für umfassende Mitarbeiter-Profilbildung ohne Rechtsgrundlage.
Wie lange darf ich Videoaufnahmen speichern?
Standard 48-72 Stunden, längere Speicherung nur mit konkretem Grund (z.B. polizeiliche Anforderung).
Brauche ich für Kundenkarten Einwilligung?
Ja, für Marketing-Nutzung und Profilbildung ausdrückliche, granulare Einwilligung nach Art. 6 Abs. 1 lit. a + Art. 7.
Ist Mitarbeiter-Videoüberwachung erlaubt?
Nur bei konkretem Verdacht und mit Mitbestimmung. Dauerüberwachung Arbeitsplatz unzulässig (Notebooksbilliger-Fall).
Was kostet eine Datenpanne im Einzelhandel?
5.000-50.000 € bei kleineren Fällen, 100.000-1 Mio. € bei systematischen Verstößen — siehe H&M und Notebooksbilliger.
Welche Behörde ist für meinen Sektor zuständig?
Brauche ich einen Datenschutzbeauftragten?
Nach § 38 BDSG ab 20 mit der automatisierten Verarbeitung beschäftigten Personen, unabhängig vom Sektor. Zusätzlich Pflicht nach Art. 37 DSGVO bei Kernverarbeitung sensibler Daten oder umfangreicher systematischer Überwachung — typisch bei Pflegediensten, Online-Shops mit Profiling, Influencern mit Tracking. Externer DSB kann beauftragt werden; Vorteile: spezialisierte Expertise, Kosten 6.000-30.000 €/Jahr je nach Unternehmensgröße.
Wie hoch sind realistische Bußgelder im Mittelstand?
Erstverfahren ohne Vorsatz typisch 5.000-50.000 €. Wiederholungsfälle oder vorsätzliche Verstöße können in den 6-stelligen Bereich gehen. Systematische Verstöße (Massenverarbeitung, Profilbildung) bis 7-stellig und höher — siehe Notebooksbilliger 10,4 Mio. €. Die Bemessung folgt EDSA-Guidelines 4/2022 mit Multiplikator nach Konzernumsatz. Kooperation und Mitwirkung senken den Betrag deutlich.
Welche TOM sind im Sektor Pflicht?
Wie läuft ein Audit der Behörde ab?
Ankündigung (in der Regel 2-6 Wochen vor Ort), Unterlagenanforderung (Art. 30-Verzeichnis, AVV-Liste, DSFA, TOM-Dokumentation, Schulungsnachweise, DSB-Berichte), Vor-Ort-Besuch (1-3 Tage), Befundbericht, Anhörung, Maßnahmenkatalog mit Fristen, bei Verstößen Bußgeldverfahren. Vorbereitung: dokumentierte Compliance, klare Verantwortlichkeiten, geübter DSB als Single Point of Contact.