Spreadshop-Integration mit JS-Snippet: Impressum/Datenschutz/ Consent-Gate

Sehr geehrter Fragesteller,

Ihre Anfrage möchte ich Ihnen auf Grundlage der angegebenen Informationen verbindlich wie folgt beantworten:

1. Darstellung in der Datenschutzerklärung (des Onepagers)

Sie müssen in Ihrer eigenen Datenschutzerklärung transparent und verständlich darüber informieren, dass Sie den Spreadshop per JavaScript-Snippet einbinden und dass dabei personenbezogene Daten der Nutzer verarbeitet werden können. Es reicht nicht aus, lediglich auf die Datenschutzerklärung von Spreadshirt zu verlinken. Vielmehr ist eine eigenständige Information über die Art und Weise der Einbindung, die Art der verarbeiteten Daten, die Zwecke der Verarbeitung sowie die Rechtsgrundlage erforderlich.

Sie sollten in Ihrer Datenschutzerklärung mindestens folgende Punkte aufführen:

- Beschreibung der Einbindung:
Sie sollten erläutern, dass der Shop-Inhalt per JavaScript von einer Spreadshirt-Subdomain nachgeladen und in Ihre Seite eingebettet wird.

- Hinweis auf die Datenverarbeitung:
Sie müssen darauf hinweisen, dass beim Laden des Shops personenbezogene Daten (z. B. IP-Adresse, Nutzungsdaten, ggf. Cookies/Tracking) an Spreadshirt übermittelt werden.

- Verantwortlichkeit:
Sie müssen klarstellen, wer für die Datenverarbeitung verantwortlich ist. Da Sie als Betreiber der Seite den Shop einbinden und damit die Datenübermittlung initiieren, sind Sie zumindest mitverantwortlich.

- Verweis auf die Datenschutzerklärung von Spreadshirt:
Sie können und sollten auf die Datenschutzerklärung von Spreadshirt verlinken, um die Nutzer über die dortige Datenverarbeitung zu informieren.

Ein Beispiel für einen entsprechenden Passus könnte lauten:

"Auf unserer Website ist ein Online-Shop der Spreadshirt GmbH (Spreadshop) eingebunden. Beim Aufruf der Shop-Seite werden Inhalte und Funktionen direkt von Spreadshirt geladen. Dabei werden personenbezogene Daten (z. B. IP-Adresse, Nutzungsdaten, ggf. Cookies) an Spreadshirt übermittelt. Verantwortlich für die Datenverarbeitung im Rahmen des Shops ist die Spreadshirt GmbH, Gießerstraße 27, 04229 Leipzig. Weitere Informationen zur Datenverarbeitung durch Spreadshirt finden Sie in der Datenschutzerklärung von Spreadshirt: [Link]."


2. Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Ob eine gemeinsame Verantwortlichkeit im Sinne von Art. 26 DSGVO vorliegt, hängt davon ab, ob Sie und Spreadshirt gemeinsam über die Zwecke und Mittel der Verarbeitung entscheiden. Nach der aktuellen Rechtslage und Praxis ist dies bei der Einbindung von Drittanbieterdiensten häufig der Fall, insbesondere wenn Sie als Seitenbetreiber die Einbindung initiieren und Spreadshirt die technische Umsetzung und Verarbeitung übernimmt.

Im Kontext der Einbindung eines Shops, bei dem Sie als Shop-Betreiber auftreten und Spreadshirt die technische Plattform stellt, spricht vieles für eine gemeinsame Verantwortlichkeit. Dies bedeutet, dass Sie und Spreadshirt gemeinsam für die Einhaltung der datenschutzrechtlichen Pflichten verantwortlich sind.

In diesem Fall müssen Sie in Ihrer Datenschutzerklärung auf die gemeinsame Verantwortlichkeit hinweisen und die wesentlichen Inhalte der Vereinbarung nach Art. 26 DSGVO offenlegen. Dazu gehört insbesondere, wie die jeweiligen Verantwortlichkeiten verteilt sind und wie Betroffene ihre Rechte geltend machen können.

Ein entsprechender Hinweis könnte lauten:

"Für die Datenverarbeitung im Rahmen des eingebundenen Online-Shops besteht eine gemeinsame Verantwortlichkeit zwischen uns und der Spreadshirt GmbH gemäß Art. 26 DSGVO. Die wesentlichen Inhalte der Vereinbarung zur gemeinsamen Verantwortlichkeit können Sie hier einsehen: [Link, sofern vorhanden]. Betroffene können ihre Rechte sowohl gegenüber uns als auch gegenüber Spreadshirt geltend machen."

Da Spreadshirt in der Regel eine solche Vereinbarung zur gemeinsamen Verantwortlichkeit bereitstellt, sollten Sie prüfen, ob Spreadshirt Ihnen eine solche Vereinbarung zur Verfügung stellt und ggf. darauf verlinken.


3. Einwilligung / Consent-Gate

Die Frage, ob das JavaScript-Snippet direkt ausgeführt werden darf oder ob ein Consent-Gate erforderlich ist, hängt davon ab, ob beim Laden des Shops personenbezogene Daten (insbesondere durch Cookies oder Tracking-Tools) verarbeitet werden, die nicht unbedingt erforderlich sind.

Nach der aktuellen Rechtslage (siehe auch die Ausführungen zu Google Fonts und Facebook Pixel im Kontext, insbesondere VGH München, Beschluss vom 26.09.2018, Az. 5 CS 18.1157), ist für die Übermittlung personenbezogener Daten an Dritte (wie Spreadshirt) grundsätzlich eine vorherige Einwilligung der Nutzer erforderlich, sofern die Verarbeitung nicht unbedingt erforderlich ist.

Insbesondere wenn beim Laden des Shops Tracking-Tools, Marketing-Cookies oder ähnliche Technologien eingesetzt werden, ist eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 TTDSG erforderlich. Ein bloßer Verweis auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) reicht in diesen Fällen nicht aus.

Das bedeutet konkret:

- Sie dürfen das JS-Snippet nicht direkt ausführen, wenn dabei Cookies oder Tracking-Mechanismen gesetzt werden, die nicht für den Betrieb des Shops zwingend erforderlich sind.

- Sie müssen ein Consent-Gate (z. B. Cookie-Banner mit Opt-In) vorschalten, das den Shop erst nach ausdrücklicher Zustimmung des Nutzers lädt.

Dies entspricht auch der aktuellen Praxis bei der Einbindung von Drittanbieterdiensten (siehe auch Hinweise im Kontext zu Google Analytics, Facebook Pixel und Tracking-Pixeln).


Fazit

- Sie müssen die Einbindung des Spreadshops in Ihrer Datenschutzerklärung transparent beschreiben und auf die Datenverarbeitung durch Spreadshirt hinweisen.

- Es spricht vieles für eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, die entsprechend in der Datenschutzerklärung zu erläutern ist.

- Ein Consent-Gate ist erforderlich, wenn beim Laden des Shops nicht zwingend erforderliche Cookies oder Tracking-Tools eingesetzt werden. Das JS-Snippet darf dann erst nach Einwilligung des Nutzers ausgeführt werden.


Bitte beachten Sie, dass die konkrete Ausgestaltung im Einzelfall von den tatsächlichen technischen Gegebenheiten und den von Spreadshirt eingesetzten Tools abhängt. Prüfen Sie daher, welche Cookies und Tracking-Mechanismen beim Laden des Shops tatsächlich gesetzt werden.


Ich hoffe, Ihre Frage verständlich beantwortet zu haben und bedanke mich für das entgegengebrachte Vertrauen. Bei Unklarheiten können Sie die kostenlose Nachfragefunktion benutzen.

Mit freundlichen Grüßen
RA Richter