Kaufland DSGVO: Datenschutz für Händler 2026
DSGVO auf Kaufland richtig umsetzen: Rollenverteilung, Kundendaten aus Seller Portal und API, Löschfristen, Auftragsverarbeitung und Auskunftsersuchen.
Die Kurzfassung: Wenn Sie auf Kaufland verkaufen, sind Sie für die Kundendaten, die Sie aus dem Seller Portal oder über die API erhalten, eigenverantwortlich zuständig. Der Marktplatz und Sie verarbeiten dieselben Daten, aber jeweils für eigene Zwecke — Sie sind also Verantwortlicher im Sinne der DSGVO, nicht Auftragsverarbeiter von Kaufland. Daraus folgen konkrete Pflichten: Sie dürfen Kundendaten nur für die Vertragsabwicklung nutzen, brauchen für jeden Dienstleister mit Datenzugriff einen Auftragsverarbeitungsvertrag, müssen Löschfristen gegen handels- und steuerrechtliche Aufbewahrungspflichten abgrenzen und Auskunftsersuchen innerhalb eines Monats beantworten. Bei einer Datenschutzverletzung haben Sie 72 Stunden für die Meldung an die Aufsichtsbehörde. Dieser Beitrag zeigt, wie Sie diese Pflichten praktisch abbilden, ohne den operativen Betrieb zu blockieren.
Wer ist wofür verantwortlich: Marktplatz und Händler
Die Rollenverteilung ist der Ausgangspunkt jeder Datenschutzbewertung. Kaufland betreibt den Marktplatz und verarbeitet Kundendaten für eigene Zwecke: Plattformbetrieb, Zahlungsabwicklung, Kundenkonto, Betrugsprävention. Dafür ist Kaufland Verantwortlicher.
Sie als Händler erhalten einen Teil dieser Daten, um Ihren Kaufvertrag zu erfüllen. Namen, Lieferadresse, Bestelldaten, im Retourenfall auch Kommunikationsinhalte. Für diese Verarbeitung sind Sie eigener Verantwortlicher — mit eigener Rechtsgrundlage, eigenen Löschfristen und eigener Rechenschaftspflicht.
Wichtig: Sie sind kein Auftragsverarbeiter von Kaufland. Der Marktplatz gibt Ihnen keine Weisungen zur Datenverarbeitung, sondern übermittelt Daten, damit Sie Ihren eigenen Vertrag erfüllen. Diese Unterscheidung entscheidet darüber, welche Verträge Sie brauchen und wer bei Beschwerden Ansprechpartner ist.
In manchen Konstellationen kommt eine gemeinsame Verantwortlichkeit in Betracht, etwa wenn Marktplatz und Händler eine Verarbeitung gemeinsam festlegen. Prüfen Sie das anhand der konkreten Vereinbarungen mit Kaufland, statt es pauschal anzunehmen oder auszuschließen.
Praktisch heißt das: Sie brauchen ein eigenes Verzeichnis der Verarbeitungstätigkeiten für Ihr Kaufland-Geschäft. Darin dokumentieren Sie, welche Daten Sie erhalten, wofür Sie sie nutzen, wie lange Sie sie speichern und an wen Sie sie weitergeben.
Welche Kundendaten Sie über Seller Portal und API erhalten
Das Seller Portal zeigt Ihnen Bestelldaten mit Käuferangaben, Lieferadresse und Bestellhistorie. Über die API laufen dieselben Daten strukturiert in Ihre Systeme. Beide Wege sind datenschutzrechtlich gleich zu bewerten — der technische Kanal ändert nichts an den Pflichten.
Machen Sie sich klar, welche Datenkategorien tatsächlich bei Ihnen ankommen. Typischerweise sind das Bestellkennungen, Käufername, Lieferadresse, gegebenenfalls eine anonymisierte oder marktplatzvermittelte Kontaktmöglichkeit, Artikeldaten, Zahlungsstatus und Retourenvorgänge. Vollständige Zahlungsdaten erhalten Sie in der Regel nicht.
Der entscheidende Punkt ist die API-Anbindung. Wenn Sie Bestelldaten automatisiert abrufen und in ein ERP, ein Warenwirtschaftssystem oder ein Fulfillment-Tool schreiben, entstehen Kopien in mehreren Systemen. Jede Kopie unterliegt derselben Zweckbindung und denselben Löschfristen.
Dokumentieren Sie den Datenfluss deshalb technisch. Welches System zieht welche Felder, wohin werden sie weitergegeben, wo liegen Backups. Ohne diese Übersicht können Sie ein Löschverlangen praktisch nicht umsetzen. Zur technischen Seite der Anbindung finden Sie Details im Beitrag zur Kaufland API-Anbindung.
Vermeiden Sie außerdem, mehr Daten abzurufen als nötig. Wenn Ihr Fulfillment-Dienstleister nur Name und Adresse braucht, übergeben Sie nicht die komplette Bestellhistorie. Datenminimierung ist keine Formalie, sondern reduziert Ihr Risiko unmittelbar.
Zweckbindung: Was Sie mit den Daten tun dürfen — und was nicht
Die Rechtsgrundlage für Ihre Verarbeitung ist in der Regel die Vertragserfüllung. Sie brauchen Name und Adresse, um zu liefern, und Bestelldaten, um Retouren und Gewährleistung abzuwickeln. Das ist unproblematisch.
Kritisch wird es, sobald Sie die Daten für etwas anderes nutzen. Werbe-E-Mails an Kaufland-Käufer, ohne dass Sie eine eigene Einwilligung haben, sind ein klassischer Verstoß. Der Kaufvertrag über den Marktplatz begründet keine Einwilligung in Newsletter-Werbung.
Auch Bewertungsanfragen sind heikel. Wenn Sie Käufer außerhalb der Marktplatzkanäle zu einer Bewertung auffordern, verlassen Sie den Zweck der Vertragserfüllung. Nutzen Sie die vom Marktplatz vorgesehenen Wege, statt eigene Kontaktwege aufzubauen.
Ein dritter Bereich ist die Anreicherung. Kundendaten aus Kaufland mit Daten aus anderen Kanälen zusammenzuführen, um Profile zu bilden, braucht eine eigene Rechtsgrundlage. Für reine Betrugsprävention und Missbrauchsabwehr kann ein berechtigtes Interesse tragen — für Marketing-Profiling regelmäßig nicht.
Halten Sie den Grundsatz fest: Was Sie zur Erfüllung des Kaufvertrags und Ihrer gesetzlichen Pflichten brauchen, dürfen Sie verarbeiten. Alles darüber hinaus braucht eine eigene Prüfung und meist eine Einwilligung. Die kanalübergreifende Systematik dazu beschreibt der Beitrag zu Datenschutz und DSGVO im Multichannel.
Löschfristen gegen Aufbewahrungspflichten abgrenzen
Hier entsteht der häufigste Konflikt im Alltag. Die DSGVO verlangt, personenbezogene Daten zu löschen, sobald der Zweck erfüllt ist. Handels- und Steuerrecht verlangen, bestimmte Unterlagen jahrelang aufzubewahren. Beides gilt gleichzeitig.
Die Auflösung liegt in der Trennung nach Datenkategorien. Rechnungen, Buchungsbelege und Handelsbriefe unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten. Diese Daten dürfen und müssen Sie behalten — allerdings nur zu diesem Zweck, nicht für Marketing oder Analyse.
Andere Daten haben keine solche Pflicht. Kommunikationsverläufe im Kundenservice, Notizen zu Retouren, interne Vermerke oder Kontaktdaten in einem CRM sind nicht per se aufbewahrungspflichtig. Diese Daten müssen Sie löschen, wenn der Zweck entfällt.
Praktisch brauchen Sie ein Löschkonzept mit drei Elementen. Erstens eine Liste Ihrer Datenkategorien mit jeweiliger Frist. Zweitens die technische Umsetzung, also automatisierte Löschläufe statt Handarbeit. Drittens ein Konzept für die Einschränkung der Verarbeitung: Daten, die nur noch aus Aufbewahrungsgründen existieren, werden gesperrt und aus dem operativen Zugriff genommen.
Denken Sie an die Nebenschauplätze. Excel-Exporte auf Laufwerken, E-Mail-Postfächer mit Bestellbestätigungen, Backups, Etikettendrucker-Historien. Diese Kopien werden in Löschkonzepten regelmäßig vergessen und sind bei einer Prüfung genau der Punkt, an dem es unangenehm wird.
Auftragsverarbeitung: Verträge mit Ihren Dienstleistern
Jeder Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Das gilt unabhängig davon, wie klein der Dienstleister ist oder wie wenige Daten er sieht.
Die typische Liste bei Kaufland-Händlern ist länger als gedacht. Fulfillment-Dienstleister und Lagerbetreiber sehen Namen und Adressen. Versanddienstleister erhalten Empfängerdaten. Ihr ERP- oder Warenwirtschaftsanbieter hostet die Bestelldaten. Ein Repricing- oder Analytics-Tool kann Bestell- und Umsatzdaten verarbeiten. Ein externer Kundenservice liest Kommunikationsinhalte mit.
Prüfen Sie bei jedem Anbieter drei Dinge. Liegt ein AV-Vertrag vor und ist er aktuell? Wo werden die Daten verarbeitet, insbesondere bei Drittlandtransfer? Welche Subunternehmer setzt der Anbieter ein und ist deren Einsatz vertraglich geregelt?
Bei Drittlandtransfers brauchen Sie eine Übermittlungsgrundlage, in der Praxis meist Standardvertragsklauseln plus eine Risikobewertung. Cloud-Dienste mit Servern außerhalb der EU sind hier der Regelfall, nicht die Ausnahme. Klären Sie das aktiv, statt es anzunehmen.
Führen Sie eine Dienstleisterliste mit Zweck, Datenkategorien, Vertragsstand und Verarbeitungsort. Diese Liste ist die Grundlage Ihres Verarbeitungsverzeichnisses und die erste Frage jeder Aufsichtsbehörde.
MarketplAIce 14 Tage kostenlos testen
In 7 Schritten zum DSGVO-konformen Kaufland-Betrieb
- Datenflüsse vollständig aufnehmen. Zeichnen Sie auf, welche Daten aus dem Seller Portal und der API in welche Systeme laufen. Erfassen Sie auch manuelle Wege wie Exporte und E-Mail-Weiterleitungen. Ohne dieses Bild bleibt jede weitere Maßnahme Stückwerk.
- Verarbeitungsverzeichnis erstellen oder erweitern. Legen Sie für jede Verarbeitungstätigkeit Zweck, Rechtsgrundlage, Datenkategorien, Empfänger und Löschfrist fest. Nehmen Sie das Kaufland-Geschäft als eigene Tätigkeit auf, nicht als Anhang zum Webshop. Halten Sie das Dokument aktuell, wenn Sie Tools wechseln.
- Dienstleisterliste aufbauen und AV-Verträge schließen. Listen Sie alle Anbieter mit Datenzugriff auf und prüfen Sie den Vertragsstand. Fordern Sie fehlende AV-Verträge aktiv an, statt zu warten. Klären Sie Verarbeitungsort und Subunternehmer schriftlich.
- Löschkonzept mit Fristen definieren. Ordnen Sie jeder Datenkategorie eine Frist zu und trennen Sie aufbewahrungspflichtige von löschpflichtigen Daten. Setzen Sie technische Löschläufe auf, statt auf manuelle Aufräumaktionen zu setzen. Sperren Sie Daten, die nur noch aus Aufbewahrungsgründen existieren.
- Datenschutzerklärung anpassen. Ergänzen Sie den Marktplatzvertrieb als eigenen Abschnitt mit Verantwortlichkeit, Datenkategorien, Zwecken, Empfängern und Betroffenenrechten. Nennen Sie Ihre Kontaktdaten und, falls vorhanden, den Datenschutzbeauftragten. Verlinken Sie die Erklärung dort, wo Kaufland es vorsieht.
- Prozess für Betroffenenanfragen einrichten. Definieren Sie eine feste Eingangsadresse, einen Verantwortlichen und eine Bearbeitungsfrist von einem Monat. Legen Sie Vorlagen für Auskunft, Löschung und Berichtigung an. Dokumentieren Sie jede Anfrage und die Antwort.
- Meldeprozess für Datenschutzverletzungen üben. Bestimmen Sie, wer innerhalb von 72 Stunden entscheidet und meldet, und halten Sie die Kontaktdaten Ihrer Aufsichtsbehörde bereit. Legen Sie eine Vorlage für die Meldung an. Spielen Sie den Ablauf einmal trocken durch, bevor Sie ihn im Ernstfall brauchen.
Auskunftsersuchen und Betroffenenrechte praktisch abwickeln
Betroffene können von Ihnen Auskunft über die zu ihrer Person gespeicherten Daten verlangen, dazu Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Die Frist beträgt einen Monat, verlängerbar bei komplexen Fällen.
Der praktische Engpass ist die Vollständigkeit. Eine Auskunft muss alle Systeme abdecken, in denen die Person vorkommt: ERP, CRM, Kundenservice-Postfach, Fulfillment-System, Analytics, Backups. Wer nur das Hauptsystem durchsucht, gibt eine unvollständige Auskunft.
Klären Sie die Identität, bevor Sie Daten herausgeben. Bei berechtigten Zweifeln dürfen Sie zusätzliche Informationen zur Identifizierung verlangen — aber nicht routinemäßig einen Ausweis anfordern, wenn die Identität ohnehin klar ist.
Bei Löschverlangen prüfen Sie die Aufbewahrungspflichten. Wenn Sie Rechnungsdaten behalten müssen, teilen Sie das mit und erläutern die Rechtsgrundlage. Löschen Sie alles, was nicht unter eine Pflicht fällt, und sperren Sie den Rest für andere Zwecke.
Antworten Sie in einfacher, verständlicher Sprache. Ein Datenexport im Rohformat erfüllt die Auskunftspflicht nicht, wenn die Person nicht erkennen kann, was gespeichert ist. Eine strukturierte Zusammenfassung plus die Datenkopie ist der sichere Weg.
Datenschutzverletzungen erkennen und melden
Eine Datenschutzverletzung ist mehr als ein Hackerangriff. Ein Paket mit dem Lieferschein einer anderen Person, ein E-Mail-Versand mit sichtbaren Empfängeradressen, ein verlorenes Notebook mit Bestelldaten oder ein falsch konfigurierter Cloud-Speicher fallen genauso darunter.
Der häufigste Fall bei Marktplatzhändlern ist die Fehlversendung von Daten. Ein Serienmail an Kunden mit offener Empfängerliste ist eine meldepflichtige Verletzung, wenn ein Risiko für die Betroffenen besteht.
Die 72-Stunden-Frist läuft ab Kenntnis, nicht ab vollständiger Aufklärung. Sie dürfen unvollständig melden und nachliefern. Wer wartet, bis alle Details geklärt sind, verpasst die Frist regelmäßig.
Neben der Meldung an die Aufsichtsbehörde kann eine Information der Betroffenen erforderlich sein, wenn ein hohes Risiko besteht. Diese Information muss klar, verständlich und ohne unangemessene Verzögerung erfolgen.
Dokumentieren Sie jede Verletzung, auch die nicht meldepflichtigen. Diese interne Dokumentation ist Pflicht und zugleich Ihr Beleg dafür, dass Sie Vorfälle bewertet haben. Sichern Sie parallel Ihren Kontozugang ab — kompromittierte Zugänge sind eine typische Ursache, wie der Beitrag zur Kaufland-Kontosicherheit mit Zwei-Faktor-Authentifizierung zeigt.
Wie MarketplAIce dabei hilft
MarketplAIce arbeitet kanalübergreifend mit den Daten, die Sie für Preis-, Werbe- und Listing-Entscheidungen brauchen — nicht mit personenbezogenen Kundendaten als Selbstzweck. Diese Trennung ist datenschutzrechtlich der wichtigste Punkt: Was für die Steuerung nicht nötig ist, wird nicht verarbeitet.
Für die Steuerungslogik zählen Artikel-, Preis-, Wettbewerbs- und Nachfragedaten. MarketplAIce rechnet daraus fünf Tage voraus und bewertet Entscheidungen über 15 Dimensionen, von Wettbewerbsdichte bis Lagerreichweite. Personenbezug ist dafür nicht erforderlich.
Weil Gebotsoptimierung, Listing-Optimierung und Repricing in einem System liegen, reduziert sich zugleich die Zahl der Dienstleister mit Datenzugriff. Weniger Tools bedeuten weniger AV-Verträge, weniger Datenkopien und ein schlankeres Verarbeitungsverzeichnis.
Der prädiktive Ansatz hilft auch beim Löschkonzept. Wer Entscheidungen auf aggregierten Kennzahlen trifft statt auf Einzelkundenhistorien, kann personenbezogene Daten früher löschen, ohne Steuerungsqualität zu verlieren.
Für die Praxis heißt das: Sie halten Ihre Datenhaltung schlank und behalten trotzdem die Steuerungstiefe über Amazon, eBay, Otto, Kaufland und Temu in einer Oberfläche.
FAQ
Bin ich als Kaufland-Händler Verantwortlicher oder Auftragsverarbeiter?
In der Regel sind Sie eigener Verantwortlicher für die Kundendaten, die Sie zur Erfüllung Ihres Kaufvertrags erhalten. Sie verarbeiten diese Daten nicht auf Weisung von Kaufland, sondern für Ihre eigenen Zwecke. Prüfen Sie die konkreten Vereinbarungen, ob im Einzelfall eine gemeinsame Verantwortlichkeit vorliegt.
Darf ich Kaufland-Käufern einen Newsletter schicken?
Nein, nicht ohne eigene Einwilligung. Der über den Marktplatz geschlossene Kaufvertrag begründet keine Einwilligung in Werbe-E-Mails. Wenn Sie Newsletter-Marketing wollen, brauchen Sie eine dokumentierte, freiwillige Einwilligung mit klarem Hinweis auf den Zweck.
Wie lange darf ich Bestelldaten aus Kaufland speichern?
Das hängt von der Datenkategorie ab. Rechnungs- und Buchungsbelege unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten und dürfen entsprechend lange behalten werden. Daten ohne solche Pflicht, etwa Servicekorrespondenz oder interne Notizen, löschen Sie, sobald der Zweck erfüllt ist.
Brauche ich für mein Repricing-Tool einen AV-Vertrag?
Wenn das Tool personenbezogene Daten verarbeitet, ja. Verarbeitet es ausschließlich Artikel-, Preis- und aggregierte Umsatzdaten ohne Personenbezug, ist ein AV-Vertrag nicht zwingend. Klären Sie mit dem Anbieter schriftlich, welche Datenfelder tatsächlich übertragen werden.
Was muss in meiner Datenschutzerklärung zum Marktplatzvertrieb stehen?
Ihre Verantwortlichkeit mit Kontaktdaten, die Kategorien der verarbeiteten Daten, die Zwecke und Rechtsgrundlagen, die Empfänger einschließlich Dienstleistern, die Speicherdauer und die Betroffenenrechte. Ergänzen Sie den Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde. Halten Sie die Erklärung so konkret, dass ein Kunde den Datenfluss nachvollziehen kann.
Wie schnell muss ich ein Auskunftsersuchen beantworten?
Innerhalb eines Monats nach Eingang. Bei komplexen oder zahlreichen Anfragen können Sie um zwei Monate verlängern, müssen die Verzögerung aber innerhalb des ersten Monats begründet mitteilen. Planen Sie intern kürzer, weil die vollständige Datensuche über mehrere Systeme Zeit kostet.
Ist eine Fehlversendung von Bestelldaten meldepflichtig?
Sie ist eine Datenschutzverletzung und muss bewertet werden. Meldepflichtig ist sie, wenn ein Risiko für die Rechte und Freiheiten der Betroffenen besteht — bei versehentlich offengelegten Namen und Adressen kann das der Fall sein. Dokumentieren Sie jeden Vorfall intern, auch wenn Sie sich gegen eine Meldung entscheiden.
Dieser Beitrag gibt praktische Orientierung und ist kein Ersatz für eine individuelle Rechtsberatung.
Über den Autor
Jorginho Engelmeyer ist Founder von MarketplAIce und bringt über 8 Jahre Erfahrung im Amazon-Advertising und im Marktplatzgeschäft mit. Er arbeitet täglich mit Händlern und Agenturen an Prozessen, Compliance und Steuerung über mehrere Marktplätze. Mehr zu seinem Hintergrund finden Sie unter Expertise.