Ein Onlineshop arbeitet heute mit einer ganzen Reihe von Dienstleistern zusammen. Shopsystem, Zahlungsabwicklung, Versandsoftware, Newsletter und Messenger laufen bei unterschiedlichen Anbietern, und jeder davon bekommt einen Teil der Kundendaten zu sehen. Die Auswahl erfolgt trotzdem oft nach Gefühl, nach einem Preis oder nach einer Empfehlung aus einer Facebook-Gruppe.
Das ist riskant, weil die Verantwortung beim Shop bleibt. Ein strukturierter Check kostet zwei Stunden und lässt sich bei jedem neuen Werkzeug wiederholen. Die folgenden Schritte haben sich dafür bewährt und decken die Punkte ab, die im Ernstfall tatsächlich abgefragt werden.
Wer am Ende geradesteht
Bei einer Datenpanne steht der Shop in der Pflicht. Eine Übersicht zur Haftung für Datenmissbrauch fasst zusammen, was daraus folgt. Der Betreiber gilt als Verantwortlicher im Sinne der Datenschutzgrundverordnung, muss einen meldepflichtigen Vorfall innerhalb von 72 Stunden bei der Aufsichtsbehörde anzeigen und riskiert Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Hinzu kommen Schadensersatzforderungen der Betroffenen.
Ein Dienstleister, der schlecht arbeitet, verursacht das Problem. Erklären muss es die Geschäftsführung des Shops. Deshalb gehört die Auswahl auf denselben Tisch wie ein Mietvertrag oder eine Versicherung, statt allein in der IT zu landen.
Schritt eins, die Pflichtangaben lesen
Jeder ernsthafte Anbieter nennt im Impressum den vollständigen Firmennamen, die Rechtsform, die Anschrift, die Registernummer und eine Umsatzsteuer-Identifikationsnummer. Fehlt davon etwas, ist die Prüfung an dieser Stelle beendet.
Das Muster ist aus der Betrugsprävention bekannt. Ratgeber dazu, wie sich unseriöse Shops erkennen lassen, nennen genau diese Angaben als ersten Indikator, dazu klare Kontaktwege sowie verständliche Informationen zu Versand, Rückgabe und Datenschutz. Was für den Verkauf an Endkunden gilt, funktioniert in der Beschaffung ebenso gut.
Ein zweiter Blick gilt dem Alter des Unternehmens und der Frage, ob Anschrift und Firmenname zum Registereintrag passen. Eine Briefkastenadresse in einem Bürocenter ist kein Ausschlussgrund, ein Widerspruch zwischen Website und Register dagegen schon.
Schritt zwei, die vertragliche Grundlage
Wer personenbezogene Daten im Auftrag verarbeitet, braucht einen Vertrag nach Artikel 28 der Datenschutzgrundverordnung. Diese Punkte sollten darin ohne Suchen auffindbar sein:
- eine Liste der eingesetzten Unterauftragsverarbeiter mit Zweck und Sitzland
- die technischen und organisatorischen Maßnahmen als konkrete Beschreibung statt als Schlagwortsammlung
- die Zusage, den Auftraggeber bei Anfragen betroffener Personen zu unterstützen
- eine Regelung zur Löschung oder Rückgabe aller Daten nach Vertragsende
- die Verpflichtung, den Verantwortlichen bei einer Datenpanne unverzüglich zu informieren
Die Liste der Unterauftragsverarbeiter ist der aufschlussreichste Teil. Fast jede Software nutzt Dienste Dritter für Versand, Hosting oder Auswertung, und einige davon sitzen außerhalb der Europäischen Union. Das ist zulässig, solange eine geeignete Grundlage für den Transfer besteht, gehört aber dokumentiert. Wer stattdessen nur allgemeine Beteuerungen auf der Marketingseite findet, sollte gezielt nachfragen.
Schritt drei, Referenzen im Zusammenhang lesen
Wie sich das durchspielen lässt, zeigt Chatarmin im Anbietercheck, ein Wiener Anbieter für Messenger-Marketing im Handel. Auf der Startseite stehen Referenzen von über 300 Unternehmen, Bewertungen auf zwei Branchenportalen und der Hinweis auf eine Zertifizierung nach ISO-Norm. Solche Angaben sind ein Anfang, kein Beweis, denn geprüft wird erst, wenn ein Zertifikat mit Geltungsbereich und Laufzeit vorliegt und zwei Referenzkunden auch tatsächlich antworten.
Für Leistungskennzahlen gilt derselbe Maßstab. Öffnungsraten oder Angaben zur eingesparten Bearbeitungszeit sind nur dann aussagekräftig, wenn Zeitraum, Stichprobe und Berechnungsweise dabeistehen. Ein seriöser Anbieter liefert diese Angaben auf Nachfrage, ohne dass daraus ein Verkaufsgespräch wird. Chatarmin verweist dafür beispielsweise auf Fallbeispiele einzelner Marken, deren Zahlen sich mit der jeweiligen Sortimentsgröße einordnen lassen.
Bewertungen auf Branchenportalen lesen sich am besten von unten. Interessant sind die kritischen Stimmen, ihr Datum und die Größe der Betriebe, die sie geschrieben haben. Eine Rückmeldung aus einem Konzern sagt einem Shop mit acht Beschäftigten wenig über Support und Einarbeitung. Wiederholen sich dagegen dieselben Kritikpunkte über zwei Jahre hinweg, ist das ein belastbares Signal.
Schritt vier, das Register selbst abfragen
Sitzt der Anbieter in Österreich, führt die Prüfung ins Firmenbuch statt ins deutsche Handelsregister. Das ist der Punkt, an dem viele Checks vorzeitig enden, obwohl die Abfrage wenige Minuten dauert.
Die Wirtschaftskammer erklärt in ihrer Übersicht zum Firmenbuch als öffentlichem Verzeichnis, dass jede Person Einsicht nehmen kann, bei Gericht, über einen Notar oder online über die beauftragten Verrechnungsstellen. Eingetragen sind unter anderem Rechtsform, Sitz und Geschäftsanschrift, die vertretungsbefugten Organe, das Stammkapital, veröffentlichte Jahresabschlüsse und Hinweise auf laufende Insolvenzverfahren. Für die Richtigkeit haftet das Unternehmen selbst, unterlassene Anmeldungen lassen sich mit Zwangsstrafen von bis zu 3.600 Euro erzwingen.
Genau diese Angaben beantworten die Fragen, die im Zweifel zählen. Existiert das Unternehmen unter dem genannten Namen, wer darf für es unterschreiben, und läuft gerade ein Verfahren, das den Fortbestand gefährdet. Bei deutschen Anbietern führt derselbe Weg über das Handelsregister und das Unternehmensregister, in dem auch die Jahresabschlüsse veröffentlicht werden. Der Aufwand ist in beiden Fällen gering, das Ergebnis liegt schriftlich vor und lässt sich zur Dokumentation des Auswahlverfahrens ablegen.
Schritt fünf, die Probe aufs Exempel
Vor dem Abschluss lohnt eine Testphase mit erfundenen Datensätzen. Echte Kundendaten gehören erst nach unterschriebenem Vertrag in ein neues System. In dieser Phase lässt sich messen, was im Verkaufsgespräch niemand garantiert, nämlich wie schnell der Support auf eine einfache Frage antwortet, ob die Oberfläche auch ohne Schulung verständlich bleibt und wie ein Export der eigenen Daten aussieht. Wer diesen Export einmal ausprobiert hat, weiß, was ein späterer Wechsel bedeutet.
Was vor dem Vertragsabschluss abzuhaken ist
- Impressum und Registerdaten abgleichen, Abweichungen klären
- Auftragsverarbeitungsvertrag anfordern und die Liste der eingesetzten Dienste durchgehen
- Zertifikate im Original mit Geltungsbereich und Laufzeit verlangen
- zwei Referenzkunden direkt anschreiben und nach Support und Kündigung fragen
- Vertragslaufzeit, Kündigungsfrist und Datenexport vor der Unterschrift festhalten
Gerade der fünfte Punkt bleibt oft offen und kostet später am meisten. Wer nach zwei Jahren wechseln will, braucht seine Kontakte, Verläufe und Einwilligungen in einem verwertbaren Format. Fehlt dazu eine Regelung, bestimmt der bisherige Anbieter den Aufwand beim Abschied. Ein Anbietercheck, der diesen Punkt einschließt, verhindert damit die Abhängigkeit, die sonst erst beim Wechsel sichtbar wird.
Bildquelle Titelbild:
- MR SOCCER/shutterstock.com
