Auf dieser Seite · 8 Abschnitte
- Sobald ein Kunde eine Anfrage sendet, verarbeitet der Konfigurator personenbezogene Daten.
- Sie sind Verantwortlicher, der Anbieter Auftragsverarbeiter: Ein AVV nach Art. 28 ist Pflicht.
- EU-Hosting erspart die Frage nach dem Transfermechanismus, ersetzt aber nicht den Rest.
- Kundenfotos sollten neu kodiert werden, damit EXIF- und GPS-Daten verschwinden.
- Tracking-Pixel dürfen erst nach Cookie-Consent auslösen, auch innerhalb des Embeds.
Ein Konfigurator ist DSGVO-relevant, sobald ein Kunde eine Anfrage absendet: Name, Kontaktdaten, Adresse und oft Fotos des eigenen Hauses landen dann bei Ihnen und Ihrem Anbieter. Die Pflichten sind dieselben wie bei jedem Formular, nur mit reichhaltigeren Daten. Dieser Ratgeber erklärt, warum das für Konfiguratoren besonders gilt, liefert eine Checkliste zum Abhaken für das Anbietergespräch und geht die Punkte einzeln durch: Hosting und AVV, Kundenfotos, Aufbewahrung, Consent für Tracking-Pixel sowie Export und Löschung.
Warum das gerade für einen Konfigurator gilt
Ein 3D-Produktkonfigurator ist nicht nur ein visuelles Werkzeug. In dem Moment, in dem ein Kunde eine Angebotsanfrage absendet, erfasst er personenbezogene Daten: Name, E-Mail, Telefonnummer, oft eine Liefer- oder Montageadresse, und zunehmend Fotos der eigenen Terrasse oder des Hauses, die mit der Anfrage hochgeladen werden. Unterstützt der Konfigurator die Buchung eines Aufmaßtermins, verarbeitet er auch einen geplanten Hausbesuch, der an diese Adresse gebunden ist. Nach der DSGVO sind Sie (der Händler) der Verantwortliche für diese Daten, und Ihr Konfigurator-Anbieter ist Auftragsverarbeiter in Ihrem Auftrag. Das bringt einen konkreten, überprüfbaren Satz an Pflichten mit sich.
Das ist nicht spezifisch für Konfiguratoren. Jedes Kontaktformular trägt dieselben grundlegenden Pflichten. Es lohnt sich, das hier klar auszusprechen, weil Konfiguratoren mehr und reichhaltigere Daten erfassen als ein einfaches Kontaktformular (Fotos, genaue Adressen, Geräte- und Browsing-Signale fürs Tracking), was die Einsätze erhöht, wenn man es falsch macht.
Die Checkliste
- Hosting-Standort: Werden Kundendaten (Anfragen, Angebote, Fotos) in der EU gehostet, oder gibt der Anbieter an, wo und mit welchem rechtlichen Transfermechanismus, falls nicht?
- Auftragsverarbeitungsvertrag: Bietet der Anbieter standardmäßig einen unterzeichneten AVV (Art. 28) an, nicht nur auf besondere Nachfrage?
- Foto-Metadaten: Werden von Kunden hochgeladene Fotos von EXIF- und GPS-Daten befreit und neu kodiert, oder so gespeichert, wie sie hochgeladen wurden?
- Aufbewahrungsfrist: Gibt es eine festgelegte, sinnvolle Aufbewahrungsfrist für Anfragen, Angebote und Fotos, mit Löschung danach, oder standardmäßig unbegrenzte Speicherung?
- Consent für Tracking-Pixel: Lösen Conversion-Pixel von Google, Meta und TikTok erst nach Cookie-Consent aus, oder laden sie bedingungslos?
- Export und Löschung: Können Sie (und auf Wunsch der Kunde) Daten in angemessener Zeit exportieren oder löschen lassen?
- Subunternehmer: Legt der Anbieter offen, welche Drittparteien (E-Mail-Versand, PDF-Erzeugung, Hosting-Infrastruktur) ebenfalls auf die Daten zugreifen?
Nutzen Sie diese Liste wörtlich im Gespräch mit einem Anbieter. Ein Anbieter, der an Unternehmens- oder EU-Kunden gewöhnt ist, beantwortet alle sieben Punkte klar und ohne zu zögern.
Hosting-Standort und der Auftragsverarbeitungsvertrag
Die DSGVO verlangt nicht zwingend EU-Hosting. Sie verlangt eine rechtmäßige Grundlage für jede Übermittlung außerhalb der EU/des EWR (Angemessenheitsbeschlüsse, Standardvertragsklauseln und so weiter), wenn Daten tatsächlich das Gebiet verlassen. In der Praxis beseitigt EU-Hosting die Frage vollständig und ist die einfachere Compliance-Geschichte für einen kleinen oder mittelgroßen Händler ohne eigene Rechtsabteilung, die internationale Transfermechanismen verwaltet. Hostet ein Anbieter außerhalb der EU, fragen Sie konkret und schriftlich, welcher Transfermechanismus gilt.
Unabhängig davon, und das gilt unabhängig vom Hosting-Standort, brauchen Sie einen unterzeichneten Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, wie es Art. 28 DSGVO verlangt, sobald ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Ein Anbieter, der selbstverständlich EU-Händler bedient, sollte einen Standard-AVV bereithalten, den Sie unterzeichnen können, nicht etwas, das Sie von Grund auf verhandeln müssen.
Kundenfotos: das leicht übersehene Risiko
Fotos, die ein Kunde mit einer Angebotsanfrage hochlädt (von der Terrasse, dem bestehenden Zaunverlauf, der Wand, an der eine Konstruktion befestigt wird) sind personenbezogene Daten, und mit dem Handy aufgenommene Fotos tragen häufig EXIF-Metadaten einschließlich GPS-Koordinaten: der genaue Ort, an dem das Foto aufgenommen wurde, unsichtbar in der Datei eingebettet. So gespeichert und weitergeleitet, ist das bei einem Datenleck oder einer Fehlhandhabung eine echte Gefährdung. Faktisch eine Kundenadresse, die an einer Bilddatei hängt.
Die Lösung ist einfach und sollte bei jedem Konfigurator, der Kunden-Uploads verarbeitet, Standard sein: das Bild dekodieren, prüfen, dass es wirklich ein Bild ist (kein getarnter Dateityp, ein grundlegender Sicherheits- wie Datenschutzschritt zugleich), auf ein sinnvolles Maximum verkleinern und neu kodieren, wodurch EXIF/GPS und andere eingebettete Metadaten im Zuge dessen entfernt werden. Fragen Sie einen Anbieter direkt: „Werden Kundenfotos serverseitig neu kodiert, oder genau wie hochgeladen gespeichert?“ Die Antwort sollte Ersteres sein.
Aufbewahrung
Der Grundsatz der Speicherbegrenzung der DSGVO bedeutet, dass personenbezogene Daten nicht unbegrenzt „für alle Fälle“ aufbewahrt werden sollten. Ein Konfigurator-Anbieter sollte angeben können (und Ihnen im angemessenen Rahmen erlauben zu konfigurieren), wie lange Anfragedaten, Angebote und Fotos aufbewahrt werden, und dass abgelehnte Anfragen und abgelaufene Angebote tatsächlich entfernt werden statt standardmäßig für immer aufbewahrt zu bleiben. Hat ein Anbieter keine festgelegte Aufbewahrungsrichtlinie, ist das eine Lücke, die Sie direkt ansprechen sollten, statt anzunehmen, dass sie geregelt ist.
Consent für Tracking-Pixel
Die meisten Konfiguratoren lösen Conversion-Tracking aus (Google Ads, Meta, TikTok) bei Angebotsanfragen, da die Anfrage das natürliche „Conversion“-Ereignis für ein Unternehmen im Außenbereich ist, das Werbung schaltet. Diese Pixel unterliegen selbst den Cookie-Consent-Regeln in der EU (ePrivacy, neben der DSGVO durchgesetzt). Sie sollten erst nach erteiltem Consent auslösen, nicht standardmäßig beim Laden der Seite. Prüfen Sie, dass die Tracking-Snippets des Konfigurators Consent-gesteuert sind (und, falls auf Ihrer bestehenden Website eingebunden, dass dieses Gating auch innerhalb des Embeds respektiert wird, siehe Konfigurator einbinden in WordPress, Shopify oder Webflow), statt bedingungslos auszulösen.
Export und Löschung auf Anfrage
Ein Kunde hat nach der DSGVO ein Auskunfts- und ein Löschungsrecht. Bestätigen Sie, dass der Konfigurator es Ihnen erlaubt, die Daten eines bestimmten Kunden (Anfragen, Angebote, Fotos) zu finden, zu exportieren und auf Anfrage in praktikabler Zeit zu löschen. Das ist eine grundlegende operative Fähigkeit, die eine Plattform, die Kundendaten verarbeitet, bereits mitbringen sollte, keine individuelle Entwicklungsanfrage, die Sie extra stellen müssten.
Zusammengefasst
Nichts davon ist exotisch, wenn man es so aufschlüsselt. Es ist dieselbe Sorgfalt, die Sie hoffentlich schon auf jedes Formular oder CRM anwenden, das Kundendaten hält. Die konfiguratorspezifischen Ergänzungen sind die Foto-Metadaten-Frage und die reichhaltigeren Daten, die ein Aufmaßtermin mit sich bringt (eine bestätigte Hausadresse und ein Termin, nicht nur eine E-Mail-Adresse). Gehen Sie die obige Checkliste mit jedem Anbieter durch, bevor die Daten Ihrer Kunden hindurchfließen. Ein Fünf-Minuten-Gespräch, das deutlich einfacher vor dem Start ist als nach einer Datenanfrage eines Kunden oder einer Nachfrage einer Aufsichtsbehörde.
Die größere Kaufentscheidung, zu der diese Checkliste gehört, behandelt unser Kaufratgeber für 3D-Produktkonfiguratoren. Wenn Sie Hosting und Datenverarbeitung direkt besprechen möchten, buchen Sie eine 30-minütige Führung.
