Amazon Datenschutz 2026: Was Händler beim Umgang mit Kundendaten beachten müssen

Buyer-Seller-Messaging ist der einzige zulässige Kanal für direkte Kundenkommunikation auf Amazon – Nachrichten laufen über Amazons eigenes System, das die E-Mail-Adresse des Käufers maskiert. Kundendaten aus Bestellungen dürfen nicht für Marketing außerhalb Amazons genutzt werden, das gilt als klarer Richtlinienverstoß.

Zusätzlich greift ab bestimmten Umsatzgrenzen die DAC7-Meldepflicht: Amazon muss Verkäuferdaten wie Umsatz, IBAN und Steuer-ID an Finanzbehörden melden, betroffen sind Verkäufer ab 2.000 Euro Jahresumsatz oder mindestens 30 Transaktionen im Jahr.

Parallel gilt die DSGVO vollumfänglich – Sie als Händler sind für Kundendaten, die Sie etwa für Rechnungen oder Support erhalten, selbst datenschutzrechtlich verantwortlich. Der Bußgeldrahmen reicht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Für Amazon-Händler in DACH bedeutet das 2026: Datenschutz ist kein reines Amazon-Thema, sondern eine eigene rechtliche Verantwortung, die parallel zu den Amazon-Richtlinien besteht und ernst genommen werden muss.

Dieser Artikel ordnet die drei wichtigsten Datenschutz-Baustellen für Amazon-Händler ein – Buyer-Seller-Messaging, DAC7 und DSGVO – und zeigt konkrete Schritte, mit denen Sie Ihr Konto rechtssicher aufstellen. AMZ+ Consulting begleitet Amazon-Händler regelmäßig bei genau diesen Compliance-Fragen im Tagesgeschäft.

Buyer-Seller-Messaging: Der einzige zulässige Kommunikationskanal

Amazon erlaubt Händlern grundsätzlich keinen direkten Zugriff auf die E-Mail-Adresse eines Käufers.

Jede Kommunikation läuft stattdessen über das Buyer-Seller-Messaging-System, das die tatsächliche E-Mail-Adresse des Kunden hinter einer anonymisierten Amazon-Adresse verbirgt. Das schützt die Privatsphäre der Käufer und stellt gleichzeitig sicher, dass Amazon die Kontrolle über die Kommunikation zwischen Käufer und Verkäufer behält.

Für Sie als Händler bedeutet das: Selbst wenn Sie im Rahmen einer Bestellung Zugriff auf Name und Lieferadresse eines Kunden erhalten, dürfen Sie diese Daten nicht nutzen, um den Kunden außerhalb von Amazon zu kontaktieren, etwa für eigene E-Mail-Marketing-Kampagnen, Newsletter oder Cross-Selling-Aktionen auf anderen Plattformen.

Das gilt unabhängig davon, ob Sie die Kontaktdaten über die Bestellung, eine Rechnung oder ein Retourenformular erhalten haben.

Ein Verstoß gegen diese Regel zählt zu den Verstößen, die Amazon besonders konsequent verfolgt, da sie direkt gegen das Vertrauensversprechen gegenüber Käufern verstößt. Sanktionen reichen von Abmahnungen über die Sperrung einzelner Funktionen bis hin zur vollständigen Kontosperrung bei wiederholten oder schwerwiegenden Verstößen.

Praktisch bedeutet das für Ihren Arbeitsalltag: Jede automatisierte Nachricht, jede Bestellbestätigung mit Zusatzinformationen und jede Serviceanfrage muss über das offizielle Buyer-Seller-Messaging-System laufen, nicht über ein externes CRM-Tool mit direktem E-Mail-Versand. Wenn Sie Software zur Automatisierung von Kundenanfragen einsetzen, prüfen Sie explizit, ob diese über die offizielle Amazon-Schnittstelle kommuniziert oder versucht, die Maskierung zu umgehen – Letzteres ist ein Compliance-Risiko, das Sie unbedingt vermeiden sollten.

Mehr zu den technischen und praktischen Details des Buyer-Seller-Messagings, einschließlich zulässiger Antwortzeiten und Formulierungsregeln, finden Sie in unserem Artikel Amazon Buyer-Seller-Nachrichten 2026.

Ein häufiger Praxisfehler entsteht, wenn Händler Retourenanfragen oder Reklamationen außerhalb von Amazon abwickeln, etwa über eine im Paket beigelegte Visitenkarte mit privater E-Mail-Adresse. Auch wenn die Absicht meist ein besserer Kundenservice ist, verstößt dieses Vorgehen gegen die Amazon-Richtlinien, sobald daraus eine Kommunikation außerhalb des offiziellen Systems entsteht. Halten Sie deshalb auch bei Serviceanliegen konsequent am Buyer-Seller-Messaging fest, selbst wenn ein direkter Kontakt operativ einfacher erscheint.

DAC7-Meldepflicht: Was Amazon an Finanzbehörden übermittelt

DAC7 ist eine EU-Richtlinie, die digitale Plattformen wie Amazon verpflichtet, Verkäuferdaten automatisch an die zuständigen Finanzbehörden zu melden.

Betroffen sind Amazon-Händler, die entweder mindestens 2.000 Euro Jahresumsatz über die Plattform erzielen oder mindestens 30 Transaktionen im Jahr abwickeln – wobei bereits das Erreichen einer der beiden Schwellen die Meldepflicht auslöst. Für die allermeisten aktiven Amazon-Händler in DACH bedeutet das: Sie sind von DAC7 betroffen, unabhängig davon, ob es sich um ein Nebengewerbe oder ein etabliertes Unternehmen handelt.

Zu den gemeldeten Daten zählen unter anderem der erzielte Umsatz, die IBAN des hinterlegten Bankkontos sowie die Steuer-Identifikationsnummer des Verkäufers.

Diese Informationen übermittelt Amazon automatisch an die Finanzbehörde des Landes, in dem der Verkäufer steuerlich ansässig ist. Für Sie als Händler entsteht daraus keine zusätzliche Meldepflicht gegenüber Amazon – die Daten werden ohnehin bereits bei der Kontoeinrichtung erfasst. Wichtig ist jedoch, dass die in Seller Central hinterlegten Daten korrekt und aktuell sind, da Abweichungen zwischen gemeldeten und tatsächlich versteuerten Umsätzen zu Rückfragen der Finanzbehörden führen können.

DAC7 ist damit weniger ein Datenschutzthema im engeren Sinn als vielmehr ein Transparenzinstrument der Steuerbehörden, hat aber direkte Berührungspunkte zum Datenschutz, da es um die automatisierte Übermittlung personenbezogener und finanzieller Daten an staatliche Stellen geht.

Wer als Amazon-Händler ohnehin regelmäßig mit steuerlichen Meldepflichten auf mehreren Marktplätzen zu tun hat, findet einen umfassenderen Überblick in unserem Artikel Marktplatz Steuern, OSS und DAC7 2026, der die verschiedenen Meldepflichten im Zusammenhang einordnet.

Für Händler, die auf mehreren Marktplätzen gleichzeitig aktiv sind, kommt eine zusätzliche Komplexität hinzu: Jeder Marktplatz hat eigene Regeln für den Umgang mit Kundendaten, auch wenn die zugrunde liegende DSGVO für alle gleichermaßen gilt. Einen marktplatzübergreifenden Überblick über die datenschutzrechtliche Verantwortung von Händlern liefert unser Artikel Marktplatz Kundendaten und DSGVO 2026, der zeigt, wie sich einheitliche interne Prozesse über mehrere Kanäle hinweg aufbauen lassen, statt für jeden Marktplatz eine eigene Insellösung zu pflegen.

In 6 Schritten Ihr Amazon-Konto datenschutzkonform aufstellen

So stellen Sie sicher, dass Ihr Umgang mit Kundendaten sowohl den Amazon-Richtlinien als auch der DSGVO entspricht:

1. Alle Kundendaten-Berührungspunkte identifizieren: Erfassen Sie, an welchen Stellen Sie Zugriff auf personenbezogene Kundendaten erhalten – Bestellungen, Rechnungen, Retouren, Support-Anfragen über Buyer-Seller-Messaging.
2. Nutzungszwecke klar begrenzen: Definieren Sie schriftlich, dass Kundendaten aus Amazon-Bestellungen ausschließlich für die Bestellabwicklung, Rechnungsstellung und den gesetzlich vorgeschriebenen Support genutzt werden – niemals für Marketing außerhalb der Plattform.
3. Interne Zugriffsrechte einschränken: Stellen Sie sicher, dass nur Mitarbeitende, die Kundendaten für ihre Aufgabe tatsächlich benötigen, Zugriff auf Bestell- und Kontaktdaten haben.
4. Löschfristen für Kundendaten festlegen: Prüfen Sie, wie lange Sie Kundendaten aus abgeschlossenen Bestellungen aufbewahren müssen, etwa aus steuerlichen Gründen, und löschen Sie Daten, die über diese Fristen hinaus nicht mehr benötigt werden.
5. Auftragsverarbeitungsverträge prüfen: Wenn Sie externe Tools zur Bestellabwicklung, für Rechnungen oder für Kundenservice einsetzen, stellen Sie sicher, dass mit jedem Anbieter ein Auftragsverarbeitungsvertrag gemäß DSGVO besteht.
6. Verantwortlichkeiten dokumentieren: Halten Sie schriftlich fest, wer in Ihrem Unternehmen für Datenschutzfragen zuständig ist, und stellen Sie sicher, dass diese Person bei DSGVO-relevanten Vorfällen informiert wird.

Dieser Prozess muss nicht aufwendig sein, sollte aber einmal grundlegend durchgeführt und danach regelmäßig aktualisiert werden, insbesondere wenn neue Tools oder Vertriebskanäle hinzukommen.

Gerade bei wachsenden Amazon-Konten mit mehreren Mitarbeitenden im Kundenservice ist Schritt 3 entscheidend, da unklare Zugriffsrechte eines der häufigsten praktischen Datenschutzrisiken im Tagesgeschäft darstellen. AMZ+ Consulting unterstützt Amazon-Händler dabei, diese Prozesse in bestehende Abläufe zu integrieren, ohne den operativen Alltag zu verlangsamen.

Rechenbeispiel: Das Bußgeldrisiko realistisch einordnen

Rechenbeispiel: Ein Amazon-Händler mit einem Jahresumsatz von 800.000 Euro nutzt Kundendaten aus Amazon-Bestellungen versehentlich für eine externe E-Mail-Marketing-Kampagne, weil ein neues CRM-Tool automatisch alle verfügbaren Kontaktdaten importiert hat.

Der DSGVO-Bußgeldrahmen sieht bei einem Verstoß dieser Art bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Bei einem Jahresumsatz von 800.000 Euro würde die 4-Prozent-Grenze rechnerisch bei 32.000 Euro liegen – deutlich unter der absoluten Obergrenze von 20 Millionen Euro, aber dennoch ein Betrag, der für einen mittelständischen Amazon-Händler erheblich ins Gewicht fällt.

Wichtig für die Einordnung: Der tatsächlich verhängte Bußgeldbetrag hängt von zahlreichen Faktoren ab, darunter Schwere des Verstoßes, Anzahl betroffener Personen, Kooperationsbereitschaft und ob es sich um einen erstmaligen oder wiederholten Verstoß handelt. Nicht jeder Verstoß führt automatisch zur Höchststrafe.

Zusätzlich zum reinen Bußgeldrisiko drohen bei einem Verstoß gegen Amazon-Richtlinien parallel Sanktionen durch Amazon selbst, bis hin zur Kontosperrung – ein Risiko, das für viele Händler wirtschaftlich schwerer wiegt als das Bußgeld selbst, da der Zugang zum wichtigsten Vertriebskanal komplett wegfallen kann.

Diese doppelte Risikoebene – DSGVO-Bußgeld einerseits, Amazon-Sanktion andererseits – macht deutlich, warum ein sauberer Umgang mit Kundendaten kein optionales Extra, sondern eine geschäftskritische Voraussetzung ist. Wenn Sie unsicher sind, wie gut Ihr Konto aktuell aufgestellt ist, klären wir das gerne im kostenlosen Erstgespräch.

Hinzu kommt ein Reputationsrisiko, das sich finanziell schwer beziffern lässt, aber real ist: Ein bekannt gewordener Datenschutzverstoß beschädigt das Vertrauen von Kunden und Geschäftspartnern nachhaltig und kann sich auch auf Bewertungen und die langfristige Kundenbindung auswirken. AMZ+ Consulting empfiehlt deshalb, Datenschutz nicht als reine Pflichtübung, sondern als festen Bestandteil des Qualitätsversprechens gegenüber Kunden zu verstehen.

Was Sie jetzt tun können

Prüfen Sie zunächst, ob in Ihrem Unternehmen aktuell irgendwo Kundendaten aus Amazon-Bestellungen für Zwecke außerhalb der reinen Bestellabwicklung genutzt werden, insbesondere in CRM- oder Marketing-Tools.

Kontrollieren Sie, ob alle in Seller Central hinterlegten Daten wie IBAN und Steuer-ID aktuell und korrekt sind, um Rückfragen im Rahmen der DAC7-Meldung zu vermeiden. Stellen Sie sicher, dass Ihr Kundenservice-Team ausschließlich über das offizielle Buyer-Seller-Messaging-System kommuniziert und keine externen E-Mail-Kanäle für die Amazon-Kundenkommunikation nutzt.

Dokumentieren Sie Ihre internen Zugriffsrechte auf Kundendaten und legen Sie klare Löschfristen fest.

Wenn Sie mehrere Marktplätze parallel betreiben, prüfen Sie zusätzlich, ob Ihre internen Datenschutzprozesse einheitlich über alle Kanäle hinweg gelten oder ob sich für Amazon, Otto, Kaufland und weitere Marktplätze unterschiedliche, inkonsistente Regeln eingeschlichen haben.

Wenn Sie diesen Prozess strukturiert und mit Blick auf Ihr konkretes Geschäftsmodell durchgehen möchten, ist ein Erstgespräch mit AMZ+ Consulting der richtige nächste Schritt, um Risiken frühzeitig zu erkennen statt erst nach einem Vorfall zu reagieren.

FAQ: Häufige Fragen zu Amazon Datenschutz und Kundendaten

Darf ich Kundendaten aus Amazon-Bestellungen für eigenes E-Mail-Marketing nutzen?

Nein. Kundendaten aus Amazon-Bestellungen dürfen nicht für Marketing außerhalb der Plattform genutzt werden, das gilt als klarer Verstoß gegen Amazon-Richtlinien und kann zusätzlich datenschutzrechtliche Konsequenzen nach sich ziehen.

Was ist der Unterschied zwischen Buyer-Seller-Messaging und normaler E-Mail?

Buyer-Seller-Messaging maskiert die tatsächliche E-Mail-Adresse des Käufers hinter einer anonymisierten Amazon-Adresse und ist der einzige zulässige Kanal für direkte Kundenkommunikation. Normale E-Mail-Kommunikation mit der echten Kundenadresse außerhalb dieses Systems ist nicht zulässig.

Wer ist von der DAC7-Meldepflicht betroffen?

Betroffen sind Amazon-Verkäufer, die entweder mindestens 2.000 Euro Jahresumsatz oder mindestens 30 Transaktionen im Jahr über die Plattform erzielen. Bereits eine der beiden Schwellen reicht aus, um die Meldepflicht auszulösen.

Welche Daten meldet Amazon im Rahmen von DAC7?

Amazon meldet unter anderem den erzielten Umsatz, die hinterlegte IBAN und die Steuer-Identifikationsnummer des Verkäufers an die zuständige Finanzbehörde. Diese Meldung erfolgt automatisch, ohne dass der Händler selbst zusätzlich aktiv werden muss.

Bin ich als Amazon-Händler für Kundendaten selbst datenschutzrechtlich verantwortlich?

Ja. Sie sind für Kundendaten, die Sie im Rahmen von Rechnungen, Support oder Retouren erhalten, selbst nach DSGVO verantwortlich, auch wenn die Kommunikation grundsätzlich über Amazon läuft.

Wie hoch kann ein DSGVO-Bußgeld für Amazon-Händler ausfallen?

Der Bußgeldrahmen reicht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher liegt. Die tatsächliche Höhe hängt von Schwere und Umständen des jeweiligen Verstoßes ab.

Muss ich für externe Tools, die Kundendaten verarbeiten, einen Vertrag abschließen?

Ja. Für jeden externen Anbieter, der in Ihrem Auftrag personenbezogene Kundendaten verarbeitet, etwa CRM- oder Versandtools, benötigen Sie einen Auftragsverarbeitungsvertrag gemäß DSGVO.

Über den Autor Jorginho Engelmeyer ist Geschäftsführer der AMZ+ Consulting GmbH und seit über 8 Jahren auf Amazon, Otto und Kaufland für Händler aktiv. → Kostenloses Erstgespräch buchen

Zuletzt aktualisiert: 10. August 2026