DSGVO im Marktplatzhandel 2026: Auskunft und Löschkonzept

Die kurze Antwort: Als Marktplatzhändler brauchen Sie zwei Dinge, die viele Betriebe noch nicht haben — einen belastbaren Ablauf für Auskunftsersuchen nach Art. 15 DSGVO und ein dokumentiertes Löschkonzept.

Die Auskunft müssen Sie unverzüglich erteilen, spätestens innerhalb eines Monats nach Eingang des Antrags. Bei komplexen Fällen können Sie die Frist um zwei weitere Monate verlängern, müssen die betroffene Person darüber aber innerhalb des ersten Monats informieren (Art. 12 Abs. 3 DSGVO).

Beim Löschen gilt: Art. 17 DSGVO verpflichtet Sie zur Löschung, aber handels- und steuerrechtliche Aufbewahrungspflichten gehen vor. Buchungsbelege wie Rechnungen müssen seit dem 1. Januar 2025 acht Jahre aufbewahrt werden, Bücher und Jahresabschlüsse weiterhin zehn Jahre (Stand: August 2026, Quelle: § 147 AO, § 257 HGB).

Dieser Beitrag ersetzt keine Rechtsberatung.

Warum der Marktplatzhandel hier besonders angreifbar ist

Ein stationärer Händler hat typischerweise ein Kassensystem und eine Buchhaltung. Ein Marktplatzhändler hat Seller Central, das Otto-Partnerportal, das Kaufland-Backend, ein eBay-Konto, eine Warenwirtschaft, ein Versandsystem, ein Retourenportal, ein Newsletter-Tool, ein Helpdesk-System und mindestens einen Cloud-Speicher.

In jedem dieser Systeme liegen personenbezogene Daten. Und genau das ist das Problem bei einem Auskunftsersuchen: Sie müssen vollständig antworten, nicht nur aus dem System, das Ihnen zuerst einfällt.

⚠️ Der zweite Punkt ist die Rollenfrage. Bei Marktplatzverkäufen sind Sie in der Regel Verantwortlicher für die Daten Ihrer Kunden, auch wenn Sie viele davon nur in pseudonymisierter Form vom Marktplatz erhalten. Der Marktplatz ist dabei nicht Ihr Auftragsverarbeiter, sondern selbst Verantwortlicher für seine eigenen Verarbeitungen.

Diese Abgrenzung entscheidet darüber, was Sie beauskunften müssen und was Sie an den Marktplatz verweisen dürfen.

Der dritte Punkt ist der Zeitdruck. Ein Monat klingt komfortabel. Wenn das Ersuchen aber im allgemeinen Support-Postfach landet, dort drei Wochen zwischen Retourenanfragen liegt und erst dann als DSGVO-Fall erkannt wird, bleibt Ihnen eine Woche für die Recherche über zehn Systeme.

Genau so entstehen Fristversäumnisse — nicht aus Unwillen, sondern aus fehlender Erkennung.

Hinzu kommt: Datenschutzmängel treten selten allein auf. Eine unvollständige Datenschutzerklärung oder ein fehlerhafter Cookie-Hinweis auf der eigenen Website wird häufig im selben Zug beanstandet. Welche Angriffspunkte dabei typisch sind, lesen Sie unter Abmahnungen im Marktplatzhandel vermeiden.

💡 Der Bußgeldrahmen für Verstöße gegen Betroffenenrechte liegt bei bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Realistisch relevanter ist für die meisten Händler jedoch etwas anderes: Auskunftsersuchen werden zunehmend als Druckmittel in Streitfällen eingesetzt.

Der vierte Punkt ist das Zusammenspiel mit der Buchhaltung. Kundendaten hängen an Rechnungen, und Rechnungen unterliegen Aufbewahrungspflichten. Wer pauschal löscht, verletzt steuerliche Pflichten. Wer pauschal aufbewahrt, verletzt die DSGVO. Wie Sie Kundendaten sauber strukturieren, lesen Sie unter CRM und Kundendaten im Marktplatzhandel.

Auskunft und Löschung: Was tatsächlich gefordert ist

Bei der Auskunft nach Art. 15 DSGVO schulden Sie zwei Dinge: eine Kopie der verarbeiteten personenbezogenen Daten und eine Reihe von Zusatzinformationen.

Zu den Zusatzinformationen gehören die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer oder die Kriterien für ihre Festlegung, der Hinweis auf die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, das Beschwerderecht bei einer Aufsichtsbehörde, die Herkunft der Daten sowie Angaben zu automatisierter Entscheidungsfindung.

✅ In der Praxis scheitern Auskünfte selten an der Datenkopie, sondern an diesen Zusatzinformationen. Bereiten Sie sie deshalb einmal als Standardtext vor, statt sie bei jedem Fall neu zu formulieren.

Bei der Löschung nach Art. 17 DSGVO ist die Ausgangslage anders. Der Anspruch besteht, wenn der Zweck entfallen ist, eine Einwilligung widerrufen wurde oder Daten unrechtmäßig verarbeitet wurden.

Er besteht aber ausdrücklich nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 DSGVO).

Genau hier greifen die steuerlichen und handelsrechtlichen Fristen. Die aktuelle Lage sieht so aus:

Acht Jahre für Buchungsbelege, also insbesondere Rechnungen. Diese Frist wurde durch das Vierte Bürokratieentlastungsgesetz von zehn auf acht Jahre verkürzt und gilt seit dem 1. Januar 2025 für alle Belege, deren Frist zu diesem Zeitpunkt noch nicht abgelaufen war (Stand: August 2026, Quelle: § 147 Abs. 1 Nr. 4 i. V. m. Abs. 3 AO, § 257 HGB).

Zehn Jahre für Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse und Lageberichte.

Sechs Jahre für empfangene und abgesandte Handels- und Geschäftsbriefe.

⚠️ Diese Verkürzung ist datenschutzrechtlich kein Randthema. Wenn Ihr Löschkonzept noch von zehn Jahren für Rechnungen ausgeht, speichern Sie personenbezogene Daten zwei Jahre länger als erforderlich — und das ist ein eigenständiger DSGVO-Verstoß.

Welche Belege in welche Kategorie fallen, klären Sie am besten gemeinsam mit Ihrer Buchhaltung — die Grundlagen dazu finden Sie unter Buchhaltung im Marktplatzhandel.

Wichtig ist außerdem die Einschränkung statt Löschung. Daten, die Sie nur wegen einer Aufbewahrungspflicht halten, dürfen Sie nicht mehr für Marketing, Analyse oder Kundenbetreuung nutzen. Der saubere Weg ist eine Sperrung mit Zweckbindung: technisch getrennt, zugriffsbeschränkt, ausschließlich für steuerliche Zwecke.

Für solche gesperrten Datenbestände sieht § 34 BDSG zudem eine Einschränkung des Auskunftsrechts vor, wenn die Daten nur wegen gesetzlicher Aufbewahrungsvorschriften gespeichert sind und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.

In 7 Schritten: So bauen Sie Auskunftsprozess und Löschkonzept auf

1. Verarbeitungsverzeichnis aktualisieren. Listen Sie alle Systeme auf, in denen personenbezogene Daten liegen — inklusive Versanddienstleister, Retourenportal, Helpdesk, Newsletter-Tool und Tabellen auf lokalen Rechnern. Ohne diese vollständige Übersicht können Sie weder vollständig Auskunft erteilen noch vollständig löschen.

2. Datenkategorien und Zwecke je System festlegen. Ordnen Sie jedem System zu, welche Datenkategorien es enthält, zu welchem Zweck sie verarbeitet werden und auf welcher Rechtsgrundlage. Diese Zuordnung ist die Grundlage für alles Weitere und lässt sich in einer einfachen Tabelle abbilden.

3. Löschfristen je Datenkategorie definieren. Legen Sie für jede Kategorie eine konkrete Frist fest und begründen Sie sie schriftlich mit der jeweiligen Rechtsgrundlage. Setzen Sie Rechnungen auf acht Jahre, Bücher und Abschlüsse auf zehn Jahre und Handelsbriefe auf sechs Jahre — und prüfen Sie ausdrücklich, ob Ihr System noch mit alten Zehnjahresregeln arbeitet.

4. Sperr- statt Löschmechanismus einrichten. Sorgen Sie dafür, dass Daten, die nur noch aus steuerlichen Gründen vorgehalten werden, technisch von der operativen Nutzung getrennt sind. Ein Kennzeichen im Datensatz reicht nur dann, wenn es tatsächlich alle Marketing- und Analyseprozesse ausschließt.

5. Eingangskanal für Betroffenenanfragen schaffen. Richten Sie eine eigene Adresse ein, schulen Sie den Support auf die Erkennung von Anfragen und dokumentieren Sie jeden Eingang mit Datum. Die Monatsfrist läuft ab Eingang, nicht ab dem Zeitpunkt, an dem jemand die Anfrage als DSGVO-Fall erkennt.

6. Standardvorlagen und Prüfschritte hinterlegen. Erstellen Sie eine Auskunftsvorlage mit allen Pflichtangaben aus Art. 15 DSGVO, eine Vorlage für die Fristverlängerung und eine Checkliste, welche Systeme abgefragt werden müssen. Ergänzen Sie einen Schritt zur Identitätsprüfung, damit Sie Daten nicht an Unbefugte herausgeben.

7. Jährlich testen und protokollieren. Führen Sie einmal im Jahr ein simuliertes Auskunftsersuchen durch und messen Sie, wie lange die vollständige Beantwortung dauert. Halten Sie Ergebnis und Verbesserungen schriftlich fest, denn die Nachweispflicht nach Art. 5 Abs. 2 DSGVO trifft Sie.

Rechenbeispiel: Der Aufwand eines Auskunftsersuchens mit und ohne Konzept

Rechenbeispiel: Angenommen, ein Händler verkauft über vier Marktplätze und nutzt insgesamt neun Systeme mit personenbezogenen Daten. Ein Kunde stellt ein Auskunftsersuchen nach Art. 15 DSGVO und verlangt zusätzlich Löschung.

Ohne Löschkonzept beginnt die Recherche bei null. Realistisch sind vier bis sechs Stunden für die Systemsuche, zwei Stunden für die Zusammenstellung der Datenkopie, zwei Stunden für die Formulierung der Zusatzinformationen und mindestens eine Stunde Abstimmung mit dem Steuerberater zur Frage, welche Daten aufbewahrungspflichtig sind. Bei anwaltlicher Prüfung kommen leicht weitere Kosten hinzu.

Setzt man neun interne Stunden zu 60 Euro an, sind das 540 Euro, plus mögliche externe Beratung. Das für einen einzigen Vorgang.

Mit dokumentiertem Löschkonzept und Standardvorlagen reduziert sich derselbe Vorgang auf etwa eine bis zwei Stunden: Systeme nach Checkliste abfragen, Datenkopie exportieren, Vorlage befüllen, gesperrte Datenbestände korrekt ausweisen. Das sind rund 90 Euro.

Der Aufbau des Konzepts kostet einmalig geschätzt drei bis fünf Arbeitstage, je nach Systemlandschaft, plus anwaltliche Prüfung.

💰 Bei zehn Anfragen pro Jahr amortisiert sich der Aufwand allein über die Bearbeitungszeit im zweiten Jahr. Der eigentliche Wert liegt aber im vermiedenen Risiko: eine versäumte Monatsfrist ist ein dokumentierter Verstoß gegen Art. 12 DSGVO, und der lässt sich nachträglich nicht heilen.

Wichtig: Das ist ein Rechenbeispiel zur Größenordnung. Ihr tatsächlicher Aufwand hängt von Systemzahl, Datenmenge und interner Organisation ab.

Sie wollen Ihr Marktplatz-Geschäft nicht länger nebenbei steuern? AMZ+ Consulting bringt Struktur in Ihre Prozesse über Amazon, Otto, Kaufland und eBay — von Stammdaten und Kundenkommunikation bis zur sauberen Dokumentation. Jetzt kostenloses Erstgespräch buchen →

Datenhygiene ist auch eine Steuerungsfrage

Ein Löschkonzept wird oft als reine Pflichtübung behandelt. In der Praxis ist es auch eine Datenqualitätsmaßnahme.

Wer weiß, welche Daten in welchem System zu welchem Zweck liegen, hat nebenbei die Grundlage geschaffen, um kanalübergreifend zu steuern statt kanalweise zu raten.

Genau darauf setzt MarketplAIce auf, unsere eigene KI-Plattform. Sie steuert Repricing, Bestandsdisposition und Werbegebote vorausschauend über Amazon, Otto und Kaufland hinweg — und arbeitet dabei mit Bestell-, Bestands- und Wettbewerbsdaten, nicht mit personenbezogenen Kundendaten für Werbezwecke.

Diese Trennung ist bewusst: Für Preis- und Bestandsprognosen brauchen Sie Transaktions- und Marktdaten, keine Personenprofile. Wer das sauber trennt, senkt sein Datenschutzrisiko und verliert dabei nichts an Steuerungsqualität.

Mehr zur Plattform finden Sie unter marketplaice.io. Ob und wie das zu Ihrem Setup passt, klären wir am besten im Gespräch.

Was Sie jetzt tun können

• Listen Sie alle Systeme auf, in denen personenbezogene Daten Ihrer Kunden liegen — auch lokale Tabellen.
• Prüfen Sie, ob Ihr Löschkonzept noch von zehn Jahren für Rechnungen ausgeht statt von acht.
• Richten Sie einen eigenen Eingangskanal für Betroffenenanfragen ein und dokumentieren Sie das Eingangsdatum.
• Erstellen Sie eine Auskunftsvorlage mit allen Pflichtangaben aus Art. 15 DSGVO.
• Klären Sie, wie Sie aufbewahrungspflichtige Daten technisch von der operativen Nutzung trennen.
• Führen Sie einmal ein simuliertes Auskunftsersuchen durch und messen Sie die Bearbeitungsdauer.

Wenn Sie ein kleines Sortiment auf einem Kanal führen und mit zwei Systemen arbeiten, ist das ein überschaubares Projekt für einen Nachmittag. Dafür brauchen Sie weder AMZ+ Consulting noch eine Kanzlei — nur einen konzentrierten Termin.

Bei zehn Systemen und vier Kanälen sollten Sie es dagegen nicht nebenbei erledigen. AMZ+ Consulting übernimmt in solchen Fällen die Systeminventur und die Prozessdokumentation, während die rechtliche Bewertung bei einer spezialisierten Kanzlei bleibt.

FAQ: Häufige Fragen zur DSGVO im Marktplatzhandel

Wie lange habe ich Zeit für eine Auskunft nach Art. 15 DSGVO?

Sie müssen unverzüglich reagieren, spätestens innerhalb eines Monats nach Eingang des Antrags. Bei komplexen oder zahlreichen Anfragen können Sie um zwei weitere Monate verlängern, müssen die betroffene Person aber innerhalb des ersten Monats unter Angabe der Gründe darüber informieren (Art. 12 Abs. 3 DSGVO).

Muss ich Kundendaten löschen, obwohl steuerliche Aufbewahrungsfristen laufen?

Nein. Nach Art. 17 Abs. 3 DSGVO besteht der Löschanspruch nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Sie müssen die Daten aber einschränken: keine Nutzung mehr für Marketing, Analyse oder Kundenbetreuung, sondern ausschließlich für den steuerlichen Zweck.

Wie lange muss ich Rechnungen 2026 aufbewahren?

Buchungsbelege wie Rechnungen unterliegen seit dem 1. Januar 2025 einer Aufbewahrungsfrist von acht statt zehn Jahren, eingeführt durch das Vierte Bürokratieentlastungsgesetz (Stand: August 2026, Quelle: § 147 Abs. 1 Nr. 4 i. V. m. Abs. 3 AO, § 257 HGB). Bücher, Inventare, Jahresabschlüsse und Lageberichte bleiben bei zehn Jahren, Handels- und Geschäftsbriefe bei sechs Jahren.

Bin ich für Kundendaten aus Marktplatzverkäufen überhaupt verantwortlich?

In der Regel ja, für die Verarbeitungen in Ihren eigenen Systemen. Der Marktplatz ist für seine eigenen Verarbeitungen selbst Verantwortlicher und nicht Ihr Auftragsverarbeiter. Für Daten, die ausschließlich beim Marktplatz liegen, dürfen Sie an diesen verweisen.

Muss ich vor der Auskunft die Identität prüfen?

Ja, und das sollten Sie ernst nehmen. Wenn begründete Zweifel an der Identität bestehen, dürfen Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6 DSGVO). Eine Auskunft an die falsche Person ist ihrerseits ein Datenschutzverstoß.

Darf ich für eine Auskunft ein Entgelt verlangen?

Grundsätzlich nicht. Die erste Kopie ist unentgeltlich zur Verfügung zu stellen. Für weitere Kopien dürfen Sie ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangen, und bei offenkundig unbegründeten oder exzessiven Anträgen bestehen ebenfalls Möglichkeiten — diese Ausnahmen sind aber eng auszulegen.

Was ist der häufigste Fehler beim Löschkonzept?

Der häufigste Fehler ist ein Konzept, das auf dem Papier existiert, aber technisch nicht umgesetzt ist. Der zweithäufigste ist eine veraltete Fristenliste: Viele Konzepte gehen für Rechnungen noch von zehn Jahren aus, obwohl seit 2025 acht Jahre gelten — und speichern damit länger als erforderlich.

Sie wollen Ihre Marktplatz-Prozesse sauber und nachweisbar aufsetzen? AMZ+ Consulting bringt Systeme, Daten und Abläufe über alle Kanäle in eine Struktur, die auch einer Prüfung standhält. Einen Überblick über unsere Arbeit finden Sie unter Leistungen. Jetzt kostenloses Erstgespräch buchen →

Über den Autor Jorginho Engelmeyer ist Geschäftsführer der AMZ+ Consulting GmbH und seit über 8 Jahren auf Amazon, Otto und Kaufland für Händler aktiv. → Kostenloses Erstgespräch buchen

Zuletzt aktualisiert: 27. August 2026

Hinweis: Dieser Beitrag gibt den Stand August 2026 wieder und ersetzt keine Rechtsberatung. Lassen Sie Ihr Löschkonzept und Ihre Auskunftsvorlagen von einer auf Datenschutzrecht spezialisierten Kanzlei prüfen.