Temu Datenschutz 2026: DSGVO-Pflichten für Händler

Auch wenn Temu (betrieben von Whaleco Technology Limited, Irland) als Plattform die zentrale Datenverarbeitung übernimmt, bleiben Sie als Händler für personenbezogene Kundendaten, die Sie etwa für Support oder Rechnungsstellung erhalten, selbst DSGVO-verantwortlich – mit einem Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Am 28. Mai 2026 verhängte die EU-Kommission ein Bußgeld von 200 Millionen Euro gegen Temu wegen Verstößen gegen den Digital Services Act – ein Signal, dass Aufsichtsbehörden 2026 konsequenter durchgreifen als in den Vorjahren.

Für Händler auf Temu heißt das: Wer glaubt, die Plattform übernehme sämtliche Datenschutzpflichten automatisch, unterschätzt sein eigenes Risiko.

Dieser Artikel erklärt, welche DSGVO-Pflichten konkret bei Ihnen als Temu-Händler liegen, was das jüngste Bußgeld für die Plattform bedeutet und wie Sie sich in 2026 rechtssicher aufstellen.

AMZ+ Consulting begleitet Marktplatz-Händler unter anderem bei der Einordnung solcher Compliance-Anforderungen im Tagesgeschäft, ohne dabei eine individuelle Rechtsberatung zu ersetzen.

Was die EU-Regulierung 2026 für Temu-Händler bedeutet

Das Bußgeld der EU-Kommission vom 28. Mai 2026 in Höhe von 200 Millionen Euro richtete sich gegen Temu selbst und wurde wegen Verstößen gegen den Digital Services Act (DSA) verhängt.

Bemängelt wurden unzureichende Risikoanalysen sowie Sicherheitsmängel bei auf der Plattform angebotenen Produkten, darunter Brandgefahr bei Elektronikartikeln und chemische Belastungen bei Spielzeug.

Dieses Bußgeld betrifft primär die Plattform als Betreiberin, zeigt aber die grundsätzliche Richtung der europäischen Regulierung: Aufsichtsbehörden nehmen Marktplätze wie Temu 2026 deutlich genauer unter die Lupe als noch vor wenigen Jahren.

Ergänzend dazu einigte sich Temu am 20. März 2026 gerichtlich mit der österreichischen Verbraucherschutzorganisation VKI und verpflichtete sich zu mehr Transparenz bei den Empfehlungsalgorithmen der Plattform.

Diese gerichtliche Einigung zeigt exemplarisch, wie Verbraucherschutzorganisationen in der DACH-Region 2026 aktiv gegen intransparente Plattformmechanismen vorgehen – ein Trend, der sich absehbar auch auf andere Bereiche der Plattform-Governance ausweiten dürfte, einschließlich des Umgangs mit Kundendaten.

Für Händler bedeutet diese Entwicklung zweierlei: Zum einen wird die Plattform selbst unter verschärfter Beobachtung stehen, was mittelfristig zu strengeren internen Vorgaben für angeschlossene Händler führen kann.

Zum anderen richten deutsche und europäische Datenschutzbehörden ihren Fokus zunehmend auch auf die Händler-Ebene, nicht nur auf die Plattformbetreiber.

Ein separates Thema mit eigenem Regelwerk ist die allgemeine EU-Compliance für Temu-Händler, etwa zu Produktkennzeichnung und Zollregeln – dazu finden Sie Details in unserem Artikel Temu EU-Compliance 2026.

Datenschutz nach DSGVO ist davon rechtlich zu unterscheiden: Es geht nicht um Produktsicherheit, sondern um den Umgang mit personenbezogenen Daten von Kundinnen und Kunden in der EU, im EWR und in der Schweiz.

Für Händler bedeutet dies, dass sie zwei getrennte Compliance-Baustellen im Blick behalten müssen: die produktbezogene Sicherheit, für die primär Temu als Plattform in der Verantwortung steht, und die datenschutzrechtliche Verantwortung für die eigenen Kundendaten, die unabhängig von den Verpflichtungen der Plattform gilt.

Diese Trennung wird in der Praxis häufig übersehen, weil Händler annehmen, ein Bußgeld gegen die Plattform entlaste sie automatisch von eigenen Pflichten. Das Gegenteil ist der Fall: Je stärker Aufsichtsbehörden eine Plattform prüfen, desto wahrscheinlicher rücken auch die angeschlossenen Händler stärker in den Fokus, weil Prüfungen häufig die gesamte Lieferkette der Datenverarbeitung betrachten.

Welche DSGVO-Pflichten konkret bei Ihnen als Händler liegen

Temu verarbeitet als Plattform zentral die Bestellabwicklung und einen Großteil der Kundenkommunikation, wodurch viele Händler fälschlich annehmen, sie hätten selbst keinerlei datenschutzrechtliche Verantwortung.

Sobald Sie jedoch personenbezogene Daten erhalten – etwa im Rahmen von Support-Anfragen, Retourenbearbeitung, Rechnungsstellung oder Gewährleistungsfällen – werden Sie für diese Verarbeitung eigenständig verantwortlich im Sinne der DSGVO. Diese Verantwortung entsteht unabhängig davon, ob Sie die Daten aktiv anfragen oder lediglich im Rahmen der normalen Bestellabwicklung erhalten.

Zu den zentralen Pflichten zählt zunächst die Datenminimierung: Sie dürfen nur die personenbezogenen Daten verarbeiten, die für den jeweiligen Zweck tatsächlich erforderlich sind.

Weiterhin besteht eine Auskunftspflicht: Kunden können jederzeit Auskunft darüber verlangen, welche Daten Sie über sie gespeichert haben, und Sie müssen diese Anfrage fristgerecht beantworten.

Löschpflichten greifen, sobald der Zweck der Datenverarbeitung entfällt, etwa nach Ablauf gesetzlicher Aufbewahrungsfristen für Rechnungsdaten.

Auch die Dokumentationspflicht ist relevant: Sie müssen nachweisen können, welche Datenverarbeitungen in Ihrem Unternehmen stattfinden, typischerweise über ein Verzeichnis von Verarbeitungstätigkeiten.

Für Rechtstexte wie Impressum und Datenschutzerklärung, die Sie als Temu-Händler zusätzlich zu den Plattform-Vorgaben benötigen, haben wir die konkreten Anforderungen in Temu Rechtstexte und Impressum für Händler zusammengefasst.

Diese Rechtstexte sind kein einmaliges Pflichtprogramm, sondern müssen regelmäßig aktualisiert werden, insbesondere wenn sich Ihre Verarbeitungsprozesse, eingesetzten Dienstleister oder gesetzlichen Rahmenbedingungen ändern. Viele Händler unterschätzen diesen Pflegeaufwand und lassen einmal erstellte Rechtstexte über Jahre unverändert, was bei einer Prüfung schnell zum Problem wird.

Ein häufiger Irrtum ist zudem die Annahme, dass die Nutzung von Kundendaten aus Temu-Bestellungen für eigene Marketingzwecke ohne Weiteres erlaubt sei.

Ohne gesonderte Einwilligung ist eine solche Weiterverwendung außerhalb des ursprünglichen Bestellzwecks in der Regel nicht zulässig und stellt ein eigenständiges Abmahnrisiko dar. Werbliche Ansprachen ohne wirksame Einwilligung zählen zu den häufigsten Ursachen für Abmahnungen im E-Commerce und lassen sich mit einer sauberen Trennung zwischen Bestelldaten und Marketingdaten vermeiden.

Allgemeine Grundlagen zum Umgang mit Kundendaten über verschiedene Marktplätze hinweg finden Sie zudem in unserem Artikel Marktplatz-Kundendaten und DSGVO.

Ein weiterer Punkt, der häufig unterschätzt wird, betrifft die technische und organisatorische Absicherung der Datenverarbeitung. Sie sind verpflichtet, angemessene Sicherheitsmaßnahmen zu treffen, damit Kundendaten nicht unbefugt eingesehen, verändert oder gelöscht werden können – etwa durch Zugriffsbeschränkungen in Ihrer Support- oder Buchhaltungssoftware.

Gerade bei kleineren Händlern, die Support-Anfragen noch über persönliche E-Mail-Postfächer oder ungesicherte Tabellen abwickeln, entstehen hier häufig unbeabsichtigte Datenschutzlücken. Eine strukturierte Trennung zwischen geschäftlicher und privater Kommunikation sowie ein dokumentierter Zugriffsschutz gehören deshalb zu den Grundvoraussetzungen einer sauberen DSGVO-Aufstellung.

In 6 Schritten zur DSGVO-konformen Aufstellung als Temu-Händler

Um Ihr Unternehmen datenschutzrechtlich abzusichern, empfiehlt sich ein strukturiertes Vorgehen.

1. Datenflüsse erfassen: Dokumentieren Sie, welche personenbezogenen Daten Sie über Temu-Bestellungen tatsächlich erhalten – etwa Name, Adresse, Kontaktdaten bei Support-Fällen.

2. Rechtsgrundlage prüfen: Klären Sie für jede Datenverarbeitung, auf welcher Rechtsgrundlage nach DSGVO sie erfolgt, meist Vertragserfüllung bei der Bestellabwicklung.

3. Verzeichnis von Verarbeitungstätigkeiten anlegen: Halten Sie schriftlich fest, welche Daten zu welchem Zweck, wie lange und mit welchen Schutzmaßnahmen verarbeitet werden.

4. Löschkonzept erstellen: Definieren Sie konkrete Fristen, nach denen Kundendaten gelöscht werden, unter Berücksichtigung gesetzlicher Aufbewahrungspflichten etwa im Steuerrecht.

5. Auftragsverarbeitungsverträge prüfen: Falls Sie externe Dienstleister für Support, Versand oder Buchhaltung einsetzen, die Zugriff auf Kundendaten haben, benötigen Sie mit diesen einen Auftragsverarbeitungsvertrag.

6. Prozesse für Betroffenenrechte einrichten: Legen Sie fest, wie Auskunfts-, Berichtigungs- und Löschanfragen von Kunden intern bearbeitet und fristgerecht beantwortet werden.

Diese sechs Schritte lassen sich innerhalb weniger Wochen umsetzen und sollten danach mindestens einmal jährlich überprüft werden, insbesondere wenn sich Prozesse oder eingesetzte Dienstleister ändern.

Sinnvoll ist zudem, eine verantwortliche Person im Unternehmen zu benennen, die als erste Anlaufstelle für Datenschutzfragen dient – auch wenn Sie als kleineres Unternehmen nicht gesetzlich zur Bestellung eines Datenschutzbeauftragten verpflichtet sind. Diese Person sollte insbesondere bei Auskunftsanfragen von Kunden oder bei Rückfragen von Aufsichtsbehörden als zentraler Kontaktpunkt fungieren.

Rechenbeispiel: Kosten eines DSGVO-Verstoßes im Vergleich zur Prävention

Rechenbeispiel: Ein mittelgroßer Temu-Händler mit 500 Bestellungen pro Monat verarbeitet dabei durchgängig personenbezogene Kundendaten für Rechnungsstellung und Support.

Kommt es zu einer Datenschutzbeschwerde, die zu einer behördlichen Prüfung führt, und stellt sich heraus, dass kein Verzeichnis von Verarbeitungstätigkeiten und kein Löschkonzept vorliegen, bewegt sich ein mögliches Bußgeld im Rahmen der gesetzlichen Obergrenze von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – in der Praxis fallen Bußgelder bei kleineren Verstößen niedriger aus, das Risiko bleibt aber real und ist bei fehlender Dokumentation schwer zu widerlegen.

Die Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten, eines Löschkonzepts und der notwendigen Auftragsverarbeitungsverträge lässt sich mit externer Unterstützung meist innerhalb weniger Wochen zu einem überschaubaren Aufwand umsetzen.

Im Verhältnis zum potenziellen Bußgeldrahmen und dem Reputationsschaden bei einem öffentlich bekannten Datenschutzverstoß ist die präventive Investition in eine saubere DSGVO-Aufstellung für die meisten Händler die wirtschaftlich klar sinnvollere Option.

Hinzu kommt ein Aspekt, der in vielen Kalkulationen fehlt: Der Aufwand für die nachträgliche Aufarbeitung eines bereits eingetretenen Datenschutzverstoßes, etwa die Beantwortung behördlicher Rückfragen und die Kommunikation mit betroffenen Kunden, übersteigt den Aufwand einer vorab sauber aufgesetzten Struktur in der Regel um ein Vielfaches. Prävention ist damit nicht nur rechtlich, sondern auch wirtschaftlich der effizientere Weg.

Wenn Sie unsicher sind, wie gut Ihre aktuelle Aufstellung als Temu-Händler ist, klären wir das gerne in einem kostenlosen Erstgespräch.

Was Sie jetzt tun können

Prüfen Sie zunächst, ob in Ihrem Unternehmen bereits ein Verzeichnis von Verarbeitungstätigkeiten für die Temu-Kundendaten existiert.

Klären Sie, welche externen Dienstleister – etwa für Versand, Support-Software oder Buchhaltung – Zugriff auf personenbezogene Kundendaten haben, und ob mit diesen Auftragsverarbeitungsverträge bestehen.

Legen Sie ein konkretes Löschkonzept fest, das gesetzliche Aufbewahrungsfristen berücksichtigt, statt Daten unbegrenzt zu speichern.

Dokumentieren Sie zudem, über welche technischen Kanäle – E-Mail, Support-Tools, Buchhaltungssoftware – Kundendaten in Ihrem Unternehmen fließen, damit im Ernstfall schnell nachvollziehbar ist, wo welche Daten liegen.

AMZ+ Consulting unterstützt Temu-Händler dabei, diese Prozesse strukturiert und praxisnah aufzubauen, ohne den operativen Alltag zu blockieren.

FAQ: Häufige Fragen zu Temu Datenschutz und DSGVO für Händler

Bin ich als Temu-Händler überhaupt für DSGVO-Pflichten verantwortlich?

Ja. Sobald Sie personenbezogene Kundendaten erhalten, etwa für Support oder Rechnungsstellung, sind Sie für diese Verarbeitung eigenständig nach DSGVO verantwortlich – unabhängig davon, dass Temu die zentrale Bestellabwicklung übernimmt. Diese Verantwortung besteht unabhängig von der Unternehmensgröße, auch kleine Einzelhändler sind davon betroffen.

Was bedeutet das 200-Millionen-Euro-Bußgeld gegen Temu für mich als Händler?

Das Bußgeld vom 28. Mai 2026 richtete sich gegen Temu wegen Verstößen gegen den Digital Services Act, nicht direkt gegen Händler. Es zeigt aber, dass europäische Behörden 2026 strenger durchgreifen, was auch die Aufmerksamkeit für Händler-Pflichten erhöht.

Welche Kundendaten darf ich als Temu-Händler für eigenes Marketing nutzen?

Ohne gesonderte Einwilligung dürfen Sie Kundendaten aus Temu-Bestellungen grundsätzlich nicht für eigene Marketingzwecke außerhalb des ursprünglichen Bestellzwecks verwenden. Das gilt insbesondere für E-Mail-Marketing außerhalb der Plattform.

Brauche ich ein eigenes Verzeichnis von Verarbeitungstätigkeiten?

Ja, sobald Sie regelmäßig personenbezogene Daten verarbeiten, sind Sie zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten verpflichtet. Es dokumentiert, welche Daten zu welchem Zweck und wie lange verarbeitet werden.

Wie lange darf ich Kundendaten aus Temu-Bestellungen speichern?

Die Speicherdauer richtet sich nach dem Verarbeitungszweck und gesetzlichen Aufbewahrungsfristen, etwa steuerrechtlichen Vorgaben für Rechnungsdaten. Ohne konkreten Zweck oder gesetzliche Pflicht müssen Daten gelöscht werden.

Was ist der Unterschied zwischen DSGVO-Pflichten und der EU-Compliance rund um Produktsicherheit?

DSGVO betrifft den Umgang mit personenbezogenen Daten, während EU-Compliance-Themen wie Produktkennzeichnung oder Zollregeln unabhängig davon gelten. Beide Bereiche sollten getrennt, aber gleichermaßen ernst genommen werden, da Verstöße in beiden Fällen empfindliche Bußgelder nach sich ziehen können. Details zur allgemeinen EU-Compliance für Temu-Händler finden Sie in Temu EU-Compliance 2026.

Kann AMZ+ Consulting die DSGVO-Aufstellung für mein Temu-Geschäft übernehmen?

AMZ+ Consulting unterstützt Sie bei der praxisnahen Einordnung und Strukturierung der relevanten Prozesse rund um Ihr Marktplatz-Geschäft, etwa bei der Dokumentation von Datenflüssen und der Erstellung eines Löschkonzepts. Für eine individuelle Einschätzung Ihrer Situation und gegebenenfalls die Einbindung eines Rechtsberaters empfiehlt sich ein Erstgespräch.

Über den Autor Jorginho Engelmeyer ist Geschäftsführer der AMZ+ Consulting GmbH und seit über 8 Jahren auf Amazon, Otto und Kaufland für Händler aktiv. → Kostenloses Erstgespräch buchen

Zuletzt aktualisiert: 10. August 2026