DevzCart

Was DevzCart ist und wie es funktioniert

DevzCart ist eine cloud-gehostete Multi-Tenant-E-Commerce-Plattform, mit der Händler Shops mit Katalogverwaltung, Warenkorb, Checkout und Bestellverwaltung aufsetzen. Fingerprinting-Tools wie Wappalyzer erkennen sie als verpackten Commerce-Stack. Der Anbieter betreibt Anwendung und Datenbank in der Cloud, während die Händler ihren Shop, ihre Produkte und ihre Zahlungs-Gateways über eine Admin-Konsole konfigurieren. Der Dienst wird als SaaS bereitgestellt: Storefront- und Admin-Traffic endet auf DevzCart-Infrastruktur, nicht auf händlereigenen Servern.

Daten und Cookies der Storefront

DevzCart setzt Erstanbieter-Funktionscookies, ohne die der Kaufprozess nicht funktioniert: ein Session-Cookie (PHPSESSID oder gleichwertig) für Warenkorb und Login, ein Authentifizierungs-Cookie für registrierte Kunden, ein Warenkorb-Token sowie ein CSRF-Token. Die Plattform stellt zudem Einbindungs-Hooks bereit, mit denen Händler Drittanbieter-Skripte wie Google Analytics, Meta Pixel oder Affiliate-Tracker integrieren können, die ihre eigenen Cookies setzen. Die erhobenen Daten umfassen Kontodetails, Lieferadressen, Bestellhistorie und sämtliche Kommunikation mit dem Kundenservice.

DSGVO- und ePrivacy-Implikationen

Besucht ein europäischer Käufer einen DevzCart-Shop, bleibt der Händler Verantwortlicher und DevzCart agiert als Auftragsverarbeiter nach Art. 28 DSGVO. Die technisch notwendigen Commerce-Cookies sind einwilligungsfrei, da sie für den ausdrücklich gewünschten Vertrag unverzichtbar sind. Vom Händler eingebundene Analyse- oder Marketing-Tags unterliegen dagegen Art. 5(3) ePrivacy und erfordern eine vorherige, freiwillige und informierte Einwilligung. Mit DevzCart ist ein AVV abzuschließen, der die Pflichten aus Art. 28 spiegelt und sämtliche Unterauftragsverarbeiter benennt.

Drittlandsübermittlungen nach Indien und Südostasien

DevzCart wird außerhalb der EU/EWR ohne Angemessenheitsbeschluss betrieben. Indien fällt unter keinen Angemessenheitsbeschluss, indische Behörden verfügen über Eingriffsbefugnisse nach dem Telegraph Act und dem Information Technology Act. EU-Verantwortliche müssen mit DevzCart die SCC 2021 abschließen, ein TIA durchführen, das die Zugriffsrechte indischer Behörden dokumentiert, und ergänzende Maßnahmen treffen: Transport- und Speicher-Verschlüsselung, Pseudonymisierung von Käuferkennungen, Datenminimierung und einen klaren Löschplan. Der indische Digital Personal Data Protection Act 2023 gilt zusätzlich auf der lokalen Seite.

Einwilligung und DSFA

Eine DSFA ist empfehlenswert, sobald ein europäischer Händler DevzCart einsetzt: die Übermittlung in ein Drittland ohne Angemessenheitsbeschluss und die systematische Verarbeitung von Käuferprofilen erfüllen die Kriterien der DSFA-Leitlinien der Art.-29-Gruppe. Die DSFA muss das Drittlandsrisiko, die Aufbewahrung der Bestellhistorie, den Einsatz von Verhaltens-Tracking und die Verfügbarkeit europäischer Alternativen behandeln. Die vor den Shop geschaltete CMP muss nicht notwendige Tags standardmäßig blockieren, bis eine Einwilligung vorliegt.

Praktische Schritte und Alternativen

Schließen Sie mit DevzCart einen schriftlichen AVV einschließlich SCC 2021 Modul 2 ab, fordern Sie die Liste der Unterauftragsverarbeiter und Audit-Berichte an und erzwingen Sie TLS 1.2 oder höher. Binden Sie eine CMP (Cookiebot, Didomi, Axeptio) ein und blockieren Sie Analyse- und Marketing-Tags bis zur Einwilligung. Legen Sie realistische Aufbewahrungsfristen fest, typischerweise 10 Jahre für Rechnungen in der EU und kürzer für Marketing-Daten. EU-Alternativen sind PrestaShop (Frankreich), Shopware (Deutschland), Sylius (Polen) und Centra (Schweden) für Händler, die alle Käuferdaten innerhalb der EU/EWR halten müssen.