Intershop

Eine Standard Intershop Installation setzt einen Session Cookie (typischerweise JSESSIONID oder ein umbenanntes Äquivalent), der den Besucher an eine serverseitige Sitzung bindet, einen Warenkorb Cookie für den persistenten Warenkorb sowie einen Authentifizierungs Cookie nach Anmeldung. Optionale Module ergänzen nicht strikt erforderliche Cookies für Analytics, Empfehlungen, A/B Tests und Marketing. Die genaue Liste hängt von den installierten Cartridges, Hyperscaler Integrationen und Drittanbieter Plugins ab.

Für die strikt erforderlichen Cookies, die Warenkorb, Sitzung und Anmeldung sicherstellen, ist keine Einwilligung erforderlich; sie fallen unter die Ausnahme in Art. 5 Abs. 3 ePrivacy Richtlinie. Erforderlich ist die Einwilligung dagegen für Analytics, Empfehlung, A/B Tests, Marketing und Personalisierungs Cookies aus zusätzlichen Intershop Modulen oder Drittanbieter Tags. Diese müssen bis zur Annahme über eine konforme CMP blockiert bleiben.

Kontoerstellung, Anmeldung, Checkout und Auftragsabwicklung stützen sich auf Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Marketing E-Mails, verhaltensbasierte Personalisierung und Analytics beruhen auf Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Betrugsprävention und Sicherheitsmonitoring stützen sich typischerweise auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Steuerliche Aufbewahrungspflichten beruhen auf rechtlicher Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO.

Das hängt vom Hosting Modell ab. On Premise Installationen können vollständig in Deutschland oder einem anderen EU Land betrieben werden, ohne Transfer in die USA. Die Managed Intershop Commerce Platform läuft auf US Hyperscalern (AWS, Microsoft Azure, Google Cloud), wodurch US Muttergesellschaften als Unterauftragsverarbeiter beteiligt sind. In diesem Fall müssen Transfers auf Standardvertragsklauseln oder das EU US Data Privacy Framework gestützt und in der Datenschutzerklärung offengelegt werden.

Eine DSFA ist in der Regel erforderlich, wenn der Shop große Mengen an B2C Kundendaten verarbeitet, Profiling oder verhaltensbasierte Empfehlungen einsetzt, mit Marketing Automation und CDPs verknüpft ist oder sensible Produktkategorien vertreibt. Reine B2B Shops mit geringem Datenvolumen und ohne Profiling kommen mitunter ohne aus, doch die meisten modernen Intershop Setups erfüllen mindestens zwei Kriterien des Art. 35 DSGVO, sodass eine dokumentierte DSFA empfohlen ist.

Bilden Sie die Cookies der Plattform und jedes aktivierten Cartridges ab, klassifizieren Sie sie in Ihrer CMP und halten Sie Warenkorb sowie Login dauerhaft aktiv, während Sie Analytics und Marketing Module bis zur Einwilligung blockieren. Schließen Sie den Intershop Auftragsverarbeitungsvertrag ab, konfigurieren Sie Einstellungen zur Datenresidenz, dokumentieren Sie Hyperscaler und Unterauftragsverarbeiter und aktualisieren Sie das Verzeichnis von Verarbeitungstätigkeiten. Implementieren Sie granulare Zugriffsrechte im Backoffice und führen Sie ggf. eine DSFA durch.

Direkte Alternativen für Enterprise B2B E-Commerce sind SAP Commerce Cloud, Salesforce Commerce Cloud, Adobe Commerce (Magento), Oracle Commerce, Spryker und commercetools. Im B2C Umfeld bieten sich auch Shopware (deutsch), Shopify Plus und BigCommerce an. Aus DSGVO Sicht sind Shopware und Spryker interessant, weil sie in Deutschland sitzen; commercetools bietet ebenfalls solide EU Hosting Optionen.

Listen Sie die strikt erforderlichen Cookies (Session, Warenkorb, Login) mit Namen und Speicherdauer und erläutern Sie, dass sie unter die ePrivacy Ausnahme fallen. Listen Sie jedes weitere Intershop Modul, das Cookies setzt (Analytics, Empfehlung, A/B Tests, Marketing), mit Zweck, Speicherdauer und Empfänger auf und verlinken Sie auf Ihre CMP für granulare Einstellungen. Nennen Sie den Hosting Anbieter als Unterauftragsverarbeiter und dokumentieren Sie alle USA Transfers in der Datenschutzerklärung.