Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Kartris ist eine quelloffene ASP.NET E Commerce Plattform der CACTUSOFT (Schweiz), die der Händler selbst auf einem Microsoft IIS Webserver betreibt. Sie liefert Storefront, Katalog, Warenkorb und Kundenkonto. In der Grundkonfiguration setzt Kartris ausschliesslich technisch notwendige Cookies (Sitzung, Warenkorb, Authentifizierung); die Einwilligungspflicht nach Artikel 5 Absatz 3 ePrivacy gilt nur für optionale Analyse oder Marketing Module, die der Händler hinzufügt. Personenbezogene Daten verbleiben auf der eigenen Infrastruktur des Händlers.
Kartris ist eine quelloffene ASP.NET E Commerce Plattform, gepflegt von CACTUSOFT, einem Software Anbieter mit Sitz in der Schweiz. Sie wird unter der GPL veröffentlicht und als Quellcode ausgeliefert, den der Händler kompiliert und auf einem Microsoft IIS Webserver mit einer Microsoft SQL Server Datenbank deployt. Kartris liefert Storefront, Katalog und Kategorienavigation, Warenkorb, Kundenregistrierung, sicheren Checkout, Bestellverwaltung und ein Backoffice. Die Plattform ist im Vereinigten Königreich und in Kontinentaleuropa bei kleinen und mittleren Händlern verbreitet, die einen selbst gehosteten .NET Stack bevorzugen.
Da Kartris selbst gehostet ist, ist der Händler Verantwortlicher für alles, was auf dem Server geschieht. CACTUSOFT ist nicht Auftragsverarbeiter der Kundendaten des Händlers, es sei denn, der Händler bucht dort kostenpflichtigen Support oder Hosting.
In der Standardkonfiguration setzt Kartris ausschliesslich technisch notwendige First Party Cookies: ein ASP.NET Sitzungscookie (ASP.NET_SessionId), ein Authentifizierungscookie für das Kundenkonto (typischerweise .ASPXAUTH oder ein Forms Authentication Ticket), ein Anti CSRF Token, ein Kultur oder Sprachcookie und einen Warenkorb Identifikator für nicht angemeldete Gäste. Diese Cookies verfolgen kein Verhalten, sind auf die eigene Domain des Händlers beschränkt und existieren ausschliesslich zum Betrieb der vom Besucher angeforderten Einkaufsfunktion.
In der Datenbank speichert Kartris Bestelldaten, Kundenkonten, Adressen, optionale Newsletter Anmeldungen und Zahlungsreferenzen. Kartendaten werden in der Regel nicht in Kartris gespeichert; die Plattform bindet PCI konforme Gateways (SagePay, Stripe, Worldpay, Authorize.Net) ein, die die Kartendaten direkt aus dem Browser über tokenisierte Hosted Fields entgegennehmen.
Technisch notwendige Cookies sind vom Einwilligungserfordernis des Artikel 5 Absatz 3 ePrivacy Richtlinie ausgenommen, wie DSK, BfDI, CNIL, AEPD und die Stellungnahme 4/2012 der Artikel 29 Gruppe anerkennen. Sitzungs , Warenkorb und Authentifizierungscookies von Kartris fallen klar unter diese Ausnahme. Auftragsabwicklung, Kontoverwaltung und Betrugsprävention stützen sich auf Artikel 6 Absatz 1 lit. b DSGVO (Vertrag) und Artikel 6 Absatz 1 lit. f DSGVO (berechtigtes Interesse an der Betrugserkennung). Marketing E Mails und Verhaltensanalyse, die der Händler oberhalb der Plattform integriert, fallen nicht in diese Ausnahme und benötigen eine eigene Einwilligung.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die meisten Händler erweitern Kartris um Drittanbieter Tags: Google Analytics, Meta Pixel, Hotjar, Microsoft Clarity, Tools zur Warenkorbrettung, Recommendation Engines oder Chat Widgets. Jeder dieser Tags ist nicht notwendig und löst Einwilligung nach Artikel 5 Absatz 3 ePrivacy und Paragraph 25 TDDDG sowie die Prüfung nach Artikel 6 DSGVO aus. Der Händler muss eine Consent Management Platform einbinden, alle optionalen Tags bis zum Opt In blockieren und nach EDSA Leitlinien 03/2022 die Ablehnung ebenso einfach wie die Annahme gestalten. Die Kartris Kernschicht funktioniert auch ohne jeden dieser Tags.
Da Kartris selbst gehostet wird, entspricht der Datenort genau dem vom Händler gewählten IIS Server zuzüglich des Zahlungs Gateways und etwaiger optionaler Integrationen. EWR Händler, die auf europäischer Infrastruktur hosten (OVH, Hetzner, Scaleway, Azure West Europe, IONOS), halten Produktionsdaten im EWR. Wenn der Händler ein US Gateway oder einen US Analyzer nutzt, werfen diese spezifischen Flüsse Schrems II Fragen für den jeweiligen Anbieter auf, nicht für Kartris selbst. Der schweizerische Sitz von CACTUSOFT ist unproblematisch, weil die Schweiz unter den Angemessenheitsbeschluss der Europäischen Kommission fällt.
Plattform im Verzeichnis von Verarbeitungstätigkeiten eintragen. SQL Server Datenbank im Ruhezustand und Kundenverbindungen in Transit verschlüsseln (TLS 1.2 oder 1.3). Adminzugänge per IP einschränken und MFA verpflichtend machen. Aufbewahrungsfrist für Bestellungen, Adressen und Konten an steuer und verbraucherrechtliche Vorgaben anpassen. Kartris und IIS regelmässig patchen, den Sicherheitsmeldungen des Projekts folgen und die Datenbank mit getesteten Wiederherstellungen sichern. Eine CMP einbinden, sobald Analyse , Werbe , Empfehlungs oder Chat Module hinzukommen. Datenschutzerklärung um Verantwortlichen, Rechtsgrundlagen, Aufbewahrungsfristen, Rechtswege und Liste eingebundener Dritter ergänzen.
Websites using Kartris must obtain user consent under GDPR regulations.
DPIA considerations
Eine förmliche DSFA nach Artikel 35 DSGVO ist für eine Standard Kartris Installation in der Regel nicht erforderlich, weil die Plattform nur die zur Auftragsabwicklung notwendigen Kundendaten auf dem eigenen Server des Händlers verarbeitet. Eine DSFA wird sinnvoll, wenn der Händler Profiling, grosse Loyalty Programme, Verhaltensanalyse, Marketing Automation oder Zahlungsdienstleister in Drittländern hinzufügt oder wenn der Katalog besondere Kategorien von Waren enthält. Die DSFA sollte Datenkategorien, Aufbewahrung in der SQL Server Datenbank, Zugriffskontrollen auf dem IIS Host, Verschlüsselung im Ruhezustand und Transit, Backup und Vorfallserkennung sowie aktivierte Drittmodule beschreiben.
Sample consent text
Dieser Shop läuft auf Kartris, einer quelloffenen E Commerce Plattform, die wir auf unserem eigenen Server betreiben. Für Warenkorb, Kundenkonto und sicheren Checkout setzt Kartris technisch notwendige Cookies, die keiner Einwilligung bedürfen. Analyse oder Marketing Cookies werden standardmässig nicht gesetzt. Wenn Sie optionalen Cookies zustimmen, können wir Analyse oder Marketing Module aktivieren; Sie können diese jederzeit ablehnen, ohne dass Browsen, Registrierung oder Bestellung eingeschränkt werden.
Third-party domains contacted
kartris.comforum.kartris.comgithub.com/Kartriscactusoft.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| ASP.NET_SessionId | Session | Session | Strictly necessary first party session cookie set by Microsoft IIS to maintain server side session state for the Kartris storefront, including the contents of an unauthenticated basket. |
| .ASPXAUTH | Persistent | Until logout or expiry | Strictly necessary first party authentication ticket issued by ASP.NET Forms Authentication after the customer signs into the Kartris account. Used to keep the customer signed in across pages. |
| KartrisBasketID | Persistent | 30 days | Strictly necessary first party identifier that allows Kartris to associate basket contents and order in progress to the same visitor across pages and short return visits before checkout. |
| KartrisCulture | Persistent | 1 year | Strictly necessary preference cookie that remembers the language and currency selected by the visitor so the Kartris storefront displays the right localisation on the next visit. |
| __RequestVerificationToken | Session | Session | Strictly necessary anti CSRF token issued by ASP.NET to protect Kartris forms (checkout, account, admin) against cross site request forgery attacks. |
Kartris verwendet Cookies für Nutzereinstellungen — informieren Sie Besucher mit einem Cookie-Banner.
In einer Standardinstallation setzt Kartris nur technisch notwendige First Party Cookies: ein ASP.NET Sitzungscookie (ASP.NET_SessionId), ein Authentifizierungscookie nach dem Login (typischerweise .ASPXAUTH), ein Anti CSRF Token, ein Kultur oder Sprachcookie und einen Warenkorb Identifikator für Gäste. Die SQL Server Datenbank speichert Bestellungen, Kundenkonten, Liefer und Rechnungsadressen, optionale Newsletter Anmeldungen und Zahlungsreferenzen. Kartennummern werden in Kartris in der Regel nicht gespeichert: Die Plattform delegiert die Erfassung an PCI konforme Gateways wie SagePay, Stripe, Worldpay oder Authorize.Net mit tokenisierten Hosted Fields. Verhaltensanalyse oder Marketingdaten werden erst erfasst, wenn der Händler ein Drittmodul hinzufügt.
Nein, nicht für die Kernplattform. Die von Kartris standardmässig gesetzten Cookies sind technisch notwendig zur Erbringung des vom Besucher angeforderten Dienstes (Shop durchsuchen, Warenkorb füllen, anmelden, bestellen) und fallen daher unter die Ausnahme des Artikel 5 Absatz 3 ePrivacy Richtlinie. DSK, BfDI, CNIL und AEPD anerkennen diese Ausnahme für Sitzungs , Warenkorb und Authentifizierungs Cookies. Einwilligung ist nur für optionale Module nötig, die der Händler oberhalb installiert: Webanalyse Tag, Werbepixel, Chat Widget, Empfehlungs Engine. Diese müssen bis zum Opt In blockiert bleiben.
Die Kern Verarbeitung von Kartris verteilt sich auf zwei Rechtsgrundlagen. Bestellabwicklung, Kontoverwaltung und die zugehörigen Cookies stützen sich auf die Vertragserfüllung nach Artikel 6 Absatz 1 lit. b DSGVO, da ohne Warenkorb Persistenz, Authentifizierung und Speicherung der Lieferdaten kein Kauf möglich ist. Betrugserkennung, Missbrauchsabwehr, Server Logs und Sicherheitsereignisse stützen sich auf das berechtigte Interesse nach Artikel 6 Absatz 1 lit. f DSGVO. Marketing E Mails über die eingebaute Newsletter Funktion benötigen die Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO sowie die nationale ePrivacy Konformität. Optionale Analyse und Werbung über Kartris hinaus erfordern ebenfalls Einwilligung.
Nicht von sich aus. Kartris ist quelloffene Software, die der Händler kompiliert und auf seinem eigenen Microsoft IIS Server betreibt. Datenflüsse gehen an den vom Händler gewählten Hoster, das Zahlungs Gateway und den E-Mail Dienst. CACTUSOFT, der Herausgeber mit Sitz in der Schweiz, erhält keine Kundendaten, es sei denn, der Händler bucht kostenpflichtigen Support oder Hosting. Die Schweiz fällt unter den Angemessenheitsbeschluss der Europäischen Kommission; ein Transfer an ein Schweizer Support Team wäre ohnehin kein SCC pflichtiger Drittlandtransfer. Wenn der Händler Kartris an US Analyse , E-Mail oder Zahlungsanbieter koppelt, werfen diese spezifischen Flüsse Schrems II Fragen für die jeweiligen Anbieter auf, nicht für Kartris selbst.
Für einen Standard Kartris Shop mit notwendigen Cookies, EU Hosting und üblichen Zahlungs Gateways ist eine förmliche DSFA nach Artikel 35 DSGVO in der Regel nicht erforderlich. Die Verarbeitung ist vertraglich, im Umfang begrenzt und durch eine klare Rechtsgrundlage gestützt. Eine DSFA wird sinnvoll, wenn der Händler Profiling, grosse Loyalty Programme, Verhaltensanalyse, Marketing Automation, Drittland Zahlungsanbieter ergänzt oder wenn der Katalog Waren enthält, die sensitive Schlüsse erlauben (Gesundheit, politische oder ethnische Merkmale). Die DSFA sollte Datenkategorien, Aufbewahrung, Datenbanksicherheit, Zugriffskontrollen und ergänzte Drittmodule beschreiben.
Kartris im Verzeichnis von Verarbeitungstätigkeiten dokumentieren. SQL Server Datenbank im Ruhezustand und Kundenverkehr in Transit mit TLS 1.2 oder 1.3 verschlüsseln. Adminzugang per IP Allow Liste beschränken und MFA für das Backoffice verpflichten. Aufbewahrungsrichtlinie für Bestellungen, Adressen und Konten an nationales Steuer und Verbraucherrecht anpassen. Kartris und IIS regelmässig patchen und den Sicherheitsmeldungen des Projekts folgen. Datenbank sichern und Wiederherstellung testen. Beim Hinzufügen optionaler Analyse , Werbe oder Chat Module eine CMP einbinden, die diese Tags bis zur Einwilligung blockiert, und Datenschutz und Cookie Hinweise entsprechend aktualisieren.
Für Händler, die keinen Microsoft IIS Stack betreiben möchten, kommen EU freundliche E Commerce Alternativen in Betracht: WooCommerce auf gemanagtem europäischem Hosting, PrestaShop (französisches Open Source), Magento Adobe Commerce (mit EU Datenresidenz Option), Shopware (deutsch), Sylius (französisch), OpenCart, Drupal Commerce und Saleor. SaaS Plattformen wie Shopify, BigCommerce und Wix laufen überwiegend auf US Infrastruktur und erfordern eine Schrems II Analyse. Die richtige Wahl hängt vom internen Tech Stack, dem Katalogumfang, dem Integrations Ökosystem und der Fähigkeit des Händlers zum Selbsthosting oder zum Outsourcing ab.
In der Datenschutzerklärung das eigene Unternehmen als Verantwortlichen ausweisen, angeben, dass der Shop auf Kartris (Open Source Software von CACTUSOFT) selbst gehostet läuft, die Kategorien der Kundendaten auflisten (Identität, Kontakt, Lieferanschrift, Bestellung, Zahlungsreferenz), die Rechtsgrundlagen (Vertrag, berechtigtes Interesse, Einwilligung für Marketing), die Aufbewahrungsdauer, den Rechtsweg und den Datenschutzkontakt nennen. Im Cookie Hinweis jedes Kartris Cookie namentlich auflisten (ASP.NET_SessionId, .ASPXAUTH, Warenkorb ID, Anti CSRF, Kultur) und als technisch notwendig markieren, und alle optionalen Cookies durch Drittmodule separat mit Zweck, Dauer und Einwilligungsstatus auflisten.