Merchello

Merchello verarbeitet die zur Auftragsabwicklung notwendigen Daten: Name, Rechnungs und Lieferanschrift, E Mail, Telefon, Bestellhistorie und bei PCI konformer Zahlungsabwicklung eine tokenisierte Zahlungsreferenz. Im Browser nutzt es die ASP.NET Session ID, einen Warenkorb Schlüssel, ein Antiforgery Token und ein Authentifizierungscookie bei Anmeldung. Diese Cookies werden First Party von der Umbraco Anwendung des Händlers gesetzt. Merchello sendet keine Daten an einen Hersteller Cloud, übermittelt keine Telemetrie und setzt keine Tracking Cookies von Drittanbietern.

Nein. Die Warenkorb, Session, Antiforgery und Login Cookies eines Merchello betriebenen Umbraco Shops fallen unter die Ausnahme unbedingt erforderlich nach § 25(2) TDDDG und Art. 5(3) ePrivacy, da sie zur Erbringung des vom Besucher ausdrücklich angeforderten Shop Dienstes nötig sind. Die Orientierungshilfe der DSK 2021, die CNIL Empfehlung 2020 und die AEPD Guía bestätigen diese Einordnung. Eine Einwilligung ist nur für zusätzliche Marketing, Analyse oder Personalisierungs Cookies erforderlich, die der Händler zusätzlich integriert.

Vertragserfüllung nach Art. 6(1)(b) DSGVO ist die primäre Grundlage für die Bestellabwicklung. Art. 6(1)(c) (rechtliche Verpflichtung) deckt die Aufbewahrung von Rechnungen und Buchungsunterlagen. Art. 6(1)(f) (berechtigtes Interesse) stützt Betrugsprävention und Basis Sicherheitsprotokolle. Art. 6(1)(a) (Einwilligung) gilt für Marketing E Mails, Loyalty Profiling und personalisierte Werbung. Jeder Zweck, jede Grundlage und jede Speicherdauer gehört in das Verzeichnis nach Art. 30 und die Datenschutzerklärung.

Merchello selbst übermittelt keine Daten in Drittstaaten, da es auf den Servern des Händlers läuft. Übermittlungen hängen von den Entscheidungen des Händlers ab: Hosting Provider, Zahlungs Gateway (Stripe, Braintree, PayPal mit US Bezug), E Mail Anbieter (Mailgun, SendGrid), Versanddienst APIs sowie zusätzliche Marketing oder Analyse Tools. Jeder Dienst muss nach Kapitel V DSGVO mit Standardvertragsklauseln oder dem EU US Data Privacy Framework und gegebenenfalls einem Transfer Impact Assessment geprüft werden.

Eine förmliche DSFA nach Art. 35 DSGVO ist für einen Merchello Shop mit Standard Kundendaten und überschaubarem Volumen meist nicht erforderlich. Sie wird empfohlen, wenn der Händler große Datenmengen verarbeitet, besondere Datenkategorien betroffen sind (Apotheke, Gesundheitsshop), automatisierte Entscheidungen getroffen werden (Scoring, blockierende Betrugsregeln) oder umfangreiche grenzüberschreitende Übermittlungen erfolgen. Das Verzeichnis nach Art. 30 ist Pflicht und sollte jede Merchello Abhängigkeit, jeden Auftragsverarbeiter und jede Speicherdauer abbilden.

Hosten Sie Umbraco Anwendung und Datenbank in einer von Ihnen kontrollierten EU Region. Wenden Sie ASP.NET Härtung an, erzwingen Sie HTTPS, hashen Sie Passwörter mit Identity, beschränken Sie das Backend auf ein VPN oder eine IP Allowlist und patchen Sie Umbraco und Merchello Abhängigkeiten regelmäßig. Konfigurieren Sie Speicherfristen für Warenkörbe und Konten und führen Sie einen nächtlichen Bereinigungsjob aus. Schließen Sie AV Verträge mit Hoster, Zahlungs Gateway, transaktionalem E Mail Anbieter und Versanddienstleister. Veröffentlichen Sie Datenschutzerklärung und einen klaren Workflow für Betroffenenrechte.

Open Source E Commerce Alternativen, die sich gut mit .NET und Headless CMS verbinden lassen, sind nopCommerce, Sitecore OrderCloud, SmartStore, Optimizely Commerce und Sana Commerce für den Microsoft Stack sowie PrestaShop, WooCommerce, Sylius oder Saleor für PHP, Python oder JavaScript Stacks. Als SaaS Optionen kommen Shopify, BigCommerce und Centra in Betracht. Jede Option bringt ein anderes Hosting, Datenresidenz und Transferprofil mit. Die Wahl sollte Datenkontrolle, EU Hosting Verfügbarkeit, Drittanbieter Abhängigkeiten und Teamkapazität abwägen.

Die Cookie Richtlinie sollte die unbedingt erforderlichen Cookies des Merchello Shops aufführen: ASP.NET Session, Warenkorb Schlüssel, Antiforgery, Authentifizierung. Geben Sie Name, Zweck, Typ (Session oder Persistent), Speicherdauer und den Hinweis an, dass eine Einwilligung nicht erforderlich ist, da diese Cookies für den Shop Dienst nötig sind. Fügen Sie einen gesonderten Abschnitt für zusätzliche Analyse, Marketing oder Personalisierungs Cookies hinzu und blockieren Sie diese hinter einem granularen Consent Banner. Aktualisieren Sie die Richtlinie bei jedem Wechsel von Zahlungs, Versand oder Marketing Anbieter.