Microsoft Dynamics 365 Commerce

Dynamics 365 Commerce setzt First Party Cookies für Warenkorb, Checkout, Session, Anti CSRF Token und Sprache. Application Insights ergänzt Analyse Cookies (ai_user, ai_session). Microsoft Entra ID stellt Authentifizierungs Cookies für eingeloggte Kunden bereit. Optionale Integrationen wie Microsoft Clarity, Werbe Pixel und Customer Insights können weitere Cookies für Analyse, Personalisierung oder Marketing ergänzen.

Technisch notwendige Cookies (Warenkorb, Checkout, Zahlung, Sicherheit, Anti CSRF) erfordern keine Einwilligung. Analyse, Profilbildung, Personalisierung, Application Insights, Microsoft Clarity und Marketing Pixel benötigen eine vorherige Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 TTDSG. Die Einwilligung muss spezifisch, informiert, granular und ebenso leicht widerrufbar wie erteilbar sein.

Bestellabwicklung, Warenkorb, Checkout, Zahlung und Fulfillment stützen sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Betrugsprävention und Sicherheit stützen sich auf Art. 6 Abs. 1 lit. f (berechtigtes Interesse). Analyse, Profilbildung, Personalisierung, Marketing und Retargeting basieren auf Art. 6 Abs. 1 lit. a (Einwilligung). Jede Verarbeitung sollte im Verzeichnis von Verarbeitungstätigkeiten dokumentiert sein.

Ja. Microsoft ist ein in den USA ansässiger Auftragsverarbeiter und Daten können in die USA und andere Microsoft Regionen fließen. Die Transfers werden durch das EU US Data Privacy Framework (Microsoft ist zertifiziert), dessen UK Erweiterung, das Swiss US Framework und die in der Microsoft DPA enthaltenen Standardvertragsklauseln abgedeckt. Bei Wahl einer EU Region greift die EU Data Boundary für Kerndaten, einzelne Telemetrie und Identitätsflüsse können dennoch Grenzen überschreiten.

Eine DSFA wird dringend empfohlen. Die Plattform umfasst umfangreiche Verarbeitung von Kunden und Zahlungsdaten, Verhaltensprofile via Application Insights und Customer Insights, optionale Session Recordings durch Microsoft Clarity, Microsoft Entra ID Integration und Drittlandtransfers. Diese Faktoren erfüllen mehrere DSFA Kriterien des EDPB sowie der nationalen Listen von BfDI, CNIL und AEPD.

Microsoft DPA abschließen, EU Region mit EU Data Boundary wählen, Application Insights, Clarity und Marketing Tags an ein Consent Management Tool koppeln, Auftragsverarbeiter dokumentieren, Aufbewahrungsfristen für Bestellungen und Telemetrie festlegen, Betroffenenrechte über das Microsoft Privacy Portal abwickeln, Microsoft Entra ID mit Least Privilege und MFA absichern und eine DSFA durchführen.

Alternativen sind Shopify, Adobe Commerce (Magento), SAP Commerce Cloud, Salesforce Commerce Cloud, Commerce Tools und Sylius für europäisches Hosting. Jede Lösung hat eigene Datenflüsse, Hosting Standorte und Einwilligungsanforderungen. In der EU ansässige oder selbst gehostete Lösungen können Drittlandrisiken verringern, verlagern jedoch Compliance und Sicherheit stärker in Ihr Team.

Listen Sie jedes Dynamics 365 Commerce Cookie mit Name, Zweck, Dauer und Kategorie (notwendig, Analyse, Personalisierung, Marketing) auf. Nennen Sie Microsoft als Auftragsverarbeiter, benennen Sie relevante Unterauftragsverarbeiter, weisen Sie Transfers in die USA unter dem EU US Data Privacy Framework und Standardvertragsklauseln aus und verlinken Sie auf das Microsoft Trust Center und die DPA. Bieten Sie eine granulare Einwilligung und einen klaren Widerrufsmechanismus.