Salesforce Commerce Cloud

Eine Standard SFCC Storefront setzt einen Session Cookie (dwsid oder sid), einen Authentifizierungs Cookie nach Anmeldung, einen persistenten Warenkorb Cookie, der mit einem serverseitigen Basket verknüpft ist, plus optionale Cookies aus Einstein (Visitor und Empfehlung Identifier), Marketing Cloud Personalization (Visitor und Segment), dem A/B Test Modul und allen integrierten Marketing Tags. Session und Warenkorb Cookies sind strikt erforderlich, Personalisierungs, Analytics und Marketing Identifier nicht.

Commerce Cloud (Demandware) setzt dwsid (Session, strikt notwendig), BV_FORCED_HTTPS (Sicherheit), dwanonymous_<UUID> (6-monatige anonyme Kundenkennung), dwsecuretoken_<UUID> (Login-Session), dwpersonalization_<UUID> (Einstein) und cqcid/dwcustomer_<UUID> für authentifizierte Käufer. Nur die strikt notwendigen dürfen ohne Einwilligung gesetzt werden; Personalisierungs- und Einstein-Cookies erfordern eine vorherige Einwilligung.

Für strikt erforderliche Cookies (Session, Login, Warenkorb) ist keine Einwilligung erforderlich. Erforderlich ist sie für das Einstein Empfehlungs Tag, Marketing Cloud Personalization Cookies, A/B Test Identifier und alle über SFCC integrierten Marketing Pixel. Diese Tags müssen in der CMP bis zur Annahme der entsprechenden Kategorie blockiert bleiben.

Sie brauchen keine Einwilligung, um den Storefront selbst zu laden, denn Warenkorb- und Checkout-Cookies sind strikt notwendig. Einstein-Empfehlungen, Personalisierung, Verhaltens-Tracking und eingebettete Marketing-Tags erfordern jedoch eine vorherige granulare Einwilligung gemäß Art. 5(3) ePrivacy. Blockieren Sie Einstein und Marketing-Tags im CMP bis zum Opt-in.

Warenkorb, Anmeldung und Bestellabwicklung beruhen auf Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Marketing, Personalisierung und verhaltensbasierte Analytics beruhen auf Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Betrugsprävention und Sicherheitsmonitoring beruhen auf berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO) mit dokumentierter Abwägung. Steuer und Rechnungswesen Aufbewahrung beruht auf rechtlicher Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Bestellabwicklung und Kontoverwaltung stützen sich auf Vertrag (Art. 6(1)(b) DSGVO). Marketing-Cookies, Einstein-Personalisierung und Verhaltens-Analyse stützen sich auf Einwilligung (Art. 6(1)(a) DSGVO und Art. 5(3) ePrivacy). Betrugsprävention, Sicherheitstelemetrie und aggregierte Plattformverbesserung können sich auf berechtigtes Interesse von Salesforce stützen, mit dokumentierter Abwägung.

Ja. Auch bei einem EU Hyperforce Deployment bleibt Salesforce Inc. (USA) in der Verantwortlichen Kette, betreibt Follow the Sun Support und nutzt US Unterauftragsverarbeiter. Personenbezogene Daten werden daher wahrscheinlich in die USA übermittelt. Salesforce stützt sich auf Standardvertragsklauseln, die EU US Data Privacy Framework Zertifizierung und Salesforce Binding Corporate Rules als Übermittlungsmechanismen.

Potenziell ja. Storefront-Daten können in EU-Hyperforce-Regionen (Frankfurt, Paris) gehalten werden, doch angrenzende Dienste (Marketing Cloud, Service Cloud, Support) und Einstein-Training können Übermittlungen in die USA umfassen. Die Übermittlungen sind durch SCC abgedeckt und, für im Data Privacy Framework zertifizierte Salesforce-Entities, durch den EU-US-DPF-Angemessenheitsbeschluss. Ein Transfer Impact Assessment bleibt ratsam.

In der Praxis ja. SFCC Deployments verbinden routinemäßig große Mengen B2C Kundendaten, Einstein Profiling, Marketing Cloud Personalisierung, A/B Tests und CDP Integration. Diese Kombination erfüllt mehrere Kriterien des Art. 35 DSGVO (systematische Beobachtung, Profiling mit erheblichen Auswirkungen in bestimmten Branchen, großvolumige Verarbeitung). Eine DSFA sollte vor dem Go Live erstellt und beim Hinzufügen neuer Module oder sensibler Produktkategorien aktualisiert werden.

Eine vollständige DSFA wird für Enterprise-Einsätze, insbesondere mit Einstein-Empfehlungen, empfohlen. Mehrere Kriterien des Art. 35(3) DSGVO sind erfüllt: grossangelegte Verarbeitung, profiling-basierte Personalisierung, automatisierte Entscheidungs-beeinflussende Systeme und grenzüberschreitende Übermittlungen. Die CNIL-DSFA-Vorlage und die EDPB-Leitlinien zu Art. 22 bieten eine geeignete Struktur.

Schließen Sie das Salesforce DPA ab, wählen Sie eine EU Hyperforce Region, integrieren Sie eine CMP, die Einstein, Marketing Cloud Personalization, A/B Tests und Marketing Tags blockieren kann, und dokumentieren Sie die Salesforce Unterauftragsverarbeitungs Kette. Führen Sie eine DSFA durch, konfigurieren Sie getrennte Aufbewahrungsfristen für Kundenkonto, Verhaltensprofil und Bestelldaten, und implementieren Sie ein dokumentiertes Verfahren für Betroffenenrechte, das über die Salesforce GDPR APIs in die Salesforce Systeme propagiert wird.

Salesforce-DPA unterzeichnen, eine EU-Hyperforce-Region wählen, ein CMP konfigurieren und mit der Einstein-Einwilligungs-API verknüpfen, eine DSFA für alle integrierten Dienste durchführen, Datenflüsse im Verzeichnis von Verarbeitungstätigkeiten dokumentieren, Salesforce Privacy Center zur DSR-Automatisierung nutzen und sicherstellen, dass kein Marketing-Cloud-Tag vor der Einwilligung auslöst.

Europäische Alternativen sind commercetools (Deutschland, EU-Hosting), Spryker (Deutschland) und Shopware. SAP Commerce Cloud ist eine weitere Enterprise-Option, wirft aber ähnliche grenzüberschreitende Fragen auf. Shopify Plus bietet EU-Hosting, bleibt aber US-Stammsitz. Headless-Setups mit Algolia, Stripe und EU-CMS reduzieren Plattformbindung und vereinfachen Compliance.

Direkte Alternativen für Enterprise E-Commerce sind SAP Commerce Cloud, Adobe Commerce, Oracle Commerce, Spryker, commercetools, Shopware (Deutschland) und Shopify Plus. Aus DSGVO Sicht bieten EU Plattformen wie commercetools, Shopware und Spryker eine einfachere Transferkette. Für sehr große globale Händler entscheidet meist IT Footprint und Funktionsumfang mehr als die reine Datenresidenz.

Listen Sie die strikt erforderlichen Cookies (Session, Login, Warenkorb) mit Namen und Speicherdauer. Listen Sie jeden nicht strikt erforderlichen Cookie aus Einstein, Marketing Cloud Personalization, A/B Tests und Marketing Tags mit Zweck, Speicherdauer und Empfänger. Nennen Sie Salesforce Inc. als Auftragsverarbeiter in der Datenschutzerklärung, beschreiben Sie den EU USA Transfer und verweisen Sie auf den anwendbaren Mechanismus (DPF Zertifizierung, Standardvertragsklauseln, BCR).

Fügen Sie einen Commerce-Cloud-Abschnitt in Ihre Cookie-Richtlinie ein, der dwsid, BV_FORCED_HTTPS, dwanonymous_<UUID>, dwsecuretoken_<UUID>, dwpersonalization_<UUID> und Einstein-spezifische Cookies aufführt. In der Datenschutzerklärung weisen Sie Salesforce als Auftragsverarbeiter aus, nennen die Hyperforce-Region, erwähnen Einstein und Marketing Cloud als gemeinsam Verantwortliche oder Unterauftragsverarbeiter, legen die Rechtsgrundlage je Verarbeitung offen und verlinken die öffentliche Salesforce-Vertrauensdokumentation.