> Salesforce Commerce Cloud (Demandware) und DSGVO: Cookies, Datenresidenz, Einstein AI, CMP Integration und USA Transfers für europäische Händler. > > Canonical: https://www.flowconsent.com/de/services/e-commerce/salesforce-commerce-cloud E-Commerce # Salesforce Commerce Cloud Präferenzen · [Offizielle Website](https://demandware.com) Salesforce Commerce Cloud (früher Demandware) ist eine der führenden Enterprise-E-Commerce-Plattformen, eingesetzt von großen europäischen Händlern wie L'Oreal, Lacoste, Adidas und Puma. Sie wird vollständig serverseitig gerendert, setzt aber dennoch zahlreiche First-Party-Cookies, integriert sich mit Salesforce Marketing Cloud und Einstein AI für Personalisierung und bindet häufig Drittanbieter-Tags für Analyse und Werbung ein. Datenschutzimplikationen umfassen grenzüberschreitende Transfers zwischen Salesforce-Regionen, KI-gestützte Personalisierung und die Notwendigkeit granularer Einwilligungsverwaltung in einem komplexen Storefront-Ökosystem. [Salesforce Commerce Cloud bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=ecommerce) · [Meine Website scannen](https://www.flowconsent.com/de/scan) Auf einen Blick - Kategorie [E-Commerce](https://www.flowconsent.com/de/services/e-commerce) - Einwilligung Präferenzen - Vorherige Einwilligung Erforderlich - Dokumentierte Cookies 14 - Drittanbieter-Domains 11 - Server Salesforce-operated data centres. EU customers can opt for Frankfurt or Paris hyperforce regions; default storefront infrastructure historically US-based (Demandware legacy) Überblick ## Was macht Salesforce Commerce Cloud? ## **Was ist Salesforce Commerce Cloud** Salesforce Commerce Cloud, früher Demandware, ist eine Enterprise-SaaS-E-Commerce-Plattform, die in Europa breit von Luxus-, Mode- und Beautymarken eingesetzt wird. Sie liefert Katalogverwaltung, Storefront-Rendering, Checkout, Bestellorchestrierung und Kundenprofile sowie optional Einstein AI für Personalisierung. Die Plattform ist vollständig serverseitig, was clientseitige Drittanbieter-Aufrufe begrenzt, aber auch bedeutet, dass die meisten Verarbeitungen in von Salesforce kontrollierten Umgebungen außerhalb der direkten Sicht des Händlers stattfinden. ## **Cookies und erhobene Daten** Standardmäßig setzt Commerce Cloud dwsid (Session), dwanonymous\_\ (anonyme Kundenkennung, 6 Monate), dwsecuretoken\_\, dwpersonalization\_\ (Einstein) und BV\_FORCED\_HTTPS. Kundenkonten ergänzen cqcid und dwcustomer\_\. Bei aktivem Einstein verfolgen zusätzliche Cookies betrachtete und empfohlene Produkte. Vom Händler hinzugefügte Analyse- oder Werbe-Tags (GA4, Meta Pixel, TikTok) setzen ihre eigenen Cookies obendrauf. Die Plattform speichert außerdem umfangreiche Daten serverseitig: Profil, Bestellhistorie, tokenisierte Zahlungsinstrumente und Einstein-Verhaltensereignisse. ## **DSGVO- und ePrivacy-Implikationen** Strikt notwendige Cookies (dwsid, BV\_FORCED\_HTTPS) dürfen ohne Einwilligung gesetzt werden. Alle Einstein-, Personalisierungs- und Empfehlungs-Cookies erfordern eine vorherige Einwilligung nach Art. 5(3) ePrivacy. Salesforce ist Auftragsverarbeiter für Storefront-Daten und eigenständig oder gemeinsam Verantwortlicher für Produkttelemetrie und Einstein-Modelltraining. Der aktuelle Salesforce-DPA enthält die SCC 2021, die EU-US-Data-Privacy-Framework-Zertifizierung für einschlägige Salesforce-Entities und vorvertragliche Transparenz zu Unterauftragsverarbeitern. ## **Datenübermittlungen und regionale Hosting-Wahl** Mit Hyperforce können Sie Storefront-Daten an Salesforce-EU-Regionen (Frankfurt, Paris) binden. Marketing Cloud, Einstein und Service Cloud können jedoch in anderen Regionen laufen, und Support-Tickets werden regelmäßig von globalen Teams bearbeitet. Ein Transfer Impact Assessment ist erforderlich, um zu kartieren, wo jeder personenbezogene Datenfluss landet. Für maximale Datenresidenz fordern Sie von Salesforce eine schriftliche Bestätigung der Regionen pro Dienst und konfigurieren regionsuebergreifende Replikation sorgfältig. ## **Einwilligungsverwaltung und CMP-Integration** Nutzen Sie ein CMP (OneTrust, Didomi, Axeptio, Cookiebot), um nicht notwendige Cookies und Einstein zu konditionieren. Salesforce stellt ein Privacy and Data Management-Toolkit (Privacy Center, DSR-API) bereit, das das CMP für die nachgelagerte Einwilligungsweiterleitung ergänzt. Ordnen Sie Cookies den Standardkategorien zu (strikt notwendig, funktional, Analyse, Marketing) und stellen Sie sicher, dass Einstein-Verhaltens-Tracking standardmäßig deaktiviert bleibt, bis eine Einwilligung erteilt wurde. ## **Praktische Compliance-Checkliste** 1\. Salesforce-DPA unterzeichnen und Hyperforce-Region bestätigen. 2. DSFA für Einstein-Empfehlungen und verhaltensbasiertes Ranking durchführen. 3. CMP integrieren und mit Einstein sowie eingebetteten Marketing-Tags verknüpfen. 4. Datenflüsse zwischen Commerce Cloud, Marketing Cloud und CRM dokumentieren. 5. Salesforce Privacy Center zur Automatisierung der DSR-Bearbeitung nutzen. 6. Spezifische Commerce-Cloud-Einträge in Cookie-Richtlinie und Datenschutzerklärung einschließlich Einstein ergänzen. Datenschutz ## Salesforce Commerce Cloud und die DSGVO Salesforce Commerce Cloud ist als „Präferenzen“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein. - Rechtsgrundlage Contract performance (Art. 6(1)(b) GDPR) for checkout and order processing; Consent (Art. 6(1)(a) GDPR) for marketing cookies, recommendation tracking and Einstein AI personalisation - Risikostufe high - Anwendbare Vorschriften GDPR, ePrivacy Directive, CCPA/CPRA, LGPD, PIPEDA, UK GDPR ### Datenschutz-Folgenabschätzung (DSFA) Salesforce Commerce Cloud verarbeitet umfangreiche Handelsdaten: Kundenkonten, Bestellhistorie, Zahlungsmetadaten, Browsing-Verhalten und (via Einstein) KI-gestützte Personalisierungsprofile. Wesentliche DSFA-Aspekte: (1) Datenflüsse zwischen Commerce Cloud, Marketing Cloud, Service Cloud und Sales Cloud erzeugen eine komplexe Verantwortlicher- und Auftragsverarbeiter-Karte; (2) Einstein Recommendations und Einstein Predictive Sort verarbeiten detaillierte Verhaltensdaten zur Vorhersage der Kaufabsicht, was Art. 22 DSGVO (automatisierte Entscheidungsfindung) auf den Plan rufen kann; (3) US-Zugriff durch Support und Engineering auf EU-Daten; (4) personenbezogene Daten in Promotion-Codes, Geschenkkarten und benutzerdefinierten Produktattributen, die unstrukturierte Identifier enthalten können; (5) Verteilung der Salesforce-Unterauftragsverarbeiter (AWS, Hyperforce, weltweite Support-Teams). Eine vollständige DSFA ist für Enterprise-Einsätze in der Regel erforderlich, idealerweise an der CNIL-DSFA-Vorlage ausgerichtet. ### Beispieltext für Ihr Banner > Unser Shop läuft auf Salesforce Commerce Cloud, das funktionale Cookies setzt, die für Warenkorb, Sitzung und Bestellung erforderlich sind. Mit Ihrer Einwilligung nutzen wir zusätzlich optionale Cookies und Salesforce Einstein AI, um Produktempfehlungen zu personalisieren, Marketingleistung zu messen und anonymisierte Nutzungsdaten mit Salesforce zu teilen. Einzelne Verarbeitungen können in den USA gemäß Standardvertragsklauseln stattfinden. Sie können Ihre Präferenzen jederzeit in unseren Cookie-Einstellungen verwalten. Cookies und Tracker ## Was Salesforce Commerce Cloud setzt und kontaktiert - Tracking-Methode Server-side rendering platform (Demandware) with first-party cookies for session and personalisation; optional integrations with Salesforce Marketing Cloud, Analytics 360, Einstein AI, and third-party tags - Serverstandort Salesforce-operated data centres. EU customers can opt for Frankfurt or Paris hyperforce regions; default storefront infrastructure historically US-based (Demandware legacy) - Datenübermittlung außerhalb der EU Even when storefront data resides in the EU, Salesforce as a US-headquartered controller may access data for support, telemetry, and Einstein AI training. Transfers to the US are covered by Standard Contractual Clauses and the EU-US Data Privacy Framework where applicable. Customer master data may flow between Commerce Cloud and Salesforce Core (CRM) which has its own data residency settings. ### Gesetzte Cookies (14) | Name | Typ | Laufzeit | Zweck | | -------------------------- | --------------------------- | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | dwsid | first\_party | Session | Demandware session identifier set by Salesforce Commerce Cloud to bind the visitor to a server side storefront session that holds cart and customer state. | | dwsid | Strictly necessary | Session | Demandware session identifier that maintains the shopper's basket, login state and storefront navigation. Cannot be disabled. | | dwanonymous\_\* | first\_party | 6 months | Persistent anonymous identifier for the visitor used to retain the shopping basket across visits before authentication. | | BV\_FORCED\_HTTPS | Strictly necessary | 1 day | Forces secure connections to the storefront after the first request, preventing protocol downgrade attacks. | | dwcustomer\_\* | first\_party | 6 months | Identifies the authenticated customer once they sign in, so the storefront can recover the customer specific cart and preferences. | | dwanonymous\_\ | Functional | 6 months | Anonymous customer identifier used to maintain personalisation and basket state across browser sessions for non-logged-in visitors. | | dwpersonalization\_\* | first\_party | 12 months | Holds personalisation rules and segment membership applied by SFCC Einstein and rule based personalisation. Considered non strictly necessary and requires consent. | | dwsecuretoken\_\ | Strictly necessary | Session | Encrypted token tying the authenticated session to a verified login, used to protect against session hijacking. | | cqcid | first\_party | 12 months | Quote and basket identifier used by SFCC headless deployments through the Commerce API to recover the cart across requests. | | dwpersonalization\_\ | Marketing / Personalization | 1 year | Identifier used by Einstein Recommendations to compute personalised product suggestions, viewed-recently widgets, and predictive sort orderings. | | sf\_ab | first\_party | 90 days | Variant allocation cookie set by the SFCC A/B testing module to keep the visitor on the same experience variant. Requires consent. | | cqcid | Functional | Persistent | Customer profile identifier linking the browser to a stored customer record, used after login for cross-device personalisation. | | mc\_personalization\_\* | first\_party | 12 months | Identifier for Marketing Cloud Personalization (formerly Interaction Studio) used to compute real time personalisation. Requires consent. | | dwcustomer\_\ | Functional | 1 year | Encrypted reference to the customer's stored Commerce Cloud profile, used to retrieve account data and saved baskets across sessions. | ### Kontaktierte Drittanbieter-Domains (11) - `salesforce.com` - `demandware.net` - `demandware.net` - `demandware.edgesuite.net` - `salesforce.com` - `commercecloud.salesforce.com` - `einstein.salesforce.com` - `salesforce-experience-cloud.com` - `evergage.com` - `force.com` - `einstein.ai` Fragen ## Häufige Fragen zu Salesforce Commerce Cloud Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Welche Cookies setzt Salesforce Commerce Cloud? Eine Standard SFCC Storefront setzt einen Session Cookie (dwsid oder sid), einen Authentifizierungs Cookie nach Anmeldung, einen persistenten Warenkorb Cookie, der mit einem serverseitigen Basket verknüpft ist, plus optionale Cookies aus Einstein (Visitor und Empfehlung Identifier), Marketing Cloud Personalization (Visitor und Segment), dem A/B Test Modul und allen integrierten Marketing Tags. Session und Warenkorb Cookies sind strikt erforderlich, Personalisierungs, Analytics und Marketing Identifier nicht. ### Welche Cookies setzt Salesforce Commerce Cloud standardmäßig? Commerce Cloud (Demandware) setzt dwsid (Session, strikt notwendig), BV\_FORCED\_HTTPS (Sicherheit), dwanonymous\_\ (6-monatige anonyme Kundenkennung), dwsecuretoken\_\ (Login-Session), dwpersonalization\_\ (Einstein) und cqcid/dwcustomer\_\ für authentifizierte Käufer. Nur die strikt notwendigen dürfen ohne Einwilligung gesetzt werden; Personalisierungs- und Einstein-Cookies erfordern eine vorherige Einwilligung. ### Ist eine Einwilligung für SFCC erforderlich? Für strikt erforderliche Cookies (Session, Login, Warenkorb) ist keine Einwilligung erforderlich. Erforderlich ist sie für das Einstein Empfehlungs Tag, Marketing Cloud Personalization Cookies, A/B Test Identifier und alle über SFCC integrierten Marketing Pixel. Diese Tags müssen in der CMP bis zur Annahme der entsprechenden Kategorie blockiert bleiben. ### Brauche ich eine Einwilligung, um Salesforce Commerce Cloud zu laden? Sie brauchen keine Einwilligung, um den Storefront selbst zu laden, denn Warenkorb- und Checkout-Cookies sind strikt notwendig. Einstein-Empfehlungen, Personalisierung, Verhaltens-Tracking und eingebettete Marketing-Tags erfordern jedoch eine vorherige granulare Einwilligung gemäß Art. 5(3) ePrivacy. Blockieren Sie Einstein und Marketing-Tags im CMP bis zum Opt-in. ### Welche Rechtsgrundlage gilt für SFCC? Warenkorb, Anmeldung und Bestellabwicklung beruhen auf Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Marketing, Personalisierung und verhaltensbasierte Analytics beruhen auf Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Betrugsprävention und Sicherheitsmonitoring beruhen auf berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO) mit dokumentierter Abwägung. Steuer und Rechnungswesen Aufbewahrung beruht auf rechtlicher Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). ### Was ist die Rechtsgrundlage für die Storefront-Datenverarbeitung? Bestellabwicklung und Kontoverwaltung stützen sich auf Vertrag (Art. 6(1)(b) DSGVO). Marketing-Cookies, Einstein-Personalisierung und Verhaltens-Analyse stützen sich auf Einwilligung (Art. 6(1)(a) DSGVO und Art. 5(3) ePrivacy). Betrugsprävention, Sicherheitstelemetrie und aggregierte Plattformverbesserung können sich auf berechtigtes Interesse von Salesforce stützen, mit dokumentierter Abwägung. ### Übermittelt SFCC Daten in die USA? Ja. Auch bei einem EU Hyperforce Deployment bleibt Salesforce Inc. (USA) in der Verantwortlichen Kette, betreibt Follow the Sun Support und nutzt US Unterauftragsverarbeiter. Personenbezogene Daten werden daher wahrscheinlich in die USA übermittelt. Salesforce stützt sich auf Standardvertragsklauseln, die EU US Data Privacy Framework Zertifizierung und Salesforce Binding Corporate Rules als Übermittlungsmechanismen. ### Werden Daten in die USA übertragen? Potenziell ja. Storefront-Daten können in EU-Hyperforce-Regionen (Frankfurt, Paris) gehalten werden, doch angrenzende Dienste (Marketing Cloud, Service Cloud, Support) und Einstein-Training können Übermittlungen in die USA umfassen. Die Übermittlungen sind durch SCC abgedeckt und, für im Data Privacy Framework zertifizierte Salesforce-Entities, durch den EU-US-DPF-Angemessenheitsbeschluss. Ein Transfer Impact Assessment bleibt ratsam. ### Ist eine DSFA für SFCC erforderlich? In der Praxis ja. SFCC Deployments verbinden routinemäßig große Mengen B2C Kundendaten, Einstein Profiling, Marketing Cloud Personalisierung, A/B Tests und CDP Integration. Diese Kombination erfüllt mehrere Kriterien des Art. 35 DSGVO (systematische Beobachtung, Profiling mit erheblichen Auswirkungen in bestimmten Branchen, großvolumige Verarbeitung). Eine DSFA sollte vor dem Go Live erstellt und beim Hinzufügen neuer Module oder sensibler Produktkategorien aktualisiert werden. ### Brauche ich eine DSFA für Commerce Cloud? Eine vollständige DSFA wird für Enterprise-Einsätze, insbesondere mit Einstein-Empfehlungen, empfohlen. Mehrere Kriterien des Art. 35(3) DSGVO sind erfüllt: grossangelegte Verarbeitung, profiling-basierte Personalisierung, automatisierte Entscheidungs-beeinflussende Systeme und grenzüberschreitende Übermittlungen. Die CNIL-DSFA-Vorlage und die EDPB-Leitlinien zu Art. 22 bieten eine geeignete Struktur. ### Wie wird SFCC datenschutzkonform betrieben? Schließen Sie das Salesforce DPA ab, wählen Sie eine EU Hyperforce Region, integrieren Sie eine CMP, die Einstein, Marketing Cloud Personalization, A/B Tests und Marketing Tags blockieren kann, und dokumentieren Sie die Salesforce Unterauftragsverarbeitungs Kette. Führen Sie eine DSFA durch, konfigurieren Sie getrennte Aufbewahrungsfristen für Kundenkonto, Verhaltensprofil und Bestelldaten, und implementieren Sie ein dokumentiertes Verfahren für Betroffenenrechte, das über die Salesforce GDPR APIs in die Salesforce Systeme propagiert wird. ### Wie setze ich Commerce Cloud rechtskonform ein? Salesforce-DPA unterzeichnen, eine EU-Hyperforce-Region wählen, ein CMP konfigurieren und mit der Einstein-Einwilligungs-API verknüpfen, eine DSFA für alle integrierten Dienste durchführen, Datenflüsse im Verzeichnis von Verarbeitungstätigkeiten dokumentieren, Salesforce Privacy Center zur DSR-Automatisierung nutzen und sicherstellen, dass kein Marketing-Cloud-Tag vor der Einwilligung auslöst. ### Welche Alternativen zu Salesforce Commerce Cloud gibt es? Europäische Alternativen sind commercetools (Deutschland, EU-Hosting), Spryker (Deutschland) und Shopware. SAP Commerce Cloud ist eine weitere Enterprise-Option, wirft aber ähnliche grenzüberschreitende Fragen auf. Shopify Plus bietet EU-Hosting, bleibt aber US-Stammsitz. Headless-Setups mit Algolia, Stripe und EU-CMS reduzieren Plattformbindung und vereinfachen Compliance. ### Welche Alternativen zu SFCC gibt es? Direkte Alternativen für Enterprise E-Commerce sind SAP Commerce Cloud, Adobe Commerce, Oracle Commerce, Spryker, commercetools, Shopware (Deutschland) und Shopify Plus. Aus DSGVO Sicht bieten EU Plattformen wie commercetools, Shopware und Spryker eine einfachere Transferkette. Für sehr große globale Händler entscheidet meist IT Footprint und Funktionsumfang mehr als die reine Datenresidenz. ### Wie passe ich die Cookie Policy für SFCC an? Listen Sie die strikt erforderlichen Cookies (Session, Login, Warenkorb) mit Namen und Speicherdauer. Listen Sie jeden nicht strikt erforderlichen Cookie aus Einstein, Marketing Cloud Personalization, A/B Tests und Marketing Tags mit Zweck, Speicherdauer und Empfänger. Nennen Sie Salesforce Inc. als Auftragsverarbeiter in der Datenschutzerklärung, beschreiben Sie den EU USA Transfer und verweisen Sie auf den anwendbaren Mechanismus (DPF Zertifizierung, Standardvertragsklauseln, BCR). ### Wie aktualisiere ich Cookie- und Datenschutzrichtlinie für Commerce Cloud? Fügen Sie einen Commerce-Cloud-Abschnitt in Ihre Cookie-Richtlinie ein, der dwsid, BV\_FORCED\_HTTPS, dwanonymous\_\, dwsecuretoken\_\, dwpersonalization\_\ und Einstein-spezifische Cookies aufführt. In der Datenschutzerklärung weisen Sie Salesforce als Auftragsverarbeiter aus, nennen die Hyperforce-Region, erwähnen Einstein und Marketing Cloud als gemeinsam Verantwortliche oder Unterauftragsverarbeiter, legen die Rechtsgrundlage je Verarbeitung offen und verlinken die öffentliche Salesforce-Vertrauensdokumentation. Gleiche Kategorie ## Weitere Dienste: E-Commerce [Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/e-commerce) ### [Envialia](https://www.flowconsent.com/de/services/e-commerce/envialia) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/envialia) · ### [Freedom Farmers](https://www.flowconsent.com/de/services/e-commerce/freedom-farmers) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/freedom-farmers) · ### [Rezdy](https://www.flowconsent.com/de/services/e-commerce/rezdy) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/rezdy) · ### [Seal Subscriptions](https://www.flowconsent.com/de/services/e-commerce/seal-subscriptions) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/seal-subscriptions) · ### [Plytix](https://www.flowconsent.com/de/services/e-commerce/plytix) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/plytix) · ### [Levar](https://www.flowconsent.com/de/services/e-commerce/levar) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/levar) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)