Diese Checkliste unterstützt Produktverantwortliche, Datenschutzbeauftragte und Entwicklungsteams bei der Prüfung eines 3D-Konfigurators. Sie ersetzt keine Rechtsberatung. Maßgeblich sind der konkrete Datenfluss, die beteiligten Anbieter und der Zweck der Verarbeitung.

1. Dateninventar erstellen

Dokumentieren Sie Konfigurationswerte, Protokolldaten, IDs, Nutzerkonto, Anfrage-, Warenkorb- und Bestelldaten. Erfassen Sie auch Informationen, die externe Viewer, CDN-, Analyse- oder Supportdienste erhalten.

2. Personenbezug prüfen

Auch eine zunächst anonyme Konfiguration kann personenbezogen werden, wenn sie mit Konto, Kontaktformular, IP-Adresse oder einer stabilen ID verbunden wird. Halten Sie fest, ab welchem Prozessschritt diese Verbindung entsteht.

3. Zweck und Rechtsgrundlage festhalten

Ordnen Sie jeder Verarbeitung einen konkreten Zweck und eine Rechtsgrundlage zu. Trennen Sie technisch notwendige Verarbeitung von optionaler Analyse und Werbung.

4. Datensparsamkeit umsetzen

Erheben Sie nur Informationen, die für Konfiguration, Anfrage oder Bestellung notwendig sind. Eine freie Produktgestaltung benötigt häufig noch keinen Namen und keine E-Mail-Adresse.

5. Consent-Management testen

Optionale Dienste dürfen nicht bereits beim Laden der Seite Daten übertragen, wenn zuvor eine Einwilligung erforderlich ist. Prüfen Sie Ablehnung, Widerruf und erneuten Seitenaufruf praktisch.

6. Datenschutzhinweise ergänzen

Beschreiben Sie verständlich Zwecke, Datenarten, Empfänger, Speicherdauer und Rechte. Der Hinweis sollte den tatsächlichen technischen Stand abbilden.

7. Dienstleister und Datenstandorte prüfen

Dokumentieren Sie Hosting, CDN, Analyse, CRM und Softwareanbieter. Klären Sie Auftragsverarbeitung, Unterauftragnehmer und mögliche Drittlandübermittlungen.

8. Zugriffe begrenzen

Vergeben Sie Rollen nach Aufgaben. Support, Vertrieb und Administration benötigen nicht automatisch Zugriff auf dieselben Daten. Protokollieren Sie administrative Änderungen angemessen.

9. Schnittstellen absichern

APIs benötigen Authentifizierung, Berechtigungsprüfung, Eingabevalidierung und Schutz vor übermäßigen Anfragen. Verlassen Sie sich bei Preisen und Regeln nicht auf Daten aus dem Browser.

10. Speicher- und Löschfristen umsetzen

Definieren Sie getrennte Fristen für anonyme Entwürfe, Angebotsanfragen, Bestellungen und Protokolle. Automatisieren Sie Löschung oder Anonymisierung, soweit möglich.

11. Betroffenenrechte vorbereiten

Das Unternehmen muss zuordenbare Daten finden, exportieren, berichtigen und gegebenenfalls löschen können. Prüfen Sie, ob eine Konfigurations-ID dafür ausreichend dokumentiert ist.

12. Änderungen in den Release-Prozess aufnehmen

Neue Tracking-Ereignisse, Anbieter oder Speicherfunktionen können eine erneute Prüfung erforderlich machen. Datenschutz sollte deshalb Bestandteil von Tests und Freigaben sein.

Die DSGVO nennt Datenminimierung, Datenschutz durch Technikgestaltung und angemessene Sicherheitsmaßnahmen als zentrale Anforderungen. Den vollständigen Rechtsrahmen finden Sie bei EUR-Lex. Die Rollen und Systemarchitektur erläutert der Grundlagenbeitrag Datenschutz bei 3D-Konfiguratoren.