Ein 3D-Konfigurator verarbeitet nicht automatisch personenbezogene Daten. Datenschutz wird relevant, sobald eine Konfiguration mit einem Nutzerkonto, einer Anfrage, Tracking-Daten, einer IP-Adresse oder einer Bestellung verknüpft wird. Unternehmen sollten deshalb nicht nur die sichtbare Anwendung prüfen, sondern den gesamten Datenfluss vom Browser bis zu Shop, CRM, Analyse- und Hostingdiensten.

Welche Daten tatsächlich verarbeitet werden

Am Anfang steht eine Datenflussanalyse. Dabei wird dokumentiert, welche Informationen entstehen, wohin sie übertragen werden und wie lange sie gespeichert bleiben. Typische Datenkategorien sind:

• Konfigurationswerte wie Material, Maße und gewählte Ausstattung,
• technische Protokolldaten wie IP-Adresse, Zeitpunkt und Fehlermeldungen,
• Analyse- und Marketingereignisse,
• Kontaktdaten bei Angebotsanfragen,
• Konto-, Warenkorb- und Bestelldaten.

Eine gespeicherte Konfiguration kann personenbezogen werden, wenn sie über eine Konfigurations-ID mit einer Person verbunden wird. Deshalb reicht es nicht, nur Formularfelder zu betrachten.

Verantwortlichkeit und Rechtsgrundlage festlegen

Der Betreiber des Shops ist häufig Verantwortlicher für die Verarbeitung. Hosting-, Analyse- oder Softwareanbieter können als Auftragsverarbeiter beteiligt sein. Die konkrete Rollenverteilung hängt jedoch vom tatsächlichen Datenfluss und den eigenen Entscheidungsbefugnissen ab und sollte rechtlich geprüft werden.

Für jede Verarbeitung ist ein nachvollziehbarer Zweck und eine geeignete Rechtsgrundlage erforderlich. Vertragsvorbereitung kann etwa für eine konkrete Angebotsanfrage relevant sein. Nicht notwendiges Marketing-Tracking benötigt regelmäßig eine getrennte Betrachtung. Eine Einwilligung darf nicht pauschal für technisch notwendige und werbliche Vorgänge vermischt werden.

Privacy by Design statt nachträglicher Korrekturen

Die Datenschutz-Grundverordnung verlangt unter anderem Zweckbindung, Transparenz und Datenminimierung. Artikel 25 fordert Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Die maßgeblichen Grundsätze sind in der Datenschutz-Grundverordnung festgelegt.

Für einen Konfigurator bedeutet das praktisch:

• Konfiguration zunächst ohne Nutzerkonto ermöglichen, wenn kein Konto erforderlich ist.
• Personenbezug erst herstellen, wenn der Nutzer speichern, anfragen oder bestellen möchte.
• Optionale Analyse- und Marketingdienste getrennt aktivieren.
• Speicherfristen je Datenart definieren und technisch umsetzen.
• Export und Löschung zuordenbarer Konfigurationen ermöglichen.

Technische und organisatorische Sicherheit

Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für die Anwendung sind insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, sichere Schnittstellen, Protokollierung, Updates und regelmäßige Wiederherstellungstests relevant. Konfigurations-IDs sollten nicht erratbar sein. APIs dürfen Preise, Kundendaten oder interne Produktregeln nur im notwendigen Umfang ausgeben.

Auch externe 3D-Viewer, CDN-, Analyse- und Cloud-Dienste gehören in die Prüfung. Zu klären sind Speicherort, Unterauftragsverarbeiter, Datenübermittlungen in Drittländer und vertragliche Regelungen.

Dokumentation für Betrieb und Änderungen

Datenschutz ist kein einmaliger Abnahmepunkt. Neue Tracking-Ereignisse, externe Dienste oder Speicherfunktionen können den Datenfluss verändern. Verantwortliche sollten daher Versionen, Dienstleister und Zwecke dokumentieren und die Prüfung in den Release-Prozess aufnehmen.

Eine konkrete Prüfliste für die Umsetzung finden Sie im Beitrag Datenschutz und Sicherheit in 3D-Konfiguratoren: Worauf Sie achten sollten. Dieser Artikel ersetzt keine Rechtsberatung, sondern beschreibt technische und organisatorische Planungsfragen.