DSGVO-konformer Produktkonfigurator: Worauf B2B-Unternehmen achten müssen

Ein Produktkonfigurator ist heute eines der wichtigsten Werkzeuge im B2B-Vertrieb — vom Maschinenbau über die Möbelindustrie bis zu ERP- und SaaS-Anbietern. Kunden konfigurieren ihr Wunschprodukt online, geben Spezifikationen ein und erhalten ein massgeschneidertes Angebot. Was viele übersehen: Ein Produktkonfigurator verarbeitet praktisch immer personenbezogene Daten und unterliegt damit der DSGVO.

Name, E-Mail-Adresse und Firmenname sind personenbezogene Daten. Auch Geschäftsdaten wie Stückzahlen, Budgetangaben oder technische Anforderungen können sensibel sein und sollten geschützt werden. Wer einen Produktkonfigurator betreibt, der auf US-Cloud-Diensten läuft oder ohne Auftragsverarbeitungsvertrag (AVV) auskommt, riskiert Bussgelder und Vertrauensverlust bei Geschäftskunden.

Was ein Produktkonfigurator unter DSGVO leisten muss

Sobald ein Konfigurator Felder wie Kontaktdaten, Firma oder individuelle Angebotsanfragen erhebt, gelten die Pflichten der Datenschutz-Grundverordnung. Konkret bedeutet das:

• Rechtsgrundlage für die Verarbeitung (in der Regel Artikel 6 Abs. 1 lit. b — Vertragsanbahnung)
• Datenminimierung (Art. 5 Abs. 1 lit. c) — nur die Felder erheben, die für die Konfiguration und das Angebot tatsächlich nötig sind
• Transparenzpflicht (Art. 13) — die Datenschutzerklärung muss erläutern, welche Daten erhoben und wohin sie übermittelt werden
• Auftragsverarbeitungsvertrag (Art. 28) mit jedem Drittanbieter, der die Konfigurator-Daten verarbeitet
• Sicherheit der Verarbeitung (Art. 32) — Verschlüsselung der gespeicherten Konfigurationen, sichere Übertragung, Zugriffskontrolle
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e) — keine ewige Aufbewahrung von Anfragen, die nie zu einem Auftrag wurden

Typische Datenschutz-Fallen in Produktkonfiguratoren

1. US-gehostete SaaS-Konfiguratoren ohne Datenresidenz

Viele beliebte Konfigurator-Plattformen — Combeenation (mit US-Subprozessoren), Configure One, Tacton in bestimmten Konstellationen, sowie generische Formular-Tools wie Typeform oder Jotform als Konfigurator-Ersatz — verarbeiten Daten ganz oder teilweise auf US-Servern. Ein gültiger Auftragsverarbeitungsvertrag schützt nicht vor unzulässigen Drittlandtransfers nach Art. 44 ff. DSGVO. Nach den Schrems-II-Entscheidungen reicht der Verweis auf das EU-US Data Privacy Framework allein in Hochrisiko-Szenarien nicht aus.

2. Eingebettete Tracker und Drittanbieter-Skripte

Wenn auf der Konfigurator-Seite Google Tag Manager, Facebook Pixel, HubSpot, Hotjar oder ähnliche Skripte mitlaufen, wandert ein Teil der eingegebenen Daten zu Drittanbietern — oft ohne explizite Einwilligung. Damit verstossen Sie sowohl gegen die DSGVO als auch gegen das TTDSG (in Deutschland) und die ePrivacy-Richtlinie.

3. Konfigurationen liegen unverschlüsselt in der Datenbank

Standardmässig speichern fast alle SaaS-Konfiguratoren die Antworten im Klartext. Mitarbeiter des Anbieters, Administratoren, Support oder im Worst Case ein Angreifer können die Konfigurationen lesen. Bei wettbewerbssensiblen Konfigurationen (z. B. Stückzahlen, Sonderpreise, Bauteilelisten) ist das ein erhebliches Geschäftsrisiko jenseits der reinen DSGVO-Frage.

4. Datei-Uploads ohne EU-Speicherort

Viele Konfiguratoren erlauben das Hochladen von CAD-Dateien, Lastenheften oder Skizzen. Werden diese Dateien auf AWS S3 (US-Region) oder Cloudflare R2 ohne EU-Garantie gespeichert, gilt dasselbe Problem wie für die Formulardaten — und in vielen Fällen sogar verschärft, weil es um Geschäftsgeheimnisse geht.

5. Kein Betroffenenportal für Auskunfts- und Löschanträge

Wenn ein potenzieller Kunde nach Art. 15 DSGVO Auskunft verlangt oder nach Art. 17 die Löschung seiner Konfigurationsanfrage fordert, muss das technisch und in Bezug auf die Frist (ein Monat) sauber umsetzbar sein. Manuelle Suche in mehreren Tools, ohne Audit-Trail, ist weder skalierbar noch prüfsicher.

Anforderungen an einen DSGVO-konformen Produktkonfigurator

Aus den oben genannten Risiken lassen sich konkrete Anforderungen ableiten, die Sie bei der Auswahl oder beim Eigenbau eines Konfigurators prüfen sollten:

• Hosting ausschliesslich in der EU — idealerweise in Deutschland, Frankreich, Niederlanden oder Skandinavien, ohne US-Subprozessoren in der Verarbeitungskette
• Auftragsverarbeitungsvertrag (AVV) in jedem Tarif enthalten — auch in einem kostenlosen Einstiegsplan, nicht erst ab Enterprise
• Verschlüsselung der Konfigurationsantworten auf Anwendungsebene (AES-256), nicht nur Transportverschlüsselung (TLS)
• Keine Drittanbieter-Tracker oder Marketing-Skripte auf der öffentlichen Konfigurator-Seite
• Datei-Uploads ebenfalls in EU-Object-Storage mit Verschlüsselung
• Eingebautes Betroffenenportal für Auskunfts- und Löschanträge mit Audit-Log
• Klare Datenschutzerklärung und einfache Einbindung in Ihre bestehende Datenschutzseite
• Rollen- und Rechteverwaltung — nicht jeder Mitarbeiter darf alle Konfigurationen sehen

Self-hosted oder SaaS? Vor- und Nachteile

Manche Unternehmen entwickeln eigene Konfiguratoren auf Basis von React, Vue oder einem Headless CMS und hosten alles in der eigenen Cloud. Das gibt maximale Kontrolle, kostet aber Entwicklungskapazität, Pflegeaufwand und laufende Sicherheitsupdates. Für die meisten KMU lohnt sich diese Investition nur, wenn der Konfigurator zentraler Bestandteil des Vertriebs ist.

SaaS-Konfiguratoren sind schneller startklar, müssen aber sorgfältig auf Datenschutz geprüft werden. Eine DSGVO-konforme SaaS-Lösung mit EU-Hosting, Verschlüsselung und AVV ist meist die pragmatischere Wahl — vorausgesetzt, der Anbieter erfüllt die oben genannten Kriterien wirklich und nicht nur in der Marketing-Sprache.

Vorlage: Felder für einen rechtskonformen Produktkonfigurator

Ein guter Produktkonfigurator erhebt nur, was er für das Angebot wirklich braucht. Eine bewährte Struktur sieht so aus:

• Schritt 1 — Produktkategorie / Modell wählen (keine personenbezogenen Daten)
• Schritt 2 — Spezifikationen (Masse, Materialien, Stückzahl, Optionen)
• Schritt 3 — Lieferadresse und gewünschter Lieferzeitpunkt
• Schritt 4 — Kontaktdaten erst am Ende, mit klarem Hinweis auf die Datenschutzerklärung
• Optional: Datei-Upload für Lastenheft oder Skizzen — mit explizitem Hinweis auf vertrauliche Behandlung
• Einwilligungstext zum Auftragsverarbeitungsvertrag bzw. zur Kontaktaufnahme (nicht vorausgewählt)

Audit-Checkliste für Ihren bestehenden Konfigurator

• Wo werden die Konfigurations-Antworten gespeichert? (Land, Anbieter, Region)
• Liegt ein unterzeichneter AVV mit dem Anbieter vor?
• Sind Subprozessoren ausserhalb der EU beteiligt? (z. B. AWS US, CDN-Anbieter, Analytics)
• Werden die Antworten verschlüsselt gespeichert oder im Klartext?
• Welche Skripte laden auf der Konfigurator-Seite? (Browser-Devtools, Netzwerk-Tab)
• Wie würden Sie eine Löschanfrage nach Art. 17 DSGVO konkret umsetzen?
• Gibt es ein Audit-Log über Zugriffe, Änderungen und Löschungen?
• Werden Konfigurationen automatisch gelöscht, wenn aus der Anfrage kein Auftrag wird?

Häufige Fragen zum DSGVO-Produktkonfigurator

Brauche ich eine Einwilligung, bevor jemand den Konfigurator startet?

Solange der Konfigurator selbst keine Tracker setzt und die Datenverarbeitung der Vertragsanbahnung dient, ist keine separate Einwilligung nötig. Eine klare Datenschutzerklärung am Ende des Konfigurators reicht in der Regel aus. Wenn Sie Marketing-Skripte einbinden, ändert sich das — dann benötigen Sie ein Consent-Management.

Reicht ein US-Anbieter mit Standardvertragsklauseln?

Standardvertragsklauseln (SCC) und das EU-US Data Privacy Framework sind eine mögliche Rechtsgrundlage, ersetzen aber keine Risikoabwägung. Für sensible Geschäftsdaten oder Konfiguratoren in regulierten Branchen (Finanz, Gesundheit, Energie) ist ein EU-Anbieter ohne US-Subprozessoren die deutlich sicherere Wahl.

Wie lange darf ich Konfigurations-Anfragen aufbewahren?

Die DSGVO verlangt eine konkrete Aufbewahrungsfrist (Art. 5 Abs. 1 lit. e). Üblich sind 6 bis 24 Monate für aktive Vertriebs-Pipelines, danach Löschung oder Anonymisierung. Erfolgreiche Vertragsabschlüsse unterliegen längeren steuer- und handelsrechtlichen Fristen, die getrennt vom Konfigurator behandelt werden sollten.

Muss ich für jeden Konfigurator eine Datenschutz-Folgenabschätzung (DSFA) machen?

In der Regel nein. Eine DSFA nach Art. 35 DSGVO ist nur bei voraussichtlich hohem Risiko erforderlich — etwa wenn der Konfigurator Profiling betreibt, besondere Datenkategorien verarbeitet oder im grossen Stil eingesetzt wird. Für einen klassischen B2B-Produktkonfigurator reicht meist eine Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30).