Für die Lieferung deiner Bestellung brauchen wir eine Adresse. Daraus muss aber kein dauerhaftes Adressbuch werden. Genau hier beginnt für uns Datenschutz: Welche Angaben benötigen wir wirklich, wo werden sie gespeichert und wann können sie wieder entfernt werden?
Nach diesem Prinzip haben wir das Kundenkonto und den Mailversand des Dezentralshops überarbeitet. Wir reduzieren dauerhaft gespeicherte Kundendaten und ermöglichen zusätzliche Verschlüsselung für deine Shop-Mails. Dabei wollen wir nachvollziehbar erklären, was diese Massnahmen leisten und wo ihre Grenzen liegen.
Ein Kundenkonto ohne Adressbuch
Dein Kundenkonto benötigt eine E-Mail-Adresse und ein Passwort. Vor- und Nachname sind für die Registrierung nicht erforderlich. Liefer- und Rechnungsadressen aus einer Bestellung werden nicht als dauerhaftes Adressbuch im Kundenprofil gespeichert.
Beim nächsten Einkauf gibst du deine Adresse deshalb erneut ein. Das kostet einen zusätzlichen Schritt, verhindert aber, dass sich im Konto alte Lieferadressen ansammeln.
Auch auf eine Bestellhistorie im Kundenkonto verzichten wir. Das Konto dient der Verwaltung deiner E-Mail-Adresse, deines Passworts und eines optionalen öffentlichen OpenPGP-Schlüssels. Hinzu kommt der Referral-Bereich für bestehende Partner oder eine Partneranfrage. Für einen Einkauf ist ein Konto nicht erforderlich.
Neue Konten werden erst nach der Bestätigung der E-Mail-Adresse und dem Setzen eines eigenen Passworts nutzbar. Unbestätigte Registrierungen werden ab einem Alter von 48 Stunden beim nächsten täglichen Bereinigungslauf gelöscht. Dein Passwort wird als Passwort-Hash gespeichert.
Was nach einer Bestellung entfernt wird
Solange eine Bestellung bearbeitet wird, benötigen wir die Angaben für Zahlung, Versand und mögliche Rückfragen. Danach räumen wir den operativen Bestelldatensatz auf.
Für abgeschlossene Bestellungen gilt eine Frist von sieben Tagen ab dem Abschlussdatum. Bei zurückerstatteten, stornierten oder fehlgeschlagenen Bestellungen orientiert sich die Frist an der letzten Änderung der Bestellung. Die Bereinigung erfolgt beim nächsten vorgesehenen täglichen Lauf nach Ablauf dieser Frist.
Dabei werden Namen, E-Mail-Adresse, Telefonnummern und wesentliche Adressangaben entfernt oder durch Platzhalter ersetzt. Die Zuordnung zum Kundenkonto wird aufgehoben. Bestellnotizen und zusätzliche Adress-Suchindizes werden ebenfalls gelöscht.
Auch Bestellungen mit dem Status «Zahlung ausstehend» sowie Bestellungen im Papierkorb werden ab einem Alter von sieben Tagen bereinigt. Bestellungen in den Status «In Bearbeitung» und «Wartend» sind von diesem automatischen Lauf ausgenommen.
Diese Bereinigung macht einen Einkauf nicht vollständig anonym. Bestellnummern, Artikel, Beträge und technische Verweise auf Zahlungs- oder Buchhaltungsvorgänge können erhalten bleiben. Bei vermittelten Bestellungen kann ausserdem eine aus der E-Mail-Adresse abgeleitete pseudonyme Kennung für die Referral-Auswertung bestehen bleiben. Solche Kennungen und Verweise können weiterhin Zuordnungen ermöglichen.
Auch gesetzliche Aufbewahrungspflichten bleiben bestehen: Für Geschäftsbücher und Buchungsbelege schreibt das Schweizer Obligationenrecht grundsätzlich zehn Jahre vor, gerechnet ab dem Ende des betreffenden Geschäftsjahres. Die Bereinigung im Shop ersetzt diese Aufbewahrung nicht. Art. 958f OR
Wie wir deine Shop-Mails schützen
Unsere automatischen Shop-Mails werden über Proton SMTP versendet. Die Verbindung vom Shop zu Proton ist mit TLS geschützt; das Zertifikat der Gegenstelle wird geprüft. Bei der anschliessenden Zustellung an einen anderen Mailanbieter hängt der Transportschutz auch von dessen Mailserver ab.
TLS schützt die Übertragung. Die beteiligten Mailanbieter können den Nachrichteninhalt dabei grundsätzlich verarbeiten.
Eine Proton-Adresse allein macht eine automatische Shop-Mail noch nicht Ende-zu-Ende-verschlüsselt. Unser Shop nutzt Protons SMTP-Zugang für Geschäftsanwendungen. Proton weist ausdrücklich darauf hin, dass dieser Versandweg von sich aus keine Ende-zu-Ende-Verschlüsselung bietet. Protons Dokumentation zur SMTP-Submission
Für zusätzlichen Schutz kannst du deshalb deinen öffentlichen OpenPGP-Schlüssel im Kundenkonto hinterlegen. Nach der Bestätigung verwendet der Shop diesen Schlüssel, um Nachrichteninhalt und Anhänge bereits auf dem Shopserver zu verschlüsseln – bevor sie an den Maildienst übergeben werden.
Zum Lesen wird der passende private Schlüssel benötigt. Absender, Empfänger, Zeitpunkt und die normale Betreffzeile werden durch diese Inhaltsverschlüsselung nicht verborgen. Auch auf dem Shopserver müssen die Bestelldaten zunächst verarbeitet werden; OpenPGP schützt hier den anschliessenden Mailversand.
OpenPGP für deine Shop-Mails einrichten
Du benötigst einen OpenPGP-Schlüssel und eine Mailanwendung, mit der du entsprechende Nachrichten entschlüsseln kannst.
- Erstelle unter «Mein Konto» ein Konto mit deiner E-Mail-Adresse.
- Öffne den Link in der Registrierungsnachricht und setze dein Passwort. Damit bestätigst du gleichzeitig deine E-Mail-Adresse.
- Öffne im Kundenkonto den Bereich «OpenPGP».
- Füge deinen öffentlichen Schlüssel im Textformat ein, beginnend mit
-----BEGIN PGP PUBLIC KEY BLOCK-----, und bestätige die Änderung mit deinem aktuellen Kontopasswort. - Entschlüssle die Bestätigungsnachricht und öffne den enthaltenen Link innerhalb von 24 Stunden.
Verwende bei deiner Bestellung dieselbe E-Mail-Adresse wie im Konto: Der bestätigte Schlüssel ist an diese Adresse gebunden.
Mit der verschlüsselten Bestätigungsnachricht prüfen wir, ob du Nachrichten für den hinterlegten Schlüssel tatsächlich lesen kannst. Erst danach wird er aktiviert. Bei einem Schlüsselwechsel bleibt der bisherige Schlüssel aktiv, bis der neue bestätigt wurde. Änderst du deine Konto-E-Mail-Adresse, musst du OpenPGP für die neue Adresse erneut einrichten.
Für diese Funktion speichern wir den öffentlichen Schlüssel, seinen Fingerprint, die zugehörige E-Mail-Adresse und den Bestätigungszeitpunkt. Für eine ausstehende Bestätigung kommen Prüfdaten wie ein gehashter Bestätigungstoken und dessen Ablaufzeitpunkt hinzu. Ein öffentlicher Schlüssel kann selbst Namen oder weitere E-Mail-Adressen enthalten; diese Angaben sind Bestandteil des hinterlegten Schlüssels.
Gib ausschliesslich deinen öffentlichen Schlüssel ein. Deinen privaten Schlüssel behältst du bei dir und sicherst ihn sorgfältig.
Wenn eine verschlüsselte Mail nicht versendet werden kann
Ist OpenPGP für deine Adresse aktiviert, versenden wir reguläre Shop-Mails nur verschlüsselt. Kann eine Nachricht nicht sicher verschlüsselt werden, blockieren wir ihren Versand. Du erhältst stattdessen einen neutralen Hinweis ohne Bestelldaten oder Inhalte der ursprünglichen Nachricht. Dieser Hinweis wird ohne OpenPGP über eine TLS-geschützte Verbindung an unseren Maildienst übergeben. Die blockierte Nachricht wird nicht automatisch erneut versendet.
Eine bewusste Ausnahme gilt für die Passwort-Wiederherstellung über WordPress: Diese Nachricht wird ohne OpenPGP über die TLS-geschützte Verbindung an unseren Maildienst übergeben. Die Passwort-Wiederherstellung über das WooCommerce-Kundenkonto ist von dieser Ausnahme nicht erfasst; deren Nachrichten können weiterhin mit deinem hinterlegten Schlüssel verschlüsselt sein.
Verschlüsselte Nachrichten an uns senden
Für Nachrichten an den Dezentralshop stellen wir unsere öffentlichen Schlüssel über das OpenPGP Web Key Directory, kurz WKD, bereit. Unterstützt dein Mailprogramm dieses Verfahren, kann es den Schlüssel anhand unserer E-Mail-Adresse über HTTPS abrufen.
Der Fingerprint unseres öffentlichen Schlüssels für info@dezentralshop.ch lautet:
275B 1590 B2E0 2EE9 D48F 770D 5652 C864 8432 ADE4Unser WKD hilft dir, Nachrichten an uns zu verschlüsseln. Der Shop sucht beim Versand an Kunden derzeit nicht automatisch per WKD nach deren Schlüsseln. Dafür dient die Einrichtung im Kundenkonto.
Verschlüsselung auch für Backups
Auch bei Backups setzen wir auf OpenPGP. Unser Backup-Verfahren verschlüsselt Sicherungskopien bereits während ihrer Erstellung, bevor sie gespeichert werden. Damit schützen wir auch die für eine Wiederherstellung aufbewahrten Daten.
Welche Daten ausserhalb dieser Bereinigung bleiben
Die automatische Bereinigung erfolgt in WooCommerce, unserem öffentlich zugänglichen Shopsystem. Dort werden Bestellungen erfasst und Kundeneingaben verarbeitet. Dieser Teil unserer Infrastruktur ist besonders exponiert. Indem wir personenbezogene Bestelldaten dort frühzeitig reduzieren, begrenzen wir auch, welche Informationen bei einem möglichen Sicherheitsvorfall offengelegt werden könnten.
Unsere Buchhaltung führen wir getrennt vom Shop auf einem externen Server in der Schweiz. Die dafür erforderlichen Rechnungs- und Buchhaltungsunterlagen bleiben entsprechend den gesetzlichen Aufbewahrungspflichten erhalten. Die Bereinigung in WooCommerce löscht diese Unterlagen nicht.
Auch bereits zugestellte E-Mails bleiben in den jeweiligen Postfächern, bis sie dort gelöscht werden. Für Daten bei Zahlungsdienstleistern und für Sicherungskopien gelten ebenfalls eigene Aufbewahrungs- und Löschregeln.
Die Sieben-Tage-Frist betrifft somit die beschriebenen personenbezogenen Felder im WooCommerce-Bestelldatensatz. Sie bedeutet nicht, dass nach sieben Tagen sämtliche Informationen zu einem Einkauf aus allen beteiligten Systemen verschwunden sind.
Unser Ziel ist, unnötige dauerhafte Kopien zu reduzieren und sensible Kommunikation besser zu schützen. Ein schlankes Kundenkonto, regelmässige Bereinigung und OpenPGP tragen jeweils ihren Teil dazu bei. Zu diesem Anspruch gehört auch, die verbleibenden Daten und technischen Grenzen offen zu benennen.