Datenschutz im Shop: Gesundheits- und Gendaten richtig behandeln

Fachlich geprüft von Dr. Daniel Wallerstorfer, Molekularbiologe und Gründer von Novogenia · Stand: 15. Oktober 2026 · Lesezeit: 9 Min.

Kurz gesagt

Genetische Daten und Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten; ihre Verarbeitung ist grundsätzlich untersagt, außer die Kundin willigt für festgelegte Zwecke ausdrücklich ein (Art. 9 Abs. 1 und 2 Buchst. a DSGVO). Schon Bestelldaten können Gesundheitsdaten sein, wenn sie Rückschlüsse auf die Gesundheit erlauben (EuGH, C-21/23). Trenne deshalb Shopdaten wie Bestellung und Zahlung von Fragebogen, Analyse und Bericht, gib Dienstleistern nur, was sie brauchen, und nutze Gesundheitsinformationen nicht für Werbeprofile. Für Kundinnen und Kunden in der Schweiz gilt das DSG: Genetische und Gesundheitsdaten sind besonders schützenswert, eine nötige Einwilligung muss ausdrücklich erfolgen (Art. 5 Bst. c und Art. 6 Abs. 7 DSG).

Zwei Schubladen: Was eine Bestellung verraten kann

Ein Name, eine Lieferadresse, ein Produkt im Warenkorb – klingt harmlos. Der Europäische Gerichtshof hat das 2024 anders gesehen. Ein Apotheker verkaufte apothekenpflichtige, aber nicht verschreibungspflichtige Arzneimittel über eine Onlineplattform. Die Angaben, die seine Kundinnen und Kunden bei der Bestellung eingeben mussten – etwa Name, Lieferadresse und für die Individualisierung nötige Informationen –, sind Gesundheitsdaten, entschied das Gericht (Urteil vom 4. Oktober 2024, C-21/23). Im selben Urteil stellte der Gerichtshof klar: Die DSGVO steht nationalen Regeln nicht entgegen, nach denen Mitbewerber Datenschutzverstöße als unlautere Geschäftspraktik vor den Zivilgerichten verfolgen können. Datenschutz ist damit auch ein Wettbewerbsthema.

Für einen Shop mit Genanalysen und personalisierten Produkten ist das Bild klar: Stell dir zwei Schubladen vor. In die eine kommt, was jeder Shop braucht – Bestellung, Adresse, Zahlung, Versand. Die andere ist abgeschlossen: Fragebogen, Gesundheitsangaben, genetische Daten, Bericht. Gute Shops halten beide getrennt und öffnen die zweite nur, wenn es wirklich nötig ist. Hier liest du, wie das gelingt. Die Grundlagen für die Beratungspraxis stehen in Genetische Daten und DSGVO, die Rollen zwischen Marke und Labor in Datenschutz bei White-Label-Gentests. Der Beitrag gibt dir Orientierung, ersetzt aber keine Rechtsberatung im Einzelfall.

Welche Daten dein Shop berührt

Die Datenschutz-Grundverordnung (DSGVO) unterscheidet zwei Welten. Genetische Daten sind Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer Person, die eindeutige Informationen über ihre Physiologie oder Gesundheit liefern (Art. 4 Nr. 13). Gesundheitsdaten beziehen sich auf die körperliche oder geistige Gesundheit und lassen Informationen über den Gesundheitszustand erkennen (Art. 4 Nr. 15). Beide gehören zu den besonderen Kategorien, deren Verarbeitung grundsätzlich untersagt ist (Art. 9 Abs. 1).

Schublade	Beispiele	Was gilt
Bestell- und Vertragsdaten	Name, Adresse, Zahlung, Bestellverlauf, Versandstatus	Verarbeitung für die Vertragserfüllung (Art. 6 Abs. 1 Buchst. b); Vorsicht, wenn die Bestellung selbst Rückschlüsse auf die Gesundheit erlaubt
Fragebogen und Gesundheitsangaben	Ziele, Beschwerden, Blutwerte, Angaben zum Lebensstil	alles, was etwas über den Gesundheitszustand verrät: ausdrückliche Einwilligung (Art. 9 Abs. 2 Buchst. a)
Genetische Daten und Bericht	Analyseergebnisse, Bericht im Portal	ausdrückliche Einwilligung; möglichst nicht im Shop-System speichern
Marketing und Tracking	Cookies, Newsletter, Werbe-Pixel	Einwilligung für nicht notwendige Cookies (Deutschland § 25 TDDDG, Österreich § 165 Abs. 3 TKG 2021); keine Gesundheitsdaten in Werbeprofilen

Die ausdrückliche Einwilligung: ein eigener Schritt im Bestellprozess

Bei Gentests für Endkunden ist die ausdrückliche Einwilligung für einen oder mehrere festgelegte Zwecke die zentrale Grundlage (Art. 9 Abs. 2 Buchst. a DSGVO). Damit sie trägt, baust du sie als eigenen Schritt in den Bestellprozess ein – nicht als Nebensatz in den AGB:

Klar und konkret: welche Daten, wofür, wer sie verarbeitet – und ob du als Partner die Berichte siehst.
Aktiv: Ein bereits angekreuztes Kästchen ist keine Einwilligung (Erwägungsgrund 32).
Nachweisbar: Du musst belegen können, dass deine Kundin eingewilligt hat (Art. 7 Abs. 1).
Widerrufbar: Der Widerruf muss so einfach sein wie die Erteilung, und deine Kundin erfährt das vorher (Art. 7 Abs. 3).
Rechtzeitig: Die Einwilligung gehört vor die Probe, nicht dahinter. Wie Registrierung und Einwilligung technisch ablaufen, legst du mit Novogenia fest.

Die Mitgliedstaaten dürfen für genetische und Gesundheitsdaten zusätzliche Bedingungen einführen (Art. 9 Abs. 4). Welche das in Deutschland, Österreich und der Schweiz sind, zeigt Datenschutz bei White-Label-Gentests.

Trenne Shopdaten und Gendaten

Daten müssen auf das für den Zweck notwendige Maß beschränkt sein (Art. 5 Abs. 1 Buchst. c DSGVO), und durch Voreinstellung werden grundsätzlich nur die Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind (Art. 25 Abs. 2). Für deinen Shop heißt das ganz praktisch:

Der Shop kennt die Bestellung, nicht das Ergebnis: Für Kundenservice und Versand reichen Bestellstatus und Versanddaten. Genetische Ergebnisse und Berichte bleiben im gesicherten Portal.
Fragebogen nicht im CRM: Gesundheitsangaben gehören nicht in Newsletter-Tool, Ticketsystem oder Tabellen, auf die das halbe Team zugreift.
Zugriff nach Rolle: Nur wer eine Angabe für seine Aufgabe braucht, sieht sie.
Kein Bericht per E-Mail-Anhang: Schütze Berichte mit geeigneten technischen und organisatorischen Maßnahmen (Art. 32); ein gesichertes Portal ist dafür gebaut.
Einblick bewusst wählen: Bei Novogenia entscheidest du als Partner, ob du die Berichte deiner Kundinnen und Kunden siehst. Brauchst du sie nicht, bleibt deine zweite Schublade leer – und dein Risiko klein.

Deine Dienstleister: Auftragsverarbeiter mit Vertrag

Ein Online-Shop läuft selten allein: Shop-Software, Zahlungsanbieter, Versanddienst, E-Mail-Tool, Chat für den Kundenservice. Wer Daten in deinem Auftrag verarbeitet, muss hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO), und mit jedem schließt du einen Vertrag über die Auftragsverarbeitung (Art. 28 Abs. 3). Prüfe, wo deine Tools Daten verarbeiten: Übermittlungen in Drittländer außerhalb der EU sind nur unter den Bedingungen von Kapitel V zulässig (Art. 44). Und deine Datenschutzinformation nennt die Empfänger oder Kategorien von Empfängern (Art. 13 Abs. 1 Buchst. e).

Welche Rolle du im Verhältnis zu Novogenia hast – Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher (Art. 4 Nr. 7 und 8, Art. 26) –, hängt vom Modell ab. Kläre sie vor dem Start schriftlich; die Grundlagen dazu stehen in Datenschutz bei White-Label-Gentests.

Marketing ohne Gesundheitsprofil

Cookies und Werbe-Pixel brauchen die Einwilligung deiner Besucherinnen und Besucher, außer sie sind für den gewünschten Dienst unbedingt erforderlich (Deutschland: § 25 TDDDG; Österreich: § 165 Abs. 3 TKG 2021). Bei Gentests kommt eine zweite Grenze dazu: Online-Plattformen dürfen keine Werbung anzeigen, die auf Profiling mit besonderen Kategorien personenbezogener Daten beruht (Art. 26 Abs. 3 des Gesetzes über digitale Dienste, Verordnung (EU) 2022/2065).

Daraus folgt eine einfache Regel für dein Marketing: Genetische Ergebnisse, Fragebogenangaben und Gesundheitsinteressen gehören nicht in Werbeprofile, Retargeting-Listen oder Zielgruppen-Uploads – außer deine Kundin hat genau dafür ausdrücklich eingewilligt. Bewirb dein Angebot mit dem, was es zeigt, nicht mit dem, was du über einzelne Menschen weißt. Was du in der Werbung sagen darfst, zeigt Marketing für personalisierte Produkte.

Folgenabschätzung und Datenschutzbeauftragter

Zwei Pflichten hängen am Umfang. Bei einer umfangreichen Verarbeitung besonderer Kategorien von Daten erstellst du vorab eine Datenschutz-Folgenabschätzung (Art. 35 Abs. 3 Buchst. b DSGVO). Besteht die Kerntätigkeit deines Unternehmens in einer solchen Verarbeitung, brauchst du einen Datenschutzbeauftragten (Art. 37 Abs. 1 Buchst. c). Ob dein Shop darunter fällt, hängt auch von deinem Aufbau ab: Je konsequenter die zweite Schublade geschlossen bleibt, desto weniger besondere Daten verarbeitest du selbst. Lass die Einordnung prüfen, bevor du startest.

Schweiz: DSG statt DSGVO

Für Kundinnen und Kunden in der Schweiz gilt das Bundesgesetz über den Datenschutz (DSG). Die Grundideen kennst du aus der DSGVO, die Details unterscheiden sich:

Besonders schützenswert: Daten über die Gesundheit und genetische Daten sind besonders schützenswerte Personendaten (Art. 5 Bst. c Ziff. 2 und 3 DSG). Ist eine Einwilligung erforderlich, muss sie für diese Daten ausdrücklich erfolgen (Art. 6 Abs. 7).
Information: Du teilst mindestens Identität und Kontaktdaten des Verantwortlichen, den Zweck und gegebenenfalls die Empfänger mit; gehen Daten ins Ausland, auch den Staat (Art. 19).
Folgenabschätzung: Bei umfangreicher Bearbeitung besonders schützenswerter Personendaten liegt ein hohes Risiko vor; dann erstellst du vorab eine Datenschutz-Folgenabschätzung (Art. 22).
Vertretung in der Schweiz: Private Verantwortliche mit Sitz im Ausland bezeichnen eine Vertretung in der Schweiz, wenn sie Daten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen umfangreich und regelmäßig bearbeiten und das ein hohes Risiko mit sich bringt (Art. 14).
Cookies: Die Schweiz verlangt keine vorherige Einwilligung, sondern Information über Bearbeitung und Zweck und den Hinweis, dass Nutzerinnen und Nutzer ablehnen können (Art. 45c Fernmeldegesetz, FMG).

Ein Unterschied liegt vor dem Datenschutz: Lifestyle-Genanalysen verkaufst du in der Schweiz nicht als Heimtest (Art. 13 GUMG). Was das für deinen Shop heißt, zeigt Gentests online verkaufen: DE, AT, CH.

Checkliste: Datenschutz in deinem Shop

Du weißt, welche Daten dein Shop verarbeitet – und welche davon Gen- oder Gesundheitsdaten sind.
Die ausdrückliche Einwilligung ist ein eigener, aktiver Schritt vor der Probe, nachweisbar und leicht widerrufbar.
Shopdaten und Gendaten sind getrennt; Berichte bleiben im gesicherten Portal.
Fragebogenangaben landen nicht in CRM, Newsletter- oder Werbe-Tools.
Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung; Übermittlungen ins Ausland sind geprüft.
Die Rollen zwischen dir und Novogenia sind schriftlich geklärt.
Cookie-Einwilligung nach § 25 TDDDG bzw. § 165 Abs. 3 TKG 2021; für die Schweiz Information und Ablehnungsmöglichkeit nach Art. 45c FMG.
Datenschutz-Folgenabschätzung und Datenschutzbeauftragter sind geprüft – nach DSGVO und, für die Schweiz, nach DSG.
Die Datenschutzinformation nennt Verantwortliche, Zwecke, Empfänger und Speicherdauer.

So machen wir das bei Novogenia

So gehen wir bei Novogenia mit Daten aus Shop und Analyse um:

Analyse in Österreich: Die Proben werden in unserem eigenen Labor in Eugendorf bei Salzburg analysiert.
Datenschutzinformation vor der Probe: Wer für welche Verarbeitung verantwortlich ist, steht in der Datenschutzinformation zur genetischen Analyse, die die Kundin oder der Kunde vor dem Einsenden der Probe erhält.
Berichte im Portal: Berichte kommen digital über ein gesichertes Portal, gedruckt auf Wunsch.
Du entscheidest, was du siehst: Als Partner wählst du selbst, ob du die Berichte deiner Kundinnen und Kunden einsiehst. Wenn ja, sollte das vorher klar sein und in der Einwilligung stehen.
Anfragen von Endkunden: Mit ausdrücklicher Einwilligung im Kontaktformular leiten wir Anfragen von Endkundinnen und Endkunden an ein passendes Partnerunternehmen weiter.

Häufige Fragen

Sind Bestelldaten schon Gesundheitsdaten?

Sie können es sein. Der Europäische Gerichtshof hat 2024 entschieden, dass die Angaben, die Kundinnen und Kunden bei der Onlinebestellung apothekenpflichtiger Arzneimittel eingeben – etwa Name, Lieferadresse und für die Individualisierung nötige Informationen –, Gesundheitsdaten sind, auch ohne ärztliche Verschreibung (C-21/23). Fragebogen-, Analyse- und Berichtsdaten behandelst du in jedem Fall als besondere Kategorie nach Art. 9 DSGVO.

Reicht ein Häkchen in den AGB als Einwilligung?

Nein. Die Einwilligung in die Verarbeitung von Gen- oder Gesundheitsdaten muss ausdrücklich und für festgelegte Zwecke erfolgen (Art. 9 Abs. 2 Buchst. a DSGVO). Du musst sie nachweisen können (Art. 7 Abs. 1), der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3), und ein bereits angekreuztes Kästchen ist keine Einwilligung (Erwägungsgrund 32).

Darf ich Gentest-Kundinnen gezielt mit Werbung ansprechen?

Nutze genetische Ergebnisse, Fragebogenangaben oder Gesundheitsinteressen nicht für Werbeprofile, Retargeting oder Zielgruppenlisten, außer deine Kundin hat genau dafür ausdrücklich eingewilligt. Online-Plattformen dürfen ohnehin keine Werbung anzeigen, die auf Profiling mit besonderen Kategorien personenbezogener Daten beruht (Art. 26 Abs. 3 der Verordnung (EU) 2022/2065).

Brauche ich einen Datenschutzbeauftragten?

Nach der DSGVO dann, wenn die Kerntätigkeit deines Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht (Art. 37 Abs. 1 Buchst. c). Bei einer umfangreichen Verarbeitung solcher Daten ist zudem vorab eine Datenschutz-Folgenabschätzung nötig (Art. 35 Abs. 3 Buchst. b). Je weniger Gendaten in deinem Shop landen, desto kleiner wird diese Frage – lass sie trotzdem prüfen.

Was gilt für Kundinnen und Kunden in der Schweiz?

Das DSG: Genetische und Gesundheitsdaten sind besonders schützenswerte Personendaten (Art. 5 Bst. c), eine nötige Einwilligung muss ausdrücklich erfolgen (Art. 6 Abs. 7), und du informierst über Verantwortliche, Zweck, Empfänger und gegebenenfalls den Staat im Ausland (Art. 19). Private Verantwortliche im Ausland brauchen unter bestimmten Voraussetzungen eine Vertretung in der Schweiz (Art. 14). Für Cookies verlangt Art. 45c FMG Information und die Möglichkeit, abzulehnen.

Passend dazu: Datenschutz bei White-Label-Gentests · Genetische Daten und DSGVO · Gentests online verkaufen: DE, AT, CH

Personalisierte Produkte für deinen Shop?

Erzähl uns von deiner Marke und deinen Kanälen – wir zeigen dir, welches Modell passt.

Projekt anfragen →Angebot für E-Commerce

Hinweis: Dieser Ratgeber dient der allgemeinen Information für Unternehmen und Fachleute und ersetzt keine ärztliche oder rechtliche Beratung. Die in einer Genanalyse bestimmten genetischen Eigenschaften sind wissenschaftlich gut belegt (jedes berücksichtigte Gen durch mindestens drei unabhängige Studien); daraus abgeleitete Empfehlungen sind logische Schlussfolgerungen und nicht wissenschaftlich bewiesen. Rechtliche Vorgaben können sich ändern; Irrtümer und Änderungen vorbehalten.