Datenschutz im Handel: Kassensysteme sicher betreiben

Ein Supermarkt in Köln, 2023: Nach einem Einbruch stellt sich heraus, dass das Kassensystem monatelang Kundendaten an einen externen Server übertragen hat. Die Ermittler sichern die Festplatten, doch die Protokolldateien fehlen. Der Händler steht vor einem doppelten Problem: einer strafrechtlichen Untersuchung und einem DSGVO-Verstoß mit Bußgeldrisiko. Kein Einzelfall.

Was moderne Kassensysteme tatsächlich speichern

Viele Einzelhändler unterschätzen, welche Datenmenge ein handelsübliches Point-of-Sale-System (POS) im laufenden Betrieb erzeugt. Neben den offensichtlichen Transaktionsdaten wie Kaufbetrag, Uhrzeit und Zahlungsmittel protokollieren aktuelle Systeme häufig auch Kartennummern in gekürzter Form, Kundenkartennummern, Retourenhistorien, Mitarbeiter-IDs für jede Transaktion sowie bei vernetzten Filialen die IP-Adressen der Kassenterminals.

Besonders bei cloudbasierten Kassenlösungen, die seit 2020 stark an Marktanteil gewonnen haben, landen diese Daten automatisch bei einem externen Anbieter. Der Händler ist rechtlich Verantwortlicher im Sinne der DSGVO, unabhängig davon, wo die Daten physisch liegen. Das bedeutet: Im Streitfall haftet der Ladeninhaber, nicht der Softwareanbieter.

DSGVO-Pflichten konkret: Was Händler nachweisen müssen

Seit dem Inkrafttreten der DSGVO im Mai 2018 gelten klare Anforderungen, die sich direkt auf den Kassenbetrieb auswirken. Drei Punkte sind in der Praxis besonders relevant:

• Verarbeitungsverzeichnis: Jeder Händler mit mehr als 250 Mitarbeitern ist verpflichtet, ein Verzeichnis aller Datenverarbeitungstätigkeiten zu führen. Kleinbetriebe sind formal ausgenommen, sofern die Verarbeitung kein hohes Risiko darstellt. Aber: Sobald ein Kundenbindungsprogramm läuft, greift die Pflicht faktisch trotzdem.
• Auftragsverarbeitungsvertrag (AVV): Wer eine cloudbasierte Kassenlösung nutzt, muss mit dem Anbieter einen AVV nach Art. 28 DSGVO abgeschlossen haben. Fehlt dieser Vertrag, drohen Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
• Löschfristen: Transaktionsdaten unterliegen steuerrechtlichen Aufbewahrungsfristen von zehn Jahren, personenbezogene Zusatzdaten dürfen jedoch nicht unbegrenzt gespeichert werden. Viele Standardsysteme löschen gar nichts automatisch.

Forensische Datensicherung: Warum sie auch Händler betrifft

Datenpannen, Betrug durch eigene Mitarbeiter oder Hackerangriffe auf Kassensysteme sind keine seltenen Ausnahmen mehr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verzeichnete allein 2023 einen Anstieg von Ransomware-Angriffen auf Handelsunternehmen um rund 30 Prozent gegenüber dem Vorjahr. Wenn ein Vorfall eintritt, brauchen Händler gerichtsverwertbare Beweise.

Genau hier kommt IT-Forensik ins Spiel. Die forensische Sicherung digitaler Beweise folgt strengen Standards, damit Daten vor Gericht als Beweismittel anerkannt werden. Das gilt nicht nur für Windows-basierte Systeme: Viele neuere Kassenlösungen laufen auf Apple-Hardware oder macOS-Servern. Spezialdisziplinen wie Mac Forensik stellen sicher, dass auch auf diesen Plattformen Beweise integer gesichert und analysiert werden können, ohne die ursprünglichen Daten zu verändern.

Ein konkretes Szenario: Ein Mitarbeiter hat über Monate hinweg Rücküberweisungen auf eigene Konten veranlasst. Die Transaktionsprotokolle liegen auf einem Mac Mini, der als lokaler Server fungiert. Ohne forensische Sicherung nach anerkannten Standards wie dem RFC 3227 oder dem NIST SP 800-86 sind diese Protokolle vor Gericht unter Umständen wertlos, weil die Verteidigung die Manipulationsfreiheit der Daten anzweifeln kann.

Technische Mindestanforderungen für sichere Kassensysteme

Die Kassensicherungsverordnung (KassenSichV), die seit 2020 vollständig gilt, schreibt für elektronische Kassensysteme eine zertifizierte technische Sicherheitseinrichtung (TSE) vor. Diese TSE protokolliert jede Transaktion manipulationssicher. Das löst aber nicht alle Datenschutzprobleme, sondern adressiert primär steuerliche Anforderungen.

Für einen umfassenden Schutz empfehlen Fachleute darüber hinaus:

• Verschlüsselung aller gespeicherten Kundendaten nach AES-256-Standard
• Netzwerktrennung zwischen Kassensystem und öffentlichem WLAN im Geschäft
• Regelmäßige Backups auf separaten, offline gesicherten Datenträgern
• Rollenbasierte Zugriffsrechte: Kassenpersonal darf keine Systemkonfigurationen ändern
• Protokollierung aller Adminzugriffe mit Zeitstempel

Kundendaten aus Treueprogrammen gesondert betrachten

Wer ein Kundenbindungsprogramm betreibt, verarbeitet in der Regel deutlich sensibelere Daten als beim anonymen Kassiervorgang: Namen, E-Mail-Adressen, Kaufverhalten über Monate oder Jahre hinweg. Hier gelten besonders strenge Anforderungen an die Einwilligung. Eine pauschale Zustimmung beim Ausfüllen der Treuekarte reicht nicht aus. Die Einwilligung muss granular sein: Welche Daten werden wofür genutzt? Werden Profile für Werbezwecke erstellt?

Datenschutzbehörden haben in den vergangenen Jahren mehrere Bußgelder genau für solche Konstellationen verhängt. Der Hamburger Datenschutzbeauftragte belegte 2022 einen Einzelhändler mit 900.000 Euro Bußgeld, weil Kundendaten aus einem Treueprogramm ohne ausreichende Rechtsgrundlage für personalisierte Werbung genutzt wurden.

Praktischer Handlungsbedarf: Eine Checkliste für Händler

Wer seinen Betrieb auf den aktuellen Stand bringen will, sollte folgende Punkte systematisch prüfen:

• Liegt für alle cloudbasierten Dienste rund um die Kasse ein aktueller AVV vor?
• Ist die TSE-Pflicht nach KassenSichV erfüllt und dokumentiert?
• Sind Löschfristen für personenbezogene Daten im System konfiguriert?
• Gibt es einen Notfallplan für den Fall einer Datenpanne, inklusive der 72-Stunden-Meldepflicht an die Datenschutzbehörde?
• Wurden Mitarbeiter zum Datenschutz im Umgang mit Kassensystemen geschult?
• Ist geregelt, wer im Schadensfall eine forensische Sicherung beauftragt?

Der letzte Punkt klingt nach Übervorsicht, ist es aber nicht. Die Erfahrung zeigt, dass Händler im Ernstfall unter enormem Zeitdruck stehen. Kassensysteme müssen schnell wieder laufen, das Personal ist überfordert, und gleichzeitig müssen Beweise gesichert werden, ohne die Daten zu verändern. Wer vorher einen Dienstleister für IT-Forensik kennt und Abläufe grob skizziert hat, spart im Krisenfall wertvolle Stunden.

Fazit: Datenschutz als Teil der Betriebssicherheit

Digitale Kassensysteme sind längst keine reinen Abrechnungsgeräte mehr. Sie sind Knotenpunkte für Kundendaten, Mitarbeiterinformationen und Finanztransaktionen. Wer als Händler die Datenschutzanforderungen als lästige Bürokratie betrachtet, riskiert Bußgelder, Reputationsschäden und im Betrugsfall den Verlust gerichtsverwertbarer Beweise. Die gute Nachricht: Mit klaren Prozessen, der richtigen technischen Konfiguration und einem eingespielten Notfallplan lassen sich die meisten Risiken deutlich reduzieren, ohne den laufenden Betrieb zu belasten.