Webshop: indhold i handelsbetingelser og privatlivspolitik

To dokumenter med oplysninger om køb og persondata

Handelsbetingelser beskriver vilkårene for kundens køb. De skal være lette at finde på sitet, så kunden kan læse dem, inden købet gennemføres.

Privatlivspolitikken handler om, hvordan du behandler personoplysninger. Som privat virksomhed i Danmark skal du overholde GDPR, EU's databeskyttelsesforordning, når du indsamler, registrerer, videregiver eller sletter oplysninger om f.eks. kunder. Politikken skal forklare, hvordan du indsamler, bruger og videregiver oplysningerne.

Når du udformer dokumenterne, skal handelsbetingelserne samle oplysninger om virksomheden og aftaleprocessen, mens privatlivspolitikken beskriver personoplysninger, formål, retsgrundlag, opbevaring og kundens rettigheder. E-handelsloven supplerer reglerne i markedsføringsloven og forbrugeraftaleloven (Forbrugerombudsmanden), og GDPR gælder for personoplysningerne.

Vigtige regler og krav i dansk e-handel

Handelsbetingelser: oplysninger om virksomheden og aftalen

NetRaket, der hjælper virksomheder med at udarbejde de lovpligtige dokumenter, oplyser, at handelsbetingelser skal være der, så snart hjemmesiden fortæller om produkter eller ydelser med henblik på salg. Det gælder også, hvis der ikke er nogen betalingsløsning på siden (NetRaket).

Handelsbetingelserne skal skrives i et klart sprog. Læg dem, hvor kunden naturligt kommer forbi: i footeren, i kurven eller ved betalingen.

Handelsbetingelserne skal leve op til e-handelsloven. Forbrugerombudsmanden fører tilsyn med loven, der hviler på et EU-direktiv. Reglerne findes i §§ 7-12 og supplerer markedsføringsloven og forbrugeraftaleloven.

E-handelslovens § 7 kræver generelle oplysninger om virksomheden. De skal være let tilgængelige og stå samlet på forsiden eller på en underliggende side med link fra forsiden. Der skal være vedvarende adgang, og oplysningerne skal ajourføres ved ændringer.

Oplysningerne omfatter virksomhedens navn, fysiske adresse og e-mailadresse. Der er pligt til at have en e-mailadresse; en kontaktformular er ikke nok. Desuden skal postadresse oplyses, hvis den adskiller sig fra den fysiske adresse, og CVR-nummer, hvis virksomheden er registreret i Det Centrale Virksomhedsregister.

E-handelslovens §§ 10-12 stiller krav til aftaleprocessen. Kunden skal kunne se de tekniske led, rette indtastningsfejl inden ordren afgives og forlade bestillingsforløbet uden at indtastede oplysninger gemmes. Når ordren er afgivet, skal virksomheden straks sende en elektronisk ordrebekræftelse. Det skal også fremgå, om kontrakten opbevares, og om den er tilgængelig (Forbrugerombudsmanden).

Forbrugerombudsmandens retningslinjer beskriver, hvad handelsbetingelserne skal oplyse om priser, betalingsbetingelser, leveringsvilkår og reklamationsret (Forbrugerombudsmanden). Forbrugeraftaleloven (lov om visse forbrugeraftaler) kræver oplysning om betalingsbetingelser, leveringstider, returret og reklamationsret. Markedsføringsloven fastsætter krav til, hvordan prisoplysninger angives, herunder priser på varer og tjenesteydelser, fragtgebyrer og eventuelle gebyrer forbundet med betaling (NetRaket).

Fortrydelsesret og reklamation i handelsbetingelserne

Handelsbetingelserne skal oplyse om betalingsbetingelser, leveringstider, returret og reklamationsret. Forbrugeraftaleloven kræver de oplysninger, og Forbrugerombudsmandens retningslinjer uddyber, hvad de skal indeholde (Forbrugerombudsmanden).

Beskriv fortrydelsesret og reklamation i almindeligt sprog, og link direkte til vilkårene fra kurven og ordrebekræftelsen, så kunden kan se, hvad der gælder.

Hvis webshoppen har en online fortrydelsesfunktion, bør det fremgå, hvor kunden finder den.

Privatlivspolitikken begynder med GDPR-grundbegreberne

GDPR står for “General Data Protection Regulation” og kaldes på dansk databeskyttelsesforordningen. Reglerne gælder, når private virksomheder behandler oplysninger om personer – personoplysninger.

“Behandling” dækker over, at du indsamler, registrerer, videregiver eller sletter personoplysninger om f.eks. dine kunder. Personoplysninger identificerer eller kan med rimelighed knyttes til en person; anonyme eller anonymiserede oplysninger er ikke omfattet.

Privatlivspolitikken bør oplyse, hvem der er dataansvarlig, og hvordan man kontakter jer.

Oplysningspligten i GDPR medfører, at de fleste virksomheder har behov for en privatlivspolitik på hjemmesiden. Oplysningspligten indebærer, at du skal oplyse, hvordan virksomheden behandler personoplysninger om de registrerede, f.eks. kunder.

Oplysningspligten over for kunden følger af databeskyttelsesforordningens artikel 13 og 14 (Datatilsynet).

Kortlæg data, formål og retsgrundlag

Start med at gennemgå de kategorier af personoplysninger, du typisk behandler i en webshop. Kontaktoplysninger: navn, adresse, fakturerings- og leveringsadresse, telefonnummer og mail. Økonomiske oplysninger: betalingskort- og bankkontooplysninger, betalingsform og -bekræftelse.

Kontooplysninger: brugernavn, adgangskode og præferencer. Transaktionsoplysninger: varer du kigger på, lægger i kurv, køber, returnerer eller bytter. Kommunikation med dig.

Enhedsoplysninger: IP-adresse, browser og enhed. Oplysninger om brug: hvordan og hvornår kunden interagerer med shoppen.

Skriv derefter i almindeligt dansk, hvad oplysningerne bruges til. Eksempler fra en privatlivspolitik er målrettet markedsføring, produkt- og serviceudvikling samt statistik og analyse.

Privatlivspolitikken bør angive et retsgrundlag for behandlingen. Det kan f.eks. være legitime interesser (artikel 6, stk. 1, litra f) til statistik, analyser, support og produktudvikling, eller samtykke, når du sætter ikke-funktionelle cookies.

Behandler du f.eks. navn, e-mail og telefonnummer via en kontaktformular, kan hjemlen være artikel 6, stk. 1, litra f.

Du skal selv vurdere, hvor længe det er nødvendigt at gemme oplysningerne, og konkret vurdere, om kunden skal have opbevaringsperioden oplyst. Datatilsynets vejledning nævner tidsrummet for opbevaring blandt de oplysninger, det skal vurderes konkret, om den registrerede skal have (Datatilsynet).

Opbevaringsperioden bør fastsættes ud fra, hvor længe oplysningerne er relevante for det formål, de blev indsamlet til. Vurder også konkret, om den registrerede skal oplyses om perioden.

Cookies, samtykke og cookieindstillinger

Cookiebanneret og privatlivspolitikken hænger sammen. Cookies bruges bl.a. til at optimere brugeroplevelsen og funktionerne på hjemmesiden og til at forhindre misbrug og nedetid.

De kan også bruges til statistik og analyse samt målrettet markedsføring. I privatlivspolitikken kan du henvise til din cookiepolitik, hvor kunden kan læse mere.

Forklar, hvor kunden finder cookieindstillingerne, så vedkommende kan ændre dem eller trække samtykket tilbage. Tidligere placerede cookies kan slettes, og ikke-funktionelle cookies placeres først efter informeret samtykke.

I SmartResponse-sagen overvejede Datatilsynet, om samtykket var frivilligt og tilstrækkeligt granulært. Det gjaldt indsamling af oplysninger til både SmartResponses egen brug og videregivelse til samarbejdspartneres direkte markedsføring.

Bruger du tredjepartstjenester til personligt tilpassede annoncer, bør privatlivspolitikken beskrive, at oplysninger videregives til dem. Det kan f.eks. være en platform, der understøtter annoncer baseret på onlineaktivitet.

Rettigheder, klage og kontakt i privatlivspolitikken

Datatilsynets vejledning nævner indsigtsret, berigtigelse, sletning, begrænsning af behandling, dataportabilitet og indsigelse samt retten til ikke at være genstand for en afgørelse, der alene bygger på automatisk behandling, herunder profilering, og retten til at klage til en tilsynsmyndighed (Datatilsynet). Vurder konkret, hvilke rettigheder kunden skal have oplysning om, og beskriv, hvordan kunden kan bruge dem.

Sørg for, at politikken indeholder virksomhedens navn, adresse og e-mail, så kunden kan kontakte jer. Oplys CVR-nummer, hvis virksomheden er registreret i Det Centrale Virksomhedsregister. Det er ikke et krav, at virksomheden har en ekstern DPO, men I kan angive en mailadresse, som kunden kan kontakte jer på med spørgsmål til behandlingen (gdpr.dk).

Angiv tydeligt, hvem der er dataansvarlig, og hvordan kunden kontakter jer om behandlingen. Saml gerne navn, CVR-nummer, adresse, telefon og e-mail samme sted, så det er klart, hvem der behandler oplysningerne.

Tilpas privatlivspolitikken til webshoppen

En skabelon kan bruges, når virksomheden behandler persondata indsamlet hos den registrerede efter artikel 13, som er den mest anvendte måde at indsamle personoplysninger på. Indholdet i din privatlivspolitik vil variere fra andres, fordi virksomheder behandler persondata forskelligt.

Du skal justere skabelonen, hvis du videregiver personoplysninger, overfører til tredjelande, behandler oplysninger om børn, laver profilering og automatiserede afgørelser, behandler oplysninger, som ikke er indsamlet direkte hos kunden, eller har andre behandlingsaktiviteter end dem, skabelonen beskriver.

Udfyld de firkantede parenteser, og tjek at politikken matcher din virksomhed.

Hvis du videregiver personoplysninger, skal politikken beskrive det. Overfører du oplysninger til tredjelande, skal det også fremgå. Skabelonen dækker ikke automatisk disse situationer.

Tjekliste før publicering

Før du publicerer, så tjek, at handelsbetingelserne er tilgængelige, og at retur- og reklamationsvilkårene er klare. Beskriv også fortrydelsesret og reklamation i klart sprog, så kunden kan se, hvad der gælder.

Privatlivspolitikken beskriver data, formål, retsgrundlag og – hvor oplysningspligten kræver det – opbevaringsperioden. Nævn relevante rettigheder, herunder indsigt, berigtigelse, sletning, dataportabilitet og indsigelse, og oplys om retten til at klage til en tilsynsmyndighed. Gør det let at kontakte jer med virksomhedsnavn, adresse, e-mail og CVR-nummer, hvis virksomheden er registreret.

E-handelslovens § 7-oplysninger er let tilgængelige og ajourførte: virksomhedsnavn, fysisk adresse, e-mailadresse og CVR-nummer, hvis I er registreret. Postadresse skal med, hvis den er en anden end den fysiske adresse.

Aftaleprocessen følger e-handelslovens §§ 10-12. Kunden kan rette indtastningsfejl og forlade bestillingsforløbet uden, at oplysningerne gemmes. Ordrebekræftelsen sendes straks, og det oplyses, om kontrakten opbevares.

Handelsbetingelserne oplyser om priser, betalingsbetingelser, leveringsvilkår, leveringstider, returret og reklamationsret. Markedsføringslovens krav til prisoplysninger, fragtgebyrer og eventuelle gebyrer er overholdt.

Du har vurderet, hvor længe det er nødvendigt at opbevare oplysningerne, og om kunden skal oplyses om perioden. Cookiereglerne følges, så ikke-funktionelle cookies først placeres efter informeret samtykke.

Hvis du er i tvivl, kan du altid få vejledning af Datatilsynet, og typisk kan din brancheorganisation også besvare konkrete spørgsmål om netop din virksomheds håndtering af GDPR (Datatilsynet).