Shopify ist ein kanadisches Unternehmen, Ihre Kunden sitzen in Österreich oder Deutschland – und verantwortlich für den Datenschutz im Shop sind Sie, nicht Shopify. Dass die Behörden es ernst meinen, lässt sich beziffern: Laut der DLA-Piper-Erhebung (Januar 2025) summieren sich die DSGVO-Bußgelder in Europa seit Mai 2018 auf 5,88 Milliarden Euro, davon 1,2 Milliarden allein in den zwölf Monaten bis Januar 2025. Das meiste davon trifft Konzerne wie Meta, aber gemahnt wird längst nicht mehr nur. Die gute Nachricht: Ein DSGVO-sauberer Shopify-Shop ist machbar, die Plattform bringt dafür inzwischen brauchbare Werkzeuge mit. Die schlechte: Von selbst passiert davon nichts. Hier ist die Checkliste, die wir bei jedem Shop-Projekt abarbeiten. Eines vorweg: Wir sind Entwickler, keine Anwälte – für die rechtliche Absicherung im Detail gehören Ihre Texte zu jemandem mit Anwaltszulassung.

Der AV-Vertrag mit Shopify

Shopify verarbeitet Kundendaten in Ihrem Auftrag – dafür verlangt die DSGVO einen Auftragsverarbeitungsvertrag. Shopify stellt dafür ein Data Processing Addendum bereit, das Teil der Vertragsbedingungen ist. Sie müssen es nicht aushandeln, aber Sie sollten es kennen, ablegen und in Ihrem Verarbeitungsverzeichnis dokumentieren.

Derselbe Punkt gilt für jeden weiteren Dienst im Shop: Zahlungsanbieter, Versanddienstleister, Newsletter-Tool. Wer Kundendaten für Sie verarbeitet, braucht so einen Vertrag. Die Liste ist bei den meisten Shops länger, als die Betreiber glauben.

Datentransfer außerhalb der EU: ehrlich dokumentieren

Shopify betreibt seine Infrastruktur global, Kundendaten können dabei auch außerhalb der EU verarbeitet werden. Shopify stützt sich dafür auf die üblichen rechtlichen Mechanismen wie Standardvertragsklauseln. Für Sie heißt das: Der Transfer muss in der Datenschutzerklärung genannt und korrekt begründet sein. Wegdiskutieren lässt er sich nicht – wer einen Shop ausschließlich auf EU-Servern will, ist bei Shopify falsch und sollte das vor der Plattformwahl wissen.

In der Praxis betreiben sehr viele Händler im DACH-Raum Shopify-Shops auf dieser Grundlage. Der Punkt ist nur: Ihre Datenschutzerklärung muss die Realität beschreiben, statt sie zu verschweigen.

Cookie-Banner und Consent: die häufigste Baustelle

Hier finden wir bei übernommenen Shops die meisten Fehler. Ein Banner, das nur informiert, reicht nicht: Tracking- und Marketing-Skripte dürfen erst laden, nachdem die Besucherin eingewilligt hat – und „Ablehnen“ muss so einfach sein wie „Akzeptieren“. Viele Consent-Apps blenden zwar ein Banner ein, feuern die Pixel aber trotzdem ab Sekunde eins. Das lässt sich im Browser-Netzwerk-Tab in zwei Minuten überprüfen, und genau das machen wir bei jeder Abnahme.

Shopify bringt mit der Customer Privacy API eine Grundlage mit, an die sich saubere Consent-Lösungen und viele Apps koppeln. Richtig eingerichtet heißt das: Ohne Einwilligung läuft nur, was technisch notwendig ist. Analytics und Werbe-Pixel starten erst nach dem Klick auf Zustimmen.

Apps sind Datenempfänger – jede einzelne

Jede installierte App kann auf Shop-Daten zugreifen, viele davon auf Kundendaten. Damit ist jede App datenschutzrechtlich relevant: Wer steht dahinter, wo verarbeitet sie Daten, gibt es einen AV-Vertrag, taucht sie in Ihrer Datenschutzerklärung auf? Bei einem Shop mit fünfzehn Apps ist das eine echte Fleißaufgabe – und ein weiteres Argument, die App-Liste schlank zu halten.

Unsere Faustregel bei der App-Auswahl: Anbieter mit klarer Datenschutz-Dokumentation und EU-Bezug bevorzugen. Bei Apps ohne nachvollziehbare Angaben zur Datenverarbeitung stellt sich die Frage, ob die Funktion das Risiko wert ist.

Pflichttexte: Impressum, Datenschutzerklärung, AGB, Widerruf

Für Shops im DACH-Raum führt an vier Texten kein Weg vorbei: Impressum, Datenschutzerklärung, AGB und Widerrufsbelehrung samt Muster-Widerrufsformular. Shopify bietet Textvorlagen an – die sind auf nordamerikanisches Recht gemünzt und für Österreich oder Deutschland unbrauchbar. Lassen Sie diese Texte von einer Kanzlei oder einem seriösen Rechtstexte-Dienst erstellen und binden Sie sie so ein, dass sie von jeder Seite erreichbar sind, auch aus dem Checkout.

Ein Detail, das oft übersehen wird: Die Texte müssen aktuell bleiben. Neue App, neuer Zahlungsanbieter, neues Tracking – jede dieser Änderungen kann eine Anpassung der Datenschutzerklärung nötig machen.

Newsletter nur mit Double-Opt-in

Die E-Mail-Adresse aus einer Bestellung ist keine Newsletter-Einwilligung. Wer Marketing-Mails verschicken will, braucht eine aktive Anmeldung mit Bestätigungslink – das Double-Opt-in-Verfahren – und muss die Einwilligung nachweisen können. Prüfen Sie, ob Ihr Newsletter-Tool das korrekt abbildet und ob die Checkbox im Checkout wirklich standardmäßig leer ist. Vorangekreuzte Kästchen sind keine Einwilligung.

Die Checkliste zum Abhaken

Zum Schluss alles auf einen Blick. Der Durchschnitt ist übrigens keine hohe Latte: Im Erhebungsjahr der DLA-Piper-Studie (2025) gingen bei den europäischen Aufsichtsbehörden im Schnitt 363 Datenpannen-Meldungen pro Tag ein. Wenn Sie jeden Punkt mit gutem Gewissen abhaken können, steht Ihr Shop deutlich besser da:

AV-Vertrag mit Shopify dokumentiert, ebenso mit jedem weiteren Dienstleister
Datentransfer außerhalb der EU in der Datenschutzerklärung benannt
Consent-Lösung eingerichtet: Tracking lädt erst nach Einwilligung, Ablehnen ist gleichwertig möglich
Alle installierten Apps auf Datenverarbeitung geprüft und in der Datenschutzerklärung erfasst
Impressum, Datenschutzerklärung, AGB und Widerrufsbelehrung von fachkundiger Seite, überall erreichbar
Newsletter ausschließlich mit Double-Opt-in, keine vorangekreuzten Checkboxen
Prozess für Auskunfts- und Löschanfragen festgelegt – Shopify bietet dafür Werkzeuge im Admin