Shopify und Datenschutz: Warum dein Shop mehr Pflichten mitbringt, als der Baukasten verspricht
Shopify ist kein Plugin, das du mal eben abschalten kannst, wenn dir der Datenschutz-Aufwand zu groß wird – Shopify ist dein ganzer Laden. Hosting, Checkout, Kundendaten, Zahlungsabwicklung: Alles läuft über Shopifys eigene Server, nicht über deine. Das bringt eine ganze Reihe an Datenschutzaufgaben mit sich, die sich nicht wegkonfigurieren lassen, sondern die du sauber dokumentieren musst.
Überblick
Was ist Shopify?
Shopify ist eine E-Commerce-Plattform, mit der du einen kompletten Online-Shop betreibst, ohne dich selbst um Server, Sicherheit oder Zahlungsanbindung zu kümmern. Anders als bei selbstgehosteten Shopsystemen läuft bei Shopify alles – von der Produktseite bis zur Zahlung – über Shopifys eigene Infrastruktur.
| Shopify – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | Neben technisch notwendigen Cookies setzt Shopify eigene, zustimmungspflichtige Analyse-Cookies. |
| Externe Verbindungen | 🔴 | Mehrere automatische Verbindungen zu Shopify-eigenen Servern, ein Teil davon zustimmungspflichtig. |
| Datenschutzerklärung | 🔴 | Shopify muss namentlich mit allen Verarbeitungen genannt werden. |
| Drittlandtransfer | 🔴 | Daten fließen nach Kanada und in die USA. |
| Auftragsverarbeitung | 🔴 | Ein Vertrag mit Shopify ist Pflicht. |
| Benutzereingaben | 🔴 | Bestell- und Kontodaten landen direkt bei Shopify selbst. |
| KI-Verarbeitung | 🟡 | Nur relevant, wenn du die KI-Antwortvorschläge im Shopify-Chat aktivierst. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Shop-Besucher?
Sobald jemand deinen Shop öffnet, baut die Seite automatisch mehrere Verbindungen zu Shopify-eigenen Servern auf – unabhängig davon, ob dein Besucher überhaupt etwas kauft. Ein Teil davon liefert nur Bilder und Design-Dateien aus, ein anderer Teil schickt Nutzungsdaten an Shopifys eigene Auswertungssysteme. Genau diese zweite Gruppe ist der Grund, warum ein Cookie-Banner in deinem Shop nicht optional ist.
Dazu kommt der Shop-Pay-Button, der ebenfalls beim Seitenaufruf eine eigene Anfrage an Shopify schickt – unabhängig davon, ob der Besucher diesen Button überhaupt anklickt.
Sobald jemand tatsächlich bestellt, sich registriert oder sich einloggt, gehen diese Daten direkt an Shopify – Name, Adresse, Bestellinhalt, Zahlungsdaten. Diese Daten verlassen dabei die EU: Shopifys Vertragspartner für europäische Händler sitzt zwar in Irland, verarbeitet die Daten aber im Zusammenspiel mit der kanadischen Muttergesellschaft und weiteren Dienstleistern in den USA.
Und wenn du im Shopify-Chat die KI-Antwortvorschläge aktivierst, fließen zusätzlich die Chat-Nachrichten deiner Besucher in dieses Feature ein.
Cookies
Welche Cookies setzt Shopify?
Shopify setzt zwei unterschiedliche Arten von Cookies, die du auch unterschiedlich behandeln musst. Der Cookie _shopify_essential hält den Checkout am Laufen – ohne ihn funktioniert dein Warenkorb nicht. Dieser Cookie ist technisch notwendig und braucht keine Zustimmung im Cookie-Banner.
Daneben setzt Shopify eigene Analyse-Cookies wie _shopify_y, die Landingpages und Besucherquellen für Shopifys eigene Statistik erfassen. Diese Cookies sind nicht technisch notwendig für den Betrieb deines Shops, sondern liefern Shopify zusätzliche Auswertungsdaten. Dein Cookie-Banner muss diese Cookies blockieren, bis der Besucher zustimmt.
Externe Verbindungen
Welche Verbindungen baut Shopify automatisch auf?
Beim Aufruf deines Shops lädt die Seite zunächst Bilder, Schriften und Design-Dateien über Shopifys eigenes Auslieferungsnetzwerk. Diese Verbindung ist für den Betrieb deiner Website notwendig und muss nicht im Cookie-Banner blockiert werden. Sie gehört aber in deine Datenschutzerklärung.
Parallel dazu schickt dein Shop automatisch Nutzungsdaten an Shopifys eigene Auswertungssysteme – einmal für allgemeine Analysedaten, einmal für technische Fehler- und Performance-Auswertung. Beide Verbindungen entstehen unabhängig davon, ob dein Besucher etwas anklickt. Dein Cookie-Banner muss diese Verbindungen blockieren, bis der Besucher zugestimmt hat.
Zusätzlich lädt der Shop-Pay-Button beim Seitenaufruf automatisch eine eigene Anfrage an Shopify – auch wenn der Besucher diese Zahlart nie nutzt. Die IT-Recht Kanzlei ordnet ein strukturell identisches Verhalten beim Express-Checkout-Button von PayPal als zustimmungspflichtig ein, weil die Verbindung unabhängig von der tatsächlichen Nutzung beim Seitenaufruf feuert. Dein Cookie-Banner muss auch diese Verbindung blockieren, bis der Besucher zugestimmt hat.
Benutzereingaben
Was passiert mit Bestell- und Kontodaten?
Alles, was ein Besucher in deinem Shop einträgt – Adresse, Bestellung, Zahlungsdaten, Kontoanmeldung –, landet direkt auf Shopifys eigener Infrastruktur, nicht auf einem Server, den du selbst kontrollierst. Diese Angaben gehen erst raus, wenn Bestellung oder Formular abgeschickt werden – ein Cookie-Banner hilft hier nicht. Direkt beim Bestell- oder Kontoformular muss ein Hinweis auf deine Datenschutzerklärung stehen.
Drittlandtransfer
Wohin gehen die Daten deiner Shop-Besucher?
Shopify überträgt Daten deiner Besucher zunächst an Shopify International Limited in Irland – das ist innerhalb der EU.
Von dort gehen Daten weiter an die kanadische Muttergesellschaft Shopify Inc. Für diese Übertragung nach Kanada gibt es eine offizielle Vereinbarung zwischen der EU und Kanada, die diesen Datentransfer erlaubt. Zusätzlich setzt Shopify Dienstleister in den USA ein, etwa für Cloud-Infrastruktur – für diese Übertragungen hat Shopify vertraglich festgelegte Datenschutz-Standardklauseln mit den Dienstleistern vereinbart, die von der EU anerkannt sind.
Auftragsverarbeitung
Brauchst du einen Vertrag mit Shopify?
Weil Shopify die Daten deiner Kunden in deinem Auftrag verarbeitet – du bestimmst, was mit den Daten passiert, Shopify führt es technisch aus –, brauchst du einen Auftragsverarbeitungsvertrag mit Shopify. Shopify stellt diesen Vertrag direkt über die eigene Datenschutz-Seite bereit, du musst ihn nur noch abschließen.
KI-Verarbeitung
Verarbeitet Shopify Besucherdaten mit KI?
Nur dann, wenn du im Shopify-Chat (Shopify Inbox) die automatischen KI-Antwortvorschläge aktivierst. Ist diese Funktion eingeschaltet, liest die KI die Chat-Nachrichten deiner Besucher, um Antwortvorschläge zu generieren. Lässt du die Funktion aus, beantwortest du Chat-Anfragen selbst, ohne dass eine KI die Nachrichten deiner Besucher verarbeitet.
Datenschutzerklärung
Muss Shopify in die Datenschutzerklärung?
Shopify muss namentlich in deine Datenschutzerklärung, weil die Plattform Bestell-, Konto- und Besucherdaten verarbeitet und ins Ausland überträgt. e-recht24.de führt dafür eine eigene Mustervorlage speziell für Shopify-Shops, weil Standard-Datenschutzerklärungen diese Besonderheiten meist nicht abdecken.
Wir nutzen Shopify.
Shopify setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Shopify Inc. auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Shopify stellt beim Laden der Website automatisch eine Verbindung zu Servern von Shopify Inc. her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Wenn du über ein Formular von Shopify deine Daten eingibst, werden diese durch ein KI-System verarbeitet und an Shopify Inc. übermittelt. Soweit Shopify Inc. die Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Bei der Nutzung von Shopify kann eine Übermittlung personenbezogener Daten nach Kanada stattfinden. Grundlage der Übermittlung ist ein Angemessenheitsbeschluss der Europäischen Kommission.
Fehler
Welche Fehler kommen bei Shopify in unseren DSGVO-Checks am häufigsten vor?
Shopify taucht bei 3 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Shopify gefunden wurde.
DSGVO-Check
Warum lohnt sich ein Scan deines Shopify-Shops?
Bei einer Plattform wie Shopify reicht ein kurzer Blick in die Einstellungen nicht aus, um zu sehen, welche Verbindungen dein Shop tatsächlich beim Seitenaufruf herstellt – dafür müsste man den Shop wie ein echter Besucher aufrufen und mitschneiden, was passiert. Genau das übernimmt unser DSGVO-Scan für dich, statt dass du selbst jede Anfrage im Browser mitprotokollierst.
Und jeder Scan hilft nicht nur dir: Die Treffer fließen in unsere Datenbank ein, wodurch wir auch bei künftigen Shopify-Updates oder neuen Funktionen schneller erkennen, was sich geändert hat.
