Shop Pay einbinden: Wohin die Zahlungsdaten deiner Kunden wirklich reisen
Shop Pay ist der Bezahl-Button, den du wahrscheinlich schon auf anderen Shops gesehen hast – Shopifys eigene Wallet-Lösung, die Kunden das erneute Eintippen von Adresse und Kartennummer erspart. Für dich als Website-Betreiber bedeutet der Einsatz spürbaren Aufwand: Die Zahlungsdaten deiner Kunden landen nicht bei dir, sondern direkt bei Shopify – und zwar in Kanada und teilweise in den USA. Das bringt gleich mehrere Pflichten für deine Datenschutzerklärung mit sich, dazu eine Überraschung, mit der die wenigsten Website-Betreiber rechnen.
Überblick
Was ist Shop Pay?
Shop Pay ist Shopifys eigener Bezahldienst. Kunden hinterlegen einmal ihre E-Mail-Adresse, Lieferadresse und Kartendaten in ihrem Shop-Pay-Konto und bezahlen danach bei jedem teilnehmenden Shop mit einem Klick, ohne die Daten erneut einzugeben. Der Dienst läuft komplett über Shopifys eigene Infrastruktur – unabhängig davon, ob deine Website selbst auf Shopify läuft.
| Shop Pay – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Nur ein technisch notwendiger Cookie für die Zahlungssitzung. |
| Externe Verbindungen | 🔴 | Checkout-Verbindung nötig, zusätzlicher Tracking-Aufruf braucht Cookie-Banner. |
| Datenschutzerklärung | 🔴 | Shop Pay muss namentlich genannt werden. |
| Drittlandtransfer | 🔴 | Daten gehen nach Kanada und teilweise in die USA. |
| Auftragsverarbeitung | 🟢 | Kein Vertrag nötig, weil Shopify hier selbst Verantwortlicher ist. |
| Benutzereingaben | 🔴 | Kunden geben Zahlungsdaten aktiv im Checkout ein. |
| KI-Verarbeitung | 🟢 | Keine KI-Funktion mit Besucherbezug vorhanden. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Kunden, wenn sie mit Shop Pay bezahlen?
Sobald ein Kunde den Shop-Pay-Button anklickt, baut sein Browser eine direkte Verbindung zu Shopify auf, um die Zahlung abzuwickeln und die gespeicherte Sitzung zu laden. Das ist der Kern der Funktion – ohne diese Verbindung funktioniert die Bezahlung nicht. Daneben ruft Shop Pay noch eine zweite Verbindung auf, die erkennbar einen Tracking-Parameter mitschickt und mit der eigentlichen Zahlung nichts zu tun hat.
Schließt der Kunde den Kauf ab, gibt er aktiv seine E-Mail-Adresse, Lieferadresse und Kartendaten ein – entweder neu oder aus seinem gespeicherten Shop-Pay-Konto. Diese Daten gehen direkt an Shopify, nicht an dich als Shop-Betreiber.
Shopify wird bei Shop Pay nicht in deinem Auftrag tätig. Der Kunde schließt einen eigenen Vertrag mit Shopify ab, und Shopify entscheidet selbst, was mit diesen Daten passiert. Kein Auftragsverarbeitungsvertrag zwischen dir und Shopify für diese Daten – weil du datenschutzrechtlich gar nicht der Verantwortliche dafür bist.
Die Daten reisen dabei nicht nur innerhalb der EU: Sie landen bei Shopifys kanadischer Gesellschaft und teilweise auch bei den amerikanischen Shopify-Einheiten. Damit ist Shop Pay ein Fall, bei dem gleich mehrere Punkte in deine Datenschutzerklärung gehören.
Cookies
Setzt Shop Pay Cookies auf deiner Website?
Shop Pay setzt beim Checkout den Cookie _shop_app_essential. Der Name sagt es schon: Es handelt sich um einen technisch notwendigen Cookie, der die Zahlungssitzung am Laufen hält. Dieser Cookie ist technisch notwendig und braucht keine Zustimmung im Cookie-Banner. Er gehört trotzdem in deine Datenschutzerklärung, weil über ihn personenbezogene Daten verarbeitet werden.
Externe Verbindungen
Welche externen Verbindungen baut Shop Pay auf?
Shop Pay ruft beim Bezahlvorgang zwei Arten von Verbindungen zu Shopify auf. Die erste sorgt dafür, dass der eigentliche Checkout und die gespeicherte Zahlungssitzung überhaupt laden – diese Verbindung ist für den Betrieb deiner Website notwendig und muss nicht im Cookie-Banner blockiert werden. Sie gehört aber in deine Datenschutzerklärung.
Die zweite Verbindung schickt zusätzlich einen erkennbaren Tracking-Parameter mit, der für die Zahlung selbst nicht gebraucht wird. Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Benutzereingaben
Welche Daten geben Kunden bei Shop Pay ein?
Kunden geben beim Checkout mit Shop Pay ihre E-Mail-Adresse, Lieferadresse und Kartendaten ein, sofern sie noch kein Shop-Pay-Konto haben – oder rufen diese Daten aus ihrem gespeicherten Konto ab. Diese Angaben gehen erst raus, wenn der Kunde den Bezahlvorgang tatsächlich abschließt – ein Cookie-Banner hilft hier nicht. Direkt beim Shop-Pay-Button sollte deshalb ein Hinweis auf deine Datenschutzerklärung stehen.
Drittlandtransfer
Wohin gehen die Zahlungsdaten bei Shop Pay?
Shop Pay überträgt die Daten deiner Kunden nicht an dich, sondern direkt an Shopify. Hauptempfänger ist Shopifys kanadische Gesellschaft mit Sitz in Ottawa. Die EU-Kommission stuft Kanada als Land mit einem ausreichenden Datenschutzniveau ein, die Übertragung dorthin ist erlaubt. Ein Teil der Verarbeitung, insbesondere bei der eigentlichen Kartenzahlung, läuft zusätzlich über die amerikanischen Shopify-Gesellschaften. Laut dem offiziellen Registrierungsverzeichnis für den Datenschutzrahmen zwischen der EU und den USA sind diese Gesellschaften aktuell nicht aktiv gelistet – ihre bisherige Zertifizierung dafür wurde zurückgezogen. Öffentlich ist nicht im Detail dokumentiert, welche Daten genau in den USA landen.
Auftragsverarbeitung
Brauchst du einen Auftragsverarbeitungsvertrag mit Shopify für Shop Pay?
Nein – und das ist bei einem Zahlungsdienst ungewöhnlich. Shopify schließt die Datenverarbeitung rund um Shop Pay in den eigenen Vertragsbedingungen (Data Processing Addendum) ausdrücklich aus. Der Grund: Der Kunde schließt seinen Shop-Pay-Vertrag direkt mit Shopify ab, Shopify entscheidet selbst über Zweck und Mittel dieser Datenverarbeitung und ist damit selbst Verantwortlicher – nicht dein Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag zwischen dir und Shopify für diese Daten ist deshalb weder vorgesehen noch nötig.
Datenschutzerklärung
Muss Shop Pay in deine Datenschutzerklärung?
Shop Pay muss namentlich in deine Datenschutzerklärung, weil über den Dienst automatisch Verbindungen zu Shopify entstehen und weil Kunden dort aktiv ihre Zahlungsdaten eingeben, die anschließend nach Kanada und in die USA übertragen werden. Nenne Shopify als Anbieter von Shop Pay und weise darauf hin, dass Kunden dabei einen eigenen Vertrag mit Shopify eingehen.
Wir nutzen Shop Pay für Zahlungsanbieter.
Shop Pay stellt beim Laden der Website automatisch eine Verbindung zu Servern von Shopify Inc. her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Shop Pay stellt beim Laden der Website eine Verbindung zu Servern von Shopify Inc. her, die nicht technisch notwendig ist und für die deine Einwilligung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Wenn du über ein Formular von Shop Pay deine Daten eingibst, werden diese ausschließlich auf unserem eigenen Server verarbeitet und nicht an Dritte weitergegeben.
Bei der Nutzung von Shop Pay kann eine Übermittlung personenbezogener Daten nach Kanada stattfinden. Grundlage der Übermittlung ist ein Angemessenheitsbeschluss der Europäischen Kommission.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Shop Pay?
Hier siehst du, wo Shop Pay im DSGVO-Vergleich zu anderen Zahlungsanbieter steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Shop Pay in Sachen Datenschutz bereits gut aufgestellt ist.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check für Shop Pay auf deiner Seite?
Ein Scan zeigt dir in Sekunden, ob Shop Pay auf deiner Website aktiv ist und welche der beiden Verbindungen dabei tatsächlich auflaufen – ohne dass du selbst im Quellcode nach Tracking-Parametern suchen musst. Das erspart dir genau die Recherche, die diesen Artikel überhaupt erst nötig gemacht hat.
Und jeder Datenschutz-Scan hilft nicht nur dir: Die echten Signale, die dabei auftauchen, ordnen wir bekannten Tools zu oder nehmen sie als neuen Fall in die Recherche auf. Je mehr Seiten gescannt werden, desto mehr Tools erkennen wir zuverlässig – auch für alle anderen, die danach scannen.
