GDPR-tjek for Shopify

Shopify-butikker indlejrer ofte sporing via apps, salgskanalerne (Google, Meta) og området „Customer Events“ — meget af det kræver samtykke.

Med Customer Privacy API'en har Shopify skabt sin egen grænseflade, hvorigennem samtykkestatus i shoppen administreres. For at den virker, skal et samtykkeværktøj fra Shopify App Store eller en egen implementering sætte denne status — og de anvendte tracking-apps skal forespørge den. Er kæden brudt ét sted, indlæses pixels trods et afslag.

Området «Customer Events» (tidligere «Yderligere scripts» i checkout) er en hyppig kilde: pixel-snippets, der er lagt ind her, kører ofte uafhængigt af samtykkeværktøjet. Siden overgangen til Checkout Extensibility respekterer native pixels samtykkestatus bedre, men selv-indsatte custom pixels skal udtrykkeligt kobles til Privacy API'en.

Salgskanalerne Google og Meta medbringer deres egne tags. For Google-kanalen bør Consent Mode være aktiv, for Meta-kanalen den begrænsede databehandlingstilstand — men ingen af dem erstatter samtykket, de begrænser kun, hvad der sker uden det. I privatlivspolitikken hører alle aktive kanaler, apps og USA-overførslen med.

Overse ikke: Shopify behandler selv. Shoppens eget analytics-dashboard, de accelererede betalinger (Shop Pay, Apple Pay, Google Pay), svindeldetektion og Shopify Inbox-chatwidgetten kører uafhængigt af marketing-apps. Shop Pay genkender tilbagevendende kunder via en Shopify-konto — det er mere end en teknisk nødvendig handling og bør medtages i samtykke- og databeskyttelsesvurderingen.

For en Shopify-shops privatlivspolitik betyder «fuldstændig»: Shopify Inc. som platformens databehandler (med en databehandleraftale), betalingsudbyderne (Shopify Payments/Stripe, PayPal, Klarna …), forsendelses-/fulfilment-leverandøren, hver aktiv salgskanal-integration (Google, Meta, TikTok, Pinterest), hver tracking- eller marketing-app fra App Store, samt e-mail-/anmeldelsesværktøjer (Klaviyo, Judge.me …). En generator leverer kun skelettet — app- og kanallisten skal afstemmes fra ens eget Shopify-administrationsområde.

Er dette en risiko?

Markedsførings- og analysepixels må først indlæses efter samtykke efter § 25 stk. 1 TDDDG. Shopifys Customer Privacy API og et passende samtykkeværktøj skal være forbundet, så pixels respekterer samtykkestatussen. Datastrømme går ofte til USA.

Hvad du kan gøre

• Brug et samtykkeværktøj, der er koblet til Shopify Customer Privacy API.
• Tjek alle sporingsapps: indlæses de før samtykket?
• Kør Google- og Meta-kanalen med Consent Mode eller en begrænset datatilstand.
• I privatlivspolitikken, angiv alle apps, kanaler og overførslen til USA.

Ofte stillede spørgsmål

Hvad skal med i en Shopify-shops privatlivspolitik?

Som minimum: Shopify Inc. som databehandler, den anvendte betalingsudbyder, forsendelsesleverandøren, hver aktiv salgskanal-integration (Google, Meta …), hver tracking-/marketing-app og e-mail-/anmeldelsesværktøjer. For hver tjeneste hører formål, retsgrundlag, modtagerland og opbevaringsperiode med. Listen skal afstemmes fra ens eget administrationsområde — en skabelontekst alene er ikke nok.

Er Shopifys standard-cookiebanner nok?

Siden 2023 stiller Shopify sit eget samtykkebanner til rådighed, koblet til Customer Privacy API'en. For det tyske marked bør det tjekkes, om det tilbyder en reel afvis-mulighed på første niveau, og om alle tracking-apps også aflæser status.

Indlæser Shopify-apps trackere før samtykket?

Det afhænger af app'en. Apps, der bruger Customer Privacy API'en korrekt, venter på samtykket. Ældre eller dårligt vedligeholdte apps skriver deres kode direkte ind i temaet og ignorerer samtykkestatus — tjek sådanne apps i netværksfanen.

Hvad med checkout?

I checkout må kun teknisk nødvendige scripts køre uden samtykke. Marketing-pixels i checkout kræver samme samtykke som i shoppen; med Checkout Extensibility styres de via custom pixels og Privacy API'en.

Går Shopify-data til USA?

Ja. Shopify Inc. er etableret i Canada (tilstrækkelighedsafgørelse foreligger), men mange tilkoblede tjenester — Google, Meta, delvist Shopify-infrastruktur — behandler i USA. Overførslen hører med i privatlivspolitikken.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.