AVG-check voor Shopify

Shopify-shops sluiten tracking vaak in via apps, de verkoopkanalen (Google, Meta) en het gedeelte 'Customer Events' — veel daarvan is toestemmingsplichtig.

Met de Customer Privacy API heeft Shopify een eigen interface gemaakt waarmee de toestemmingsstatus in de shop wordt beheerd. Om die te laten werken, moet een consent-tool uit de Shopify App Store of een eigen implementatie deze status zetten — en de gebruikte tracking-apps moeten die opvragen. Is de keten op één punt onderbroken, dan laden pixels ondanks een weigering.

Het gebied «Customer Events» (voorheen «Aanvullende scripts» in de checkout) is een veelvoorkomende bron: hier geplaatste pixel-snippets draaien vaak onafhankelijk van het consent-tool. Sinds de overstap op Checkout Extensibility respecteren native pixels de toestemmingsstatus beter, maar zelf ingevoegde custom pixels moeten uitdrukkelijk aan de Privacy API worden gekoppeld.

De verkoopkanalen Google en Meta brengen hun eigen tags mee. Voor het Google-kanaal zou Consent Mode actief moeten zijn, voor het Meta-kanaal de beperkte gegevensverwerkingsmodus — maar geen van beide vervangt de toestemming, ze beperken alleen wat er zonder gebeurt. In de privacyverklaring horen alle actieve kanalen, apps en de VS-doorgifte te worden genoemd.

Niet over het hoofd zien: Shopify verwerkt zelf. Het shop-eigen analytics-dashboard, de versnelde betalingen (Shop Pay, Apple Pay, Google Pay), de fraudedetectie en het Shopify Inbox-chatwidget draaien onafhankelijk van de marketing-apps. Shop Pay herkent terugkerende klanten via een Shopify-account — dat is meer dan een technisch noodzakelijke handeling en zou in de consent- en privacybeschouwing moeten worden meegenomen.

Voor de privacyverklaring van een Shopify-shop betekent «volledig»: Shopify Inc. als platform-verwerker (met een verwerkersovereenkomst), de betaalproviders (Shopify Payments/Stripe, PayPal, Klarna …), de verzend-/fulfilmentdienstverlener, elke actieve verkoopkanaal-integratie (Google, Meta, TikTok, Pinterest), elke tracking- of marketing-app uit de App Store, en e-mail-/reviewtools (Klaviyo, Judge.me …). Een generator levert daarvoor alleen het geraamte — de app- en kanaallijst moet vanuit de eigen Shopify-beheeromgeving worden afgestemd.

Is dit een risico?

Marketing- en analysepixels mogen pas na toestemming laden volgens § 25 lid 1 TDDDG. Shopify's Customer Privacy API en een passende toestemmingstool moeten zo verbonden zijn dat pixels de toestemmingsstatus respecteren. Gegevensstromen gaan vaak naar de VS.

Wat je kunt doen

• Gebruik een toestemmingstool die is gekoppeld aan de Shopify Customer Privacy API.
• Controleer alle trackingapps: laden ze vóór de toestemming?
• Draai de Google- en Meta-kanalen met Consent Mode of een beperkte gegevensmodus.
• Noem in de privacyverklaring alle apps, kanalen en de doorgifte naar de VS.

Veelgestelde vragen

Wat moet er in de privacyverklaring van een Shopify-shop?

Ten minste: Shopify Inc. als verwerker, de gebruikte betaalprovider, de verzenddienstverlener, elke actieve verkoopkanaal-integratie (Google, Meta …), elke tracking-/marketing-app en e-mail-/reviewtools. Per dienst horen doel, rechtsgrond, ontvangersland en bewaartermijn erin. De lijst moet vanuit de eigen beheeromgeving worden afgestemd — een sjabloontekst alleen volstaat niet.

Volstaat de standaard cookiebanner van Shopify?

Sinds 2023 biedt Shopify een eigen consent-banner die aan de Customer Privacy API is gekoppeld. Voor de Duitse markt zou moeten worden gecontroleerd of hij een echte weigeroptie op het eerste niveau biedt en of alle tracking-apps de status ook uitlezen.

Laden Shopify-apps trackers vóór de toestemming?

Dat hangt van de app af. Apps die de Customer Privacy API correct gebruiken, wachten op de toestemming. Oudere of slecht onderhouden apps schrijven hun code rechtstreeks in het thema en negeren de toestemmingsstatus — zulke apps in het netwerktabblad controleren.

Hoe zit het met de checkout?

In de checkout mogen alleen technisch noodzakelijke scripts zonder toestemming draaien. Marketingpixels in de checkout hebben dezelfde toestemming nodig als in de shop; met Checkout Extensibility worden ze via custom pixels en de Privacy API aangestuurd.

Gaan Shopify-gegevens naar de VS?

Ja. Shopify Inc. is in Canada gevestigd (adequaatheidsbesluit aanwezig), maar veel gekoppelde diensten — Google, Meta, deels Shopify-infrastructuur — verwerken in de VS. De doorgifte hoort in de privacyverklaring.

Hoe consentglass helpt

De gratis scan controleert de geleverde HTML en toont welke diensten zijn ingebed, of er een cookiebanner wordt gedetecteerd en of links naar privacy en colofon aanwezig zijn — met duiding per bevinding. Hij is geen vervanging voor juridisch advies.