GDPR-kontroll för Shopify

Shopify-butiker bäddar ofta in spårning via appar, försäljningskanalerna (Google, Meta) och området ”Customer Events” — mycket av det kräver samtycke.

Shopify har med Customer Privacy API skapat ett eget gränssnitt genom vilket samtyckesstatusen hanteras i butiken. För att det ska fungera måste ett samtyckesverktyg från Shopify App Store eller en egen implementering sätta den statusen, och de tracking-appar som används måste fråga efter den. Bryts kedjan någonstans laddas pixlar trots ett avslag.

Området „Customer Events“ (tidigare „Additional Scripts“ i kassan) är ett vanligt ställe: pixel-snippets som placeras här körs ofta oberoende av samtyckesverktyget. Sedan övergången till Checkout Extensibility respekterar native pixlar samtyckesstatusen bättre, men egeninsatta custom pixels måste uttryckligen kopplas till Privacy API.

Försäljningskanalerna Google och Meta har med sig egna taggar. Consent Mode bör vara aktivt för Google-kanalen och läget för begränsad databehandling för Meta-kanalen — men ingen av dem ersätter samtycket, de begränsar bara vad som händer utan det. Alla aktiva kanaler, appar och överföringen till USA hör hemma i integritetspolicyn.

Är detta en risk?

Marknadsförings- och analyspixlar får laddas först efter samtycke enligt § 25 st. 1 TDDDG. Shopifys Customer Privacy API och ett lämpligt samtyckesverktyg måste vara kopplade så att pixlar respekterar samtyckesstatusen. Dataflöden går ofta till USA.

Vad du kan göra

• Använd ett samtyckesverktyg som är kopplat till Shopify Customer Privacy API.
• Kontrollera alla spårningsappar: laddas de före samtycket?
• Kör Google- och Meta-kanalen med Consent Mode eller ett begränsat dataläge.
• I integritetspolicyn, ange alla appar, kanaler och överföringen till USA.

Vanliga frågor

Räcker Shopifys standard-cookiebanner?

Shopify tillhandahåller sedan 2023 ett eget samtyckesbanner kopplat till Customer Privacy API. För den tyska marknaden måste det kontrolleras om det erbjuder ett riktigt avvisa-alternativ på första nivån och om alla tracking-appar också utvärderar statusen.

Laddar Shopify-appar spårare före samtycket?

Det beror på appen. Appar som använder Customer Privacy API korrekt väntar på samtycket. Äldre eller dåligt underhållna appar skriver sin kod direkt i temat och ignorerar samtyckesstatusen — kontrollera sådana appar i Nätverk-fliken.

Vad gäller kassan?

I kassan får bara tekniskt nödvändiga skript köras utan samtycke. Marknadsföringspixlar i kassan behöver samma samtycke som i butiken; med Checkout Extensibility styrs de via custom pixels och Privacy API.

Går Shopify-data till USA?

Ja. Shopify Inc. har sitt säte i Kanada (adekvat skyddsnivå-beslut på plats), men många anslutna tjänster — Google, Meta, delvis Shopify-infrastruktur — behandlar i USA. Överföringen hör hemma i integritetspolicyn.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.