DSGVO-Check für Shopify

Shopify-Shops binden Tracking oft über Apps, die Vertriebskanäle (Google, Meta) und den Bereich „Customer Events“ ein — vieles davon ist einwilligungspflichtig.

Shopify hat mit der Customer Privacy API eine eigene Schnittstelle geschaffen, über die der Consent-Status im Shop verwaltet wird. Damit sie wirkt, muss ein Consent-Tool aus dem Shopify App Store oder eine eigene Implementierung diesen Status setzen — und die eingesetzten Tracking-Apps müssen ihn abfragen. Ist die Kette an einer Stelle unterbrochen, laden Pixel trotz Ablehnung.

Der Bereich „Customer Events“ (früher „Additional Scripts“ im Checkout) ist eine häufige Fundstelle: Hier hinterlegte Pixel-Snippets laufen oft unabhängig vom Consent-Tool. Seit der Umstellung auf Checkout Extensibility respektieren native Pixel den Consent-Status besser, selbst eingefügte Custom Pixels müssen aber ausdrücklich an die Privacy API angebunden werden.

Die Vertriebskanäle Google und Meta bringen ihre eigenen Tags mit. Für den Google-Kanal sollte Consent Mode aktiv sein, für den Meta-Kanal der eingeschränkte Datenverarbeitungsmodus — beides ersetzt aber nicht die Einwilligung, sondern begrenzt nur, was ohne sie passiert. In der Datenschutzerklärung gehören alle aktiven Kanäle, Apps und der USA-Transfer benannt.

Nicht übersehen: Shopify selbst verarbeitet. Das Shop-eigene Analytics-Dashboard, die beschleunigten Zahlungen (Shop Pay, Apple Pay, Google Pay), die Betrugserkennung und das Shopify-Inbox-Chat-Widget laufen unabhängig von den Marketing-Apps. Shop Pay erkennt wiederkehrende Kund:innen über ein Shopify-Konto — das ist mehr als ein technisch notwendiger Vorgang und sollte in der Consent- und Datenschutz-Betrachtung mitgeführt werden.

Für die Datenschutzerklärung eines Shopify-Shops heißt „vollständig“: Shopify Inc. als Plattform-Auftragsverarbeiter (mit AVV/DPA), die Zahlungsanbieter (Shopify Payments/Stripe, PayPal, Klarna …), der Versand-/Fulfilment-Dienstleister, jede aktive Vertriebskanal-Integration (Google, Meta, TikTok, Pinterest), jede Tracking- oder Marketing-App aus dem App Store, sowie E-Mail-/Review-Tools (Klaviyo, Judge.me …). Ein Generator liefert dafür nur das Gerüst — die App- und Kanal-Liste muss aus dem eigenen Shopify-Adminbereich abgeglichen werden.

Ist das ein Risiko?

Marketing- und Analyse-Pixel dürfen nach § 25 Abs. 1 TDDDG erst nach Einwilligung laden. Shopifys Customer-Privacy-API und ein passendes Consent-Tool müssen so verknüpft sein, dass Pixel den Consent-Status respektieren. Datenflüsse gehen häufig in die USA.

Was du tun kannst

• Ein Consent-Tool einsetzen, das an die Shopify Customer Privacy API angebunden ist.
• Alle Tracking-Apps prüfen: laden sie vor der Einwilligung?
• Google- und Meta-Kanal mit Consent Mode bzw. eingeschränktem Datenmodus betreiben.
• In der Datenschutzerklärung alle Apps, Kanäle und den USA-Transfer benennen.

Häufige Fragen

Was muss in die Datenschutzerklärung eines Shopify-Shops?

Mindestens: Shopify Inc. als Auftragsverarbeiter, der genutzte Zahlungsanbieter, der Versanddienstleister, jede aktive Vertriebskanal-Integration (Google, Meta …), jede Tracking-/Marketing-App und E-Mail-/Bewertungstools. Zu jedem Dienst gehören Zweck, Rechtsgrundlage, Empfängerland und Speicherdauer. Die Liste muss aus dem eigenen Adminbereich abgeglichen werden, ein Vorlagen-Text allein reicht nicht.

Reicht das Standard-Cookie-Banner von Shopify?

Shopify stellt seit 2023 ein eigenes Consent-Banner bereit, das an die Customer Privacy API angebunden ist. Für den deutschen Markt sollte geprüft werden, ob es eine echte Ablehnen-Option auf der ersten Ebene bietet und ob alle Tracking-Apps den Status auch auswerten.

Laden Shopify-Apps Tracker vor der Einwilligung?

Das hängt von der App ab. Apps, die die Customer Privacy API korrekt nutzen, warten auf die Zustimmung. Ältere oder schlecht gepflegte Apps schreiben ihren Code direkt ins Theme und ignorieren den Consent-Status — solche Apps im Netzwerk-Tab prüfen.

Was ist mit dem Checkout?

Im Checkout dürfen nur technisch notwendige Skripte ohne Einwilligung laufen. Marketing-Pixel im Checkout brauchen dieselbe Zustimmung wie im Shop; mit Checkout Extensibility werden sie über Custom Pixels und die Privacy API gesteuert.

Gehen Shopify-Daten in die USA?

Ja. Shopify Inc. sitzt in Kanada (Angemessenheitsbeschluss vorhanden), viele angebundene Dienste — Google, Meta, teils Shopify-Infrastruktur — verarbeiten aber in den USA. Der Transfer gehört in die Datenschutzerklärung.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.