Shopify und DSGVO — die Verantwortung bleibt bei dir.

Die Rollen.

Als Shopbetreiber bist du verantwortlich für die Verarbeitung der Kundendaten in deinem Shop. Shopify verarbeitet sie in deinem Auftrag. Jede App, die auf Kundendaten zugreift, ist ein weiterer Empfänger — mit eigener Rolle, die geklärt sein muss.

Ich bin kein Rechtsanwalt. Für die rechtliche Bewertung im Einzelfall gehört eine Rechtsberatung oder ein Datenschutzbeauftragter dazu.

Auftragsverarbeitung.

Shopify stellt eine Vereinbarung zur Datenverarbeitung bereit, die Teil der Bedingungen ist. Prüf, welche Fassung für dein Konto gilt, und leg sie ab. Für jede App, die Daten verarbeitet, gilt dasselbe: Gibt es eine Vereinbarung, wo ist sie dokumentiert?

Übermittlung außerhalb der EU.

Shopify und viele App-Anbieter verarbeiten Daten auch außerhalb der EU. Das braucht eine Grundlage — etwa eine Zertifizierung unter dem Datenschutzrahmen zwischen EU und USA oder Standardvertragsklauseln. Prüf für jeden Anbieter, was gilt, und nenne es in der Datenschutzerklärung (Datenflüsse dokumentieren).

Einwilligung.

Shopify bietet Funktionen für ein Einwilligungsbanner und eine Schnittstelle, über die Apps den Einwilligungsstatus abfragen können. Entscheidend ist, ob alle Apps und Tracking-Codes das auch tun.

Prüfen: Shop im privaten Fenster öffnen, Banner nicht anklicken, in den Entwicklerwerkzeugen nachsehen, welche Verbindungen aufgebaut und welche Cookies gesetzt werden. Werden schon vor der Zustimmung Daten an Werbe- oder Analysedienste gesendet, stimmt etwas nicht (Consent Mode).

Apps.

Jede App mit Zugriff auf Kundendaten ist ein Datenempfänger. Bewertungs-Apps erhalten Namen und Mailadressen, Newsletter-Apps Kontaktdaten, Buchhaltungs-Apps Rechnungsdaten. Für jede gilt: Zweck, Grundlage, Vereinbarung, Speicherort, Eintrag in der Datenschutzerklärung.

Weniger Apps bedeuten auch weniger Dokumentationsaufwand und weniger Risiko (Apps und Kosten).

Tracking und Werbung.

Analyse- und Werbedienste — Google, Meta und andere — dürfen erst nach Einwilligung Daten erhalten. Shopify bietet Anbindungen, die den Einwilligungsstatus berücksichtigen. Bei zusätzlich eingebauten Codes muss das gesondert sichergestellt werden (Tracking).

Kundendaten.

• Nur nötige Daten in der Kasse abfragen.
• Gastbestellung ermöglichen, wenn kein Kundenkonto nötig ist.
• Auskunft und Löschung: Shopify bietet Funktionen dafür — die Abläufe sollten bekannt sein.
• Aufbewahrungsfristen für Bestellungen mit steuerlichen Pflichten abgleichen.
• Zugänge zum Verwaltungsbereich auf das Nötige beschränken.

Bei Löschanfragen gilt: Auch die Apps, die Daten erhalten haben, sind betroffen (Kundendaten).

Datenschutzerklärung.

Die Datenschutzerklärung muss beschreiben, was der Shop tatsächlich tut — Shopify als Anbieter, Zahlungsdienste, jede datenverarbeitende App, Tracking, Newsletter. Generierte Mustertexte passen selten vollständig.

Ein häufiger Fehler: Die Erklärung wurde beim Start erstellt und seitdem nicht angepasst, obwohl Apps dazugekommen sind.

Selbst prüfen.

1. Vereinbarungen mit Shopify und datenverarbeitenden Apps abgelegt?
2. Privates Fenster, Banner ignorieren: Welche Verbindungen und Cookies?
3. Nach Ablehnung: Bleibt es dabei?
4. App-Liste mit Datenschutzerklärung abgleichen.
5. Löschablauf einmal durchspielen.

Wenn du nicht weiterkommst.

Wenn du wissen willst, ob dein Shopify-Shop datenschutzrechtlich sauber aufgestellt ist. Ich finde die Ursache, behebe sie und erkläre dir, was passiert ist. Die Übersicht findest du unter Magento- und Shopify-Hilfe; wenn gerade keine Bestellungen durchgehen, hilft der Notfall-Support.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Shopsysteme sind ein Kern meiner Arbeit — ich betreue WooCommerce, Shopware, Magento und Shopify, baue Schnittstellen zu Buchhaltung und Warenwirtschaft und unterrichte E-Commerce-Technik als Dozent. Ich kenne die Systeme nicht nur aus der Oberfläche, sondern aus der Architektur.

Weil ich mehrere Systeme betreue, habe ich kein Interesse daran, dir eines davon zu verkaufen. Ich sage dir, ob dein Shop auf dem richtigen System läuft, was ihn bremst und was sich mit vertretbarem Aufwand verbessern lässt.

Was du bekommst: eine Diagnose in verständlicher Sprache, eine Behebung, die hält, und eine ehrliche Einschätzung — auch wenn die Antwort lautet, dass dein Shop so bleiben kann.