Shopify und DSGVO: Was Shops technisch umsetzen müssen

Stand: Oktober 2026

Shopify stellt die technischen Grundlagen für DSGVO-Konformität bereit: Auftragsverarbeitungsvertrag, Werkzeuge für Betroffenenanfragen, Consent-Schnittstellen und EU-Rechenzentren. Die Umsetzung im eigenen Shop — Cookie-Banner, Consent Mode, Datenschutzerklärung und Tracking-Konfiguration — liegt beim Händler.

Das ist die praktisch wichtigste Unterscheidung: Shopify ist Auftragsverarbeiter, Sie sind Verantwortlicher. Shopify stellt Werkzeuge; die Verantwortung dafür, dass sie richtig eingesetzt werden, bleibt bei Ihnen.

Wer wofür zuständig ist

Bereich	Shopify	Sie
Auftragsverarbeitungsvertrag	stellt bereit	abschließen und archivieren
Serverstandort	EU-Option verfügbar	prüfen und dokumentieren
Technische Sicherheit	gewährleistet	—
Cookie-Banner	Grundfunktion	einrichten und konfigurieren
Consent Mode	Schnittstelle vorhanden	korrekt verknüpfen
Datenschutzerklärung	—	vollständig Ihre Aufgabe
Tracking-Einwilligung	Schnittstelle	Pixel korrekt verknüpfen
Betroffenenanfragen	Werkzeuge im Admin	fristgerecht bearbeiten
App-Datenflüsse	—	prüfen, App für App

Die letzte Zeile wird am häufigsten übersehen und ist in der Praxis das größte Risiko. Jede installierte App kann Daten verarbeiten. Eine Bewertungs-App, die Kundendaten an einen Server außerhalb der EU sendet, ist Ihre Verantwortung, nicht die von Shopify.

Cookie-Banner richtig einrichten

Die häufigste Fehlerquelle. Ein Banner, das nur informiert, erfüllt die Anforderungen nicht.

Was ein Banner leisten muss:

• Ablehnen so einfach wie Zustimmen — gleichwertige Schaltflächen auf derselben Ebene. Ein „Alle akzeptieren“ in Farbe neben einem grauen Textlink „Einstellungen“ ist der meistgerügte Aufbau
• Keine Vorauswahl bei nicht notwendigen Kategorien
• Tracking lädt erst nach Einwilligung, nicht vorher
• Widerruf jederzeit möglich — dauerhaft erreichbarer Link
• Einwilligung dokumentiert — Zeitpunkt, Umfang, Version

Der dritte Punkt ist technisch der entscheidende: Viele Shops zeigen ein korrektes Banner, laden aber Google Analytics und den Meta-Pixel trotzdem beim Seitenaufruf. Das Banner ist dann Dekoration. Prüfen lässt sich das, indem man die Netzwerkanfragen im Browser betrachtet, bevor man auf irgendetwas klickt.

Consent Mode und Tracking

Wenn Nutzer das Tracking ablehnen, dürfen die entsprechenden Dienste nicht laden. Das betrifft die Messung unmittelbar.

Die technische Kette:

• Banner erfasst die Einwilligung
• Einwilligungsstatus wird an den Tag Manager übergeben
• Tags feuern nur bei vorliegender Einwilligung
• Google-Dienste erhalten zusätzlich Consent-Signale

Die unbequeme Folge: Mit korrektem Consent-Setup sinken die gemessenen Zahlen. Je nach Ablehnungsquote fehlen 20 bis 40 % der Daten in Analytics und in den Werbekonten.

Das ist kein Fehler, sondern die Realität. Zwei Wege, damit umzugehen:

Serverseitiges Tracking. Verlagert die Verarbeitung auf einen eigenen Server. Verbessert die Datenqualität bei eingewilligten Nutzern — ersetzt die Einwilligung aber nicht. Wer serverseitig trackt, um das Banner zu umgehen, hat das Problem verschlimmert, nicht gelöst.

Consent Mode. Google kann bei fehlender Einwilligung anonymisierte Signale erhalten und Lücken modellieren. Das ist zulässig, wenn es korrekt konfiguriert ist.

Server-Side GTM für Shopify

Serverstandort und Datenübermittlung

Shopify ist ein kanadisches Unternehmen mit Infrastruktur in mehreren Regionen. Für europäische Shops gibt es EU-Rechenzentren.

Zu prüfen und zu dokumentieren:

• Welcher Serverstandort für Ihren Shop gilt
• Welche Unterauftragsverarbeiter Shopify einsetzt (Liste wird veröffentlicht)
• Welche Ihrer Apps Daten außerhalb der EU verarbeiten
• Ob der Auftragsverarbeitungsvertrag abgeschlossen und archiviert ist

Die Liste der Unterauftragsverarbeiter ändert sich. In ein jährliches Review aufnehmen, nicht einmalig abhaken.

Apps: das unterschätzte Risiko

Jede App kann Daten verarbeiten. Bei einem Shop mit zwölf Apps gibt es zwölf potenzielle Datenflüsse, die Sie verantworten.

Pro App zu klären:

Frage	Warum
Welche Daten werden verarbeitet?	Grundlage für das Verarbeitungsverzeichnis
Wo stehen die Server?	Drittlandtransfer relevant?
Gibt es einen AV-Vertrag?	Pflicht bei Auftragsverarbeitung
Lädt die App vor der Einwilligung?	häufiger Fehler bei Chat- und Bewertungs-Apps
Wird sie noch genutzt?	nicht genutzte Apps deinstallieren

Der letzte Punkt ist der schnellste Gewinn: Nicht genutzte Apps deinstallieren. Sie kosten Geld, verlangsamen den Shop und erzeugen Datenschutzaufwand ohne Gegenwert.

Betroffenenrechte

Shopify stellt im Adminbereich Werkzeuge bereit, um Anfragen zu bearbeiten:

Recht	Umsetzung
Auskunft	Kundendatenexport im Admin
Löschung	Löschanfrage im Admin, Weitergabe an Apps
Berichtigung	Kundendaten direkt bearbeitbar
Datenübertragbarkeit	Export in maschinenlesbarem Format

Wichtig: Eine Löschung in Shopify löscht nicht automatisch die Daten in allen Apps. Apps, die Kundendaten gespeichert haben — E-Mail-Tools, Bewertungssysteme, Helpdesk — müssen gesondert berücksichtigt werden. Welche das sind, ergibt sich aus der App-Prüfung oben.

Praktische Reihenfolge

• Auftragsverarbeitungsvertrag mit Shopify abschließen und archivieren
• Cookie-Banner einrichten, Ablehnen gleichwertig
• Prüfen, ob Tracking wirklich erst nach Einwilligung lädt — Netzwerkanfragen im Browser
• Consent Mode korrekt verknüpfen
• Apps durchgehen, Datenflüsse dokumentieren, Ungenutztes entfernen
• Rechtstexte über einen spezialisierten Dienst einbinden
• Verarbeitungsverzeichnis erstellen
• Jährliches Review ansetzen

Schritt 3 ist der, bei dem die meisten Shops auffallen — und der, der am schnellsten zu prüfen ist.

Häufige Fragen

Ist Shopify DSGVO-konform?

Shopify stellt die technischen Voraussetzungen bereit — Auftragsverarbeitungsvertrag, EU-Rechenzentren, Werkzeuge für Betroffenenanfragen. Ob ein konkreter Shop DSGVO-konform ist, hängt von der Umsetzung ab: Cookie-Banner, Tracking-Konfiguration, Rechtstexte und App-Auswahl liegen beim Händler.

Brauche ich einen Auftragsverarbeitungsvertrag mit Shopify?

Ja. Shopify verarbeitet personenbezogene Daten in Ihrem Auftrag. Der Vertrag wird von Shopify bereitgestellt und sollte abgeschlossen und archiviert werden.

Welches Cookie-Banner brauche ich für Shopify?

Eines, bei dem Ablehnen genauso einfach ist wie Zustimmen, bei dem nicht notwendige Kategorien nicht vorausgewählt sind, das Tracking erst nach Einwilligung lädt und einen jederzeit erreichbaren Widerruf bietet. Mehrere Apps leisten das; entscheidend ist die richtige Konfiguration.

Warum sinken meine Zahlen nach dem Consent-Setup?

Weil nun nur noch Nutzer gemessen werden, die eingewilligt haben. Je nach Ablehnungsquote fehlen 20 bis 40 % der Daten. Das ist der korrekte Zustand. Serverseitiges Tracking und Consent Mode verbessern die Datenqualität, ersetzen die Einwilligung aber nicht.

Sind Shopify-Apps ein Datenschutzproblem?

Sie können es sein. Jede App kann Daten verarbeiten, teils auf Servern außerhalb der EU. Für jede App sollte geklärt sein, welche Daten verarbeitet werden, wo die Server stehen und ob ein AV-Vertrag besteht. Nicht genutzte Apps sollten deinstalliert werden.

Wo werden meine Shopify-Daten gespeichert?

Shopify betreibt Infrastruktur in mehreren Regionen, für europäische Shops mit EU-Option. Der für Ihren Shop geltende Standort und die Liste der Unterauftragsverarbeiter sollten geprüft und dokumentiert werden; die Liste ändert sich.

Reicht es, eine Datenschutz-App zu installieren?

Nein. Eine App liefert das Werkzeug, nicht die Konformität. Entscheidend ist die Konfiguration — insbesondere, dass Tracking tatsächlich erst nach Einwilligung lädt. Das ist der Punkt, an dem die meisten Shops trotz installierter App nicht konform sind.