Shopify DSGVO: Der komplette Compliance-Guide fuer deutsche Haendler (2026)

Was ist die DSGVO und warum betrifft sie Shopify-Shops?

Die Datenschutz-Grundverordnung (DSGVO) regelt seit Mai 2018, wie Unternehmen in der EU personenbezogene Daten verarbeiten duerfen. Jeder Shopify-Shop, der Kunden in Deutschland, Oesterreich oder der Schweiz bedient, faellt unter diese Verordnung, unabhaengig davon, wo Shopify selbst die Daten speichert.

Die Konsequenzen bei Verstoessen sind real: Laut Art. 83 DSGVO drohen Bussgelder von bis zu 20 Mio. EUR oder 4% des weltweiten Jahresumsatzes. 2025 wurden in Deutschland 249 Bussgelder mit einem Gesamtvolumen von rund 46,9 Mio. EUR verhaengt. Die Zahl gemeldeter Datenpannen stieg auf 10.259, ein Anstieg gegenueber 8.623 im Vorjahr (DSGVO-Gesetzestext).

Ich habe in den letzten zwei Jahren dutzende Shopify-Shops von innen gesehen. Die meisten Haendler wissen, dass sie eine Datenschutzerklaerung brauchen. Aber die eigentlichen Risiken liegen tiefer: in Tracking-Pixeln, die vor dem Consent laden, in fehlenden AVVs mit Drittanbietern und in Kontaktformularen ohne Double-Opt-in. Wer seinen Shopify-Shop rechtssicher machen will, muss bei der DSGVO anfangen.

Ist Shopify DSGVO-konform?

Die kurze Antwort: Shopify liefert eine Grundlage, aber DSGVO-konform wird dein Shop erst durch deine eigene Konfiguration. Shopify stellt einen Auftragsverarbeitungsvertrag (AVV) bereit, nutzt Standard Contractual Clauses (SCCs) fuer den Datentransfer in die USA und bietet eine Customer Privacy API fuer Cookie-Consent. Die Infrastruktur laeuft auf Google Cloud Platform und Cloudflare, beide seit 2024 unter dem EU-US Data Privacy Framework (DPF) zertifiziert.

Was Shopify nicht fuer dich erledigt: rechtskonforme Seiten (Impressum, AGB, Widerrufsbelehrung), eine vollstaendige Datenschutzerklaerung, Consent-Management fuer Drittanbieter-Scripts, AVVs mit allen weiteren Dienstleistern und ein dokumentiertes Verfahren fuer Datenloesch-Anfragen.

Shopify DSGVO Checkliste

Diese Checkliste deckt jeden Punkt ab, den du als Shopify-Haendler in der DACH-Region erfuellen musst. Ich empfehle, sie einmal komplett durchzugehen und anschliessend quartalsweise zu pruefen, ob alle Punkte noch aktuell sind.

Fuer die technischen Details der einzelnen Datenschutz-Einstellungen im Shopify-Admin gibt es einen separaten Deep Dive: [URL PENDING] (Shopify Datenschutz-Einstellungen im Detail).

Cookie Consent und Tracking

Cookies und Tracking-Scripts sind der Bereich, in dem die meisten Shopify-Shops gegen die DSGVO verstossen. Das Problem ist strukturell: Viele Themes und Apps laden Scripts automatisch, bevor der Nutzer ueberhaupt eine Einwilligung geben konnte. Laut der Datenschutzkonferenz gehoeren Cookie-Verstoesse zu den am haeufigsten geahndeten Vergehen (Datenschutzkonferenz).

Shopify bietet mit der Customer Privacy API und dem integrierten Consent Mode eine Basis. Fuer einfache Shops ohne externe Tracking-Pixel kann das ausreichen. Sobald du Google Analytics 4, Meta Pixel, TikTok Pixel oder andere Marketing-Tools einsetzt, brauchst du eine zertifizierte Consent-Management-Plattform (CMP).

GA4 ist dabei ein Sonderfall: Zwar anonymisiert GA4 IP-Adressen automatisch, aber der Datentransfer auf US-Server bleibt rechtlich umstritten. Die Mindestanforderungen: ein AVV mit Google, nachweisbare Nutzereinwilligung vor dem Tracking, datenschutzfreundliche Einstellungen und eine vollstaendige Erwaehnung in der Datenschutzerklaerung. Wer auf Nummer sicher gehen will, setzt auf europaeische Alternativen wie Matomo (selbst gehostet) oder etracker (Hosting in Deutschland).

Eine detaillierte Anleitung zur Einrichtung eines Cookie Banners findest du hier: Cookie Banner fuer Shopify einrichten.

Datenschutzerklaerung fuer Shopify-Shops

Die Datenschutzerklaerung ist kein optionales Dokument. Art. 13 DSGVO schreibt vor, dass du Betroffene bei der Erhebung ihrer Daten umfassend informieren musst. Eine unvollstaendige oder veraltete Datenschutzerklaerung ist einer der haeufigsten Abmahngruende im deutschen E-Commerce.

1. Verantwortlicher: Name, Adresse, Kontaktdaten des Shopbetreibers
2. Zwecke und Rechtsgrundlagen: Fuer welche Zwecke du Daten verarbeitest (Vertragserfuellung, berechtigtes Interesse, Einwilligung) mit Verweis auf Art. 6 DSGVO
3. Empfaenger und Drittanbieter: Alle Dienste, die personenbezogene Daten erhalten (Shopify, Zahlungsanbieter, Analytics, Marketing-Tools, Versanddienstleister)
4. Datentransfer in Drittlaender: Hinweis auf US-Datentransfer via Shopify, Google, Meta mit Rechtsgrundlage (SCCs, DPF)
5. Speicherdauer: Wie lange du Daten aufbewahrst und nach welchen Kriterien du loeschst
6. Betroffenenrechte: Auskunft, Berichtigung, Loeschung, Einschraenkung, Datenportabilitaet, Widerspruch (Art. 15-21 DSGVO)
7. Cookies und Tracking: Welche Cookies du setzt, welche Tools du nutzt und wie der Consent-Prozess funktioniert

Einen detaillierten Leitfaden zur Erstellung findest du hier: [URL PENDING] (Datenschutzerklaerung fuer Shopify erstellen).

AGB und rechtliche Pflichtseiten

Neben der Datenschutzerklaerung verlangt das deutsche Recht vier weitere Pflichtseiten fuer jeden Online-Shop. Fehlt eine davon, riskierst du Abmahnungen, unabhaengig von der DSGVO.

1. Impressum (Pflicht nach TMG/DDG): Vollstaendiger Name, Adresse, Kontakt, Handelsregisternummer, USt-IdNr. In Shopify als eigene Seite anlegen und im Footer verlinken.
2. AGB (Allgemeine Geschaeftsbedingungen): Regeln Vertragsschluss, Lieferung, Zahlung und Haftung. Muessen vor dem Kauf einsehbar sein und aktiv bestaetigt werden.
3. Widerrufsbelehrung: 14-Tage-Widerrufsrecht fuer Verbraucher nach Fernabsatzrecht. Muss ein Muster-Widerrufsformular enthalten.
4. Datenschutzerklaerung: Siehe vorheriger Abschnitt.

In Shopify legst du diese Seiten unter Online-Shop > Seiten an. Verlinke sie im Footer und, wo noetig, im Checkout. Einen Vergleich der besten AGB-Generatoren fuer Shopify findest du hier: [URL PENDING] (Shopify AGB Generator im Vergleich).

Auftragsverarbeitungsvertrag (AVV) mit Shopify

Art. 28 DSGVO schreibt vor, dass du mit jedem Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag abschliessen musst. Bei Shopify ist dieser Vertrag in die allgemeinen Geschaeftsbedingungen integriert: Mit der Nutzung von Shopify akzeptierst du automatisch das Shopify Auftragsverarbeitungsvertrag.

Das reicht aber nur fuer Shopify selbst. Jeder weitere Dienst in deinem Stack braucht einen eigenen AVV. In der Praxis bedeutet das: Wenn du Klarna, PayPal, Mailchimp, Google Analytics, Meta Ads oder einen Versanddienstleister nutzt, brauchst du mit jedem dieser Anbieter einen separaten Vertrag.

1. Shopify AVV pruefen: Gehe zu Einstellungen > Rechtliches im Shopify-Admin. Der AVV ist automatisch abgeschlossen.
2. Subprocessor-Liste einsehen: Shopify fuehrt eine aktuelle Liste aller Unterauftragsverarbeiter. Du hast das Recht, bei Aenderungen informiert zu werden.
3. Drittanbieter-AVVs abschliessen: Suche auf der Website jedes Anbieters nach 'Data Processing Agreement' oder 'Auftragsverarbeitungsvertrag'. Die meisten grossen Anbieter bieten diese digital zum Abschluss an.
4. Dokumentation: Halte alle abgeschlossenen AVVs in deinem Verarbeitungsverzeichnis fest.

Shopify DSGVO Apps und Tools im Vergleich

Fuer die meisten Shopify-Haendler ist eine spezialisierte DSGVO-App sinnvoller als eine rein manuelle Konfiguration. Die drei relevantesten Optionen im deutschen Markt, Stand Anfang 2026:

Meine Empfehlung: Fuer Shops mit GA4 und Marketing-Pixeln ist Pandectes oder Consentmo die sicherste Wahl. Beide sind von Google als CMP zertifiziert, unterstuetzen IAB TCF und bieten einen kostenlosen Einstieg. Shopifys native Loesung eignet sich nur fuer Shops ohne externe Tracking-Tools.

Haeufige DSGVO-Fehler bei Shopify-Shops

In meiner Arbeit mit E-Commerce-Haendlern sehe ich immer wieder dieselben Fehler. Keiner davon ist schwer zu beheben, aber jeder einzelne kann eine Abmahnung oder ein Bussgeld ausloesen.

1. Tracking vor Consent laden: Google Analytics, Meta Pixel oder Hotjar werden im Theme-Code eingebunden und feuern sofort beim Seitenaufruf. Loesung: Alle Scripts erst nach expliziter Einwilligung laden, idealerweise ueber eine CMP.
2. Vorangekreuzte Consent-Boxen: Newsletter-Anmeldungen im Checkout mit vorausgewaehlter Checkbox. Seit der DSGVO eindeutig verboten (Art. 7 Abs. 4).
3. Fehlende AVVs mit Drittanbietern: Shopify-AVV ist abgeschlossen, aber Klarna, Google und Mailchimp laufen ohne Vertrag. Jeder Dienst braucht einen eigenen.
4. Unvollstaendige Datenschutzerklaerung: Neue Apps installiert, aber die Datenschutzerklaerung nicht aktualisiert. Jede App, die personenbezogene Daten verarbeitet, muss erwaehnt werden.
5. Kein Double-Opt-in fuer Newsletter: In Deutschland ist Double-Opt-in der rechtliche Standard. Single-Opt-in reicht nicht.
6. Datenloesch-Anfragen ignorieren: Art. 17 DSGVO gibt Betroffenen das Recht auf Loeschung. Du musst innerhalb von 30 Tagen reagieren. In Shopify: Kunden > Kunde auswaehlen > Personenbezogene Daten loeschen.

FAQ