Shopify ist eine SaaS-Plattform mit Hauptsitz in Kanada und Niederlassungen in der EU. Für deutsche Shopify-Shops bedeutet das: DSGVO-Konformität ist erreichbar – erfordert aber eine bewusste Konfiguration. Viele deutsche Shopify-Shops sind heute formal nicht konform, und das würde bei einer Prüfung durch die Datenschutzbehörde oder nach einer Kundenbeschwerde auffallen. Die Lösung ist überwiegend organisatorisch, nicht technisch – Sie müssen sie aber tatsächlich umsetzen.
Dieser Leitfaden zeigt, was die DSGVO-Konformität eines Shopify-Shops in Deutschland 2026 tatsächlich erfordert: Abschluss des Auftragsverarbeitungsvertrags (AVV), Einrichtung des Cookie-Banners, Verwaltung der Unterauftragsverarbeiter, Abläufe für Auskunft und Löschung von Kundendaten sowie der Datenstandort in den USA und Kanada, den Sie offenlegen müssen.
Den allgemeinen DSGVO-Kontext finden Sie in unserem Leitfaden zur DSGVO-Konformität.
Was verlangt die DSGVO von einem deutschen Shopify-Shop?
Acht konkrete Anforderungen:
1. Abgeschlossener AVV mit Shopify
Shopify stellt ein Data Processing Addendum (DPA) bereit – das englische Gegenstück zum Auftragsverarbeitungsvertrag (AVV). Es ist im Shopify-Admin abrufbar und muss vor dem Livegang akzeptiert werden.
2. Gepflegte und offengelegte Liste der Unterauftragsverarbeiter
Shopify nutzt Unterauftragsverarbeiter (Cloudflare, AWS usw.). Führen Sie Ihre Plattform und Ihre Apps als Unterauftragsverarbeiter in Ihrer Datenschutzerklärung auf.
3. Cookie-Banner mit Einwilligungssteuerung
Jedes Marketing-Tracking (Meta Pixel, Google Ads, Klaviyo-Identifizierung, Analyse) darf erst nach ausdrücklicher Einwilligung laden.
4. Rechtstexte: Impressum, Datenschutzerklärung, AGB, Widerrufsbelehrung
Pflicht und im Footer sowie im Checkout verlinkt. Vorlagen gibt es bei der IHK oder bei Trusted Shops.
5. Möglichkeit zur Datenauskunft
Kunden müssen ihre gespeicherten Daten herunterladen können (Art. 15 DSGVO).
6. Ablauf zur Löschung von Kundendaten
Kunden müssen die Löschung ihres Kontos beantragen können (Art. 17 DSGVO). Die 10-jährige Aufbewahrungspflicht für Buchhaltungsunterlagen nach GoBD lösen Sie über Pseudonymisierung.
7. Getrennte Einwilligungen bei der Anmeldung
Newsletter-Anmeldung und Kontoerstellung erfordern jeweils eine eigene, ausdrückliche Einwilligung. Keine vorausgewählten Kästchen.
8. Dokumentation der TOMs
Technische und organisatorische Maßnahmen – also wie Sie Daten schützen. Shopify stellt seine eigenen bereit; Ihre eigenen dokumentieren Sie selbst.
Was ist mit dem Datenstandort von Shopify in den USA und Kanada?
Das ist die meistgestellte Frage. Die ehrliche Antwort für 2026:
Shopify hat seinen Hauptsitz in Kanada. Kundendaten werden in der Regel über die weltweite Infrastruktur von Shopify verarbeitet, einschließlich Regionen in den USA. Shopify hat Büros und Kundensupport in der EU, die zugrunde liegende Infrastruktur verteilt sich jedoch auf mehrere Regionen.
Ist das DSGVO-konform?
Ja, bei korrekter Konfiguration:
- Schließen Sie das DPA (den AVV) von Shopify ab
- Das DPA enthält Standardvertragsklauseln für die Datenübermittlung in Drittländer
- Shopify setzt ergänzende Maßnahmen gemäß Schrems II um
- Legen Sie dies in Ihrer Datenschutzerklärung offen
Ist das ideal?
In Fällen mit strengen DSGVO-Anforderungen (regulierte Branchen, Käufer aus dem öffentlichen Sektor, besonders datenschutzbewusste Kunden) sind selbst gehostete Alternativen wie WooCommerce auf Hetzner oder selbst gehostetes Shopware wegen des eindeutigeren Datenstandorts im Vorteil.
Die meisten deutschen B2C- und klassischen B2B-Shops funktionieren mit korrekt konfiguriertem Shopify gut und bleiben rechtlich gut vertretbar.
Mehr zum Datenstandort finden Sie in unseren Vergleichen Shopify vs. WooCommerce und Shopify vs. Shopware für Deutschland.
Wie richten Sie einen DSGVO-konformen Cookie-Banner in Shopify ein?
Vier Optionen:
Cookiebot
Weltweit am verbreitetsten. Gute DSGVO-Ausrichtung. Kategorisiert Cookies automatisch. Lässt sich auf eine EU-Region festlegen. Ca. 10–60 € pro Monat, je nach Traffic.
Borlabs Cookie (deutsches Unternehmen)
Aus Hamburg. Gute DSGVO-Ausrichtung. Von vielen deutschen Shopify-Shops genutzt. Ein deutscher Anbieter vereinfacht den AVV.
Real Cookie Banner
Open-Source-freundlich und flexibel konfigurierbar. Von vielen deutschen Agenturen genutzt.
Consentmanager
Auf den deutschen Markt ausgerichtet. Gute Compliance-Ausrichtung.
Nicht ausreichend: allein die integrierten „Customer Privacy“-Einstellungen von Shopify – sie blockieren nicht alle Skripte von Drittanbietern zuverlässig. Nutzen Sie einen echten Cookie-Banner.
Welche Unterauftragsverarbeiter hat ein typischer deutscher Shopify-Shop?
Führen Sie jeden in der Datenschutzerklärung auf:
- Shopify (Kanada/EU) – Plattform
- Stripe (Irland für die EU) – Zahlungsabwicklung (bei Nutzung von Shopify Payments)
- Klarna (Schweden) – Klarna-Zahlungen
- PayPal (Luxemburg für die EU) – PayPal-Zahlungen
- Klaviyo (USA/EU) – E-Mail-Marketing (mit AVV)
- Trusted Shops (Deutschland) – Bewertungen und Gütesiegel
- Sendcloud / Shipcloud (Niederlande/Deutschland) – Versand
- Sufio / Rechnungs-App – Rechnungserstellung
- Analyse-Tool (Plausible EU / Matomo / GA4)
- Cookie-Banner-Tool
Für jeden gilt: AVV abgeschlossen, in der Datenschutzerklärung offengelegt und aktuell gehalten.
Wie gehen Sie in Shopify mit Auskunft und Löschung von Kundendaten um?
Datenauskunft (Art. 15)
Shopify bietet einen integrierten Ablauf für Datenanfragen von Kunden: Admin → Kunden → Datenschutz → Export anfordern. Daraus entsteht ein strukturierter Datenexport mit Bestellhistorie, Kundendaten und Adressen.
Prüfen Sie, ob auch alle individuellen Apps dies unterstützen. Falls nicht, haben Sie möglicherweise eine Lücke.
Datenlöschung (Art. 17)
Shopify bietet eine integrierte Kundenlöschung: Admin → Kunden → löschen. Der Kundendatensatz wird gelöscht, und die Bestellungen werden für die Aufbewahrung nach GoBD anonymisiert.
Hinweis: Die GoBD schreiben eine 10-jährige Aufbewahrung von Buchhaltungsunterlagen vor. Die Löschfunktion von Shopify pseudonymisiert den Kundendatensatz und bewahrt die Bestelldaten für die gesetzliche Aufbewahrung auf. Das ist der richtige Ansatz.
Daten in individuellen Apps
Individuelle Apps, die Kundendaten speichern, müssen ebenfalls Auskunft und Löschung umsetzen. Prüfen Sie das vor dem Launch.
Was ist mit Klaviyo, Meta Pixel und anderen Marketing-Tools?
Das übliche Vorgehen:
Klaviyo
- AVV mit Klaviyo abschließen
- Die EU-Region von Klaviyo nutzen
- Die Klaviyo-Identifizierung (das JavaScript-Snippet, das den Browser mit einem bekannten Kunden verknüpft) darf erst nach der Cookie-Einwilligung laden
- E-Mail-Anmeldung per Double-Opt-in (Standard in Deutschland)
Meta Pixel
- Meta als Unterauftragsverarbeiter dokumentieren
- Das Pixel-Skript erst nach der Cookie-Einwilligung laden (NICHT vorher)
- Conversions API und Pixel kombinieren, um robuster zu sein (serverseitige Daten geben Ihnen mehr Kontrolle)
Google Analytics 4
- DSGVO-konform konfigurierbar, erfordert aber eine sorgfältige Einrichtung
- IP-Anonymisierung aktiviert
- Aufbewahrungsdauer der Daten eingestellt
- Erst nach der Cookie-Einwilligung geladen
- Als Alternativen kommen Plausible (in der EU gehostet, ohne Einwilligung nutzbar) oder Matomo (selbst hostbar) infrage
TikTok Pixel, Pinterest Pixel usw.
Gleiches Vorgehen. Für jedes Pixel brauchen Sie einen AVV und eine Einwilligungssteuerung über den Cookie-Banner.
Welche DSGVO-Fehler machen deutsche Shopify-Shops am häufigsten?
Fünf typische Muster:
Cookie-Banner, der Skripte nicht wirklich blockiert
Der Banner wirkt konform, aber Tracking-Skripte laden trotzdem vor der Einwilligung. Das ist der häufigste DSGVO-Verstoß.
AVV nicht abgeschlossen
Shopify stellt ihn bereit, der Händler akzeptiert ihn nicht. Formal nicht konform.
Vergessene Apps mit Zugriff auf Kundendaten
Eine kostenlose App, die vor sechs Monaten für einen Test installiert wurde und noch immer Zugriff auf Kundendaten hat. Prüfen Sie die Berechtigungen Ihrer Apps quartalsweise.
Unvollständige Rechtstexte
Im Impressum fehlen Pflichtangaben (Handelsregister, Vertretungsberechtigte, USt-IdNr.). Die Datenschutzerklärung wurde kopiert, ohne sie an die tatsächlichen Datenflüsse anzupassen.
Kein dokumentierter Ablauf für Auskunft und Löschung
Ein Kunde fordert seine Daten an – und niemand kennt den Ablauf. Dokumentieren Sie den Prozess, bevor Sie unter Zeitdruck antworten müssen.
Wann sollten Sie einen Wechsel zu einer selbst gehosteten Alternative prüfen?
Fünf Signale, WooCommerce oder Shopware in Betracht zu ziehen:
- Regulierte Branche, in der ein Datenstandort in Deutschland vorgeschrieben ist
- Käufer aus dem öffentlichen Sektor mit strengen Anforderungen an die Datensouveränität
- B2B-Kunden mit vertraglich festgelegten Anforderungen an den Datenstandort
- Sensibilität gegenüber der Preisentwicklung von Shopify
- Bedarf an komplexen AVV-Verhandlungen
Für die meisten deutschen B2C- und klassischen B2B-Shops ist ein korrekt konfiguriertes Shopify rechtlich gut vertretbar.
Häufige Fragen zur DSGVO-Konformität von Shopify in Deutschland
Ja, bei korrekter Konfiguration – mit abgeschlossenem AVV, Cookie-Banner, blockierten Skripten, Liste der Unterauftragsverarbeiter, Rechtstexten sowie Abläufen für Auskunft und Löschung.
Nicht mit abgeschlossenem AVV, Standardvertragsklauseln und Offenlegung; bei strengen Anforderungen bieten selbst gehostete Alternativen einen eindeutigeren Datenstandort.
Cookiebot, Borlabs Cookie (deutscher Anbieter), Real Cookie Banner und Consentmanager – alle mit guter DSGVO-Ausrichtung.
Ja – er ist im Shopify-Admin verfügbar und muss vor dem Livegang mit personenbezogenen Daten abgeschlossen sein.
AVV abschließen, nach Möglichkeit die EU-Region nutzen und jedes Tracking erst nach der Cookie-Einwilligung laden.
Nutzen Sie den integrierten Ablauf von Shopify, prüfen Sie individuelle Apps und antworten Sie innerhalb von 30 Tagen.
Ja – die Konformität beruht auf vertraglichen Garantien (AVV und Standardvertragsklauseln), nicht allein auf dem Serverstandort.
Pseudonymisieren Sie den Kundendatensatz und bewahren Sie die Bestelldaten für die gesetzliche Aufbewahrung auf.
Sie brauchen Unterstützung bei der DSGVO-Konformität Ihres Shopify-Shops?
Wenn Sie die DSGVO-Konformität Ihres deutschen Shopify-Shops einrichten oder prüfen möchten und ein 30-minütiges Gespräch wünschen, buchen Sie einen Termin oder senden Sie uns Ihre Eckdaten über unsere Kontaktseite.
Sie brauchen Unterstützung? Gem Programmers bietet Shopify-Shop-Entwicklung für Unternehmen in Deutschland, Österreich und der Schweiz. Fordern Sie ein kostenloses, unverbindliches Angebot an und erhalten Sie einen klaren Plan mit Umfang, Zeitrahmen und Preis.
