> So wird Ihr Shopify-Shop DSGVO-konform: Cookies von Shopify, Pixeln und Apps, Grenzen des nativen Banners, CMP in theme.liquid und Prüfung. > > Canonical: https://www.flowconsent.com/de/blog/shopify-cookies-dsgvo-konformitaet [Plattform-Anleitungen](https://www.flowconsent.com/de/blog?category=platforms) # Shopify und DSGVO-Cookies: der Konformitätsleitfaden Veröffentlicht am 31. Mai 2026 · Aktualisiert am 2. Oktober 2026 · 8 Min. Lesezeit Kurz gesagt Das native Shopify-Banner deckt nur einen Teil ab. Erfahren Sie, welche Cookies Ihr Shop setzt, wie Sie sie prüfen und wie Sie Pixel und Apps vor der Einwilligung blockieren. ## TL;DR Shopify setzt notwendige Cookies (Warenkorb, Sitzung, Checkout, Lokalisierung), die von der Einwilligung ausgenommen sind, aber auch eigene Analyse- und Marketing-Cookies. Jedes Marketing-Pixel (Meta, Google, TikTok) und jede Drittanbieter-App bringt weitere mit. All diese Cookies erfordern nach DSGVO eine vorherige Einwilligung. Shopify bietet ein natives Cookie-Banner auf Basis seiner Customer Privacy API, doch es steuert nur, was über diese API läuft: Skripte, die fest im Theme stehen oder von Apps eingefügt werden, die die API ignorieren, laufen weiter. Für vollständige Konformität brauchen Sie eine CMP, die in `theme.liquid` vor allem anderen lädt, nicht notwendige Skripte blockiert, Shopifys Pixel unter Kontrolle hält und Einwilligungsnachweise speichert. ## Warum Shopify allein nicht für Cookie-Konformität reicht Shopify ist eine gehostete E-Commerce-Plattform, die Millionen von Händlern nutzen. Sie kümmert sich um Infrastruktur, Hosting und Checkout, die Cookie-Konformität bleibt aber Sache des Händlers. Die Datenschutzaufsichtsbehörden wenden auf Onlineshops dieselben Regeln an wie auf jede andere Website: In Deutschland verlangt § 25 TDDDG (früher TTDSG) für jedes nicht notwendige Cookie eine vorherige Einwilligung, und der Shop muss sie nachweisen können. Cookies in einem Shopify-Shop stammen aus vier Quellen: - **Native Shopify-Cookies**: Sitzung, Warenkorb, Checkout sowie Shopifys eigene Analyse- und Marketing-Cookies. - **Drittanbieter-Apps**: Bewertungen, Upselling, E-Mail-Marketing, Chat, Produktempfehlungen. - **Conversion-Pixel**: Meta, Google Ads, TikTok und weitere. - **Analyse-Skripte**: Google Analytics, Klaviyo, Hotjar. Gerade die Flexibilität durch Apps und integrierte Marketing-Pixel führt dazu, dass Konformitätsrisiken leicht unterschätzt werden. ## Welche Cookies setzt Shopify? Shopify veröffentlicht die Liste der Cookies, die es in Storefronts setzt. Sie ändert sich mit der Zeit, prüfen Sie also die aktuelle Fassung der Shopify-Cookie-Richtlinie, bevor Sie Ihre eigene schreiben. ### Notwendige Cookies (ohne Einwilligung) - `cart`: Inhalt des Warenkorbs. - `localization`: Land und Währung für den Warenkorb. - `_shopify_essential`: Sitzungs- und Checkout-Informationen, die für den Shopbetrieb nötig sind. - `_tracking_consent`: speichert die Datenschutzentscheidung des Besuchers. - `_shopify_test`: prüft, ob Cookies gesetzt werden können. In bestehenden Shops und Dokumentationen begegnen Ihnen eventuell auch ältere Namen wie `secure_customer_sig` (Kundenanmeldung), `cart_sig` oder `cart_ts`. Unabhängig vom Namen gehören auch unbedingt erforderliche Cookies in Ihre Cookie-Richtlinie. ### Analyse- und Marketing-Cookies von Shopify (Einwilligung erforderlich) Shopify stuft einige eigene Cookies selbst als Analyse oder Marketing ein. Sie sind also nicht ausgenommen: - Analyse: `_shopify_s` (Browsersitzung), `_shopify_y` (Besucher-Tracking), `_shopify_analytics`, `_landing_page`, `_orig_referrer`. - Marketing: `_shopify_marketing`. ### Drittanbieter-Cookies (Einwilligung erforderlich) Diese machen die meisten Probleme: `_ga` und `_gid` (Google Analytics), `_fbp` und `_fbc` ([Meta Pixel](https://www.flowconsent.com/de/blog/meta-pixel-cookies-dsgvo-konformitaet)) sowie Cookies von Apps wie Klaviyo, Judge.me oder ReCharge. Sie erfordern immer eine vorherige Einwilligung. ## Pixel und Apps: Hier liegt das eigentliche Risiko Über das Pixel-System von Shopify lassen sich Meta Pixel, Google Analytics / GA4, TikTok Pixel und andere Marketing-Tools nativ anbinden. Jedes davon setzt eigene Werbe- oder Analyse-Cookies. Pixel, die von Vertriebskanälen (Google & YouTube, Facebook & Instagram) installiert werden, und benutzerdefinierte Pixel finden Sie unter **Einstellungen → Kundenereignisse**. Sie laufen in einer Shopify-Sandbox außerhalb Ihres Themes: Ein Skript in `theme.liquid` kann sie nicht zurückhalten. Die zweite große Quelle sind Apps aus dem App Store. Chat-Tools (Tidio, Gorgias), Empfehlungs-Engines und Retargeting-Tools fügen Tracking-Skripte oft direkt in die Storefront ein, außerhalb des Pixel-Systems. ## Wie Sie die Cookies eines Shopify-Shops prüfen ### Schritt 1: jeden Seitentyp scannen Nutzen Sie den [FlowConsent-Scanner](https://www.flowconsent.com/de/scan) oder die Chrome DevTools. Ein Shopify-Shop hat mehrere Vorlagen: Startseite, Kollektionsseiten, Produktseiten, Warenkorb und, soweit möglich, Checkout. Notieren Sie für jedes Cookie Name, Domain, Laufzeit und Herausgeber. ### Schritt 2: Pixel und Apps prüfen Öffnen Sie im Shopify-Admin **Einstellungen → Kundenereignisse**, um alle aktiven Pixel zu sehen, und danach **Einstellungen → Apps und Vertriebskanäle** für Apps, die Skripte einfügen könnten. Jedes Pixel und jede App ist eine mögliche Cookie-Quelle. ### Schritt 3: einordnen und dokumentieren Ordnen Sie die Cookies in notwendig, Analyse, Marketing und Präferenzen ein und aktualisieren Sie Ihre [Cookie-Richtlinie](https://www.flowconsent.com/de/blog/cookie-richtlinie-dsgvo-leitfaden), einschließlich der nativen Shopify-Cookies. Wiederholen Sie das nach jeder App-Installation oder -Aktualisierung. Die [vollständige Methode für das Cookie-Audit](https://www.flowconsent.com/de/blog/cookie-audit-website-vollstaendige-methode) beschreibt jeden Schritt. ## Natives Shopify-Banner oder externe CMP? Shopify bietet unter **Einstellungen → Kundendatenschutz** ein eigenes Cookie-Banner, das auf der Customer Privacy API aufbaut. Pixel aus den Kundenereignissen und Apps, die diese API auslesen, halten sich an die dort gespeicherte Entscheidung. Für die DSGVO zählen seine Grenzen: - Es steuert nur, was über die Customer Privacy API läuft. Skripte, die fest im Theme stehen oder von Apps ohne API-Anbindung eingefügt werden, laufen unabhängig von der Wahl des Besuchers weiter. - Prüfen Sie, bevor Sie sich darauf verlassen, ob Sie zeitgestempelte Einwilligungsnachweise exportieren könnten, wenn eine Aufsichtsbehörde sie anfordert. - Die Anpassungsmöglichkeiten sind meist geringer als bei einer spezialisierten CMP. Das spielt eine Rolle, wenn Sie feine Auswahl nach Kategorien, mehrere Sprachen oder ein Design im Stil Ihrer Marke brauchen. Für einen Shop mit Besuchern aus dem EWR ist eine externe CMP der verlässlichste Weg, um nachzuweisen, dass vor der Einwilligung nichts läuft. ## Wie Sie eine CMP in Shopify einbinden ### Option 1: eine Shopify-Consent-App Im App Store gibt es Consent-Apps wie Pandectes, Consentmo oder CookieYes. Sie sind schnell installiert, aber manche kostenlosen Apps zeigen nur ein Banner, ohne Skripte wirklich zu blockieren. Testen Sie, bevor Sie sich darauf verlassen. ### Option 2: eine externe CMP in theme.liquid Eine externe [CMP](https://www.flowconsent.com/de/blog/consent-management-plattform-cmp-auswaehlen) wie FlowConsent kommt in die Datei `theme.liquid` des Themes. Das ermöglicht feinere Kontrolle und Funktionen wie [Google Consent Mode v2](https://www.flowconsent.com/de/blog/google-consent-mode-v2-implementierung-leitfaden) und Konformitätsberichte. ## FlowConsent in Shopify installieren Die vollständige Anleitung finden Sie im [Installationsleitfaden für Shopify](https://www.flowconsent.com/de/doc/install-shopify). Sie umfasst drei Schritte. 1. **Snippet kopieren** unter **Builder → Deployment → Integration**. Es besteht aus zwei Teilen: einem Block für Google Consent Mode v2, der alle Signale standardmäßig auf `denied` setzt, und dem Loader des Banners. 2. **In theme.liquid einfügen.** Duplizieren Sie unter **Onlineshop → Themes** Ihr Theme als Sicherung, klicken Sie dann beim veröffentlichten Theme auf **…** und **Code bearbeiten**. Öffnen Sie im Ordner **Layout** die Datei `theme.liquid` und fügen Sie das Snippet direkt nach dem öffnenden ``-Tag ein, oberhalb von `{{ content_for_header }}`. Dieses Objekt lädt die Skripte, die Shopify und Ihre Apps hinzufügen, deshalb muss das Snippet davor stehen. Prüfen Sie nach jedem Theme-Update, ob es noch vorhanden ist. 3. **Natives Banner und Kanal-Pixel neutralisieren.** Zwei Banner bedeuten zwei widersprüchliche Einwilligungen. Entfernen Sie das Shopify-Banner, sobald Ihre Tracker in FlowConsent hinterlegt sind (**Einstellungen → Kundendatenschutz → Cookie-Banner**, dann **Weitere Aktionen → Cookie-Banner entfernen**). Deaktivieren Sie bei den Kanälen Google & YouTube und Facebook & Instagram die Datenfreigabe (oder entfernen Sie die dort eingetragenen Mess-IDs) und hinterlegen Sie Google Analytics, Google Ads oder Meta Pixel unter **Builder → Services**: Das Banner lädt sie dann erst nach der Einwilligung. Der Free-Plan ist kostenlos, ohne Kreditkarte, und deckt bis zu 25.000 Sitzungen pro Monat ab. ## Wie Sie Skripte vor der Einwilligung in Shopify blockieren Es gibt drei Arten von Skripten, und jede wird anders behandelt. - **Skripte im Theme oder von Apps eingefügt.** Entfernen Sie Tracking-Tags aus dem Theme und lassen Sie die CMP sie laden: In FlowConsent hinterlegen Sie sie unter **Builder → Services**. Die allgemeine Alternative ist `type="text/plain"` mit einem `data-category`-Attribut, das die CMP nach der Einwilligung reaktiviert. - **Benutzerdefinierte Pixel in den Kundenereignissen.** Jedes benutzerdefinierte Pixel hat eine Berechtigungseinstellung: Wählen Sie die Option, die eine Einwilligung voraussetzt, und legen Sie die Zwecke fest (Marketing, Analyse, Präferenzen), damit es erst nach der passenden Zustimmung feuert. - **Pixel der Vertriebskanäle.** Sie folgen der Einwilligung, die über die Customer Privacy API erfasst wird, nicht Ihrem Banner. Der sauberste Weg ist der oben beschriebene: Datenfreigabe deaktivieren und die Tags über die CMP laden. Wenn Sie Google Tag Manager im Theme nutzen, laden Sie das Banner nie über GTM, es käme zu spät. Platzieren Sie das CMP-Snippet oberhalb des GTM-Containers. Prüfen Sie anschließend in einem privaten Fenster im Tab **Netzwerk** der DevTools: Vor dem Klick auf Akzeptieren darf keine Anfrage an Google, Meta, TikTok oder andere Drittanbieter gehen. ## Und der Checkout? Der Shopify-Checkout führt Ihren Theme-Code nicht aus: `theme.liquid` gilt weder für den Checkout noch für die Danke- und Bestellstatusseiten, und Shopify hat die früheren „zusätzlichen Skripte“ abgeschafft. Ihr Banner erscheint im Checkout also nicht, der Besucher trifft seine Wahl vorher in der Storefront. Fügen Sie in diese Seiten keine Tracker ein: Conversion-Tracking läuft über die Kundenereignisse, die von der Customer Privacy API abhängen. Der Checkout setzt außerdem eigene unbedingt erforderliche Cookies, die in Ihre Cookie-Richtlinie gehören. ## Shopify Markets und internationale Konformität Wenn Sie mit Shopify Markets international verkaufen, unterscheiden sich die Regeln je nach Region: Die DSGVO verlangt im EWR ein Opt-in, [CCPA/CPRA](https://www.flowconsent.com/de/blog/ccpa-vs-dsgvo-cookies-unterschiede) funktioniert in Kalifornien nach dem Opt-out-Prinzip, und das brasilianische LGPD hat eigene Anforderungen. Die sichere Grundlage ist, überall dort das strengste Modell (vorherige Einwilligung) anzuwenden, wo Sie die Regelungen nicht auseinanderhalten können, und zu prüfen, ob Ihre CMP das Banner an jede Zielregion anpassen kann. ## Shopify und Google Consent Mode v2 Wenn Ihr Shop GA4 oder Google Ads nutzt, ist Consent Mode v2 unverzichtbar: Ohne ihn erhalten Google-Tags kein Einwilligungssignal, und die Messung Ihrer Kampagnen leidet. Er lässt sich über GTM in `theme.liquid` oder direkt über die CMP einrichten. Das FlowConsent-Snippet setzt die `denied`-Standardwerte selbst und aktualisiert sie, sobald der Besucher entscheidet. Die [Dokumentation zum Consent Mode](https://www.flowconsent.com/de/doc/google-consent-mode) erklärt, wie andere Tags behandelt werden. ## Häufige Fehler in Shopify-Shops - **Meta Pixel und GA4 ohne Banner aktiv.** Beide setzen beim Laden Werbe- und Analyse-Cookies. Ohne Blockierung wird jeder Besucher ohne Einwilligung getrackt. - **Sich nur auf das native Banner verlassen.** Es deckt keine Skripte außerhalb der Customer Privacy API ab, und ein vollständiges Audit zeigt oft nicht verwaltete Cookies. - **\`\_shopify\_y\` und \`\_shopify\_s\` für notwendig halten.** Shopify selbst stuft sie als Analyse-Cookies ein. - **Kanal-Pixel vergessen.** Die Kanäle Google & YouTube oder Facebook & Instagram senden nach einer Ablehnung weiter Daten, wenn ihre Datenfreigabe aktiv bleibt. - **App-Cookies nicht prüfen.** Jede installierte App kann eigene, undokumentierte Cookies setzen. - **Snippet unterhalb von \`{{ content\_for\_header }}\`** oder nach einem Theme-Update verloren. - **Tracker in Checkout-Seiten einfügen**, wo das Banner nie läuft. - **Cookie-Richtlinie nicht aktualisieren** nach jeder neuen App. - **Keine gespeicherten Einwilligungsprotokolle.** Bei einer Prüfung müssen Sie nachweisen, dass die Einwilligung eingeholt wurde. ## Checkliste: Cookie-Konformität in Shopify - Einen [Scan Ihres Shops](https://www.flowconsent.com/de/scan) auf jedem Seitentyp durchführen: Startseite, Kollektion, Produkt, Warenkorb, Checkout. - Alle aktiven Pixel unter **Einstellungen → Kundenereignisse** und alle Apps auflisten, die Skripte einfügen könnten. - Eine CMP installieren: Shopify-App oder externe CMP in `theme.liquid`, direkt nach ``. - Das native Banner entfernen, sobald die Tracker in der CMP hinterlegt sind, damit es nur eine Einwilligung gibt. - Die Datenfreigabe der Vertriebskanäle deaktivieren und Google- und Meta-Tags über die CMP laden. - Bei benutzerdefinierten Pixeln die Einwilligung verpflichtend machen und die passenden Zwecke wählen. - Prüfen, dass das [Banner](https://www.flowconsent.com/de/blog/dsgvo-cookie-banner-beispiele-best-practices) Akzeptieren und Ablehnen gleich sichtbar anbietet. - Google Consent Mode v2 aktivieren, wenn Sie GA4 oder Google Ads nutzen. - Eine Cookie-Richtlinie schreiben, die native Shopify-Cookies und Checkout-Cookies enthält. - Das Banner an jede Region anpassen, wenn Shopify Markets aktiv ist. - Zeitgestempelte Einwilligungsprotokolle aktivieren und einen Link „Cookies verwalten“ im Theme-Footer ergänzen. - Im privaten Fenster testen und nach jeder App-Installation oder jedem Theme-Update erneut prüfen. ## Prüfen und dauerhaft konform bleiben Entscheidend ist nicht, dass ein Banner erscheint, sondern was noch läuft, wenn ein Besucher ablehnt. Die [Konformitätsprüfung](https://www.flowconsent.com/de/doc/compliance-verification) von FlowConsent lädt Ihre Shopseiten in einem echten Browser mit abgelehnter Einwilligung und listet alles auf, was trotzdem feuert. Jede Prüfung wird datiert und mit Screenshot archiviert, so entsteht Ihr Nachweis. Lassen Sie Ihre wichtigsten Vorlagen regelmäßig überwachen, um benachrichtigt zu werden, wenn eine neue App oder ein neues Pixel Daten durchlässt. ## Fazit Shopify vereinfacht den E-Commerce, aber nicht die Cookie-Konformität. Das native Banner deckt nur einen Teil ab, und das App-Ökosystem fügt ständig neue Skripte hinzu. Eine CMP vor `{{ content_for_header }}`, kontrollierte Shopify-Pixel und regelmäßige Audits sind nötig, um Konformität nachweisen zu können. Starten Sie mit einem [kostenlosen Scan Ihres Shopify-Shops](https://www.flowconsent.com/de/scan), um zu sehen, welche Cookies heute aktiv sind, und folgen Sie dann dem [Installationsleitfaden](https://www.flowconsent.com/de/doc/install-shopify), um FlowConsent einzurichten. [Zurück zum Blog](https://www.flowconsent.com/de/blog) Artikel teilen · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fshopify-cookies-dsgvo-konformitaet) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fshopify-cookies-dsgvo-konformitaet) Weiterlesen ## Mehr zum Thema. [Alle Artikel](https://www.flowconsent.com/de/blog) [Plattform-Anleitungen · 13. Juli 2026](https://www.flowconsent.com/de/blog/nextjs-cookies-dsgvo-konformitaet) ### [Next.js und DSGVO-Cookies: der vollständige Konformitätsleitfaden](https://www.flowconsent.com/de/blog/nextjs-cookies-dsgvo-konformitaet) [Wie Sie in einer Next.js-App eine wirksame Cookie-Einwilligung einholen: von der Installation im App Router über die SPA-Navigation bis zu Google Consent Mode v2 und der serverseitigen Prüfung.](https://www.flowconsent.com/de/blog/nextjs-cookies-dsgvo-konformitaet) [Artikel lesen ](https://www.flowconsent.com/de/blog/nextjs-cookies-dsgvo-konformitaet)· [Plattform-Anleitungen · 25. Mai 2026](https://www.flowconsent.com/de/blog/prestashop-cookies-dsgvo-konformitaet) ### [PrestaShop Cookies und DSGVO: Konformitätsleitfaden](https://www.flowconsent.com/de/blog/prestashop-cookies-dsgvo-konformitaet) [So machen Sie Ihren PrestaShop-Shop DSGVO-konform für Cookies: Cookie-Audit, rechtskonformes Banner, Google Consent Mode v2 und praktische Checkliste.](https://www.flowconsent.com/de/blog/prestashop-cookies-dsgvo-konformitaet) [Artikel lesen ](https://www.flowconsent.com/de/blog/prestashop-cookies-dsgvo-konformitaet)· [Plattform-Anleitungen · 23. Mai 2026](https://www.flowconsent.com/de/blog/squarespace-cookies-dsgvo-konformitaet) ### [Squarespace und DSGVO-Cookies: der Konformitätsleitfaden](https://www.flowconsent.com/de/blog/squarespace-cookies-dsgvo-konformitaet) [Squarespace lädt standardmäßig Drittanbieter-Cookies. Dieser Leitfaden erklärt, warum das native Banner unzureichend ist und wie Sie Ihre Website DSGVO-konform machen.](https://www.flowconsent.com/de/blog/squarespace-cookies-dsgvo-konformitaet) [Artikel lesen](https://www.flowconsent.com/de/blog/squarespace-cookies-dsgvo-konformitaet) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)