Shopify

Shopify als Auftragsverarbeiter: DSGVO-Grundlagen

Shopify agiert bei dem Betrieb von Händler-Shops als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der Händler ist der Verantwortliche und bestimmt, für welche Zwecke Kundendaten verarbeitet werden. Shopify verarbeitet diese Daten ausschließlich auf Weisung des Händlers. Zu den verarbeiteten Datenkategorien gehören Namen, Lieferadressen, E-Mail-Adressen, Zahlungstoken und Kaufhistorie. Der erste Schritt zur DSGVO-Konformität besteht darin, die eigene Rolle als Verantwortlicher zu verstehen und alle Verarbeitungstätigkeiten zu dokumentieren.

Cookie-Einwilligung für Shopify-Shops

Shopify setzt verschiedene Arten von Cookies ein. Technisch notwendige Cookies für Warenkorb und Checkout benötigen keine Einwilligung. Analyse- und Marketing-Cookies, etwa für Google Analytics oder Facebook Pixel, erfordern hingegen eine vorherige informierte Einwilligung. Shopify bietet über die Customer Privacy API eine eingebaute Einwilligungsinfrastruktur an. Für einen vollständigen DSGVO-konformen Cookie-Banner empfiehlt sich der Einsatz einer spezialisierten Consent-Management-Plattform, die alle Drittanbieter-Cookies erkennt und steuert.

AV-Vertrag mit Shopify abschliessen

Art. 28 DSGVO schreibt vor, dass zwischen Verantwortlichem und Auftragsverarbeiter ein schriftlicher Vertrag zur Auftragsverarbeitung (AV-Vertrag) geschlossen wird. Shopify stellt diesen Vertrag automatisch als Teil seiner Nutzungsbedingungen bereit, er muss jedoch separat akzeptiert werden. Der Vertrag regelt Verarbeitungszwecke, Sicherheitsmaßnahmen, Unterauftragnehmer sowie Pflichten bei Datenpannen. Händler sollten prüfen, ob der AV-Vertrag in ihrem Shopify-Konto aktiviert ist, und dies in ihrem Verzeichnis von Verarbeitungstätigkeiten dokumentieren.

Betroffenenrechte und Kundendaten-Anfragen

Kunden haben nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Shopify stellt hierfür integrierte Werkzeuge bereit: Im Administrationsbereich können Händler Kundendaten exportieren und Kundenkonten löschen. Bei Löschanfragen müssen Händler sicherstellen, dass auch alle verbundenen Daten in installierten Apps gelöscht werden. Anfragen sind grundsätzlich innerhalb von 30 Tagen zu beantworten. Shopify unterstützt die Erfüllung dieser Pflichten, die letztliche Verantwortung liegt jedoch beim Händler.

Datentransfers in die USA und Standardvertragsklauseln

Shopify ist ein kanadisches Unternehmen mit Serverinfrastruktur in den USA. Datentransfers in Drittländer außerhalb des EWR müssen durch geeignete Garantien abgesichert sein. Shopify setzt hierfür Standardvertragsklauseln (SCC) der EU-Kommission ein. Händler sollten in ihrer Datenschutzerklärung transparent auf diese Datentransfers hinweisen und prüfen, ob Shopify zusätzlich das EU-US Data Privacy Framework nutzt, um Compliance nachzuweisen.

Shopify-Apps und erweiterte DSGVO-Pflichten

Jede im Shopify App Store installierte App kann weitere Auftragsverarbeiter einführen. Für jede App, die personenbezogene Daten verarbeitet, benötigen Händler einen eigenen AV-Vertrag. Händler sollten regelmäßig ihre installierten Apps prüfen, nicht mehr benötigte Apps deinstallieren und dabei sicherstellen, dass alle Daten beim jeweiligen Anbieter gelöscht werden. Viele Shopify-Apps bieten eigene DSGVO-Dokumentation an. Diese sollte in das eigene Verzeichnis von Verarbeitungstätigkeiten integriert werden, um eine vollständige Compliance-Dokumentation sicherzustellen.