Shopify Einwilligungsverwaltung
Shopify Consent Management ist die native Einwilligungsschicht in jedem Shopify Storefront. Sie stellt die APIs customerPrivacy und Shopify Pixels bereit, sodass Marketing Tags (Meta Pixel, TikTok Pixel, Google Analytics 4) erst nach Opt in des Besuchers ausgelöst werden. Seit August 2024 muss jeder Shopify Store mit Verkauf an EU Käufer eine CMP integrieren, die diese API ansteuert, um ePrivacy Richtlinie und Digital Markets Act zu erfüllen.
Was macht Shopify Einwilligungsverwaltung?
Shopify Consent Management ist die native Einwilligungsschicht in jedem Shopify Storefront. Sie stellt die JavaScript API window.Shopify.customerPrivacy sowie die Shopify Pixels API bereit, sodass Marketing, Analyse und Personalisierungs Tags erst nach explizitem Opt in des Besuchers ausgelöst werden. Seit August 2024 muss jeder Shopify Store mit Verkauf an EU Käufer eine CMP integrieren, die diese API ansteuert: Eine nicht konforme Konfiguration wird inzwischen plattformseitig für den EU Traffic blockiert.
Was Shopify Consent Management ist und wie es funktioniert
Der Händler installiert eine CMP aus dem Shopify App Store (Pandectes, iubenda, Consentmo, CookieFirst, Cookiebot, Klaro for Shopify usw.) oder erstellt eine eigene mit der customerPrivacy API. Die CMP erfasst die Wahl und ruft Shopify.customerPrivacy.setTrackingConsent auf; Shopify steuert anschließend automatisch jedes in Shopify Pixels registrierte Tag. Zwingend erforderliche Checkout Cookies bleiben unberührt.
Welche Daten und Cookies Shopify Consent Management speichert
Drei First Party Cookies persistieren die Entscheidung: _tracking_consent (JSON Objekt mit Einwilligungsstatus pro Region und Kategorie, 12 Monate), _consent (Händlerseitige Variante, 12 Monate) und _consent_v2 (neue, GA4 kompatible Version mit TCF ähnlichen Werten, 12 Monate). Zwingend erforderliche Cookies (_shopify_y, _shopify_s, secure_customer_sig) bleiben ohne Einwilligung aktiv, da sie zur Vertragserfüllung erforderlich sind.
DSGVO und ePrivacy Implikationen
Shopify Consent Management erfüllt § 25 TDDDG und Art. 5(3) ePrivacy standardmäßig: Marketing Pixel werden bis zum Opt in blockiert. Der Händler bleibt Verantwortlicher für das Storefront Tracking, Shopify ist Auftragsverarbeiter für die Consent API. Der Einwilligungszustand wird an Google Consent Mode v2, Meta Conversions API Consent Felder, TikTok Events Consent und jedes über Shopify Pixels registrierte Drittpixel weitergereicht.
Einwilligungsanforderungen und Konfiguration
Installieren Sie eine CMP aus dem Shopify App Store und wählen Sie das Profil DSGVO + ePrivacy. Konfigurieren Sie das Banner mit Alle akzeptieren, Alle ablehnen und Anpassen auf derselben Ebene auf der ersten Schicht (DSK, EDSA und CNIL Vorgaben). Aktivieren Sie die Customer Privacy API Integration in den CMP Einstellungen, damit jedes in Shopify Pixels registrierte Tag den Einwilligungszustand respektiert.
Datenübermittlungen außerhalb der EU
Die Shopify Infrastruktur läuft auf Google Cloud Platform mit Hauptregionen in den USA, Irland und Singapur. Einwilligungsdatensätze folgen der Storeregion. Shopify ist seit 2024 nach dem EU US Data Privacy Framework zertifiziert, der Auftragsverarbeitungsvertrag enthält die Standardvertragsklauseln als Rückfall. Dokumentieren Sie die Übermittlung im Verarbeitungsverzeichnis nach Art. 30 DSGVO.
Praktische Compliance Schritte
Wählen Sie eine CMP im Shopify App Store, die ausdrücklich mit der Customer Privacy API integriert. Schließen Sie den Shopify DPA aus dem Admin ab und nehmen Sie Shopify Inc in das Verarbeitungsverzeichnis (Art. 30 DSGVO) auf. Migrieren Sie alle Legacy Tracking Skripte in die Shopify Pixels Surface, damit sie den Einwilligungszustand erben. Stellen Sie einen dauerhaften Footer Link Cookie Einstellungen bereit. Dokumentieren Sie die Aufbewahrungsdauer der Einwilligung (12 Monate) in der Datenschutzerklärung.
Shopify Einwilligungsverwaltung und die DSGVO
Shopify Einwilligungsverwaltung ist als „Notwendig“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Consent (Art. 6(1)(a) GDPR + Art. 5(3) ePrivacy Directive) for marketing, analytics and personalisation pixels. Legitimate interest (Art. 6(1)(f)) for the consent record itself. Performance of contract (Art. 6(1)(b)) for the strictly necessary checkout cookies.
- Risikostufe
- low
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive, TDDDG (DE), LOPDGDD (ES), CCPA, CPRA, LGPD, IAB TCF v2.2 (via partner CMP), Google Consent Mode v2
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA ist für die Shopify Einwilligungsschicht selbst in der Regel nicht erforderlich. Sie kann für die darüber gesteuerten Marketing Pixel (Meta, TikTok) ausgelöst werden, sofern diese ein Profiling im großen Maßstab nach Art. 35 DSGVO darstellen. Dokumentieren Sie die gemeinsame Verantwortlichkeit mit Shopify und die Datenresidenz im Verarbeitungsverzeichnis.
Beispieltext für Ihr Banner
Wir verwenden Cookies und vergleichbare Technologien. Für den Betrieb dieses Shops zwingend erforderliche Cookies sind stets aktiv. Marketing, Analyse und Personalisierungs Cookies benötigen Ihre Einwilligung. Sie können alles akzeptieren, alles ablehnen oder nach Kategorie auswählen. Ihre Wahl ist jederzeit über den Link Cookie Einstellungen im Footer änderbar.
Was Shopify Einwilligungsverwaltung setzt und kontaktiert
- Tracking-Methode
- Native Shopify storefront API (window.Shopify.customerPrivacy and Shopify Pixels API) that gates analytics, marketing and personalisation pixels based on the visitor consent state. Stores the choice in the _shopify_y, _tracking_consent and _consent first party cookies.
- Serverstandort
- Global Shopify infrastructure on Google Cloud Platform with primary regions in the United States and Ireland; consent records inherit the merchant store region.
- Datenübermittlung außerhalb der EU
- Shopify processes consent records on Google Cloud US and EU. Standard Contractual Clauses are part of the Shopify Data Processing Addendum. Shopify is certified under the EU US Data Privacy Framework since 2024.
Gesetzte Cookies (3)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| _tracking_consent | first_party | 12 months | JSON object storing the visitor consent state per region and per category. Read by the Customer Privacy API. |
| _consent | first_party | 12 months | Merchant facing version of the consent record. Used for backwards compatibility with older Shopify themes. |
| _consent_v2 | first_party | 12 months | New GA4 compatible consent record with TCF style values, used by Shopify Pixels and Google Consent Mode v2. |
Kontaktierte Drittanbieter-Domains (3)
shopify.comcdn.shopify.commonorail-edge.shopifysvc.com
Häufige Fragen zu Shopify Einwilligungsverwaltung
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Cookies setzt Shopify Consent Management?
Drei First Party Cookies auf der Händlerdomain: _tracking_consent (JSON Einwilligungsstatus pro Region und Kategorie, 12 Monate), _consent (Legacy Variante für Händler, 12 Monate) und _consent_v2 (neue, GA4 kompatible TCF ähnliche Variante, 12 Monate). Die Customer Privacy API liest sie, um jedes in Shopify Pixels registrierte Tag zu steuern.
Ist eine Einwilligung für Shopify Consent Management erforderlich?
Die Einwilligungs Cookies selbst sind nach § 25(2) TDDDG zwingend erforderlich, da sie den Einwilligungsnachweis speichern. Marketing, Analyse und Personalisierungs Pixel, die über die API gesteuert werden, benötigen stets vorherige Einwilligung. Zwingend erforderliche Checkout Cookies (_shopify_y, _shopify_s) nicht.
Welche Rechtsgrundlage gilt für die Verarbeitung über Shopify Consent Management?
Vertragserfüllung (Art. 6(1)(b) DSGVO) für zwingend erforderliche Checkout Cookies. Berechtigtes Interesse (Art. 6(1)(f)) für den Einwilligungsnachweis. Einwilligung (Art. 6(1)(a) DSGVO + § 25 TDDDG) für Marketing, Analyse und Personalisierungs Pixel.
Übermittelt Shopify Consent Management Daten in die USA?
Ja. Die Shopify Infrastruktur läuft auf Google Cloud Platform mit Hauptregionen in den USA, Irland und Singapur. Shopify ist seit 2024 nach dem EU US Data Privacy Framework zertifiziert und der DPA enthält die Standardvertragsklauseln als Rückfall. Dokumentieren Sie die Übermittlung im Verzeichnis nach Art. 30 DSGVO.
Ist eine DSFA für Shopify Consent Management erforderlich?
Für die Einwilligungsschicht selbst in der Regel nicht. Für die darüber gesteuerten Marketing Pixel (Meta Pixel, TikTok Pixel) kann eine DSFA nach Art. 35 DSGVO erforderlich sein, sofern sie ein Profiling im großen Maßstab darstellen.
Wie implementiere ich Shopify Consent Management DSGVO konform?
Installieren Sie eine CMP aus dem Shopify App Store, die mit der Customer Privacy API integriert ist (Pandectes, iubenda, Consentmo, CookieFirst, Cookiebot, Klaro for Shopify). Migrieren Sie jedes Legacy Tracking Skript in die Shopify Pixels Surface. Konfigurieren Sie das Banner mit Alle akzeptieren, Alle ablehnen und Anpassen auf derselben Ebene. Schließen Sie den Shopify DPA aus dem Admin ab.
Welche Alternativen zu Shopify Consent Management gibt es?
Auf Shopify nicht ersetzbar: Seit August 2024 erzwingt Shopify die Steuerung der Einwilligung über die Customer Privacy API für EU Traffic. Sie können jedoch jede kompatible CMP wählen: Pandectes, iubenda, Consentmo, CookieFirst, Cookiebot von Usercentrics, Klaro for Shopify oder eine Eigenintegration der API.
Wie halte ich meine Cookie Richtlinie mit Shopify Consent Management aktuell?
Nutzen Sie eine CMP, die die Cookie Richtlinie automatisch aus dem Shopify Pixels Inventar generiert. Erneuern Sie den Scan nach jedem Theme Wechsel oder neu installierten Pixel. Aktualisieren Sie die Richtlinie, wenn Shopify einen neuen Auftragsverarbeiter hinzufügt oder eine Checkout Erweiterung ein neues, zwingend erforderliches Cookie einführt.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.