Das Problem, das niemand sieht
Sie haben Ihren Shopify-Shop eingerichtet, eine Auftragsverarbeitungsvereinbarung (AVV) mit Shopify abgeschlossen und denken, der Datenschutz ist damit erledigt. Diese Annahme teilen Sie mit der überwiegenden Mehrheit aller Shopify-Händler in Deutschland.
Und diese Annahme ist falsch.
Die AVV mit Shopify deckt ausschließlich die Datenverarbeitung durch Shopify selbst ab. Aber ein typischer Shopify-Shop besteht nicht nur aus Shopify. Er besteht aus Shopify plus 15, 20 oder manchmal 30 installierten Apps. Und jede einzelne dieser Apps verarbeitet potenziell personenbezogene Daten Ihrer Kunden.
Was eine App mit den Daten Ihrer Kunden macht
Wenn Sie eine App in Ihrem Shopify-Shop installieren, gewähren Sie dieser App Zugriff auf Daten. Je nach App können das sein:
- Kundendaten: Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen
- Bestelldaten: Was wurde gekauft, wann, wie oft, für wie viel
- Verhaltensdaten: Welche Seiten wurden besucht, welche Produkte angesehen
- Zahlungsdaten: Zwar nicht die Kreditkartennummer, aber Zahlungsmethode, Beträge, Transaktions-IDs
Jede App, die solche Daten verarbeitet, ist ein eigenständiger Auftragsverarbeiter im Sinne der DSGVO. Und für jeden eigenständigen Auftragsverarbeiter brauchen Sie eine separate AVV.
Die Realität: Kaum ein Händler hat das vollständig
In meiner Arbeit mit Enterprise-Shopify-Kunden sehe ich regelmäßig dasselbe Bild: 20+ installierte Apps, eine AVV mit Shopify — und keine einzige AVV mit einem App-Anbieter. Das ist kein Kavaliersdelikt. Bei einer Prüfung durch die Datenschutzbehörde kann das empfindliche Bußgelder nach sich ziehen.
Die Gründe für diese Lücke sind nachvollziehbar:
- Fehlendes Bewusstsein: Viele Händler wissen schlicht nicht, dass Apps separate Auftragsverarbeiter sind
- Unübersichtliches Ökosystem: Bei 20+ Apps den Überblick zu behalten, welche davon personenbezogene Daten verarbeiten, ist aufwändig
- Internationale Anbieter: Viele Shopify-Apps kommen aus den USA, Kanada oder anderen Nicht-EU-Ländern. Eine DSGVO-konforme AVV zu bekommen ist nicht immer einfach
- Kein standardisierter Prozess: Shopify bietet keinen zentralen Mechanismus, um AVVs mit App-Anbietern zu verwalten
Was Sie konkret tun sollten
Schritt 1: Inventar erstellen
Listen Sie alle installierten Apps auf. Nicht nur die, die Sie aktiv nutzen — auch die, die Sie mal installiert und vergessen haben. Jede installierte App hat potenziell noch Zugriff auf Ihre Daten.
Für jede App dokumentieren Sie:
- Welche Daten verarbeitet die App?
- Wo sitzt der Anbieter? (EU, USA, anderswo)
- Gibt es eine AVV oder ein Data Processing Agreement (DPA)?
- Werden Daten in Drittländer übertragen?
Schritt 2: Risikoanalyse
Nicht jede App verarbeitet personenbezogene Daten. Eine App, die ausschließlich Ihr Theme anpasst und keine Kundendaten liest, ist unkritisch. Aber sobald eine App Zugriff auf Kunden-, Bestell- oder Verhaltensdaten hat, wird sie relevant.
Kategorisieren Sie Ihre Apps:
Unkritisch: Kein Zugriff auf personenbezogene Daten (z.B. reine Theme-Erweiterungen)
Relevant: Zugriff auf Kundendaten, aber mit AVV vom Anbieter verfügbar (z.B. große, etablierte Apps wie Klaviyo oder Yotpo)
Problematisch: Zugriff auf Kundendaten, keine AVV verfügbar oder Anbieter in einem Drittland ohne Angemessenheitsbeschluss
Schritt 3: AVVs einholen
Für jede relevante App brauchen Sie eine AVV. Die gute Nachricht: Viele größere App-Anbieter bieten inzwischen standardmäßig ein DPA an — oft als PDF auf ihrer Website oder als Bestandteil ihrer AGB.
Die weniger gute Nachricht: Kleinere Anbieter, insbesondere aus Nicht-EU-Ländern, haben oft weder eine AVV noch ein Verständnis dafür, warum Sie eine brauchen. Hier haben Sie drei Optionen:
- Anfragen: Kontaktieren Sie den Anbieter und fordern Sie eine AVV an. Oft reicht eine E-Mail mit einem Standard-AVV-Template.
- Alternative suchen: Gibt es eine vergleichbare App von einem EU-Anbieter, der bereits eine AVV anbietet?
- Eigenentwicklung: Für kritische Funktionen kann es sinnvoller sein, eine eigene Lösung zu bauen, bei der Sie die volle Kontrolle über die Datenverarbeitung haben.
Schritt 4: Drittlandübertragungen absichern
Wenn eine App Daten in die USA oder andere Drittländer überträgt, brauchen Sie zusätzlich zur AVV eine Rechtsgrundlage für die Übertragung. Seit dem EU-US Data Privacy Framework gibt es für US-Anbieter, die unter diesem Framework zertifiziert sind, wieder eine relativ unkomplizierte Lösung. Aber nicht jeder App-Anbieter ist zertifiziert — prüfen Sie das im Einzelfall.
Die unterschätzte Option: Eigenentwicklung
In meiner Arbeit mit Fissler bin ich genau diesen Prozess durchgegangen. Und in mehreren Fällen war die Konsequenz: Die App muss ersetzt werden — entweder durch eine DSGVO-konforme Alternative oder durch eine Eigenentwicklung.
Das klingt zunächst aufwändig. Aber eine eigene Shopify App, die genau die benötigte Funktionalität abbildet und bei der Sie die volle Kontrolle über die Datenverarbeitung haben, ist langfristig oft die bessere Lösung. Keine Abhängigkeit von Drittanbietern, keine Unsicherheit bei Datenschutz-Audits, keine überraschenden Änderungen in den AGB eines App-Anbieters.
Checkliste
Bevor Sie diesen Artikel schließen, stellen Sie sich diese Fragen:
- Haben Sie eine Liste aller installierten Shopify-Apps?
- Wissen Sie, welche dieser Apps personenbezogene Daten verarbeiten?
- Haben Sie für jede datenverarbeitende App eine AVV?
- Wissen Sie, wo die Daten gespeichert werden?
- Haben Sie Drittlandübertragungen rechtlich abgesichert?
- Haben Sie nicht mehr genutzte Apps deinstalliert?
Wenn Sie nicht alle Fragen mit Ja beantworten können, haben Sie Handlungsbedarf. Das ist kein Grund zur Panik — aber ein Grund, das Thema jetzt anzugehen, bevor es die Datenschutzbehörde für Sie tut.
Fazit
Die DSGVO-Falle bei Shopify ist keine theoretische Gefahr. Es ist eine konkrete, alltägliche Lücke, die in fast jedem Shopify-Shop existiert. Die AVV mit Shopify ist der Anfang — nicht das Ende Ihrer Datenschutz-Pflichten.
Wer das Thema ernst nimmt, schützt nicht nur sich vor Bußgeldern, sondern baut auch Vertrauen bei seinen Kunden auf. In einer Zeit, in der Datenschutz zunehmend zum Wettbewerbsfaktor wird, ist das keine Last — es ist eine Chance.
