Was bei Shopify anders ist
Bei Shopify mieten Sie Ihren Shop als Dienst. Server, Software, Auslieferung der Bilder und Skripte und der Checkout liegen bei Shopify. Das vereinfacht vieles, verschiebt aber die Frage, wer welche Daten verarbeitet. Shopify ist für Ihre Kundendaten ein Empfänger, und jede App, die Sie installieren, kann einen weiteren hinzufügen.
Gerade die Apps machen die Datenschutzerklärung eines Shopify-Shops schnell unvollständig. Eine Bewertungs-App lädt ihr Widget von den Servern ihres Anbieters, eine E-Mail-App ihr Pop-up, eine Treueprogramm-App ihr Punkte-Fenster. Für Ihre Besucher sieht das aus wie ein Teil Ihres Shops. Technisch baut der Browser jedes Mal eine Verbindung zu einem weiteren Unternehmen auf. Steht dieses Unternehmen nicht in Ihrer Datenschutzerklärung, fehlt ein Empfänger.
So scannt Vigilex Ihren Shopify-Shop
Vigilex ruft Ihren Shop in einem echten Chromium-Browser auf und erkennt Shopify an den Antwort-Headern und an typischen Code-Markern der Plattform. Im Ergebnis steht Shopify dann unter „Infrastruktur“ als Shop-System.
Neben der Startseite und Ihrer Datenschutzerklärung öffnet der Scan eine Produktseite. Er nimmt dafür den ersten Link im Shopify-Format /products/… auf Ihrer Startseite. Das ist wichtig, weil viele Apps nur auf Produktseiten laden: Bewertungen, Ratenzahlungshinweise, „Jetzt kaufen“-Buttons von Zahlungsanbietern. Jede Seite wird bis zum Ende gescrollt. Findet der Scan Ihren Cookie-Banner, bestätigt er ihn mit „Alle akzeptieren“ und erfasst, was danach zusätzlich lädt.
Für Shopify selbst bringt der Entwurf fertige Angaben mit: Shopify International Limited, Dublin, als Anbieter der Plattform, dazu Textbausteine zur Auslieferung über das Shopify-CDN und zum Shopify-Checkout. Anders als bei selbst gehosteten Shops ist Ihr Hosting-Anbieter damit bekannt, und der Entwurf muss Sie nicht danach fragen.
Typische Befunde in Shopify-Shops
Die folgenden Dienste stehen im Vigilex-Katalog und kommen in Shopify-Shops oft über Apps:
- Bewertungen: Judge.me, Loox, Okendo, Yotpo, Stamped.io, Trustpilot, Trusted Shops.
- E-Mail und Pop-ups: Klaviyo, Privy, Omnisend, Mailchimp. Klaviyo erkennt der Scan zusätzlich am Cookie
__kla_id. - Treue- und Abo-Programme: Smile.io, LoyaltyLion, Recharge, Skio.
- Upselling und Seitengestaltung: Rebuy, ReConvert, Vitals, PageFly, Shogun.
- Service und Versand: Gorgias, Route, AfterShip, Loop Returns.
- Übersetzung: Weglot.
- Werbung und Analyse: Meta Pixel, TikTok Pixel, Pinterest Tag, Google Ads, Google Analytics 4. Viele Shopify-Shops binden sie über die Vertriebskanäle oder Apps ein.
Jeder Fund trägt seinen Nachweis, meist die Verbindung zum Server des App-Anbieters. Verbindungen zu Hosts, die nicht im Katalog stehen, listet das Ergebnis unter „Nicht zugeordnet“. Prüfen Sie diese Einträge, denn auch dahinter kann eine App stecken.
Was Sie selbst ergänzen müssen
- Zahlungsanbieter im Checkout. Shopify Payments und Shop Pay stehen nicht im Vigilex-Katalog, und den Checkout betritt der Scan nicht. PayPal, Klarna, Amazon Pay, Google Pay oder Stripe erkennt er nur, wenn ihre Skripte bereits auf Startseite oder Produktseite laden. Tragen Sie alle Zahlarten aus Ihrer Kasse im Entwurf nach.
- Versanddienstleister. Wer Ihre Pakete zustellt, sieht der Scan nicht.
- Kundenkonto und Newsletter-Anmeldung. Was bei der Registrierung oder im Kundenkonto verarbeitet wird, sieht der Scan nicht. Prüfen Sie die entsprechenden Abschnitte im Entwurf und passen Sie sie an Ihren Shop an.
- Apps ohne Frontend. Apps, die nur im Hintergrund arbeiten, etwa für Buchhaltung oder Lager, bauen im Browser keine Verbindung auf. Gibt eine solche App Kundendaten weiter, gehört sie trotzdem in Ihre Datenschutzerklärung.
Nächste Schritte
- Shop scannen und die Liste der erkannten Dienste mit Ihren installierten Apps vergleichen.
- Nicht mehr genutzte Apps entfernen. Deinstallierte Apps hinterlassen manchmal Code im Theme, der weiter lädt. Ein erneuter Scan zeigt, ob er weg ist.
- Einwilligung prüfen. Dienste mit dem Hinweis „Einwilligung nötig“ sollten erst nach der Zustimmung im Cookie-Banner laden.
- Entwurf vervollständigen und vor der Veröffentlichung anwaltlich prüfen lassen. Danach fügen Sie ihn in die Shopify-Seite für Ihre Datenschutzerklärung ein.
Keine Rechtsberatung
Vigilex liefert Information, keine Rechtsberatung. Der Scan zeigt, was beim Aufruf Ihres Shopify-Shops im Browser passiert. Der Entwurf ersetzt keine anwaltliche Prüfung. Vigilex ist in der Beta-Phase, Scan und Entwurf können unvollständig sein.