1. Home
  2. News
  3. Shopify – Praktischer Helfer oder praktisch ein Bußgeldrisiko?
  • Datenschutz

Shopify – Praktischer Helfer oder praktisch ein Bußgeldrisiko?

In diesem Artikel soll es um den Anbieter Shopify und dessen Konformität mit der DSGVO gehen. Denn der Anbieter erfreut sich aktuell größter Beliebtheit, ist jedoch nicht ganz unumstritten.

Zuerst einmal die Frage: was ist denn Shopify genau?

Shopify ist in jüngerer Zeit sehr beliebt bei Betreibern von Onlineshops. Es handelt sich bei diesem Anbieter um eine Software as a Service Lösung (SaaS), die es dem Nutzer ermöglicht den gesamten Shop für diesen zu hosten. Der jeweilige Kunde „shoppt“ dann also auf dem Server von Shopify und nicht auf dem eigenen.

Was ist das Problem bezüglich Shopify?

Im Prinzip hat die Entscheidung der Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz den Stein der Verunsicherung ins Rollen gebracht. Der Kern des Problems ist auch hier, wie so oft, die (potentielle) Datenübertragung in die USA.

Shopify selbst gibt an, Daten nur nach Kanada zu übertragen. So weit so gut, denn aus europäischer Perspektive stellt Kanada ein sicheres Drittland dar. Ab diesem Punkt wird es jedoch problematisch, denn von Kanada aus werden die Daten wiederum in weitere Drittländer übertragen, unter anderem die USA. Die mögen aus kanadischer Sicht sicher sein, bekannter weise aber nicht aus der europäischen Sichtweise. Denn aus dieser müssten die Standardvertragsklauseln abgeschlossen werden – und genau diese bietet Shopify nicht an. Die Datenweitergabe erfolgt über Content Delivery Networks (CDN) wie Cloudflare oder Cloudfront. Dieses ist quasi eine Art zweiter dazwischengeschalteter Server, der es ermöglicht, dass die Daten nicht immer vom eigentlichen Shopify Server geladen werden müssen. Genau diese Einstellung lässt sich jedoch seitens Shopify nicht deaktivieren. Der europäische Nutzer kann dieser „Falle“ also auch durch eigene Einstellungen nicht entkommen.

Im Gegenteil: Shopify selbst verharrt auf dem Standpunkt, dass der Dienst DSGVO-konform sei und ohne Bedenken genutzt werden könne.

Welche Folgen sind zu erwarten?

Die juristische Antwort ist: es kommt drauf an. Wie eine Behörde im Einzelfall entscheidet, ist leider nicht vorauszusehen. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Rheinland-Pfalz verbleibt zum Beispiel trotz Ihrer Negativentscheidung dabei, dass jeder Einzelfall für sich selbstständig zu bewerten ist.

Dennoch sollten Sie aus dieser Entscheidung mitnehmen, dass Shopify solange ein Bußgeldrisiko in sich trägt, bis die Möglichkeit der Abschaltung der CDNs durch Shopify eingeräumt wird. An dieser Stelle der Vollständigkeit halber auch noch einmal die Erinnerung, dass diese Bußgelder durchaus sehr empfindlich sein können – bis zu 20 Millionen Euro bzw. 4% des weltweiten Vorjahresumsatz.

Die Nutzung des Dienstes sollte also – zumindest aktuell – gut überlegt sein!

Hinweis zu Cookies

Unsere Website verwendet Cookies. Einige davon sind technisch notwendig für die Funktionalität unserer Website und daher nicht zustimmungspflichtig. Darüber hinaus setzen wir Cookies, mit denen wir Statistiken über die Nutzung unserer Website führen. Hierzu werden anonymisierte Daten von Besuchern gesammelt und ausgewertet. Eine Weitergabe von Daten an Dritte findet ausdrücklich nicht statt.

Ihr Einverständnis in die Verwendung der Cookies können Sie jederzeit widerrufen. In unserer Datenschutzerklärung finden Sie weitere Informationen zu Cookies und Datenverarbeitung auf dieser Website. Beachten Sie auch unser Impressum.

Technisch notwendig

Diese Cookies sind für die einwandfreie Funktion der Website erforderlich und können daher nicht abgewählt werden. Sie zählen nicht zu den zustimmungspflichtigen Cookies nach der DSGVO.

Name Zweck Ablauf Typ Anbieter
CookieConsent Speichert Ihre Einwilligung zur Verwendung von Cookies. 1 Jahr HTML Website
fe_typo_user Dieser Cookie wird gesetzt, wenn Sie sich im Bereich myGINDAT anmelden. Session HTTP Website
PHPSESSID Kurzzeitiger Cookie, der von PHP zum zwischenzeitlichen Speichern von Daten benötigt wird. Session HTTP Website
__cfduid Wir verwenden eine "Content Security Policy", um die Sicherheit unserer Website zu verbessern. Bei potenziellen Verstößen gegen diese Policy wird ein anonymer Bericht an den Webservice report-uri.com gesendet. Dieser Webservice lässt über seinen Anbieter Cloudflare diesen Cookie setzen, um vertrauenswürdigen Web-Traffic zu identifizieren. Der Cookie wird nur kurzzeitig im Falle einer Bericht-Übermittlung auf der aktuellen Webseite gesetzt. 30 Tage/ Session HTTP Cloudflare/ report-uri.com
Statistiken

Mit Hilfe dieser Statistik-Cookies prüfen wir, wie Besucher mit unserer Website interagieren. Die Informationen werden anonymisiert gesammelt.

Name Zweck Ablauf Typ Anbieter
_pk_id Wird verwendet, um ein paar Details über den Benutzer wie die eindeutige Besucher-ID zu speichern. 13 Monate HTML Matomo
_pk_ref Wird verwendet, um die Informationen der Herkunftswebsite des Benutzers zu speichern. 6 Monate HTML Matomo
_pk_ses Kurzzeitiger Cookie, um vorübergehende Daten des Besuchs zu speichern. 30 Minuten HTML Matomo
_pk_cvar Kurzzeitiger Cookie, um vorübergehende Daten des Besuchs zu speichern. 30 Minuten HTML Matomo
MATOMO_SESSID Kurzzeitiger Cookie, der bei Verwendung des Matomo Opt-Out gesetzt wird. Session HTTP Matomo
_pk_testcookie Kurzzeitiger Cookie der prüft, ob der Browser Cookies akzeptiert. Session HTML Matomo