/ Blog Details
Die DSGVO (Datenschutz-Grundverordnung) gilt seit Mai 2018 – und wird 2026 konsequenter denn je durchgesetzt. Deutsche und europäische Datenschutzbehörden verhängen immer mehr und immer höhere Bußgelder. Allein in Deutschland wurden seit 2018 Bußgelder von über 350 Millionen Euro verhängt.
Dieser Leitfaden erklärt praxisnah, was Online-Shop-Betreiber 2026 zwingend umsetzen müssen.
Die DSGVO ist eine EU-Verordnung, die regelt, wie personenbezogene Daten erhoben, verarbeitet und gespeichert werden dürfen. Sie gilt für jeden, der Daten von EU-Bürgern verarbeitet – unabhängig vom Firmensitz.
Personenbezogene Daten im Online-Shop umfassen:
| Rechtsgrundlage | Anwendungsfall im Shop |
|---|---|
| Vertragserfüllung (Art. 6 Abs. 1 b) | Bestellabwicklung, Lieferung |
| Einwilligung (Art. 6 Abs. 1 a) | Newsletter, Marketing-Cookies |
| Rechtliche Verpflichtung (Art. 6 Abs. 1 c) | Steuerrelevante Daten (10 Jahre) |
| Berechtigtes Interesse (Art. 6 Abs. 1 f) | Betrugsprävention, IT-Sicherheit |
| Lebenswichtige Interessen (Art. 6 Abs. 1 d) | Selten im E-Commerce relevant |
| Öffentliches Interesse (Art. 6 Abs. 1 e) | Nicht relevant für private Shops |
Eine Datenschutzerklärung ist für jeden Online-Shop Pflicht (Art. 13 DSGVO). Sie muss:
1. Verantwortlicher
2. Datenverarbeitungszwecke Für jeden Verarbeitungszweck:
3. Typische Shop-Verarbeitungen
| Verarbeitungszweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|
| Bestellabwicklung | Vertragserfüllung | Bis Abwicklung + Gewährleistungsfrist |
| Rechnungsstellung | Rechtl. Verpflichtung | 10 Jahre (§ 147 AO) |
| Versand (Dienstleister) | Vertragserfüllung | Bis Zustellung |
| E-Mail-Newsletter | Einwilligung | Bis Abmeldung |
| Google Analytics | Einwilligung | Konfigurierbar (max. 26 Monate) |
| Retargeting (Meta Pixel) | Einwilligung | 180 Tage |
| Zahlungsabwicklung (Stripe/Paypal) | Vertragserfüllung | Variiert |
4. Betroffenenrechte (zwingend beschreiben)
5. Drittlandtransfers Wenn Sie Tools nutzen, die Daten in die USA übertragen (Google, Meta, Stripe, Mailchimp), ist ein ausdrücklicher Hinweis auf den Datentransfer und dessen Rechtsgrundlage Pflicht.
2026 Aktuell: Das EU-U.S. Data Privacy Framework (seit Juli 2023) erlaubt Datentransfers zu zertifizierten US-Unternehmen. Prüfen Sie für jeden US-Dienst die Zertifizierung unter dataprivacyframework.gov.
Pflicht-Elemente eines rechtssicheren Cookie-Banners:
Was nicht erlaubt ist:
Empfohlene Tools:
Mit jedem Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, müssen Sie einen AVV abschließen:
| Dienstleister | AVV erforderlich? |
|---|---|
| Shopify | ✅ Ja |
| Stripe / PayPal | ✅ Ja |
| MailChimp / Klaviyo | ✅ Ja |
| Google Analytics | ✅ Ja |
| Meta Pixel | ✅ Ja |
| Versanddienstleister (DHL, DPD) | ✅ Ja |
| steuerlicher Berater | ✅ Ja |
| Cloud-Hosting | ✅ Ja |
Shopify-spezifisch: Shopify stellt unter shopify.com/legal/dpa einen standardisierten AVV zur Verfügung.
Ein Datenschutzbeauftragter ist für Online-Shops Pflicht, wenn:
Für die meisten kleinen Online-Shops gilt die Pflicht nicht – aber es empfiehlt sich, die Schwelle zu beobachten.
Jedes Unternehmen, das mehr als 250 Mitarbeiter hat oder risikohafte Verarbeitungen durchführt, muss ein VVT führen (Art. 30 DSGVO). Für Online-Shops mit Tracking und Marketing ist das VVT eigentlich immer sinnvoll.
Mindestinhalt:
Bei einer Datenpanne (Hack, unbeabsichtigte Veröffentlichung etc.):
2026-Tipp: Richten Sie einen Notfallplan ein. Wer die 72h-Frist verpasst, zahlt – auch wenn der eigentliche Datenverlust gering war.
Kunden können die Löschung ihrer Daten verlangen. Problem: In einem Shopify-Shop liegen Kundendaten oft verteilt:
Lösung: Dokumentieren Sie bei Onboarding welche Systeme Kundendaten erhalten. Bei Löschanfragen müssen alle Systeme bereinigt werden.
Erheben Sie nur Daten, die Sie wirklich brauchen. Typische Verstöße:
Verbraucher können jederzeit Auskunft verlangen. Sie müssen innerhalb von einem Monat antworten (verlängerbar auf 3 Monate bei Komplexität).
Checkliste für Auskunftsanfragen:
Kreditkartendaten dürfen niemals auf Ihren Servern gespeichert werden. Shopify und Zahlungsdienstleister wie Stripe sind PCI-DSS-zertifiziert und übernehmen diese Verantwortung – aber nur wenn Sie die Integration korrekt nutzen.
| Verstoßkategorie | Maximales Bußgeld |
|---|---|
| Schwere Verstöße (z. B. kein Rechtsgrund für Verarbeitung) | 20 Mio. € oder 4% Weltumsatz |
| Leichtere Verstöße (z. B. AVV fehlt) | 10 Mio. € oder 2% Weltumsatz |
Reale Fälle aus Deutschland:
Wichtig: Auch Abmahnungen durch Wettbewerber und Verbraucherschutzverbände sind möglich – oft schneller und für Kleine Unternehmen teurer als Behördenbußgelder.
Datenschutzerklärung:
Cookie-Consent:
Verträge:
Prozesse:
1. Shopify Privacy & Compliance Center
Unter Shopify Admin → Einstellungen → Datenschutz & Compliance können viele Standardprozesse konfiguriert werden.
2. Customer Data Request API
Shopify bietet eine automatisierte Verarbeitung von Kundenanfragen (Auskunft, Löschung). Aktivieren Sie diese!
3. Consent Mode v2 (für Google Tracking)
Ohne korrekte Consent Mode v2-Integration verlieren Sie Conversion-Daten. Nutzen Sie eine zertifizierte CMP die automatisch Consent Mode steuert.
4. Datenschutzfreundliche App-Prüfung
Prüfen Sie jeden neuen Shopify App Store vor Installation:
Datenschutz ist kein Hindernis – sondern ein Vertrauenssignal. Shops, die transparent mit Daten umgehen, haben nachweislich höhere Conversion-Rates und weniger Kaufabbrüche.
Haben Sie Fragen zur DSGVO-Konformität Ihres Online-Shops? Lassen Sie uns sprechen.
11. Mai 2026
Shopify Agentic App 2026: KI Shopping & Automatisierte Produktempfehlungen – Der komplette Guide10. Mai 2026
Shopify Shop Manager gesucht? Finden Sie den perfekten Experten für Ihren Shop02. Mai 2026
Semrush Tool: Die ultimative SEO Lösung für Agenturen und Marketer10. April 2026
Shopify Automatisierung: E-Mails, Versand & Dokumente25. März 2026
Ab dem 19. Juni 2026 müssen alle Shopify-Shops in Deutschland einen digitalen Widerrufsbutton anbieten. Was das bedeutet, warum ein Kontaktformular nicht reicht und wie Sie es korrekt umsetzen.
19. März 2026
Lokale Webseiten mit Geo-Optimierung für Handwerk, Dienstleistungen & lokale Unternehmen. Guide: Wie lokale SEO, Google Maps & Regional-Marketing funktionieren.
02. Mai 2026
Entdecke die Vielfalt von Semrush: von Keyword-Recherche über Konkurrenz-Analyse bis hin zu Rankings. Erfahre, warum Semrush das ultimative SEO Tool für dich ist.
Keine Kommentare vorhanden. Sei der Erste!