Sicherheit und Datenschutz bei individuellen Shopify-Apps
Kurzantwort: Eine eigene Shopify-App verarbeitet oft Kundendaten, Bestellungen, Preise und interne Prozessdaten. Sicherheit beginnt bei der Datenminimierung und endet nicht bei der Verschlüsselung: Berechtigungen, Webhooks, Logs, Zugriffe, Auftragsverarbeitung, Löschung und ein Notfallplan gehören dazu. Der Händler bleibt für den Datenschutz verantwortlich; der Entwickler ist in der Regel Auftragsverarbeiter.
Eine App ist ein zusätzlicher Datenverarbeiter im Shop. Wer sie baut, sollte Sicherheit nicht als letzte Phase behandeln. Wer sie einkauft, sollte danach fragen – auch wenn die Antworten technisch klingen.
Welche Daten typischerweise verarbeitet werden
| Datenart | Beispiele | Sensibilität |
|---|---|---|
| Kunden | Name, E-Mail, Adresse, Kundennummer | hoch |
| Bestellungen | Positionen, Preise, Status, Lieferung | hoch |
| Produkte | SKU, Variante, Preis, Bestand | mittel |
| Zahlungen | Zahlungsstatus, Transaktions-ID | hoch |
| Interne Daten | Lager, Kosten, Mitarbeiter | mittel bis hoch |
| Technische Daten | Logs, IP, Zeitstempel | mittel |
Zahlungsdaten wie vollständige Kartennummern sollten Sie nicht selbst speichern. Nutzen Sie die von Shopify und Zahlungsdienstleistern vorgesehenen Wege.
Privacy by Design
Fragen Sie vor der Umsetzung:
- Welche Daten braucht die App wirklich?
- Kann sie mit aggregierten oder pseudonymisierten Daten arbeiten?
- Wie lange werden Daten gespeichert?
- Wer darf sie sehen?
- Wie werden sie gelöscht?
- Werden Daten an Dritte übermittelt?
- Gibt es Datenübermittlung außerhalb der EU?
Jede Datenart, die nicht erhoben wird, muss nicht geschützt, dokumentiert oder gelöscht werden.
Shopify-spezifische Sicherheit
Berechtigungen und Scopes
Fordern Sie nur die Scopes an, die für die Funktion nötig sind. Eine App, die „alles“ darf, ist ein größeres Risiko. Prüfen Sie die Berechtigungen im Shopify-Admin und im App-Code. Mehr dazu: GraphQL Admin API und Berechtigungen.
Authentifizierung
Je nach App-Typ:
- OAuth für öffentliche Apps,
- Session-Tokens für eingebettete Admin-Apps,
- sichere Server-zu-Server-Authentifizierung für interne Dienste.
Tokens und Secrets gehören nicht in den Browser, nicht in Logs und nicht in öffentliche Repositories.
Webhooks
Webhooks müssen kryptografisch geprüft werden. Verlassen Sie sich nicht darauf, dass eine Anfrage „von Shopify“ aussieht. Prüfen Sie Signatur, Zeitstempel und Absender. Mehr dazu: Webhooks sicher bauen.
API-Limits und Fehler
Eine App sollte Rate Limits respektieren, Wiederholungen mit Backoff einsetzen und Fehler sichtbar machen. Ein stiller Datenverlust ist ein Sicherheits- und Geschäftsrisiko.
Technische Schutzmaßnahmen
- Verschlüsselung: TLS für alle Verbindungen, Verschlüsselung sensibler Daten at rest.
- Secrets: sichere Verwaltung, Rotation, kein Hardcoding.
- Zugriffe: Least Privilege, Zwei-Faktor-Authentifizierung, getrennte Konten.
- Logs: keine personenbezogenen Daten oder Tokens protokollieren.
- Backups: verschlüsselt, getestet, mit definierter Aufbewahrung.
- Abhängigkeiten: regelmäßig aktualisieren und auf Schwachstellen prüfen.
- Monitoring: verdächtige Zugriffe und Fehler erkennen.
- Umgebungen: Entwicklung, Test und Produktion trennen.
Datenschutzrechtliche Rollen
Im Regelfall:
- Der Händler ist Verantwortlicher für die Verarbeitung im Shop.
- Der App-Entwickler verarbeitet Daten in seinem Auftrag.
- Weitere Dienstleister (Hosting, E-Mail, Analytics) können als Unterauftragsverarbeiter hinzukommen.
Prüfen Sie:
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO),
- Liste der Unterauftragsverarbeiter,
- Ort der Datenverarbeitung,
- technische und organisatorische Maßnahmen,
- Lösch- und Rückgabeprozess,
- Haftungsregelungen.
Die Datenschutzerklärung des Shops muss die App und ihre Datenverarbeitung angemessen erwähnen. Eine pauschale Formulierung reicht nicht immer.
Löschung und Aufbewahrung
Klären Sie:
- Was passiert bei Deinstallation?
- Werden Daten nach einer Frist gelöscht?
- Gibt es einen Export?
- Wie werden Löschanfragen von Kunden bearbeitet?
- Welche Daten müssen aus rechtlichen Gründen aufbewahrt werden?
Ein klarer Löschplan ist Teil des Vertrags, nicht ein nachträgliches Angebot.
Notfallplan
Bei einem Sicherheitsvorfall:
- Erkennen: Monitoring, Meldungen, ungewöhnliche Zugriffe.
- Eindämmen: Zugänge sperren, Dienst isolieren.
- Prüfen: Welche Daten, welche Systeme, welcher Zeitraum?
- Informieren: interne Verantwortliche, gegebenenfalls Kunden und Behörden.
- Beheben: Ursache beseitigen, nicht nur Symptom.
- Dokumentieren: Ablauf, Maßnahmen, Lernen.
- Nachprüfen: Test und Monitoring anpassen.
Ob und wann eine Meldepflicht besteht, hängt vom Einzelfall ab und sollte fachkundig geprüft werden.
Checkliste für Händler
- Datenarten und Zweck dokumentiert
- Nur notwendige Scopes freigegeben
- Auftragsverarbeitungsvertrag vorhanden
- Unterauftragsverarbeiter bekannt
- Verschlüsselung und Secret-Management geprüft
- Webhook-Signaturen geprüft
- Zugriffe und Rollen minimal
- Logs ohne sensible Daten
- Backup- und Löschprozess definiert
- Notfallplan und Ansprechpartner benannt
Häufige Fragen
Wer ist datenschutzrechtlich verantwortlich?
In der Regel der Händler als Betreiber des Shops. Der App-Entwickler verarbeitet Daten in seinem Auftrag. Die genaue Zuordnung hängt vom Einzelfall ab und sollte vertraglich und rechtlich geprüft werden.
Brauche ich einen Auftragsverarbeitungsvertrag?
Wenn ein Dienstleister personenbezogene Daten für Sie verarbeitet, ist ein AVV nach Art. 28 DSGVO in der Regel erforderlich. Prüfen Sie auch Unterauftragsverarbeiter und Drittlandtransfers.
Darf die App Kundendaten für eigene Zwecke nutzen?
Nur wenn dafür eine Rechtsgrundlage und eine klare Vereinbarung bestehen. Eine Auftragsverarbeitung erlaubt keine beliebige Eigenwerbung mit Kundendaten.
Was passiert bei einer Deinstallation?
Das muss vorher geklärt sein. Ein guter Anbieter beschreibt Export, Löschung und Fristen. Verlassen Sie sich nicht auf Annahmen.
Nächster Schritt
Wenn Sie eine App einkaufen oder bauen lassen, prüfen Sie Sicherheit und Datenschutz vor dem Launch – nicht danach. Projekt besprechen oder SaaS-Lösungen ansehen.