Shopify-Apps und DSGVO-Auftragsverarbeitung: Was zu prüfen ist

Jede Shopify-App, die auf Daten Ihrer Kunden zugreift (E-Mail, Verhalten, Käufe), agiert als Auftragsverarbeiter im Sinne der DSGVO — mit präzisen vertraglichen Pflichten.

Die Einordnung als Auftragsverarbeiter

Sobald eine App personenbezogene Daten im Auftrag des Händlers verarbeitet (Klaviyo für E-Mail-Marketing, ein Reviews-Tool, das Kundenbewertungen speichert, ein Werbe-Pixel, das Kennungen überträgt), ist ihr Anbieter grundsätzlich Auftragsverarbeiter im Sinne von Artikel 28 der DSGVO, und der Händler bleibt dabei Verantwortlicher.

Was ein Auftragsverarbeitungsvertrag abdecken muss

Artikel 28 verlangt einen vertraglichen Rahmen: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Sicherheitspflichten, Umgang mit den Daten nach Vertragsende, geregelte weitere Unterauftragsverarbeitung. Die Standard-AGB einer App decken diese Punkte nicht immer ausreichend ab — es muss geprüft werden, ob ein spezifischer Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) existiert.

Der oft vernachlässigte Punkt

Viele Händler installieren kostenlose oder günstige Apps, ohne zu prüfen, wo die Daten gehostet werden oder ob ein DPA existiert. Eine App, die Daten an einen nicht identifizierten Drittdienst überträgt (nicht deklarierte weitere Unterauftragsverarbeitung), kann einen Verstoß darstellen — selbst wenn die App selbst bei den Cookies korrekt konfiguriert ist.

Erfüllt Ihr Shop diese Regeln?

Unser kostenloser Scanner prüft technisch, was in Ihrem Shopify-Shop vor der Einwilligung auslöst — in ~30 Sekunden.

Meinen Shop kostenlos scannen

Quellen

DSGVO (EU) 2016/679, Artikel 28 — Auftragsverarbeiter