DSGVO und Shopify-Apps: der Drittanbieter-Stolperstein

Ein Satz, der uns in Erstgesprächen 2026 mehrfach begegnet ist: Shopify sei DSGVO-konform, also sei man es selbst auch. Der erste Teil stimmt in dem engen Sinn, in dem er stimmen kann. Shopify stellt einen Auftragsverarbeitungsvertrag bereit und beschreibt im Help Center den Shop-Betreiber als Verantwortlichen und sich selbst als Auftragsverarbeiter für die Daten, die auf Ihre Weisung verarbeitet werden. Der zweite Teil folgt daraus nicht.

Zwischen beiden Sätzen liegen die Apps. Ein durchschnittlich gewachsener Shop bindet Bewertungen, Newsletter, Retouren, Tracking, Produktfilter, Abo-Verwaltung und Support-Chat über Drittanbieter ein. Jede dieser Apps bekommt Zugriff auf Kunden-, Bestell- oder Verhaltensdaten. Jede davon ist damit eine eigene Verarbeitungssituation mit eigener Rollenfrage, eigenem Vertrag und eigener Auswahlentscheidung, für die niemand anders geradesteht als der Shop-Betreiber.

Dieser Artikel ordnet ein, welche Rollen bei einer App-Installation entstehen, welche Pflicht dabei regelmäßig übersehen wird, was Shopify Ihnen technisch abnimmt und was ausdrücklich nicht, und wie ein App-Inventar aussieht, das im Ernstfall etwas wert ist.

Erst die Rolle, dann die Technik

Die DSGVO kennt für diese Konstellation zwei Grundrollen. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist, wer im Auftrag und auf Weisung des Verantwortlichen verarbeitet. Für den Shop-Betreiber ist die erste Rolle unstrittig: Sie entscheiden, dass ein Shop existiert, welche Daten er erhebt und wozu.

Für die App ist die Antwort nicht automatisch “Auftragsverarbeiter”. Die Leitlinien des Europäischen Datenschutzausschusses zu diesen Begriffen (EDPB 07/2020) beschreiben genau den Fall, der bei Apps typisch ist: Wenn eine Dienstleistung nicht speziell auf die Verarbeitung personenbezogener Daten zielt oder diese Verarbeitung kein zentrales Element der Leistung ist, kann der Anbieter Zweck und Mittel der dafür nötigen Verarbeitung selbst bestimmen. Dann ist er nicht Auftragsverarbeiter, sondern eigener Verantwortlicher.

Das ist keine akademische Unterscheidung. Von der Rolle hängt ab, welcher Vertrag nötig ist, wer die Betroffenen informieren muss, auf welche Rechtsgrundlage die Übermittlung gestützt wird und wer bei einer Panne meldet.

Wann eine App zum eigenen Verantwortlichen wird

Die Grenze verläuft an den eigenen Zwecken des Anbieters. Solange eine App nur das tut, was Sie ihr auftragen, und die Daten für nichts anderes verwendet, ist die Auftragsverarbeitung das passende Bild. Sobald der Anbieter dieselben Daten für eigene Zwecke nutzt, verschiebt sich die Rolle.

Praktische Anlässe dafür gibt es reichlich. Eine Bewertungs-App, die Bewertungen auch auf ihrem eigenen Portal oder in einem Anbieter-übergreifenden Netzwerk ausspielt, verfolgt damit einen eigenen Zweck. Eine Tracking- oder Personalisierungs-App, die Nutzungsdaten über alle angebundenen Shops hinweg zu Benchmarks oder Modellen aggregiert, ebenso. Ein Support-Chat, dessen Anbieter die Konversationen zur Verbesserung des eigenen Sprachmodells verwendet, auch.

Der EDPB weist zusätzlich darauf hin, dass ein Auftragsverarbeiter, der über die dokumentierten Weisungen hinaus verarbeitet und dabei Zwecke und Mittel selbst bestimmt, für diese Verarbeitung als Verantwortlicher gilt. Das passiert nicht durch eine bewusste Entscheidung des Shop-Betreibers, sondern durch eine Klausel in den Nutzungsbedingungen der App, die niemand gelesen hat.

Die Prüffrage lautet deshalb nicht “ist das ein Auftragsverarbeiter”, sondern: Was steht in den Bedingungen dieses Anbieters über die Verwendung der Daten zu eigenen Zwecken? Diese Frage lässt sich ohne juristische Ausbildung stellen, und sie ist die, die im Zweifel entscheidet.

Die Auswahlpflicht ist die eigentliche Arbeit

Dieser Teil ist der aufwendigste, und er ist der, der sich am schwersten nachholen lässt. Artikel 28 Absatz 1 DSGVO erlaubt dem Verantwortlichen nur die Zusammenarbeit mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der EDPB formuliert die Konsequenz deutlich: Der Verantwortliche ist dafür zuständig, die Hinlänglichkeit dieser Garantien zu beurteilen, und er muss belegen können, dass er alle vorgesehenen Gesichtspunkte ernsthaft berücksichtigt hat.

Belegen heißt in dieser Lesart nicht “wir haben die Bewertungen im App Store gelesen”. Die Leitlinien nennen als typische Grundlage einen Austausch von Unterlagen: Datenschutzerklärung, Nutzungsbedingungen, Verzeichnis von Verarbeitungstätigkeiten, Informationssicherheits-Richtlinie, Berichte externer Audits, anerkannte Zertifizierungen. Als Beurteilungskriterien nennen sie Fachwissen, Zuverlässigkeit und Ressourcen des Anbieters.

Der Punkt, der die meiste Arbeit macht, kommt danach: Diese Pflicht endet nicht mit dem Vertragsschluss. Der EDPB stuft sie ausdrücklich als fortlaufende Pflicht ein, mit einer Überprüfung in angemessenen Abständen. Eine App, die vor drei Jahren geprüft wurde, seither zweimal den Eigentümer gewechselt hat und inzwischen ein KI-Feature mitbringt, ist nicht mehr die App, die damals geprüft wurde.

Was im Vertrag stehen muss, und was nicht reicht

Die Verarbeitung durch einen Auftragsverarbeiter braucht einen Vertrag in Schriftform, wobei die elektronische Form ausreicht. Fehlt er, ist das nach Ansicht des EDPB ein Verstoß gegen die Verordnung, und zwar auf beiden Seiten.

Artikel 28 Absatz 3 gibt den Mindestinhalt vor: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen. Die Leitlinien betonen dabei einen Punkt, der beim Abhaken gern verloren geht: Der Vertrag soll die Vorschriften der Verordnung nicht bloß wiederholen. Er soll konkret werden, also festhalten, wie die Anforderungen erfüllt werden und welches Sicherheitsniveau für diese konkrete Verarbeitung gilt.

Für die App-Praxis heißt das: Ein generischer, für alle Kunden identischer Standardtext des Anbieters kann die formalen Punkte abdecken und trotzdem inhaltlich leer sein. Das ist kein Grund, ihn abzulehnen, aber ein Grund, ihn zu lesen, statt ihn abzulegen.

Die zweite Ebene: wer noch mitverarbeitet

Kaum eine App verarbeitet allein. Dahinter stehen ein Hosting-Anbieter, ein E-Mail-Versanddienst, ein Analyse-Werkzeug, häufig ein KI-Dienst. Das sind Unterauftragsverarbeiter, und für sie gelten eigene Regeln.

Der Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen einsetzen. Diese Genehmigung kann allgemein erteilt werden, dann muss der Anbieter aber über jede Änderung informieren und Ihnen die Möglichkeit zum Einspruch geben. Der EDPB wird an dieser Stelle sehr konkret: Es genügt gerade nicht, pauschal auf eine Liste zu verweisen, die sich von Zeit zu Zeit ändern kann. Der Auftragsverarbeiter muss aktiv auf jede Änderung hinweisen.

Hier liegt in der Praxis eine stille Lücke. Wer eine Subprocessor-Liste nur verlinkt und sie ohne Benachrichtigung aktualisiert, erfüllt genau das nicht, und wer sich darauf verlässt, erfährt vom neuen Unterauftragsverarbeiter im Zweifel gar nicht. Ein Abonnement der Änderungshinweise, sofern der Anbieter eines anbietet, ist der kleinste sinnvolle Schritt.

Drittland: wo die Daten wirklich liegen

Viele der verbreiteten Shopify-Apps kommen aus den USA. Für Übermittlungen dorthin gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023. Auf seiner Grundlage können personenbezogene Daten ohne zusätzliche Garantien an US-Unternehmen fließen, die am Framework teilnehmen. Stand August 2026 gilt er. Weil seine beiden Vorgänger-Konstruktionen gerichtlich gekippt wurden, gehört ein Blick auf seinen Status allerdings in die regelmäßige Prüfung und nicht in die Ablage.

Die praktische Konsequenz ist eine Prüffrage, keine Beruhigung: Nimmt dieser konkrete Anbieter teil? Die Zertifizierung ist unternehmensbezogen und öffentlich einsehbar, sie folgt nicht aus der Staatszugehörigkeit. Nimmt er nicht teil, braucht die Übermittlung eine andere Grundlage, üblicherweise Standardvertragsklauseln mit der dazugehörigen Risikobetrachtung. Und die Frage stellt sich nicht nur für die App selbst, sondern für deren Unterauftragsverarbeiter gleich mit.

Was Shopify abnimmt, und was ausdrücklich nicht

Shopify reguliert die App-Anbieter mittlerweile spürbar. Zwei Mechanismen sind für Sie relevant.

Erstens die abgestuften Zugriffsrechte auf geschützte Kundendaten. Öffentliche Apps müssen den Zugriff auf Kundendaten beantragen und begründen, wobei Shopify zwischen Stufen unterscheidet: keine Kundendaten, Kundendaten ohne Name, Adresse, Telefonnummer und E-Mail, und Kundendaten einschließlich dieser Felder. Mit dem Zugriff verbindet Shopify Auflagen, die datenschutzrechtlich vertraut klingen: nur die für die Funktion minimal nötigen Daten verarbeiten, Aufbewahrungsfristen anwenden, Einwilligungsentscheidungen der Kundschaft respektieren, Daten im Ruhezustand und bei der Übertragung verschlüsseln. Das Antrags- und Review-Verfahren entfällt bei Custom Apps weitgehend, die inhaltlichen Auflagen gelten dort aber genauso. Wer eine App von einer Agentur bauen lässt, hat also keinen Sonderweg, sondern nur weniger Kontrolle durch Shopify.

Zweitens die verpflichtenden Compliance-Webhooks. Nach der Dokumentation für App-Entwickler muss jede über den App Store vertriebene App drei Themen abonnieren: eine Datenauskunft zu einer Kundin oder einem Kunden, die Löschung von Kundendaten und die Löschung der Shop-Daten. Für die beiden ersten nennt Shopify eine Frist von 30 Tagen ab Erhalt der Anfrage. Das Shop-Löschthema wird 48 Stunden nach der Deinstallation durch den Shop-Inhaber ausgelöst.

Und jetzt der Teil, der oft überlesen wird: Das sind Plattform-Regeln zwischen Shopify und den App-Anbietern. Sie erhöhen die Wahrscheinlichkeit, dass ein Anbieter sauber arbeitet, und sie geben Ihnen einen technischen Weg, Betroffenenrechte durchzureichen. Ihre eigene Pflicht aus Artikel 28 erfüllen sie nicht. Shopify sagt in derselben Dokumentation ausdrücklich, dass diese Hinweise keine Rechtsberatung sind. Der EDPB wiederum stellt klar, dass die praktische Abwicklung von Betroffenenanfragen zwar ausgelagert werden kann, die Verantwortung für ihre Erfüllung aber beim Verantwortlichen bleibt.

Einwilligung: Apps, die in die Storefront hineinladen

Eine zweite Pflichtenlage kommt hinzu, sobald eine App Skripte oder Pixel in den Shop lädt. Nach § 25 TDDDG sind das Speichern von Informationen in der Endeinrichtung und der Zugriff auf dort bereits gespeicherte Informationen nur mit Einwilligung zulässig, es sei denn, sie sind für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Die Norm knüpft am Zugriff auf das Endgerät an, nicht am Personenbezug. Sie greift also auch dort, wo man mit der DSGVO allein noch diskutieren könnte.

Für Apps bedeutet das zweierlei. Sie dürfen erst laden, wenn die Einwilligung vorliegt, und sie müssen die Entscheidung tatsächlich auswerten. Shopify stellt dafür die Customer Privacy API bereit, über die Apps und Pixel den Einwilligungsstand für Kategorien wie Analyse und Marketing abfragen; die Vorgaben für geschützte Kundendaten verlangen ausdrücklich, dass Apps Einwilligungsentscheidungen respektieren und anwenden. Ob eine installierte App das tut, sieht man ihr von außen nicht an. Man sieht es im Netzwerk-Mitschnitt des Browsers vor der Einwilligung.

Das App-Inventar als Arbeitsprodukt

Aus alldem folgt ein Dokument, das viele Shops ohnehin führen. Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO hält unter anderem die Kategorien der Empfänger fest. Praktisch führt man die Apps darunter einzeln auf, weil sich sonst keine der übrigen Pflichten erfüllen lässt. Ob und in welchem Umfang Ihr Betrieb das Verzeichnis führen muss, klären Sie mit Ihrem Datenschutzbeauftragten, denn Artikel 30 kennt eine Ausnahme für kleinere Organisationen, die ihrerseits an Bedingungen geknüpft ist. Die Liste selbst brauchen Sie so oder so, weil sich ohne sie keine der bisher genannten Pflichten erfüllen lässt.

Beim Umzug von Vaultskin auf Shopify haben wir die App-Liste zuerst als Funktions-Liste geführt, also nach dem, was jede App kann. Als Liste von Datenempfängern haben wir sie erst später gebaut. Das war die falsche Reihenfolge: Die zweite Sicht beantwortet Fragen, die die erste nicht einmal stellt, etwa welche App eigentlich E-Mail-Adressen sieht und wohin diese dann fließen.

Die linke Spalte ist schnell erledigt und liefert die Grundlage für alles andere. Die mittlere Spalte ist Korrespondenz mit Anbietern und dauert Wochen, weil manche Anbieter langsam antworten und manche gar nicht. Genau das ist übrigens ein verwertbares Ergebnis: Ein Anbieter, der auf die Frage nach seinem Auftragsverarbeitungsvertrag nicht antwortet, hat eine der drei Beurteilungsfragen des EDPB, nämlich die nach der Zuverlässigkeit, bereits beantwortet.

Der pragmatische Zuschnitt

Wer das zum ersten Mal angeht, sollte nicht bei der ältesten App anfangen, sondern bei der riskantesten. Drei Kriterien sortieren zuverlässig vor: Sieht die App Klardaten von Kundinnen und Kunden, also Namen, Adressen, E-Mail-Adressen? Lädt sie etwas in die Storefront? Sitzt der Anbieter außerhalb der EU? Wer bei allen drei Fragen ja sagt, hat die Kandidaten für den ersten Durchgang.

Der zweite pragmatische Hebel ist Deinstallation. Jede App, die niemand mehr benutzt, ist eine Datenverarbeitung ohne Gegenwert und ein Prüfaufwand ohne Nutzen. Der Weg über die Löschung ist immer billiger als der über die Dokumentation. Danach lohnt es sich, den Rest in einer festen Kadenz erneut anzusehen, weil die Auswahlpflicht fortlaufend ist und App-Anbieter ihre Bedingungen ändern, ohne zu fragen. Wie wir das als laufende Überwachung statt als Einmal-Prüfung aufsetzen, beschreibt unser Modul Compliance-Care; die verwandte Frage, warum Barrierefreiheit aus demselben Grund kein Projekt mit Enddatum ist, steht in unserem Beitrag zu Monitoring statt Audit. Wo dieselbe Aufbewahrungs- und Nachweislogik steuerlich greift, haben wir im Beitrag zur GoBD-Aufbewahrung von Shop-Daten beschrieben.

Einen ersten Eindruck, wo Ihr Shop nach außen sichtbar Lücken hat, gibt unser Compliance-Check. Er ersetzt das App-Inventar nicht, denn was hinter einer App passiert, ist von außen nicht messbar. Wenn Sie diesen Teil strukturiert angehen wollen, schildern Sie uns über das Kontaktformular kurz, wie viele Apps Ihr Shop hat und welche davon Kundendaten sehen. Daraus lässt sich ein Zuschnitt machen, der in überschaubarer Zeit fertig wird.