Shopify DSGVO-konform: prüf, was dein Shop vor der Einwilligung lädt.
Viele Shops senden IP-Adresse, Klickverhalten und sogar Mausbewegungen an Google, Meta, TikTok oder Klaviyo. Rechtssicher tracken, ohne Conversions zu verlieren: Bei Shopify hängt das Tracking an Theme, Apps und Shopifys Einwilligungs-Schnittstelle zugleich. Wir messen, was davon wirklich greift.
- 290 Shops geprüft
- Ergebnis in unter 60 Sekunden
- Kein Konto nötig
- Echter Browser aus Deutschland
Erkannt wird, was der Browser wirklich anfragt
Kein Blick in den Quelltext, sondern in den Netzwerkverkehr. Jede Anfrage wird gegen 20 kuratierte Vendor-Signaturen und 46.524 bekannte Tracker-Hosts aus der EasyPrivacy-Liste geprüft — plus eine Freigabeliste technisch notwendiger Dienste, damit Warenkorb und Session nicht als Verstoß gezählt werden.
- Google Analytics
- Google Tag Manager
- Google Ads
- Meta Pixel
- TikTok Pixel
- Klaviyo
- Microsoft Clarity
- Hotjar
- LinkedIn Insight
- Snapchat Pixel
- Lucky Orange
- Shopify Analytics
- Google Fonts
- HubSpot
Warum ausgerechnet Shopify-Shops so oft daneben liegen
Ein Cookie-Banner aus dem App-Store ist schnell installiert und sieht korrekt aus. Trotzdem laden viele Shops Google Analytics, das Meta-Pixel oder Klaviyo schon beim ersten Seitenaufruf — weil manche Apps sich an der Einwilligung vorbei ins Theme schreiben.
Umgekehrt genauso häufig: Das Banner blockt zu viel, die Einwilligung kommt nie bei Google an, und dein Conversion-Tracking läuft ins Leere. Beides siehst du im Shopify-Adminbereich nicht.
EinBannerbeweistgarnichts.Entscheidendist,welcheDatendeinShopindenSekundendavorschonverschickthat.
Genau die messen wir: jede Anfrage, jedes Cookie, jeden Storage-Eintrag — bevor irgendwo geklickt wurde. Mit Zeitstempel, damit die Reihenfolge nachweisbar ist.
Die ersten Sekunden meines Shops messenWas § 25 TDDDG genau verlangt ›Belegt statt behauptet
Vier Messungen, die dein Shopify-Admin nicht zeigt
- 01
Tracker vor der Zustimmung
Welche Dienste Daten senden, bevor jemand geklickt hat — mit Nachweis, nicht als Vermutung.
- 02
Der Ablehnen-Test
Wir lehnen ab, laden neu und schauen, ob es dann still bleibt. Viele Shops bestehen genau diesen Test nicht.
- 03
Das Einwilligungssignal an Google
Ohne dieses Signal schaltet Google Conversion-Tracking und Remarketing ab.
- 04
Das Banner im Test
Erscheint es? Ist Ablehnen gleichwertig erreichbar? Und blockt es die Dienste, die es blocken soll?
Nicht nur Behörden — seit Oktober 2024 auch Wettbewerber
Der EuGH hat Mitbewerbern den Weg vor die Zivilgerichte geöffnet, der BGH hat das im März 2025 bestätigt. Was daraus praktisch folgt und welche Urteile dahinterstehen, steht hier — mit Aktenzeichen.
Die Urteile dahinter
Wettbewerber dürfen abmahnen
Der EuGH hat entschieden, dass Mitbewerber Datenschutzverstöße als unlautere Geschäftspraxis vor Zivilgerichten angreifen dürfen — zusätzlich zu den Aufsichtsbehörden. Der BGH hat das im März 2025 bestätigt und die Revision zurückgewiesen.
EuGH, 04.10.2024 – C-21/23 „Lindenapotheke“ · BGH, 27.03.2025 – I ZR 223/19 · Quelle ›
Tags beim Seitenaufruf sind einwilligungspflichtig
Das Gericht sah schon das Laden des Google Tag Managers beim Seitenaufruf — samt IP-Übermittlung — als zustimmungspflichtigen Zugriff an. Genau dieser Fall ist Prüfpunkt 1 im Scan.
VG Hannover, 19.03.2025 – 10 A 5385/22 · Quelle ›
Vorausgewählte Häkchen sind keine Einwilligung
Nicht-essenzielle Cookies brauchen eine vorherige, aktive Entscheidung. Voreingestellte Häkchen oder „Weitersurfen = Zustimmung“ genügen nicht, und Ablehnen muss gleichwertig möglich sein.
EuGH – C-673/17 „Planet49“ · BGH – I ZR 7/16 · Quelle ›
Google Fonts direkt von Google: 100 € Schadensersatz
Das Gericht sprach einem Websitebesucher Schadensersatz zu, weil seine IP-Adresse durch dynamisch geladene Schriften an Google übermittelt wurde. Behoben ist das in einer Viertelstunde — lokal einbinden.
LG München I, 20.01.2022 – 3 O 17493/20 · Quelle ›
Was eine Abmahnung kostet
- Unterlassungserklärung
- Das eigentliche Druckmittel. Sie gilt zeitlich unbegrenzt — wer später erneut verstößt, zahlt die vereinbarte Vertragsstrafe. Fachkanzleien raten einhellig, die vorformulierte Fassung nicht ungeprüft zu unterschreiben.
- Anwaltskosten der Gegenseite
- Bei Datenschutzverstößen entfallen sie für Unternehmen mit in der Regel unter 250 Beschäftigten — § 13 Abs. 4 Nr. 2 UWG. Die Abmahnung selbst und der Unterlassungsanspruch bleiben davon unberührt.
- Vertragsstrafe
- Unter 100 Beschäftigten darf beim erstmaligen Datenschutzverstoß keine verlangt werden (§ 13a Abs. 2 UWG). Ab dem zweiten Mal greift sie — dann liegen die üblichen Sätze im vier- bis fünfstelligen Bereich.
- Bußgeld der Aufsichtsbehörde
- Der gesetzliche Rahmen reicht weit, der Regelfall für einen mittelständischen Shop tut das nicht. Mehrere Landesdatenschutzbehörden prüfen Websites allerdings anlasslos — auch ohne Beschwerde.
Wir sind keine Anwälte und der Scan ist keine Rechtsberatung. Er zeigt, was technisch passiert; die Bewertung gehört zu deinem Anwalt oder Datenschutzbeauftragten. Die Größenangaben oben sind die von Fachkanzleien genannten Spannen, keine Zusicherung.
Häufige Fragen von Shopify-Betreibern
Ich habe doch schon eine Consent-App installiert.
Gut — die Frage ist, ob sie im Zusammenspiel mit deinem Theme und deinen übrigen Apps tatsächlich greift. Genau das misst der Scan. Eine installierte App ist kein Nachweis.
Muss ich etwas in meinem Shop ändern, damit ihr prüfen könnt?
Nein. Wir rufen deinen Shop von außen auf wie ein Besucher aus Deutschland. Kein Zugang, keine App, keine Änderung an deinem Theme.
Gilt das nur für Shopify?
Der Scan funktioniert für jede Website. Bei Shopify kennen wir die typischen Stolperstellen besonders gut, deshalb ist der Report dort am konkretesten.
Sieh nach, was dein Shop wirklich sendet
Kostenlos, ohne Konto, Ergebnis in unter einer Minute.
Noch Fragen? Schreib uns.
Kontakt
Der Scan läuft ohne uns. Wenn du die Befunde einordnen oder gleich beheben lassen willst, melde dich — auf Deutsch, von Mensch zu Mensch.
- Echter Browser-Test aus der EU
- Kein oberflächlicher Quellcode-Scan — eine echte Chromium-Sitzung mit deutschen Einstellungen.
- Belegbar statt Behauptung
- Jeder Befund mit konkretem Cookie/Request + Zeitpunkt und, wo passend, einem relevanten Gerichts-/Behördenfall.
- Keine Weitergabe deiner Daten
- Wir speichern nur technische Befunde der Seite — keine personenbezogenen Inhalte.
Diese Analyse ist eine automatisierte technische Prüfung und stellt keine Rechtsberatung dar. Für eine verbindliche rechtliche Bewertung wende dich an einen Anwalt oder Datenschutzbeauftragten. Prüfe bitte nur Domains, für die du berechtigt bist.