Was Shopify ist

Shopify ist ein Clouddienst für Onlineshops mit Produktverwaltung, Kasse, Zahlungsabwicklung und einem Marktplatz für Apps. Dazu kommen Schnittstellen für eigene Anwendungen und der KI-Assistent Sidekick. Shopify nennt Millionen Händler in über 175 Ländern.

Konzernmutter ist die börsennotierte Shopify Inc. aus Ottawa in Kanada. Händler in Europa schließen den Vertrag mit der Shopify International Limited in Dublin. Die Nutzungsbedingungen unterliegen dem Recht der Provinz Ontario, ergänzende Bedingungen für EU-Händler irischem Recht.

Wofür es eingesetzt wird

Händler nutzen Shopify, um ohne eigenen Server einen Onlineshop zu betreiben, von Einzelunternehmen bis zu großen Marken im Plan Shopify Plus. Betrieb, Updates und Sicherheit übernimmt Shopify.

Die Daten werden bei Amazon Web Services, Google Cloud und Cloudflare verarbeitet und dürfen in Länder wie Kanada, die USA und Singapur übermittelt werden. Ein Selbstbetrieb ist nicht möglich. Nach der Kündigung wird der Shop offline genommen, personenbezogene Daten gibt es dann nur noch auf Anfrage innerhalb von 60 Tagen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Clouddienst des Herstellers; Fragen zu Selbstbetrieb und Quellcode sind für einen Clouddienst sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Konzernmutter ist die Shopify Inc. mit Sitz in Ottawa, Kanada. Händler mit Rechnungsadresse in Europa schließen den Vertrag mit der Shopify International Limited in Dublin; der Anbieter des Dienstes bleibt ein kanadischer Konzern. Beleg: Terms of Service (Stand 20.10.2026) · Privacy Policy (Stand 07.07.2026) · Help Center: Shopify's primary contracting entit…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Shopify selbst ist kanadisch, verarbeitet aber alle Plattformdaten bei Amazon Web Services und Cloudflare, beides US-Unternehmen, die dem CLOUD Act unterliegen. Das DPA erlaubt Shopify die Offenlegung auf gerichtliche oder vergleichbare behördliche Anordnungen nach „angemessenen Bemühungen“ um eine Prüfung der Zulässigkeit. Beleg: Help Center: Subprocessors · Data Processing Addendum (Stand 07.07.2026)
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	nein	Auslegung: Schutzmaßnahmen im SaaS-Betrieb. Shopify wird ausschließlich als Clouddienst betrieben. Eine Verschlüsselung mit Schlüsseln allein beim Händler wurde weder in Sicherheitsseite noch DPA gefunden. Beleg: Security · Data Processing Addendum (Stand 07.07.2026)
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Shopify Inc. hat ihren Sitz in Kanada und ist börsennotiert; laut Management Information Circular vom 21.04.2026 (SEC-Einreichung) hält Gründer und CEO Tobias Lütke mit der Founder Share 40,02 % der Stimmrechte und ist der einzige Aktionär über 5 %. Ein Kontrollwechsel zwischen November 2024 und November 2026 ist nicht ersichtlich. Der Sitz außerhalb von EU, EWR und Schweiz ist in 1.1 bewertet. Beleg: Management Information Circular 2026 (Form 8-K,…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	nein	Ein Speicherort in EU, EWR oder Schweiz ist nicht wählbar. Das DPA erlaubt die Verarbeitung in jedem Land, in dem Shopify, verbundene Unternehmen oder Dienstleister tätig sind, ausdrücklich auch in Singapur und Kanada (Abschn. V.A). Als Hosting-Dienstleister für alle Plattformdaten nennt die Liste der Unterauftragsverarbeiter u. a. AWS (USA) und Google Cloud (Kanada). Beleg: Data Processing Addendum (Stand 07.07.2026) · Help Center: Subprocessors
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb im eigenen Rechenzentrum oder bei frei gewähltem Dienstleister. Shopify gibt es nur als Clouddienst des Herstellers. Beleg: Terms of Service (Stand 20.10.2026)
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Eine Dokumentation der Telemetrie- und Diagnosedaten, die Shopify aus Shops und Verwaltungsoberfläche erhebt, oder eine Abschaltmöglichkeit wurde nicht gefunden. Die Datenschutzerklärung beschreibt die Verarbeitung nur allgemein. Beleg: Privacy Policy (Stand 07.07.2026)
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nein	Das Data Processing Addendum (Stand 07.07.2026) erlaubt die Verarbeitung von Kundendaten auch, um die Dienste zu „develop and improve“; die Terms of Service (Stand 20.10.2026) räumen Shopify eine weltweite Lizenz an Händlerinhalten u. a. zur Verbesserung der Dienste ein. Ein Ausschluss des Trainings von KI-Modellen enthalten beide nicht; für „Enhanced Services“ besteht nur eine Abschaltmöglichkeit durch den Händler. Beleg: Data Processing Addendum (Stand 07.07.2026) · Terms of Service (Stand 20.10.2026)

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Shopify ist ein proprietärer Clouddienst; der Quellcode der Plattform steht nicht unter einer OSI-Lizenz zur Verfügung. Beleg: Terms of Service (Stand 20.10.2026)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt den Dienst von Shopify und ein Abonnement voraus; Funktionen wie die SAML-Anmeldung gibt es nur im Plan Shopify Plus. Beleg: Terms of Service (Stand 20.10.2026) · Help Center: SAML
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Mit der Kündigung endet der Zugang zum Konto, und der Shop wird offline genommen. Personenbezogene Daten stellt Shopify auf Anfrage innerhalb von 60 Tagen bereit, danach werden sie gelöscht. Beleg: Terms of Service (Stand 20.10.2026) · Supplementary Terms of Service for E.U. and U.K.…

Betrieb & Nachweise nicht erfüllt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Shopify legt SOC-2-Type-2-, SOC-3- und SOC-1-Berichte sowie eine PCI-DSS-Bescheinigung der Stufe 1 vor. Ein ISO-27001-Zertifikat oder ein BSI-C5-Testat wird nicht genannt. Beleg: Help Center: Viewing Shopify's compliance reports · Security
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Shopify betreibt ein öffentliches Bug-Bounty-Programm auf HackerOne mit Prämien bis 200.000 US-Dollar. Öffentliche Sicherheitshinweise mit CVE-Nummern oder eine beschriebene Patchpolitik wurden nicht gefunden. Beleg: Bug Bounty: About
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner für europäische Händler ist die Shopify International Limited in Irland, Gerichtsstand sind die Gerichte Irlands. Die Nutzungsbedingungen unterliegen aber dem Recht der kanadischen Provinz Ontario; nur die ergänzenden EU-Bedingungen von 2022 gelten nach irischem Recht. Supportstandorte wurden nicht geprüft. Beleg: Terms of Service (Stand 20.10.2026) · Supplementary Terms of Service for E.U. and U.K.… · Help Center: Shopify's primary contracting entit…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Shopify veröffentlicht eine Liste der verbundenen und dritten Unterauftragsverarbeiter, jeweils mit Sitz der Gesellschaft (z. B. AWS USA, Google Cloud Canada); Verarbeitungsorte sind nicht angegeben. Über neue Unterauftragsverarbeiter informiert ein Benachrichtigungsdienst, das DPA sieht ein Widerspruchsrecht mit Kündigungsmöglichkeit vor, nennt aber keine Vorlauffrist. Beleg: Help Center: Subprocessors · Data Processing Addendum (Stand 07.07.2026)
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Laut DPA kann Shopify Kundendaten in jedes Land übermitteln, in dem Shopify, verbundene Unternehmen oder Dienstleister sitzen; Zugriff hat befugtes Personal ohne Freigabe des Händlers je Fall, die Zustimmung beschränkt sich auf eine allgemeine Erlaubnis für Unterauftragsverarbeiter mit Widerspruchsrecht. Konzerngesellschaften, die anderen Shopify-Gesellschaften Leistungen erbringen, sitzen u. a. in den USA, Indien, Japan und Australien. Beleg: Data Processing Addendum (Stand 07.07.2026) · Help Center: Subprocessors

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Produkte lassen sich als CSV exportieren, große Datenmengen über die Admin API als JSONL. Die Formate sind offen, das Schema aber Shopify-spezifisch; Produktbilder sind im CSV-Export nicht enthalten, Zahlungs- und Steuerunterlagen gibt es nur auf Anfrage. Beleg: Help Center: Exporting products · Shopify.dev: Perform bulk operations with the Gr… · Supplementary Terms of Service for E.U. and U.K.…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die GraphQL Admin API ist öffentlich dokumentiert und versioniert. Shopify Plus unterstützt SAML-Anmeldung, automatisch konfigurierbar für Okta, OneLogin und Microsoft Entra, andere Anbieter manuell. Beleg: Shopify.dev: Perform bulk operations with the Gr… · Help Center: SAML
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Produkt-, Kunden-, Transaktions- und Analysedaten können Händler während der Laufzeit selbst exportieren, auch über die API. Zahlungs- und Steuerunterlagen sind nur auf Anfrage erhältlich, nach Kündigung personenbezogene Daten nur auf Anfrage binnen 60 Tagen. Beleg: Supplementary Terms of Service for E.U. and U.K.… · Help Center: Exporting products · Shopify.dev: Perform bulk operations with the Gr…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

In welchen Regionen von AWS und Google Cloud die Daten europäischer Händler gespeichert werden.
Wie Shopify gespeicherte Daten verschlüsselt und wer die Schlüssel verwaltet.
Welche Telemetrie- und Diagnosedaten Shopify erhebt.
Wie Kunden, Bestellungen und Themes vollständig exportiert werden und was der EU Data Act beim Wechsel ändert.
Wo der Support für europäische Händler sitzt.
Ob Shopify Händler- oder Kundendaten für das Training eigener KI-Modelle (z. B. Sidekick, Shopify Magic) verwendet, weil weder DPA noch Terms noch die Hilfeseite zu Shopify Magic dies regeln.
Mit welcher Vorlauffrist neue Unterauftragsverarbeiter angekündigt werden, weil DPA und Liste keine Frist nennen.

Fragen vor einer Entscheidung

Ist es für Ihre Kundendaten tragbar, dass sie bei US-Anbietern wie AWS und Cloudflare verarbeitet und außerhalb der EU gespeichert werden?
Welche Apps aus dem Marktplatz haben Zugriff auf Ihre Kunden- und Bestelldaten, und wo verarbeiten deren Anbieter sie?
Haben Sie Produkte, Bilder, Kunden, Bestellungen und Theme einmal vollständig exportiert und in einem anderen System getestet?
Welche Daten geben Sie in den KI-Assistenten Sidekick ein, der mit Modellen US-amerikanischer Anbieter arbeitet?

Shopify