Was Shopware ist

Shopware ist eine Software für Onlineshops mit Produktverwaltung, Kundenkonten, Checkout, Inhaltsseiten und Schnittstellen für Warenwirtschaft und Apps. Shopware 6 steht unter der MIT-Lizenz. Der Store des Herstellers bietet über 3.100 Erweiterungen.

Projektträger ist die shopware AG aus Schöppingen, gegründet von den Brüdern Stefan und Sebastian Hamann. 2022 stiegen Carlyle und PayPal mit 100 Mio. US-Dollar ein. Laut Berichten vom Oktober 2025 übernimmt PayPal den Carlyle-Anteil und hält dann rund 41 Prozent.

Wofür es eingesetzt wird

Händler und Hersteller betreiben mit Shopware Onlineshops für Endkunden und Geschäftskunden, oft mit einer Agentur oder einem Hoster. Funktionen wie die B2B-Suite und erweiterte Inhaltsbearbeitung gibt es nur in den bezahlten Plänen Rise, Evolve und Beyond.

Seit 2025 gilt eine Fair Usage Policy. Wer mit der kostenlosen Community Edition mehr als 1 Mio. Euro im Jahr umsetzt und Account und Store nutzt, braucht einen bezahlten Plan. Seit April 2026 meldet der Shop Umsatz und Bestellanzahl dafür automatisch, ab Version 6.7.13.0 lässt sich das nicht mehr abschalten. Der Shop selbst läuft auch ohne Store weiter.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz des freien Projekts im Selbstbetrieb; Fragen zu Anbieter und Vertrag sind für ein Open-Source-Projekt sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Auslegung: Beim freien Projekt wird der Projektträger bewertet. Das ist die shopware AG mit Sitz in Schöppingen (HRB 11471, Amtsgericht Coesfeld). Eine Konzernmutter gibt es nicht. PayPal (USA) hält laut Berichten vom Oktober 2025 rund 41 Prozent und damit eine Minderheit; 2022 lag die deutliche Mehrheit bei den Gründern. Beleg: Impressum · Shopware Raises USD 100 Million in Growth Capita… · PayPal to Take Over Carlyle Stake in E-Commerce… · PayPal erhöht Beteiligung an Shopware
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Auslegung: Im Selbstbetrieb hat die shopware AG keinen Zugriff auf Shopdaten. Bei Verbindung mit einem Shopware Account überträgt der Shop nur aggregierten Umsatz und Bestellanzahl; Kundendaten bleiben laut Doku im Shop. Eine Herausgabeanordnung gegen den Projektträger oder einen Anteilseigner würde daher keine Inhalte erfassen. Beleg: Docs: Shopware GMV Reporting · Automated GMV reporting
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Im Selbstbetrieb liegen Datenbank, Dateien und Schlüssel ausschließlich in der Infrastruktur des Betreibers. Der Schutz beruht auf dem eigenen Betrieb. Beleg: GitHub-Repository shopware/shopware (README, LIC… · Docs: Shopware GMV Reporting
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Die shopware AG sitzt in Schöppingen. Laut Bloomberg und Fachpresse (Sekundärquellen, Oktober 2025) übernahm die US-amerikanische PayPal den Anteil eines Carlyle-Fonds und erhöhte ihre Beteiligung von rund 11 % auf rund 41 %; eine Mehrheit ergibt das nicht. Die übrigen Anteilseigner, darunter die Gründer, und deren Quoten sind nicht primär belegt; eine Bestätigung von shopware oder PayPal zu Vollzug und Kontrollverhältnissen wurde nicht gefunden. Beleg: Impressum · PayPal to Take Over Carlyle Stake in E-Commerce… · PayPal erhöht Beteiligung an Shopware · PayPal increases stake in Shopware

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Shopware 6 steht unter MIT-Lizenz und wird für den eigenen Betrieb über das Flex-Template installiert; ohne Vertrag mit einem Anbieter bestimmt der Betreiber den Speicherort von Shop- und Backupdaten selbst. An Shopware gehen bei verbundenem Account nur aggregierte Umsatzzahlen (GMV-Reporting). Beleg: GitHub-Repository shopware/shopware (README, LIC… · Docs: Shopware GMV Reporting
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Shopware 6 ist frei unter MIT-Lizenz verfügbar und ohne Vorgabe einer Hosting-Umgebung im eigenen Rechenzentrum oder bei einem frei gewählten Dienstleister betreibbar. Beleg: GitHub-Repository shopware/shopware (README, LIC… · Shopware Community Edition 2026: When CE is enou…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Das GMV-Reporting überträgt aggregierten Umsatz und Bestellanzahl verschlüsselt an Shopware und ist dokumentiert. Seit 14.04.2026 läuft es automatisch, und ab Version 6.7.13.0 lässt es sich bei verbundenem Shopware Account nicht mehr abschalten. Shops ohne Account und Store sind laut Shopware ausgenommen. Ob weitere Nutzungsdaten übertragen werden, wurde nicht geprüft. Beleg: Docs: Shopware GMV Reporting · Automated GMV reporting
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Auslegung: Im Selbstbetrieb bleiben die Shopdaten beim Betreiber. Seit Version 6.7.1 enthält auch die Community Edition den Copilot; Anfragen gehen an einen externen KI-Anbieter, der sie laut shopware nicht zum Training nutzt, und shopware sammelt die Anfragen zur Verbesserung des Assistenten. Die KI-Nutzungsbedingungen der shopware AG enthalten keinen Ausschluss des Trainings; der Betreiber kann Copilot-Funktionen nur durch Nichtnutzung oder Abschalten einzelner Skills vermeiden. Beleg: AI Copilot – Intelligent features, seamlessly in… · Docs: Copilot · Terms of Use for AI-Based Systems (Version 2025-…

Quellcode & Lizenz eingeschränkt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Shopware 6 steht laut Repository vollständig unter der MIT-Lizenz, einer OSI-anerkannten Lizenz. Die Fair Usage Policy ändert diese Lizenz nach Angaben von Shopware nicht. Beleg: GitHub-Repository shopware/shopware (README, LIC… · Fair Usage Policy for the Community Edition
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	teilweise	Der Shop läuft ohne proprietäre Bestandteile. Erweiterungen und deren Updates kommen aber meist über Shopware Account und Store, deren Nutzung ab 1 Mio. Euro Jahres-GMV einen bezahlten Plan voraussetzt. B2B-Suite, erweiterte Inhaltsbearbeitung und KI-Export gibt es nur in kommerziellen Plänen; eine Anmeldung der Verwaltung über SSO bietet nur ein Zusatzmodul eines Drittanbieters. Beleg: Fair Usage Policy for the Community Edition · Shopware Community Edition 2026: When CE is enou… · Docs: Import/Export · GitHub: HeptacomShopwarePlatformAdminOpenAuth
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Auslegung: Beim freien Projekt gibt es kein Vertragsende. Auch wenn Shopware den Zugang zu Account und Store einschränkt, bleibt der Shop laut Shopware funktionsfähig; gekaufte Erweiterungen bleiben nutzbar, gemietete bis Laufzeitende. Updates für Erweiterungen entfallen dann. Beleg: Fair Usage Policy for the Community Edition · GitHub-Repository shopware/shopware (README, LIC…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Auslegung: Das freie Projekt im Selbstbetrieb hat kein eigenes Zertifikat; Nachweise müssen für die eigene Betriebsumgebung erbracht werden. Die shopware AG führt im Trust Center ein ISO/IEC-27001:2022-Zertifikat für ihr ISMS; Geltungsbereich, Zertifizierungsstelle und Datum nennt die Seite nicht. Beleg: Shopware Trust Center
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Shopware nimmt Meldungen über ein Formular mit Bug-Bounty an und gibt Details in der Regel zwei bis vier Wochen nach dem Fix frei. Sicherheitshinweise erscheinen als GitHub Security Advisories, zuletzt im September 2026. Sicherheitsfixes werden sofort veröffentlicht, für ältere Versionen über ein Security-Plugin. Beleg: Security Reporting · GitHub: Security Policy und Security Advisories… · Developer Documentation: Release Notes und Relea…
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Auslegung: Beim freien Projekt gibt es keinen Vertragspartner und keinen zugesicherten Support. Kommerzielle Pläne mit Herstellersupport bietet die shopware AG in Deutschland an; deren Vertragsbedingungen und Rechtswahl wurden nicht geprüft. Beleg: Impressum · Shopware Community Edition 2026: When CE is enou…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Auslegung: Im Selbstbetrieb verarbeitet shopware keine Shopdaten im Auftrag; übertragen werden aggregierte Umsatzkennzahlen (GMV) und, bei Nutzung, Copilot-Anfragen. Für den Copilot nennt shopware nur einen externen KI-Anbieter mit Sitz in Europa, ohne Namen. Eine öffentliche Liste der Unterauftragsverarbeiter mit Standorten und Änderungsankündigung fand sich weder im Trust Center noch in den Nutzungsbedingungen. Beleg: Docs: Shopware GMV Reporting · Docs: Copilot · Shopware Trust Center · Terms of Use for Services (Version 2026-02-24)
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	teilweise	Auslegung: Im Selbstbetrieb liegen Betrieb und Administration beim Shopbetreiber, Teil (a) ist erfüllt. Die Quellen beschreiben nicht, ob und mit welcher Freigabe der Hersteller-Support auf Kundendaten zugreift. Der Copilot sendet Anfragen an einen externen KI-Anbieter, laut Dokumentation derzeit in Europa. Teil (b) ist damit nicht belegt. Beleg: Terms of Use for Services (Version 2026-02-24) · Docs: Copilot

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Produkte, Kunden und Kategorien lassen sich über Profile als CSV exportieren; die Admin API liefert JSON. Im Selbstbetrieb ist die Datenbank zusätzlich mit Standardwerkzeugen sicherbar. Die CSV-Profile sind Shopware-spezifisch, und der KI-Export-Assistent erfordert einen kommerziellen Plan. Beleg: Docs: Import/Export · Developer Documentation: API concepts
5.2 Offene Standards für Anmeldung und Schnittstellen?	teilweise	Admin API (mit OAuth 2.0) und Store API sind dokumentiert und arbeiten mit HTTP und JSON. Eine Anmeldung der Verwaltung über SAML oder OpenID Connect ist im Kern nicht dokumentiert; das Zusatzmodul eines Drittanbieters unter Apache-2.0-Lizenz rüstet beides nach. Beleg: Developer Documentation: API concepts · GitHub: HeptacomShopwarePlatformAdminOpenAuth
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Im Selbstbetrieb hat der Betreiber vollen Zugriff auf Datenbank und Dateien und kann ohne Mitwirkung oder Kosten eines Anbieters exportieren, auch über die Admin API. Beleg: GitHub-Repository shopware/shopware (README, LIC… · Developer Documentation: API concepts

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob die Übernahme des Carlyle-Anteils durch PayPal vollzogen ist und welche Anteile die Gründer heute halten.
Ob Shopware neben dem Umsatzmelder weitere Nutzungsdaten aus dem Shop erhält.
Welchen Geltungsbereich das ISO-27001-Zertifikat der shopware AG hat.
Welche Vertragsbedingungen und welche Rechtswahl für die kommerziellen Pläne gelten.
In welcher AWS-Region Shopware SaaS läuft.
Ob die Gründer weiterhin die Mehrheit an der shopware AG bzw. ihrer Holding halten und welche Kontrollrechte PayPal hat, weil dazu nur Sekundärquellen vorliegen.
Welcher KI-Anbieter den Copilot betreibt und ob shopware die gesammelten Anfragen zum Training eigener Modelle nutzt, weil Website und KI-Bedingungen das nicht regeln.
Ob der Copilot in der Community Edition standardmäßig aktiv ist, weil die Dokumentation das nicht angibt.
Ob der Copilot in der Community Edition überhaupt verfügbar ist, weil die Dokumentation das nicht angibt.

Fragen vor einer Entscheidung

Liegt Ihr Jahresumsatz über 1 Mio. Euro, und brauchen Sie für Erweiterungen und deren Updates deshalb einen bezahlten Plan?
Welche Erweiterungen bezieht Ihr Shop über den Shopware Store, und wie aktualisieren Sie sie ohne Account?
Wer spielt die monatlichen Updates und Sicherheitsfixes ein, und wie schnell?
Haben Sie geklärt, wie Ihre Verwaltung angemeldet wird, wenn Sie zentrale Anmeldung über SAML oder OpenID Connect brauchen?

Shopware