Wer einen Shopify-Shop betreibt, verlässt sich auf eine Plattform, die weltweit Millionen Warenkörbe pro Tag abwickelt. Dass ausgerechnet im Checkout-Code ein Muster steckt, das Schweigen als Einwilligung deutet, sorgt in Entwicklerkreisen für Unruhe. Der Vorwurf: Shopifys eigenes Frontend behandelt das Ausbleiben einer expliziten Ablehnung als Zustimmung – ein Konstrukt, das Juristen als „Opt-out by Default“ bezeichnen und das mit der europäischen Rechtslage kollidiert.
Was steckt konkret im Code?
Die Diskussion entzündet sich an einer technischen Eigenheit: Bestimmte Checkout-Komponenten von Shopify setzen voraus, dass Nutzer aktiv widersprechen müssen, wenn sie einer Verarbeitung nicht zustimmen wollen. Bleibt der Widerspruch aus, gilt der Vorgang als gebilligt. In der Praxis betrifft das etwa vorausgewählte Optionen, stillschweigend aktivierte Marketing-Einwilligungen oder das Setzen von Consent-Cookies, bevor der Nutzer überhaupt interagiert hat.
Für Shopbetreiber ist das heikel. Denn die DSGVO verlangt für die meisten nicht-essentiellen Verarbeitungen eine ausdrückliche, informierte und freiwillige Einwilligung – nicht deren Vermutung. Wer als Händler auf die Standardkonfiguration vertraut, trägt das rechtliche Risiko, nicht Shopify. Die Plattform stellt Werkzeuge bereit, die Konfiguration bleibt aber in der Verantwortung des Merchants.
Warum verlieren Händler hier schnell den Überblick?
Das Problem liegt weniger in böser Absicht als in der Architektur. Shopifys Checkout ist ein geschlossenes System, das Händler nur eingeschränkt anpassen können. Viele Consent-Apps greifen zwar im Storefront, erreichen den Checkout aber nicht vollständig. Genau dort – zwischen Warenkorb und Kaufabschluss – entscheidet sich jedoch, welche Daten fließen und welche Einwilligung dokumentiert wird.
Hinzu kommt: Shopify ist kanadisch geprägt und optimiert primär auf nordamerikanische Märkte. Die dort verbreitete Logik „Opt-out statt Opt-in“ hat in der EU keinen Bestand. Deutsche und österreichische Händler müssen deshalb aktiv nachsteuern, etwa über die Customer Privacy API von Shopify, mit der sich Consent-Signale an das Checkout durchreichen lassen.
- Prüfen, ob im Checkout Marketing-Consent vorausgewählt ist
- Sicherstellen, dass Consent-Apps bis in den Checkout greifen
- Einwilligungen revisionssicher protokollieren, inklusive Zeitstempel
Welche Konsequenzen drohen konkret?
In Deutschland ist die Abmahnwelle bei Datenschutzverstößen seit Jahren Realität. Wettbewerber und Verbraucherschutzverbände nutzen fehlerhafte Consent-Banner regelmäßig als Aufhänger. Ein stillschweigend gesetzter Cookie im Checkout ist dabei kein Kavaliersdelikt, sondern ein dokumentierbarer Verstoß gegen Art. 6 DSGVO. Bußgelder sind möglich, das größere Risiko liegt aber in Unterlassungserklärungen und Kostennoten.
Interessant ist der Zeitpunkt: Die Diskussion fällt mitten in eine Phase, in der Shopify sein Consent-Management ausbaut und Händler zunehmend unter Druck geraten, ihre Datenflüsse sauber zu dokumentieren. Wer jetzt prüft, ist besser dran als jene, die erst nach der ersten Abmahnung reagieren.
Der eigentliche Punkt ist unbequem: Eine Plattform, die Schweigen als Zustimmung interpretiert, mag technisch effizient sein. Rechtlich ist sie ein Minenfeld. Händler sollten ihre Checkout-Konfiguration nicht als gegeben hinnehmen, sondern als das, was sie ist – eine Entscheidung mit Haftungsfolge.