Shopify – Praktischer Helfer oder praktisch ein Bußgeldrisiko?

In diesem Artikel soll es um den Anbieter Shopify und dessen Konformität mit der DSGVO gehen. Denn der Anbieter erfreut sich aktuell größter Beliebtheit, ist jedoch nicht ganz unumstritten.

Zuerst einmal die Frage: was ist denn Shopify genau?

Shopify ist in jüngerer Zeit sehr beliebt bei Betreibern von Onlineshops. Es handelt sich bei diesem Anbieter um eine Software as a Service Lösung (SaaS), die es dem Nutzer ermöglicht den gesamten Shop für diesen zu hosten. Der jeweilige Kunde „shoppt“ dann also auf dem Server von Shopify und nicht auf dem eigenen.

Was ist das Problem bezüglich Shopify?

Im Prinzip hat die Entscheidung der Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz den Stein der Verunsicherung ins Rollen gebracht. Der Kern des Problems ist auch hier, wie so oft, die (potentielle) Datenübertragung in die USA.

Shopify selbst gibt an, Daten nur nach Kanada zu übertragen. So weit so gut, denn aus europäischer Perspektive stellt Kanada ein sicheres Drittland dar. Ab diesem Punkt wird es jedoch problematisch, denn von Kanada aus werden die Daten wiederum in weitere Drittländer übertragen, unter anderem die USA. Die mögen aus kanadischer Sicht sicher sein, bekannter weise aber nicht aus der europäischen Sichtweise. Denn aus dieser müssten die Standardvertragsklauseln abgeschlossen werden – und genau diese bietet Shopify nicht an. Die Datenweitergabe erfolgt über Content Delivery Networks (CDN) wie Cloudflare oder Cloudfront. Dieses ist quasi eine Art zweiter dazwischengeschalteter Server, der es ermöglicht, dass die Daten nicht immer vom eigentlichen Shopify Server geladen werden müssen. Genau diese Einstellung lässt sich jedoch seitens Shopify nicht deaktivieren. Der  europäische Nutzer kann dieser „Falle“ also auch durch eigene Einstellungen nicht entkommen.

Im Gegenteil: Shopify selbst verharrt auf dem Standpunkt, dass der Dienst DSGVO-konform sei und ohne Bedenken genutzt werden könne.

Welche Folgen sind zu erwarten?

Die juristische Antwort ist: es kommt drauf an. Wie eine Behörde im Einzelfall entscheidet, ist leider nicht vorauszusehen. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Rheinland-Pfalz verbleibt zum Beispiel trotz Ihrer Negativentscheidung dabei, dass jeder Einzelfall für sich selbstständig zu bewerten ist.

Dennoch sollten Sie aus dieser Entscheidung mitnehmen, dass Shopify solange ein Bußgeldrisiko in sich trägt, bis die Möglichkeit der Abschaltung der CDNs durch Shopify eingeräumt wird. An dieser Stelle der Vollständigkeit halber auch noch einmal die Erinnerung, dass diese Bußgelder durchaus sehr empfindlich sein können – bis zu 20 Millionen Euro bzw. 4% des weltweiten Vorjahresumsatz.

Die Nutzung des Dienstes sollte also – zumindest aktuell – gut überlegt sein!