Kurz und ehrlich: Wenn du einen Shopify-Shop in der Schweiz betreibst, verarbeitet deine Seite mit ziemlicher Sicherheit Personendaten, und ein Teil davon fliesst in die USA. Das revidierte Schweizer Datenschutzgesetz (revDSG) verlangt, dass du darüber transparent informierst. Die meisten Shopify-Shops tun das nicht korrekt, weil sie eine deutsche Vorlage kopiert haben, die genau diesen Punkt nicht abdeckt.
Dieser Guide erklärt dir, was das revDSG für deinen Shop konkret bedeutet, welche Tools das Problem verursachen und wie du eine Datenschutzerklärung bekommst, die wirklich zu deinem Shop passt.
Braucht mein Shopify-Shop überhaupt eine Datenschutzerklärung?
Ja. Sobald deine Webseite Personendaten bearbeitet, und das tut praktisch jeder Shop, brauchst du eine Datenschutzerklärung. Personendaten sind schon die IP-Adresse eines Besuchers, die E-Mail aus dem Kontaktformular, die Bestelldaten oder die Information, die dein Tracking-Pixel sammelt.
Bei einem Shopify-Shop kommen davon einige zusammen: Bestellungen, Kundenkonten, Newsletter, Zahlungsabwicklung, dazu Analyse- und Marketing-Tools. Jedes dieser Elemente verarbeitet Personendaten. Die Datenschutzerklärung ist der Ort, an dem du transparent machst, was mit diesen Daten passiert.
Das ist keine Formalität, die man ignorieren kann: Nach dem revDSG steht die Informationspflicht im Zentrum. Du musst die betroffenen Personen darüber informieren, dass und wie du ihre Daten bearbeitest.
Das eigentliche Problem: deine Daten reisen in die USA
Hier wird es für Shopify-Shops spezifisch, und hier machen die meisten Vorlagen einen Fehler.
Shopify selbst, und fast alle gängigen Zusatz-Tools, sind US-Dienste. Wenn auf deinem Shop eines dieser Tools läuft, werden Personendaten deiner Besucher in die USA übermittelt:
- Shopify, die Plattform selbst (Server in Kanada/USA)
- Meta Pixel, für Facebook-/Instagram-Werbung
- Google Analytics, für Besucherstatistiken
- Google Fonts (extern eingebunden), überträgt IP-Adressen an Google
- Klaviyo oder Mailchimp, für den Newsletter
- Stripe oder PayPal, für Zahlungen
- TikTok Pixel, Pinterest Tag, für weitere Werbekanäle
Das revDSG erlaubt die Übermittlung von Personendaten ins Ausland, aber nur unter bestimmten Voraussetzungen, und du musst transparent darüber informieren. Dieser Punkt heisst Auslandbekanntgabe, und genau er fehlt in den meisten kopierten Datenschutzerklärungen.
Ein aktueller Punkt dazu, der oft veraltet dargestellt wird: Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, allerdings nur für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben. Für solche zertifizierten Dienste sind keine zusätzlichen Garantien (wie Standardvertragsklauseln) mehr nötig. Für US-Dienste ohne diese Zertifizierung braucht es dagegen weiterhin geeignete Garantien. Die Transparenzpflicht, informieren, dass Daten in die USA gehen, bleibt in beiden Fällen bestehen.
Der typische Fehler: eine deutsche DSGVO-Vorlage kopieren. Die ist auf EU-Recht ausgelegt, nennt deine konkreten Shopify-Tools nicht und behandelt die Schweizer Auslandbekanntgabe nicht richtig. Das Ergebnis: eine Erklärung, die offiziell aussieht, aber nicht zu deinem Shop passt.
DSGVO oder revDSG: was gilt für meinen Schweizer Shop?
Für einen Shop mit Sitz in der Schweiz ist das revDSG der massgebende Rahmen. Die europäische DSGVO kann zusätzlich greifen, wenn du gezielt Kundinnen und Kunden in der EU bedienst, aber sie ist nicht dein Ausgangspunkt.
Das ist wichtig, weil die beiden Gesetze unterschiedliche Schwerpunkte haben. Ein Beispiel: Bei Cookies verlangt das Schweizer Recht keinen gesetzlichen Einwilligungs-Zwang in derselben Form wie die DSGVO, informieren musst du trotzdem. Eine reine DSGVO-Vorlage übererfüllt an manchen Stellen (unnötige Cookie-Opt-ins) und untererfüllt an anderen (Schweizer Auslandbekanntgabe). Beides ist nicht ideal.
Kurz: Du willst eine Erklärung, die für Schweizer Recht gebaut ist, nicht eine deutsche Vorlage mit ausgetauschtem Ländernamen.
Was in die Datenschutzerklärung eines Shopify-Shops gehört
Eine saubere Datenschutzerklärung für einen Schweizer Shopify-Shop deckt mindestens ab:
- Verantwortliche Stelle, wer du bist, mit Kontaktangaben
- Welche Daten du bearbeitest, Server-Logs, Bestell-, Konto-, Kontaktdaten
- Zwecke, wofür du die Daten verwendest
- Cookies und Tracking, welche Analyse- und Marketing-Tools laufen
- Drittanbieter-Dienste, jedes Tool namentlich, mit Zweck und Anbieter
- Auslandbekanntgabe, welche Dienste Daten ins Ausland senden und auf welcher Grundlage
- Newsletter und Zahlungsabwicklung, falls vorhanden
- Rechte der betroffenen Personen, Auskunft, Berichtigung, Löschung
- Datensicherheit und Aufbewahrung
Der entscheidende Unterschied zwischen einer guten und einer nutzlosen Erklärung liegt nicht in der Länge, sondern in der Passgenauigkeit: Nennt sie die Tools, die tatsächlich auf deiner Seite laufen? Behandelt sie deren Auslandtransfer korrekt? Eine generische Vorlage kann das nicht, weil sie nicht weiss, was auf deinem Shop installiert ist.
Was passiert, wenn ich keine (oder eine falsche) Erklärung habe?
Das revDSG kennt für vorsätzliche Verstösse gegen die Informationspflicht Bussen, und anders als viele annehmen richten sie sich gegen die verantwortliche natürliche Person, nicht gegen die Firma. Dazu kommt: es ist ein Antragsdelikt, jemand muss also aktiv Strafantrag stellen. Die Praxis ist entsprechend zurückhaltend, und ich halte nichts davon, mit Zahlen Angst zu machen.
In den allermeisten Fällen geht es ohnehin nicht um eine Busse, sondern darum, dass dein Shop sauber und professionell dasteht. Wer Kundendaten erhebt und nicht sagen kann wohin sie fliessen, wirkt unsorgfältig, und das merken Kundinnen eher als jede Behörde.
So bringst du deinen Shopify-Shop in Ordnung
Der Weg ist einfacher, als die meisten denken:
1. Scan: Lass prüfen, welche Tools und Tracker auf deinem Shop tatsächlich laufen und welche davon Daten ins Ausland senden.
2. Verstehen: Schau dir an, was davon in deiner aktuellen Erklärung fehlt.
3. Fixen: Hol dir eine Datenschutzerklärung, die auf genau diese Tools zugeschnitten ist, inklusive korrekter Auslandbekanntgabe für die US-Dienste.
Genau dafür gibt es DSGfix: Der Scan findet deine Tools automatisch, und du bekommst die fertige, auf deinen Shop zugeschnittene Datenschutzerklärung zum Einbauen. Kein Juristendeutsch, kein Anwaltstermin, in wenigen Minuten erledigt.