Kurz: Ein typischer Shopify-Shop sendet Personendaten seiner Besucher in die USA, über die Plattform selbst und über die meisten Marketing- und Analyse-Tools. Das ist nicht per se verboten, aber das revDSG verlangt, dass du transparent darüber informierst. Genau dieser Punkt, die Auslandbekanntgabe, fehlt in fast allen kopierten Datenschutzerklärungen.

Welche deiner Dienste senden Daten ins Ausland?
Der Scan nennt sie beim Namen, mit Zweck, Vertragspartnerin und Staat. Ich lese aus, welche Dienste auf deiner Seite laufen, und halte sie gegen das, was in deiner Erklärung steht. Rund 15 Sekunden, kostenlos, ohne Anmeldung.

Warum Shopify-Daten in die USA gehen

Shopify ist ein kanadisches Unternehmen mit Infrastruktur auch in den USA. Schon der Betrieb des Shops führt dazu, dass Daten ausserhalb der Schweiz bearbeitet werden. Dazu kommen die Tools, die fast jeder Shop einsetzt und die überwiegend US-Dienste sind:

  • Google Analytics, Reichweitenmessung (USA)
  • Meta Pixel, Facebook-/Instagram-Werbung (USA)
  • TikTok Pixel, Pinterest Tag, weitere Werbekanäle (USA)
  • Google Fonts, wenn extern eingebunden, überträgt die IP an Google (USA)
  • Klaviyo, Mailchimp, Newsletter (USA)
  • Stripe, PayPal, Zahlungen (USA/Irland bzw. Luxemburg)

Jeder dieser Dienste bekommt beim Besuch deiner Seite Personendaten, oft schon die IP-Adresse, dazu Geräte- und Nutzungsdaten.

Was das revDSG dazu sagt

Das Schweizer Recht erlaubt die Bekanntgabe von Personendaten ins Ausland, verlangt aber zweierlei: eine ausreichende Grundlage und Transparenz. Du musst in deiner Datenschutzerklärung informieren, dass Daten ins Ausland gehen, in welche Länder, und auf welcher Grundlage.

Für die USA hat sich die Lage 2024 geändert: Seit dem 15. September 2024 anerkennt die Schweiz US-Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, wieder als angemessen geschützt. Für zertifizierte Dienste (viele grosse Anbieter sind es) braucht es dann keine zusätzlichen Garantien mehr. Für nicht zertifizierte US-Dienste braucht es weiterhin geeignete Garantien wie Standardvertragsklauseln. Die Pflicht, darüber zu informieren, bleibt in beiden Fällen.

Wichtig, weil viele Vorlagen hier veraltet sind: Verweise auf das Privacy Shield sind falsch, dieses Abkommen ist seit 2020 ungültig. Eine korrekte Schweizer Erklärung nennt heute das Swiss-U.S. Data Privacy Framework bzw. Standardvertragsklauseln.

Der häufigste Fehler

Der klassische Fehler ist eine Erklärung, die entweder gar nichts zur Auslandbekanntgabe sagt oder, noch schlechter, behauptet, es würden keine Daten ins Ausland übermittelt, obwohl Google Analytics und ein Meta Pixel laufen. Solche Widersprüche entstehen durch kopierte Vorlagen, die nicht mit der echten Seite abgeglichen wurden.

Was du konkret tun kannst

1. Herausfinden, welche US-Dienste auf deiner Seite laufen (ein Scan zeigt das automatisch).

2. Prüfen, ob deine Erklärung diese Dienste namentlich nennt und die Auslandbekanntgabe korrekt beschreibt.

3. Fehlendes ergänzen und veraltete Grundlagen (Privacy Shield) durch die aktuelle Formulierung ersetzen.

Wenn du schon eine Erklärung hast, musst du sie nicht neu schreiben, sondern nur an diesen Punkten korrigieren.

Welche deiner Dienste senden Daten ins Ausland?
Der Scan nennt sie beim Namen, mit Zweck, Vertragspartnerin und Staat. Ich lese aus, welche Dienste auf deiner Seite laufen, und halte sie gegen das, was in deiner Erklärung steht. Rund 15 Sekunden, kostenlos, ohne Anmeldung.