Ratgeber · Shopify und deutsches Recht

Impressum und Datenschutz im Shopify-Shop: was wohin gehört

Für diese beiden Texte hat Shopify tatsächlich Felder — anders als für die Widerrufsbelehrung. Das Einfüllen dauert zehn Minuten. Die Fehler stecken woanders: in dem, was noch drinsteht, und in dem, was fehlt.

Wo die beiden Texte hingehören

Unter Einstellungen → Richtlinien findest du sechs Felder. Zwei davon interessieren hier: Impressum und Datenschutzerklärung. Trag die Texte dort ein, nicht als normale Seiten unter Onlineshop → Seiten. Der Unterschied ist nicht kosmetisch:

• Richtlinien werden im Fußbereich des Checkouts automatisch verlinkt. Eine selbstgebaute Seite nicht — und der Checkout ist genau der Ort, an dem die Pflicht am schärfsten greift.
• Sie bekommen feste Adressen: /policies/legal-notice und /policies/privacy-policy. Die bleiben, auch wenn du das Theme wechselst.

Was Shopify nicht tut: sie in den Fußbereich deines Shops setzen. Das machst du unter Onlineshop → Navigation → Fußzeilenmenü, mit „Menüpunkt hinzufügen“ und der Verknüpfung auf die jeweilige Richtlinie. Viele Shops haben deshalb ein tadelloses Impressum, das im Shop selbst nirgends verlinkt ist.

Erreichbar heißt: zwei Klicks, und richtig beschriftet

§ 5 DDG verlangt, dass die Anbieterkennzeichnung leicht erkennbar, unmittelbar erreichbar und ständig verfügbar ist. Der BGH hat das 2006 ausgelegt (Urteil vom 20.07.2006, I ZR 228/03): Zwei Klicks genügen, etwa über „Kontakt“ und dann „Impressum“. Ab drei Klicks wird es riskant.

Wichtiger als die Zahl ist die Beschriftung. Der Link muss „Impressum“ heißen. „Über uns“, „Rechtliches“ oder „Legal“ reichen nicht, weil der Durchschnittsnutzer dahinter nichts Bestimmtes erwartet. Achte auch auf die Sprache: Wer die Richtlinie im Admin englisch benennt, bekommt im Checkout einen englischen Linktext.

Und: „ständig verfügbar“ heißt auf jeder Seite. Landingpages, die das Theme ohne Fußbereich ausliefert, sind der klassische blinde Fleck.

Was ins Impressum gehört

Für einen Einzelunternehmer ist die Liste nach § 5 DDG kürzer, als die meisten Muster vermuten lassen:

• Vor- und Zuname. Der Fantasiename des Shops allein reicht nicht. Er darf daneben stehen.
• Ladungsfähige Anschrift. Straße, Hausnummer, PLZ, Ort. Kein Postfach, keine c/o-Adresse ohne echten Bezug.
• E-Mail-Adresse plus ein zweiter Weg für schnelle, unmittelbare Kommunikation.
• Umsatzsteuer-Identifikationsnummer, aber nur wenn du eine hast. Die Steuernummer vom Finanzamt gehört nicht ins Impressum.
• Aufsichtsbehörde und Kammer nur bei erlaubnispflichtigen oder verkammerten Tätigkeiten.

Eine Telefonnummer ist nicht zwingend. Der EuGH hat das 2008 entschieden (Urteil vom 16.10.2008, C-298/07). Aber die Einschränkung wird meist unterschlagen: Ein Kontaktformular gilt nur dann als gleichwertig, wenn Anfragen innerhalb von 30 bis 60 Minuten beantwortet werden. Wer das nicht leisten kann, ist mit einer Telefonnummer sicherer.

Was seit dem 20. Juli 2025 raus muss

Jahrelang gehörte dieser Satz in jedes deutsche Impressum: ein Hinweis auf die Plattform der EU-Kommission zur Online-Streitbeilegung, samt Link auf ec.europa.eu/consumers/odr.

Diese Plattform gibt es nicht mehr. Sie wurde zum 20. Juli 2025 abgeschaltet, Grundlage ist die Verordnung (EU) 2024/3228. Ein Ersatz ist nicht geplant. Damit ist die Informationspflicht entfallen — und der Link führt ins Nichts.

Stehenlassen ist keine harmlose Altlast. Du verweist deine Kunden auf einen Weg zur Streitbeilegung, den es nicht mehr gibt. Das ist eine irreführende Angabe, und genau so etwas wird abgemahnt. Prüf die Stelle in beiden Texten: Der Satz steht meistens im Impressum und in den AGB.

Was dagegen bleibt

Die Angabe nach § 36 VSBG, ob du an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilnimmst, ist davon unberührt — sie stammt aus deutschem Recht, nicht aus der EU-Verordnung. Für kleine Betriebe gilt eine Erleichterung: Wer am 31. Dezember des Vorjahres zehn oder weniger Menschen beschäftigt hat, muss diese Angabe nicht machen. Schaden tut sie trotzdem nicht.

Der Blog, an den niemand denkt

Fast jedes Shopify-Theme bringt einen Blog mit, und viele Shops füllen ihn mit Ratgebern und Neuigkeiten. Sobald diese Inhalte journalistisch-redaktionell sind — also nicht nur Produktbeschreibungen, sondern Beiträge mit eigener Recherche und Meinung —, greift § 18 Abs. 2 MStV.

Dann brauchst du im Impressum zusätzlich einen Verantwortlichen für den Inhalt, mit Namen und Anschrift im Inland. Bei einem Einzelunternehmer ist das dieselbe Person wie oben, es ist also eine Zeile Arbeit. Fehlt sie, ist das Impressum unvollständig, obwohl alles andere stimmt.

Datenschutz: was Shopify schon erledigt hat

Hier kommt die gute Nachricht, für die viele Händler Geld ausgeben: Den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO hast du mit Shopify bereits geschlossen. Shopifys Data Processing Addendum ist per Verweis Bestandteil der Nutzungsbedingungen. Mit der Eröffnung deines Shops steht er. Du musst nichts unterschreiben, nichts anfordern, nichts nachreichen.

Für die Übermittlung in Drittländer stützt sich Shopify auf verbindliche interne Datenschutzvorschriften zwischen den eigenen Gesellschaften, auf die Standardvertragsklauseln der EU in der Fassung von 2021 und, für Kanada, auf den Angemessenheitsbeschluss der Kommission. Die Liste der Unterauftragsverarbeiter pflegt Shopify im Hilfebereich und aktualisiert sie — auf die solltest du in deiner Datenschutzerklärung verweisen, statt sie abzutippen.

Was Shopify nicht erledigt: deine Apps

Shopifys Vertrag deckt Shopify ab. Er deckt nicht die zwölf Apps ab, die du im Laufe eines Jahres installiert hast. Jede App, die personenbezogene Daten verarbeitet, ist ein eigener Auftragsverarbeiter — mit eigenem Vertrag, eigenem Serverstandort und eigenem Eintrag in deiner Datenschutzerklärung.

Das betrifft mehr, als man denkt: Bewertungs-Apps, Newsletter-Tools, Wunschlisten, Live-Chat, Retouren-Portale, Upselling, Produktfinder. Alles, was Namen, E-Mail-Adressen oder IP-Adressen sieht.

Der Test ist unspektakulär: Öffne Einstellungen → Apps und Vertriebskanäle und zähl durch. Dann vergleiche mit deiner Datenschutzerklärung. Wenn dort weniger Anbieter stehen als im Admin, hast du eine Lücke — und zwar eine, die jeder Besucher mit zwei Klicks sieht.

Deinstallierte Apps sind übrigens nicht automatisch erledigt. Die Daten, die sie gesammelt haben, liegen weiter beim Anbieter, bis du die Löschung verlangst.

Drei Fehler, die immer wieder vorkommen

Das Impressum als Bild

Kommt selten vor, ist aber tödlich: Wer die Angaben als Grafik einbindet, macht sie für Vorleseprogramme unlesbar und erfüllt die Anforderung nicht.

Die Datenschutzerklärung aus dem Generator, unverändert

Generatoren fragen ab, was du einsetzt. Sie wissen nicht, was du später installiert hast. Eine Datenschutzerklärung von vor acht Monaten beschreibt in der Regel einen Shop, den es so nicht mehr gibt.

Angaben, die nicht zur Wirklichkeit passen

Eine Datenschutzerklärung, die Google Analytics beschreibt, obwohl du es nie eingerichtet hast, ist genauso falsch wie eine, die es verschweigt. Beides sind Falschangaben. Was du schreibst, muss dem entsprechen, was dein Shop tut — nachprüfbar im privaten Fenster.

Zum Abhaken

Dieser Text erklärt die Rechtslage allgemein und ersetzt keine Beratung für deinen Einzelfall. Stand: 27. September 2026.

Zur Startseite · Alle Ratgeber · Impressum