shopatch
EN Projekt anfragen
← Blog

·

Ist dein Shopify-Cookie-Banner in Deutschland rechtssicher? Checkliste 2026

Kurze Antwort: Ein Shopify-Cookie-Banner ist in Deutschland rechtssicher, wenn keine nicht-essenziellen Cookies oder Tracking-Pixel laden, bevor der Besucher aktiv zustimmt (§25 TDDDG), die erste Banner-Ebene einen „Alles ablehnen”-Button in gleicher Größe, Farbe und Position wie „Alles akzeptieren” bietet (Verwaltungsgericht Hannover, 19. März 2025), es keine vorangekreuzten Kästchen gibt, jeder Tracking-Dienst in deiner Datenschutzerklärung namentlich genannt ist und die Einwilligung jederzeit widerrufen werden kann. Shopifys nativer Banner deckt die Basis ab — aber Apps und im Theme eingebaute Pixel sind der Ort, an dem die meisten Stores unbemerkt gegen das Recht verstoßen.

Fast jeder deutsche Shopify-Store, den wir prüfen, hat dasselbe Problem, und fast keiner der Betreiber weiß davon: Das Tracking startet, bevor jemand auf den Banner klickt. Der Banner fragt um Erlaubnis, die sich die Seite längst genommen hat. Hier ist, was das Recht 2026 wirklich verlangt, warum die meisten Stores es verfehlen und wie du es bei Shopify konkret behebst.

Die deutschen Cookie-Regeln kommen aus zwei Schichten: der DSGVO und §25 des TDDDG — dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das am 13. Mai 2024 das TTDSG abgelöst hat. Geändert hat sich nur der Name; die Cookie-Regeln sind gleich geblieben. Zusammen verlangen sie vier Dinge:

  • Einwilligung vor dem Laden. Jedes Cookie und jedes Skript, das nicht unbedingt erforderlich ist — Analyse, Meta- oder TikTok-Pixel, Marketing-Tags — darf erst nach der aktiven Zustimmung laden. Einwilligungsfrei sind nach §25 Abs. 2 TDDDG nur technisch notwendige Cookies (Session, Warenkorb, Sicherheit).
  • Ein gleichwertiges „Alles ablehnen”. Im Einklang mit der Orientierungshilfe der Datenschutzkonferenz (DSK) hat das Verwaltungsgericht Hannover am 19. März 2025 bestätigt: Gibt es auf der ersten Ebene einen „Alles akzeptieren”-Button, muss dort auch ein gleich prominenter „Alles ablehnen”-Button stehen — gleiche Größe, Farbe und Position. Ein Banner, das zum Akzeptieren hinlenkt, macht die Einwilligung unwirksam.
  • Keine Dark Patterns. Keine vorangekreuzten Kästchen, kein „Weitersurfen = Zustimmung”, kein Verstecken der Ablehnen-Option eine Ebene tiefer.
  • Genannte Dienste und Widerruf. Jedes Tool muss in der Datenschutzerklärung genannt sein (Art. 13 DSGVO), und die Einwilligung muss jederzeit widerrufbar sein.

Das ist nicht theoretisch: Bußgelder reichen nach §28 TDDDG bis 300.000 €, dazu kommen das DSGVO-Risiko und die sehr reale Gefahr einer Abmahnung durch Wettbewerber oder Verbraucherverbände. (Die neue Einwilligungsverwaltungsverordnung, EinwV, ist seit dem 1. April 2025 in Kraft, hebt aber keine der obigen Pflichten auf.)

Warum verstoßen die meisten Shopify-Stores, ohne es zu wissen?

Die meisten Stores sind nicht wegen des „Akzeptieren”-Buttons unsauber, sondern weil das Tracking feuert, bevor jemand irgendetwas anklickt. Die üblichen Verdächtigen bei Shopify:

  • Marketing-Pixel fest im Theme oder in den Checkout-Skripten — Meta Pixel, TikTok, Pinterest, Google Ads — die beim Seitenaufruf unabhängig von der Einwilligung laden.
  • Ein Google-Tag-Manager-Container, der seine Tags sofort beim Laden auslöst.
  • Apps (E-Mail, Analyse, Bewertungen), die schon beim Öffnen der Seite Cookies setzen.

Der Cookie-Banner sitzt obendrauf und fragt höflich nach einer Erlaubnis, die sich die Seite bereits genommen hat. Genau diese Lücke — Tracking vor Einwilligung — ist das, worauf Gerichte und Datenschutzbehörden reagieren.

Wie prüfst du deinen eigenen Store in zwei Minuten?

Das kannst du selbst nachprüfen, ganz ohne Tool:

  1. Öffne deinen Store in einem privaten/Inkognito-Fenster.
  2. Öffne in den Entwicklertools den Netzwerk-Tab und filtere nach Tracking-Hosts: facebook, tiktok, google-analytics, doubleclick, clarity.
  3. Lade die Seite neu — und klicke nichts im Cookie-Banner an.
  4. Siehst du Anfragen an einen dieser Hosts, feuert Tracking vor der Einwilligung. Das ist der Verstoß.

Schau dir dann den Banner selbst an: Zeigt die erste Ebene ein „Alles ablehnen”, das so sichtbar ist wie „Alles akzeptieren”? Sind die einzigen Optionen auf der ersten Ebene „Akzeptieren” und „Einstellungen”, ist das das zweite Problem.

Wie behebst du es bei Shopify konkret?

Shopify liefert die Werkzeuge; die Rechtssicherheit liegt darin, sie richtig zu verdrahten:

  • Nutze die Customer-Privacy-API. Shopify stellt ein Einwilligungssignal bereit, hinter das du jedes nicht-essenzielle Skript legen kannst — Pixel laden dann erst nach der Zustimmung. Prüfe die aktuelle Einwilligung beim Laden und höre auf Änderungen — das Änderungs-Event feuert nämlich nicht für Besucher, die bei einem früheren Besuch schon zugestimmt haben:
// Meta-Pixel erst laden, wenn der Kunde Marketing-Cookies erlaubt.
// Shopify Customer-Privacy-API — nie ein Marketing-Pixel vor der Einwilligung laden.
function loadMarketingIfAllowed() {
  if (window.Shopify.customerPrivacy.marketingAllowed()) {
    loadMetaPixel();
  }
}

// Wiederkehrender Besucher, der bei einem früheren Besuch schon zugestimmt hat:
loadMarketingIfAllowed();
// ...und im Moment, in dem er diesmal zustimmt (oder die Wahl ändert):
document.addEventListener('visitorConsentCollected', loadMarketingIfAllowed);
  • Aktiviere den nativen Cookie-Banner. Unter Einstellungen → Kundendatenschutz richtest du den Cookie-Banner und die Region (EU/Deutschland) ein. Er bietet eine Akzeptieren/Ablehnen-Wahl und speichert das Signal, das die API oben ausliest.
  • Verlagere eigene Pixel in die Web-Pixels-Sandbox. Shopifys Web-Pixels-API respektiert das Einwilligungssignal automatisch — deutlich sicherer als ein fest in theme.liquid verdrahtetes Pixel. Für Google: Consent Mode v2 aktivieren.
  • Prüfe Theme- und Checkout-Skripte. Jedes Tag, das im Theme oder in den Checkout-„Zusätzlichen Skripten” sitzt und die Einwilligung ignoriert, muss raus oder hinter die Einwilligungsprüfung.
  • Nenne jeden Dienst in der Datenschutzerklärung. Klaviyo, Google Tag Manager, Meta, TikTok, Analytics — jeder muss namentlich aufgeführt sein. Ein pauschales „wir verwenden Cookies” genügt Art. 13 nicht.

Shopifys eingebauter Banner ist ein solides Fundament, keine automatische Rechtssicherheit. Er zeigt den Banner und speichert das Einwilligungssignal korrekt — aber er schützt dich nur, wenn dein Tracking dieses Signal auch tatsächlich beachtet. Apps und Theme-Pixel, die unabhängig von der Einwilligung feuern, verstoßen auch mit aktiviertem nativem Banner weiter gegen §25 TDDDG. Rechtssicherheit ist der Banner plus jeder Tracking-Dienst, der ihn respektiert.

Die Kurzfassung

  • Nichts Nicht-Essenzielles lädt vor der Einwilligung
  • Die erste Ebene hat ein „Alles ablehnen" gleichwertig zu „Alles akzeptieren"
  • Keine vorangekreuzten Kästchen oder Dark Patterns
  • Jeder Dienst in der Datenschutzerklärung genannt
  • Einwilligung jederzeit widerrufbar
  • Selbst im Netzwerk-Tab der Entwicklertools geprüft

Ein ehrlicher Hinweis: Das ist technische Anleitung, keine Rechtsberatung — für eine verbindliche Einschätzung sprich mit einer auf IT-Recht spezialisierten Kanzlei. Der größte Teil des Risikos ist hier aber technisch, und genau den beheben wir. Bei Shopatch machen wir Cookie- und Consent-Audits und setzen den Fix direkt in deinem Store um, als Teil unserer Care-Pakete. Willst du wissen, ob dein Store betroffen ist? Starte ein Projekt.