Chris Häfner hat mittlerweile eingestanden dass das ganze es an einer fehlerhaften Cookie-Consent-Lösung sowie einer eifrigen Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz lag (und dessen Mangel an Verständnis zu wie Web-Technologien, wie Google Fonts usw. sowie in diesem Fall, Cloudflare, funzen).
Wenn man von dem geht was die Landesbeauftragte alles behauptet hat, dann wäre sogar die Blogseite vom Chris abmahnungs-gefährdet denn es hat einige Sources in der Dev Console die laut dem Missverständnis und den falschen Kriterien der Landesbeauftragte Abmahnungswürdig wären.
Beispielsweise, das Schrems II-Urteils richtete sich hauptsächlich gegen “Gatekeeper”, sprich, Social Media Plattformen wie Meta, die jetzt im Visier des DSA und des DMA, die diese Platforms regulieren. Das Urteil richtet sich weniger gegen Einzelhändler und deren Online Shops, die sich aber von dem Urteil betroffen fühlen und deswegen mehrere Jahre an schlaflose Nächte hinter sich haben (siehe die vielen “Threads der Angst” hier in der Community - ich kenne bis dato keinen Shopify Shop der aufgrund dieses Sachverhalts zu einer riesen Strafe verdonnert wurde…).
Shopify Shops gibt es in den 6-7 Stellen im DACH Raum und ich glaube nicht dass sie alle “illegal” sind. Im Gegenteil, Shopify Shops sind sehr rechtskonform und bieten dir umfangreiche Tools, um deinen Shop rechtskonform zu gestalten.
Unten weiteres aus der Doku und der Online Literatur entnommen, zum Thema. Fazit: Mit einer guten Cookie Banner Lösung ist dein Shop ganz gut gedeckt.
Shopify betreibt Server innerhalb der EU, insbesondere über die irische Tochtergesellschaft in Dublin, um die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO zu gewährleisten. Händler- und Kundendaten werden in der Regel auf Servern innerhalb der EU gespeichert,
Im Artikel von Christian Häfner wird insbesondere auf die Nutzung von US-amerikanischen CDNs wie Cloudflare, Fastly und Cloudfront hingewiesen. Diese Dienste werden häufig genutzt, um Websites weltweit schnell und zuverlässig laden zu lassen und arbeiten einfach auf dem “Distributed Servers” Prinzip.
Nach dem Schrems II-Urteil ist eine Datenübermittlung in die USA nur zulässig, wenn:
- Angemessene Schutzmaßnahmen (Standardvertragsklauseln, SCCs) bestehen.
- Ein Transfer Impact Assessment (TIA) durchgeführt wurde.
- Zusätzliche Schutzmaßnahmen (z. B. Verschlüsselung) implementiert sind.
Shopify gibt an, dass es seine Datenflüsse so strukturiert hat, dass die meisten personenbezogenen Daten innerhalb der EU bleiben. Bei der Nutzung von CDNs kann es jedoch zu kurzfristigen Datenübermittlungen kommen, die aber laut den CDN Diensten unter SCCs gedeckt sind.
Die Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz hat in diesem spezifischen Fall offenbar streng ausgelegt, dass allein die Nutzung US-amerikanischer Infrastruktur potenziell problematisch ist. Andere Datenschutzbehörden in Deutschland könnten jedoch zu einer anderen Einschätzung kommen, da es keine bundesweit einheitliche Entscheidung oder Rechtsprechung gibt.
Ein entscheidender Aspekt ist das Trans-Atlantic Data Privacy Framework (TADPF), das im Juli 2023 in Kraft getreten ist. Dieses Abkommen könnte eine rechtliche Grundlage für Datenübermittlungen in die USA bieten, sofern die beteiligten Dienstleister zertifiziert sind. Wenn Shopify und seine Subdienstleister wie Cloudflare und Fastly sich zertifizieren lassen, könnte dies das Problem lösen.
Shopify setzt auf Standardvertragsklauseln (SCCs), Datenschutzfolgenabschätzungen (Data Protection Impact Assessments, DPIAs) und Verschlüsselungstechnologien, um die Einhaltung der DSGVO sicherzustellen. In der Antwort von Shopify wird deutlich, dass die Plattform in der Lage ist, datenschutzrechtliche Anforderungen zu erfüllen, sofern die Shop-Betreiber selbst ebenfalls die richtigen Tools und Einstellungen nutzen (z. B. DSGVO-konforme Cookie-Banner).