Shopify rechtssicher machen: 12-Punkte-Setup ohne Theme-Code

Wer “shopify rechtssicher” sucht, hat meistens schon verstanden, dass Impressum, Widerrufsrecht, DSGVO und GPSR gleichzeitig auf der To-do-Liste stehen. Was fehlt, ist die Reihenfolge: Was zuerst, was hängt wovon ab, und wo klickst du das eigentlich in Shopify an, ohne eine Zeile Theme-Code anzufassen? Dieser Leitfaden liefert genau das als 12-Punkte-Setup, das du in einer Sitzung durcharbeiten kannst. Wenn du zuerst wissen willst, welche Pflichten überhaupt für deinen Shop gelten, findest du die vollständige Übersicht in unserem Compliance-Pflichten-Check. Dieser Artikel setzt genau dort an, wo dieser Check aufhört: bei der konkreten Umsetzung, Punkt für Punkt, in der richtigen Reihenfolge. Die Kosten für ein lückenhaftes Setup sind real. Fehlende oder fehlerhafte Rechtstexte lösen in Deutschland regelmäßig Abmahnungen von Mitbewerbern oder spezialisierten Verbänden aus. Ein unwirksamer Cookie-Banner kann zusätzlich ein Bußgeldverfahren nach sich ziehen. Deshalb sind die 12 Punkte unten so sortiert, dass zuerst die größten Abmahnrisiken geschlossen werden, danach folgen die feineren Stellschrauben.

Warum “rechtssicher” bei Shopify eine Reihenfolge braucht

Die einzelnen Pflichten (Rechtstexte, Widerruf, DSGVO, Preisangaben, GPSR) sind gut dokumentiert, aber selten als Ablaufplan. Wer erst die Cookie-Consent-App installiert und danach merkt, dass die Datenschutzerklärung die Tools noch gar nicht nennt, macht doppelte Arbeit. Die Reihenfolge unten folgt einer einfachen Logik: zuerst die Rechtstexte-Grundlage (Punkt 1 bis 4), dann Datenschutz und Tracking (Punkt 5 bis 7), dann Preisangaben (Punkt 8 und 9), dann Produktsicherheit (Punkt 10) und zum Schluss die Verknüpfung plus laufende Pflege (Punkt 11 und 12). Jeder Punkt lässt sich über Shopify-Apps oder native Einstellungen umsetzen. Theme-Code brauchst du an keiner Stelle. Die folgende Grafik zeigt die vier Phasen im Überblick, bevor die einzelnen Punkte im Detail folgen.

Die 12 Setup-Punkte in vier Phasen: Rechtstexte, Datenschutz, Preisangaben und Produktsicherheit plus Go-Live-Check.

Wie lange dauert das Ganze? Realistisch ein halber bis ganzer Arbeitstag, verteilt auf mehrere kurze Sitzungen. Punkt 1 bis 4 (Rechtstexte) lassen sich meist in ein bis zwei Stunden erledigen, sobald die Rechtstexte-App den Fragebogen durchlaufen hat. Punkt 5 bis 7 (Datenschutz und Tracking) dauern länger, weil jedes installierte Tool einzeln durchgegangen werden muss. Ein Shop mit wenigen Apps ist in einer weiteren Stunde durch. Ein Shop mit zehn oder mehr Drittanbieter-Integrationen braucht entsprechend mehr Zeit für die Bestandsaufnahme. Die konkreten Tools stehen direkt bei den jeweiligen Punkten: Rechtstexte-Apps in Punkt 1, Consent-Management-Apps in Punkt 6.

Punkt 1: Rechtstexte-App installieren

Der schnellste Start ist eine spezialisierte Rechtstexte-App. Anbieter wie IT-Recht Kanzlei, Händlerbund oder eRecht24 erstellen AGB, Datenschutzerklärung und Impressum-Baustein aus einem Fragebogen. Sie aktualisieren die Texte außerdem automatisch bei Gesetzesänderungen, das spart manuelles Nachpflegen bei jeder neuen Vorschrift. Die fertigen Texte fügst du in Shopify unter Einstellungen > Richtlinien ein (Pfad: admin.shopify.com/settings/legal). Ein Punkt ist wichtig: Die App muss explizit für den deutschen oder österreichischen Markt lizenziert sein. Shopifys eigene Richtlinien-Vorlagen sind nämlich nur auf Englisch verfügbar und für englischsprachige Checkouts gedacht, sie ersetzen keine deutschen Rechtstexte. Verkaufst du zusätzlich in die Schweiz oder nach Österreich, prüfe, ob der Anbieter länderspezifische Textvarianten mitliefert, weil sich einzelne Pflichtangaben (etwa zur Handelsregisternummer oder zur Umsatzsteuer-ID) je nach Land unterscheiden. Die monatlichen Kosten für eine Rechtstexte-App bewegen sich meist im niedrigen zweistelligen Euro-Bereich, abhängig vom gebuchten Funktionsumfang und der Anzahl der abgedeckten Rechtstexte.

Punkt 2: Impressum korrekt platzieren und verlinken

Ein Impressum ist nach § 5 DDG (Digitale-Dienste-Gesetz, seit Mai 2024 Nachfolger des TMG) für jeden deutschen Online-Shop Pflicht. Mehrere ältere Anleitungen im Netz zitieren noch das TMG, das ist überholt. Pflichtangaben sind vollständiger Unternehmensname, ladungsfähige Anschrift, E-Mail-Adresse, Handelsregisternummer (falls vorhanden) und die Umsatzsteuer-ID. Der Link muss aus jeder Seite in maximal zwei Klicks erreichbar sein, üblicherweise über das Fußzeilenmenü. Verkaufst du zusätzlich über einen an Shopify angebundenen Instagram- oder Facebook-Shop, brauchst du dort ein eigenes, ebenso erreichbares Impressum, ein Verweis allein auf den Shopify-Shop reicht auf diesen Kanälen häufig nicht aus. Volle Detailtiefe zu allen Pflichtangaben und vier fertige Textvorlagen (Einzelunternehmer, GmbH, Kleingewerbe, GbR) findest du im Impressum-Leitfaden.

Punkt 3: Widerrufsrecht einbinden und die OS-Plattform-Falle vermeiden

Verbraucher haben beim Online-Kauf ein 14-tägiges Widerrufsrecht. Die Widerrufsbelehrung und das Muster-Widerrufsformular müssen vor Vertragsschluss bereitstehen, üblicherweise als eigene Richtlinie unter Einstellungen > Richtlinien. Ein Fehler taucht in mehreren älteren Anleitungen noch auf: der Verweis auf die EU-OS-Plattform zur Online-Streitbeilegung. Die Plattform ist seit dem 20. Juli 2025 abgeschaltet, Rechtsgrundlage ist die Verordnung (EU) 2024/3228. Ein noch aktiver OS-Link ist kein Nice-to-have, das du stehen lassen kannst, sondern ein eigenes Abmahnrisiko, weil er auf eine nicht mehr existierende Stelle verweist.

Der OS-Plattform-Link muss seit dem 20.07.2025 entfernt werden, die getrennte VSBG-Hinweispflicht bleibt bestehen.

Die separate Informationspflicht zur Verbraucherschlichtung nach § 36 VSBG bleibt davon unberührt und gilt weiterhin. Prüfe dein Impressum und deine Widerrufsbelehrung gezielt auf einen alten OS-Link, bevor du weitermachst. Die vollständige Trennung beider Pflichten mit Musterformulierungen steht im Verbraucherschlichtung-Leitfaden, alle Fristen und Ausnahmen zum Widerrufsrecht selbst im Widerrufsrecht-Leitfaden.

Punkt 4: AGB erstellen und im Checkout bestätigen lassen

AGB sind rechtlich nicht zwingend, aber ohne sie gelten automatisch die gesetzlichen Regelungen, die oft ungünstiger ausfallen als selbst formulierte Klauseln. Sobald die AGB über die Rechtstexte-App aus Punkt 1 stehen, müssen Käufer sie vor Kaufabschluss aktiv bestätigen, ein einfacher Link im Footer reicht nicht. Die Bestätigung richtest du unter Einstellungen > Checkout ein, dort gibt es ein Feld für eine verpflichtende Checkbox mit Link zu den AGB. Ohne aktive Checkbox gilt die Einbeziehung als nicht wirksam vereinbart, was im Streitfall das gesamte Klauselwerk unwirksam machen kann. Prüfe außerdem, ob der Kaufbutton selbst korrekt beschriftet ist: Formulierungen wie “Jetzt kaufen” oder “Zahlungspflichtig bestellen” sind zulässig, ein bloßes “Bestellen” ohne Hinweis auf die Zahlungspflicht gilt als Formfehler und ist einer der häufigsten Abmahnklassiker im deutschen E-Commerce. Details zu Pflichtklauseln und verbotenen AGB-Formulierungen stehen im AGB-Leitfaden.

Punkt 5: Datenschutzerklärung an die tatsächlich genutzten Tools anpassen

Die Datenschutzerklärung muss jedes Tool nennen, das personenbezogene Daten verarbeitet: Shopify selbst, aber auch Google Analytics, Meta Pixel, Klaviyo, Zahlungsdienstleister und Bewertungstools. Bei Shopify ist das einfach. Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist über die Nutzungsbedingungen automatisch abgedeckt, du findest ihn unter Einstellungen > Rechtliches > Datenschutz. Für jeden zusätzlichen Dienst brauchst du dagegen einen eigenen AVV, den die meisten Anbieter direkt zum Download bereitstellen. Neue App installiert? Dann gehört im selben Schritt ein Satz in die Datenschutzerklärung, nicht erst beim nächsten großen Review. Konkret heißt das: Jede neue Integration aus dem Shopify App Store, die Namen, E-Mail-Adressen, Bestelldaten oder Zahlungsinformationen verarbeitet, bekommt in derselben Sitzung ihren Eintrag, inklusive AVV-Download, falls verfügbar. Ein aktuelles Verzeichnis aller genutzten Unterauftragsverarbeiter zeigt dir bei einer Betroffenenanfrage sofort, welche Stellen überhaupt betroffen sein können. Fertige Formulierungen für App-Klauseln und die häufigsten Fehlerquellen findest du in der Datenschutzerklärung-Vorlage und der Pflichtinhalte-Checkliste.

Punkt 6: Cookie-Consent-App installieren

Ein Cookie-Banner ohne echte Opt-in-Funktion reicht nicht aus. Nicht technisch notwendige Cookies (Tracking, Marketing, Analytics) dürfen erst nach informierter, aktiver Einwilligung gesetzt werden, vorausgewählte Häkchen sind unzulässig. Ein rechtssicherer Banner unterscheidet mindestens vier Kategorien: technisch notwendige Cookies (immer aktiv, keine Einwilligung nötig), funktionale Cookies, Analyse-Cookies und Marketing-Cookies, jeweils einzeln zu- und abwählbar statt nur über einen pauschalen “Alle akzeptieren”-Button. Für Shopify eignen sich spezialisierte Consent-Management-Apps wie Pandectes, Consentmo oder CookieYes, die über die Shopify Customer Privacy API angebunden werden und Cookies automatisch kategorisieren. Wichtig ist außerdem, dass Besucher ihre Einwilligung jederzeit ändern können, nicht nur beim ersten Seitenbesuch. Ein Link zum erneuten Öffnen des Banners gehört deshalb dauerhaft in den Footer, so kann ein Kunde eine einmal erteilte Zustimmung genauso einfach wieder zurückziehen. Die folgende Grafik zeigt den Ablauf von Besuch bis freigeschaltetem Tracking in vier Schritten.

So läuft eine rechtssichere Cookie-Einwilligung technisch ab, vom ersten Seitenaufruf bis zum freigeschalteten Tracking.

Ein Vergleich der wichtigsten Consent-Management-Plattformen für Shopify inklusive Preismodellen steht im Cookie-Banner-Leitfaden.

Punkt 7: Tracking-Skripte hinter das Consent-Gate legen

Google Analytics, Meta Pixel und ähnliche Skripte dürfen erst laden, nachdem die Einwilligung erteilt wurde. Die meisten Cookie-Consent-Apps aus Punkt 6 übernehmen dieses Blocking automatisch, sobald du Google Consent Mode v2 aktivierst. An dieser Stelle lohnt sich eine Klarstellung, die einige Anleitungen im Netz durcheinanderbringen: Consent Mode v2 ist keine direkte DSGVO-Vorschrift, sondern eine Anforderung von Google selbst, die seit März 2024 für die Nutzung von Google Ads und Google Analytics in der EU gilt und ihre rechtliche Grundlage im Digital Markets Act hat. Wer keine Google-Werbeprodukte nutzt, ist rechtlich nicht direkt dazu verpflichtet, verliert ohne Consent Mode v2 aber Reichweitendaten in Google Ads und Analytics. Löschanfragen nach Art. 17 DSGVO solltest du in derselben Sitzung mit einem festen Prozess versehen, damit sie innerhalb der 30-Tage-Frist bearbeitet werden können. In der Praxis reicht dafür eine feste E-Mail-Adresse, an die Löschanfragen gehen, und eine kurze interne Checkliste, welche Systeme (Shopify-Kundenkonto, Newsletter-Tool, Analytics, Zahlungsdienstleister) bei einer Löschung tatsächlich angefasst werden müssen. Ohne diese Liste wird bei jeder Anfrage neu improvisiert, was die 30-Tage-Frist unnötig knapp macht.

Punkt 8: Grundpreis für Mengenprodukte einstellen

Verkaufst du Produkte nach Gewicht, Volumen, Länge oder Fläche, ist die Grundpreisangabe pro Mengeneinheit gesetzlich vorgeschrieben. Sie muss gut lesbar neben dem Gesamtpreis stehen. Umsetzung in Shopify: über Produktvarianten oder eine spezialisierte Grundpreis-App, die den Wert automatisch auf der Produktseite anzeigt. Ein häufiger Fehler ist die falsche Platzierung. Der Grundpreis muss überall dort erscheinen, wo auch der Gesamtpreis steht, also auf der Produktseite und in der Kategorieübersicht, nicht nur an einer versteckten Stelle. Im Warenkorb selbst ist eine Wiederholung nicht zwingend vorgeschrieben, sie schadet der Übersichtlichkeit aber auch nicht. Die genaue Berechnungsformel, Sonderfälle wie Abtropfgewicht und die vollständige Ausnahmeliste stehen in der Grundpreisangabe-Anleitung und im PAngV-Leitfaden.

Punkt 9: Versandkosten und Lieferzeiten sichtbar machen

Versandkosten müssen spätestens auf der Produktseite oder in einer gut sichtbaren Übersicht angezeigt werden, nicht erst versteckt im Checkout. Für die Lieferzeit gilt dieselbe Regel. Eine konkrete Angabe wie “Lieferung in 2 bis 4 Werktagen” ist Pflicht, eine vage Formulierung wie “schnelle Lieferung” zählt zu den häufigsten Abmahngründen bei Preisangaben. Shopify zeigt Versandoptionen automatisch im Checkout an, sobald du unter Einstellungen > Versand die Zonen und Tarife hinterlegt hast. Auf der Produktseite reicht meist eine kurze Versandinfo-Sektion, viele Themes bringen sie bereits als Standardblock mit, alternativ ein einfacher Textblock unterhalb des Kaufbuttons. Wichtig: Die Angabe muss für jede Versandzone stimmen, in die tatsächlich geliefert wird. Ein pauschaler Satz für alle Länder reicht nicht, sobald sich die Lieferzeiten je Zone unterscheiden.

Punkt 10: GPSR-Pflichtangaben auf Produktseiten (Kurzüberblick)

Die EU-Produktsicherheitsverordnung GPSR gilt seit dem 13. Dezember 2024 für fast alle Non-Food-Konsumprodukte. Auf der Produktseite müssen mindestens Name und Anschrift des Herstellers, eine eindeutige Produktkennung und deutschsprachige Sicherheitshinweise sichtbar sein, nicht nur versteckt in einem PDF. Wer aus einem Drittland importiert, braucht zusätzlich einen benannten EU-Verantwortlichen. Verstöße können mit Bußgeldern bis 10.000 Euro, in schweren Fällen bis 100.000 Euro geahndet werden. Weil GPSR ein eigenes, sehr detailliertes Themenfeld ist, das den Rahmen dieses Setups sprengen würde, findest du die vollständige operative Anleitung auf gpsrpro.com sowie in unserem GPSR-Pillar-Artikel.

gpsrpro.com bündelt die operative GPSR-Umsetzung für Shopify-Shops, inklusive EU-Verantwortlichen-Vermittlung. (Quelle: gpsrpro.com)

ShopCompliance automatisiert die Pflichtangaben-Ausgabe direkt auf der Produktseite, ganz ohne Theme-Eingriff.

ShopCompliance zeigt Pflichtangaben automatisiert direkt auf der Produktseite an. (Quelle: shopcompliance.net)

Punkt 11: Rechtstexte final im Footer verknüpfen und Go-Live-Check machen

Bevor du live gehst, prüfst du unter Vertriebskanäle > Onlineshop > Navigation, ob wirklich alle Richtlinien (Impressum, AGB, Datenschutz, Widerruf, Versand) im Fußzeilenmenü verlinkt sind. Ein Text, der nur unter Einstellungen > Richtlinien liegt, aber im Footer fehlt, gilt nicht als ausreichend erreichbar. Nutze die folgende Kurzliste als Go-Live-Check über alle 10 vorherigen Punkte:

• Rechtstexte-App installiert und Texte aktuell (Punkt 1)
• Impressum im Footer, § 5 DDG vollständig (Punkt 2)
• Widerrufsbelehrung vorhanden, kein alter OS-Plattform-Link mehr aktiv (Punkt 3)
• AGB-Checkbox im Checkout aktiv (Punkt 4)
• Datenschutzerklärung nennt jedes installierte Tool (Punkt 5)
• Cookie-Consent-App aktiv, Banner mit echtem Opt-in (Punkt 6)
• Tracking lädt erst nach Einwilligung, Consent Mode v2 korrekt eingeordnet (Punkt 7)
• Grundpreis bei Mengenprodukten sichtbar (Punkt 8)
• Versandkosten und Lieferzeit vor dem Checkout sichtbar (Punkt 9)
• GPSR-Pflichtangaben auf betroffenen Produktseiten vorhanden (Punkt 10)

Punkt 12: Laufende Pflege einrichten

Ein einmaliges Setup reicht nicht, weil sich Gesetze und Fristen weiter ändern. 2026 allein bringt mehrere neue Termine, etwa die Widerrufsbutton-Pflicht ab dem 19. Juni 2026 und das Gewährleistungslabel ab dem 27. September 2026, beide bereits in unserem Compliance-Pflichten-Check mit Datum aufgeführt. Sinnvoll ist ein fester Rhythmus, zum Beispiel ein kurzer Quartals-Check mit vier festen Fragen: Ist die Rechtstexte-App noch aktiv und das Abo bezahlt? Stehen alle seit dem letzten Check neu installierten Apps in der Datenschutzerklärung? Gibt es neue Fristen im laufenden oder kommenden Quartal, die eine Anpassung verlangen? Und funktioniert der Cookie-Banner nach dem letzten Theme- oder App-Update noch wie vorgesehen? Wer mehrere Personen im Team hat, sollte klar festlegen, wer diesen Check übernimmt, sonst bleibt er beim nächsten stressigen Quartal liegen.

Häufig gestellte Fragen

Ist Shopify von sich aus DSGVO-konform?

Nein, Shopify liefert die technische Infrastruktur, aber nicht die vollständige DSGVO-Konformität deines Shops. Der AVV mit Shopify selbst ist automatisch über die Nutzungsbedingungen abgedeckt und die Plattform bringt SSL-Verschlüsselung sowie PCI-Compliance für Zahlungen von Haus aus mit. Cookie-Consent, die Datenschutzerklärung und die AVV mit allen zusätzlichen Tools bleiben aber deine eigene Aufgabe. Eine vollständige Einordnung aller DSGVO-Pflichten für Shopify-Shops liefert der DSGVO-konform-Leitfaden.

Was kostet es, einen Shopify-Shop rechtssicher zu machen?

Die laufenden Kosten liegen meist im Bereich von 10 bis 40 Euro pro Monat je Bereich, abhängig vom gewählten Anbieter für Rechtstexte und Cookie-Consent. Eine Rechtstexte-App deckt AGB, Datenschutzerklärung und Impressum-Baustein ab, eine separate Cookie-Consent-App kommt für das Consent-Management dazu. Bei kleinen Sortimenten ohne Importprodukte oder Sonderfälle bleiben die Gesamtkosten überschaubar, bei komplexeren Shops mit vielen Drittanbieter-Tools oder Importware aus Drittländern kann zusätzlicher juristischer Rat sinnvoll sein.

Muss ich meinen Shopify-Shop noch auf die OS-Plattform hinweisen?

Nein, die EU-Plattform zur Online-Streitbeilegung ist seit dem 20. Juli 2025 endgültig abgeschaltet, Rechtsgrundlage ist die Verordnung (EU) 2024/3228. Ein noch bestehender Link zur OS-Plattform sollte umgehend entfernt werden, weil er auf eine nicht mehr erreichbare Stelle verweist. Die separate Informationspflicht zur Verbraucherschlichtung nach § 36 VSBG gilt davon unabhängig weiterhin für Shops mit mehr als zehn Mitarbeitenden.

Brauche ich einen Hinweis zu KI-Chatbots in meinem Shop?

Ja, sobald ein KI-Chatbot oder ein ähnliches automatisiertes System den Kundenkontakt übernimmt. Grundlage ist Art. 50 des EU AI Act. Ab dem 2. August 2026 muss offengelegt werden, dass Kunden mit einem KI-System sprechen und nicht mit einem Menschen, sofern das nicht ohnehin offensichtlich ist. Für die meisten Shops reicht ein kurzer, sichtbarer Hinweis direkt im Chat-Fenster.