Cookie Consent & Compliance: Wie du Cookie-Banner und Co. EU-weit sauber auf Shopify umsetzt

Folgendes fiktives Szenario: Du genießt gerade deinen Urlaub in Frankreich. Sonne, Strand, gutes Essen. Jetzt vielleicht ein Einkaufsbummel? Doch vor dem Laden hält dich jemand auf. Ein bulliger Typ, Format Türsteher. Er drückt dir einen Zettel in die Hand und knurrt: „Avant d’entrer, veuillez lire cette déclaration de confidentialité et indiquer si nous pouvons vous filmer, analyser votre visite et vous envoyer de la publicité ultérieurement.“

Bevor du DeepL bemühst: Da steht in etwa: „Bevor Sie reinkommen: Bitte lesen Sie diese Datenschutzerklärung und entscheiden Sie, ob wir Sie beim Betreten des Ladens filmen, Ihren Besuch analysieren und Ihnen später Werbung schicken dürfen.“

Nein, Frankreich verlangt keine Datenschutzerklärung für den stationären Handel. Wie gesagt: fiktives Szenario. Aber:

Was offline ziemlich absurd klingt, ist im E-Commerce gar nicht so weit von der Realität entfernt. Denn sobald dein Shopify-Shop Cookies setzt, Tracking-Pixel lädt, externe Inhalte einbindet oder Marketingdaten verarbeitet, musst du dich mit Einwilligungen und Datenschutz beschäftigen. Und wenn du nicht nur in Deutschland verkaufst, sondern mehrere EU-Märkte bedienst, wird die Sache nicht unbedingt übersichtlicher.

Genau deshalb schauen wir uns in diesem Beitrag an, welche Regeln für Cookie Consent im europäischen E-Commerce relevant sind, was Shopify dafür mitbringt und welche Lösung zu deinem Shop passt.



Dafür klären wir zunächst die Spielregeln:

Rechtlicher Rahmen: Welche Regeln gelten für Cookie Consent?

Grundsätzlich gilt, dass alle Onlinehändler:innen mit einem Store in der EU zwei Regelwerke im Blick behalten müssen: das gemeinsame EU-Recht und die nationalen Regelungen der einzelnen Mitgliedstaaten. Denn die grundlegenden Vorgaben zum Datenschutz entstehen zwar auf europäischer Ebene; wie deren Umsetzung und Auslegung auf nationaler Ebene konkret aussieht, kann sich zwischen den Ländern aber durchaus unterscheiden.

Wir halten also fest: Eine Consent-Lösung muss nicht nur die europäischen Grundregeln erfüllen, sondern auch zu den Märkten passen, in denen du verkaufst. Schauen wir uns die beiden Ebenen daher einmal genauer an.

EU-Recht: DSGVO und ePrivacy

Für den Cookie Consent auf europäischer Ebene heißen die zwei Big Player ePrivacy-Richtlinie und Datenschutz-Grundverordnung (DSGVO). Rein rechtlich gesehen greifen die beiden zwar eng ineinander, setzen aber an unterschiedlichen Stellen an:

ePrivacy: Was darf überhaupt gespeichert und ausgelesen werden?

Die ePrivacy-Richtlinie (Richtlinie 2002/58/EG) schützt die Vertraulichkeit elektronischer Kommunikation. Für Onlineshops ist dabei insbesondere Artikel 5 Absatz 3 relevant. Er regelt, unter welchen Voraussetzungen Informationen auf dem Endgerät einer Person gespeichert werden dürfen und ob bereits dort gespeicherte Informationen ausgelesen werden dürfen. Dabei geht es vor allem um:

• Einwilligung: Für das Speichern oder Auslesen von Informationen ist grundsätzlich eine vorherige Einwilligung erforderlich.
• Technisch notwendige Ausnahmen: Nicht jede Technologie braucht einen Consent. Ausgenommen sind insbesondere Vorgänge, die unbedingt erforderlich sind, damit der ausdrücklich gewünschte Dienst funktioniert – etwa bestimmte Warenkorb- oder Authentifizierungs-Cookies.
• Nicht nur Cookies: Entscheidend ist nicht nur das Etikett „Cookie“, sondern auch, was technisch auf dem Endgerät passiert. Deshalb können auch andere Tracking- und Speichertechnologien unter die Regelung fallen.

DSGVO: Was geschieht mit personenbezogenen Daten?

Die DSGVO kommt ins Spiel, wenn personenbezogene Daten verarbeitet werden. Sie legt unter anderem fest, unter welchen Voraussetzungen eine Einwilligung als Rechtsgrundlage für eine solche Verarbeitung wirksam ist. Dabei gelten unter anderem diese Anforderungen:

• Freiwilligkeit: Nutzer:innen müssen eine echte Wahl haben und die Einwilligung ohne Nachteile ablehnen können.
• Klarheit der Information: Es muss klar sein, wer die Daten verarbeitet und zu welchen Zwecken.
• Konkrete Zuordnung: Eine Einwilligung muss sich auf konkrete Verarbeitungszwecke beziehen.
• Eindeutigkeit: Sie muss durch eine klare bestätigende Handlung erteilt werden.
• Widerrufbarkeit: Die Einwilligung muss sich jederzeit widerrufen lassen. Der Widerruf muss dabei genauso einfach möglich sein wie die Erteilung.
• Nachweisbarkeit: Händler:innen müssen nachweisen können, dass eine Einwilligung tatsächlich erteilt wurde.

Im Zusammenspiel wird ein Schuh draus

Die ePrivacy-Regeln beantworten also zunächst die Frage, ob du überhaupt auf Informationen auf dem Endgerät zugreifen oder dort Informationen speichern darfst. Die DSGVO regelt, wie du die so gewonnenen personenbezogenen Daten anschließend verarbeiten darfst.

Nationale Besonderheiten: Was gilt in den einzelnen EU-Ländern?

Damit die Vorgaben aus ePrivacy-Richtlinie und DSGVO in der Praxis greifen, müssen die Mitgliedstaaten die entsprechenden Regelungen umsetzen und konkretisieren. Für Deutschland ist dabei beispielsweise § 25 TDDDG maßgeblich, während in Frankreich Artikel 82 des französischen Datenschutzgesetzes (Loi Informatique et Libertés) die entsprechende Grundlage bildet.

In der Rechtsauslegung können sich dabei teilweise erhebliche Unterschiede ergeben, die außerdem nie in Stein gemeißelt sind.

So verlangt die französische Datenschutzbehörde CNIL schon früh, dass das Ablehnen von Cookies grundsätzlich so einfach funktionieren muss wie eine Zustimmung. Hat dein Cookie-Banner einen „Alle akzeptieren“-Button, muss gleichberechtigt daneben auch ein „Alle ablehnen“-Button stehen.

In Deutschland war das für lange Zeit nicht der Fall. Erst 2025 entschied das Verwaltungsgericht Hannover, dass eine Ablehnung über mehrere Klicks in den Einstellungen nicht okay ist, wenn es einen „Alle akzeptieren“-Button gibt.

Ergo: Was einmal eine Designentscheidung war, kann durch Internationalisierung oder neue Rechtsprechung zu einer rechtlichen Frage werden. Dabei können wir dir an dieser Stelle natürlich keine verbindliche Rechtsberatung zur Gesetzeslage in allen 27 Mitgliedstaaten bieten – dafür aber diesen wichtigen Hinweis mit auf den Weg geben:

Prüfe immer, welche Anforderungen in deinen jeweiligen Zielmärkten gelten und kontrolliere sie regelmäßig auf Veränderungen.

Eine gute erste Anlaufstelle ist die nationale Datenschutzbehörde des jeweiligen Landes. Dort findest du häufig konkrete Hinweise zu Cookies, Tracking und Einwilligungen. Einen Überblick über die zuständigen Stellen in den einzelnen EU-Ländern bietet dabei die Europäische Kommission.

Allerdings ist es nur die eine Seite der Medaille, die Regeln zu kennen. Die andere ist, wie du sie technisch umsetzen kannst.

Technische Umsetzung: Wie funktioniert Cookie Consent in Shopify?

Du hast die relevanten Rechtstexte studiert und weißt jetzt, wie Datenschutz in Portugal EU-compliant funktioniert? Wunderbar, dann schauen wir uns nun an, wie du aus juristischer Theorie Shopify-taugliche Praxis machst:

Bordmittel: Was Shopify mitbringt

Für den Cookie Consent gibt Shopify dir vor allem einen Werkzeugkasten an die Hand. Darin liegen unter anderem:

• Cookie-Banner: Du kannst ein Banner einrichten und festlegen, in welchen Regionen es angezeigt werden soll.
• Regionale Einstellungen: Für unterschiedliche Märkte lassen sich die Datenschutzeinstellungen entsprechend konfigurieren.
• Shopify Pixels: Für benutzerdefinierte Pixel kannst du festlegen, ob eine Zustimmung erforderlich ist und für welche Zwecke sie benötigt wird.
• Consent-Verwaltung: Die Einwilligungen deiner Kund:innen können von Shopify verarbeitet und für die entsprechenden Funktionen berücksichtigt werden.

Damit ist die technische Grundlage also vorhanden. Was dir Shopify allerdings nicht abnimmt, ist die rechtliche Einordnung. Oder in einem prägnanten Satz:

Die Plattform liefert den Rahmen und du musst ihn mit den richtigen Einstellungen füllen.

Alle relevanten Optionen findest du im Bereich „Datenschutz für die Kundschaft”. Allerdings ist Shopify in den meisten Setups nur die Commerce-Plattform deines Stores. Im Hintergrund werkeln zahlreiche Apps, externe Dienste und Tracking-Pixel mit – und für die gelten deine Consent-Einstellungen nicht automatisch.

Apps, Pixel und externe Dienste: Wo Shopify nicht automatisch mitentscheidet

Shopify kann die eigenen Funktionen rund um Consent zentral verwalten. Bei allem, was zusätzlich in deinen Shop kommt, musst du aber genauer hinschauen: Auch eine App oder ein externer Dienst kann eigene Cookies setzen, Daten übertragen oder Tracking-Technologien einsetzen und damit deine Consent-Lösung beeinflussen.

Typische Kandidaten sind zum Beispiel:

• Analyse-Tools: etwa für Besucherzahlen, Conversion-Tracking oder Heatmaps
• Marketing und Advertising: Retargeting, Social-Media-Pixel oder Affiliate-Tracking
• Externe Inhalte: Videos, Karten, Bewertungen oder andere eingebettete Dienste
• Chat- und Support-Tools: etwa Live-Chats oder Kundenservice-Widgets
• Eigene Skripte: Tracking- oder Marketing-Code, der zusätzlich in Theme oder Shop eingebunden wurde

Die entscheidende Frage lautet deshalb nicht nur: „Welche Cookies setzt Shopify?“ Sondern auch: „Was lädt mein Shop darüber hinaus und wann tut er das?“

Denn selbstverständlich muss dein Cookie-Banner nicht nur nach Einverständnis für alle Shopify-internen Datensammlungen fragen, sondern auch jedes weitere Stück Software auflisten, das gerne Informationen abgreifen möchte.

Dabei gilt außerdem: Selbst das perfekt konfigurierte Shopify-Cookie-Banner hilft dir wenig, wenn ein externes Tool bereits vor der Einwilligung damit beginnt, Daten abzugreifen oder sich einem späteren Widerruf hartnäckig widersetzt.

Und damit stellt sich direkt die nächste Frage: Woher wissen die einzelnen Dienste eigentlich, ob ein Kunde zugestimmt hat oder nicht? Zumindest für die vielgenutzten Google-Dienste gibt es genau dafür den sogenannten Consent Mode v2.

Google Consent Mode v2: Einwilligungen an Google weitergeben

Vereinfacht gesagt ist der Consent Mode v2 die Verbindung zwischen deinem Cookie-Banner und den Google-Diensten in deinem Shop. Er übermittelt den Einwilligungsstatus deiner Kund:innen an Google und sorgt dafür, dass Tags wie Google Analytics oder Google Ads ihr Verhalten entsprechend anpassen.

Wichtig dabei: Der Consent Mode holt selbst keine Einwilligung ein. Dafür brauchst du weiterhin dein Cookie-Banner beziehungsweise eine andere Consent-Lösung. Der Consent Mode verarbeitet lediglich die dort getroffene Entscheidung und gibt sie an Google weiter.

Auf Shopify ist die Einrichtung zum Glück recht unkompliziert: Den Google Consent Mode v2 aktivierst du unter Datenschutz für die Kundschaft im Shopify-Adminbereich. Verwendest du ein externes Cookie-Banner, muss dieses entsprechend in die Shopify-Datenschutzeinstellungen integriert werden.

Was du sonst noch beachten solltest

Cookie-Banner, Apps und Google Consent Mode sind die Big Three – allerdings gibt es bei der technischen Umsetzung noch drei weitere Punkte, die du im Blick behalten solltest.

1. Shopify Markets: Consent für mehrere Länder

Shopify Markets macht die Internationalisierung schnell und komfortabel, ist rund um den internationale Consent aber kein Selbstläufer! Wenn du mit Markets mehrere EU-Länder bedienst, darfst du deine Datenschutzeinstellungen nicht einfach als Einheitslösung für alle Märkte betrachten.

Beachte vor allem, welche Einwilligungen du im jeweiligen Zielland einholen musst, wie du sie zu dokumentieren hast und welche Dienste du nach einer Ablehnung blockieren musst. Gerade bei mehreren Märkten lohnt es sich, die Konfiguration regelmäßig zu überprüfen – nicht nur, wenn du neue Länder erschließt oder neue Apps und Tracking-Dienste hinzufügst, sondern auch dann, wenn sich die Rechtsprechung in einem Zielland womöglich geändert hat.

Denn nicht vergessen: Shopify ermöglicht dir zwar, Datenschutz- und Cookie-Einstellungen regional zu konfigurieren, aber die korrekte Ausgestaltung liegt bei dir.

2. Gastbestellungen: Consent auch ohne Kundenkonto

Ein weiterer häufiger Denkfehler: Nur weil jemand ohne Kundenkonto bestellt, ist er oder sie für deinen Shop technisch nicht relevant. Falsch. Denn auch Gastbestellende müssen selbst entscheiden können, ob sie bestimmten Tracking- oder Marketingmaßnahmen zustimmen. Der Consent darf also nicht davon abhängen, ob jemand eingeloggt oder bereits als Kund:in in deinem Shop bekannt ist.

Das gilt auch für den späteren Widerruf. Eine einmal erteilte Einwilligung muss sich grundsätzlich wieder ändern lassen – und zwar auch dann, wenn die Person nie ein Kundenkonto angelegt hat. Deine Consent-Lösung muss deshalb auch für Gastbestellungen sauber funktionieren und den Einwilligungsstatus unabhängig vom Login verwalten können.

3. Server-Side-Tracking: Wenn der Browser nicht mehr alles erledigt

Bei größeren Shops kann außerdem Server-Side-Tracking interessant sein. Dabei werden bestimmte Tracking-Prozesse vom Browser auf einen Server verlagert. Das kann unter anderem mehr Kontrolle über die Datenübertragung ermöglichen.

Welche Consent-Lösung passt zu deinem Shopify-Shop?

Jetzt weißt du also nicht nur, welche rechtlichen Anforderungen du beim Cookie Consent auf Shopify im Blick behalten musst. Du kennst auch die technischen Möglichkeiten und die damit verbundenen Herausforderungen. Bleibt eigentlich nur noch die Frage: Wie setzt du das Ganze sinnvoll um?

Grundsätzlich kannst du zwischen drei Eskalationsstufen unterscheiden: Shopify-Bordmitteln, einer zusätzlichen Consent Management Platform (CMP) und weitergehenden technischen Lösungen.

Bei den Shopify-Bordmitteln nutzt du die Funktionen, die Shopify bereits für Datenschutz und Consent mitbringt. Das kann für kleinere und technisch überschaubare Shops vollkommen ausreichen.

Eine Consent Management Platform (CMP) geht einen Schritt weiter. Sie verwaltet Einwilligungen zentral und kann beispielsweise unterschiedliche Dienste abhängig vom Consent-Status blockieren oder freigeben, Einwilligungen dokumentieren und deren Status an angebundene Dienste weitergeben. Das wird vor allem interessant, wenn viele Apps, Tracking-Dienste oder unterschiedliche Märkte zusammenkommen.

Bei weitergehenden Lösungen geht es schließlich um komplexere technische Setups. Dazu kann beispielsweise das bereits erwähnte Server-Side-Tracking gehören; je nach Systemlandschaft können aber auch Middleware-Lösungen oder individuelle Integrationen zwischen Shopify, ERP, CRM und anderen Systemen eine Rolle spielen.

Alles in der Übersicht: Entscheidend ist also nicht, wie groß dein Shop auf dem Papier ist, sondern was technisch dahintersteckt. Denn ein großes Sortiment macht deinen Consent nicht automatisch komplexer. Ein Shop mit 10.000 Produkten und einer schlanken technischen Infrastruktur kann einfacher zu handhaben sein als ein kleiner Shop mit zahlreichen Analysetools, vielen externen Diensten und mehr Apps als Sachverstand.

Im Zweifel gilt daher die alte Weisheit: Für gutes Consent Management lesen Sie Gesetzestexte und fragen Sie Ihren Datenschutzbeauftragten oder Eshop Guide.

Die Sache mit dem Widerrufsbutton

Okay, inzwischen haben wir bereits mehrfach davon gesprochen, dass sich ein Consent immer auch widerrufen lassen muss. Ist dafür womöglich dieser neue Widerrufsbutton gedacht, der momentan durch die Medien geistert?

Nope. Der Widerrufsbutton kommt zwar ebenfalls aus Brüssel, hat mit Cookie Consent und Datenschutz aber rein gar nichts zu tun. Er betrifft etwas völlig anderes: das Widerrufsrecht bei Online-Kaufverträgen.

Der Widerrufsbutton soll Verbraucher:innen eine einfache Möglichkeit geben, einen bereits geschlossenen Fernabsatzvertrag online zu widerrufen. Dafür muss die Funktion:

• während der gesamten Widerrufsfrist verfügbar sein,
• leicht auffindbar, gut zugänglich und hervorgehoben platziert sein,
• eindeutig als „Vertrag widerrufen“ oder mit einer gleichbedeutenden Formulierung gekennzeichnet sein,
• die Identifizierung des Vertrags und der widerrufenden Person ermöglichen,
• eine eindeutige Bestätigung des Widerrufs verlangen,
• eine Eingangsbestätigung mit Inhalt, Datum und Uhrzeit des Widerrufs übermitteln,
• und auch ohne Kundenkonto funktionieren.

Wenn du mehr über die rechtlichen Anforderungen an den Widerrufsbutton erfahren möchtest, lies gerne unseren ausführlichen Beitrag zum Thema. Außerdem erklären wir in einem weiteren Beitrag, warum die Shopify-Bordmittel für die Umsetzung nicht ausreichen.

Und wenn du überhaupt keine Lust auf technische Details hast, sondern lieber direkt zur passenden Lösung – sprich: Widerruf Button EU App von Eshop Guide – möchtest, findest du sie im Shopify App Store.

Cookie Consent auf Shopify: Die Checkliste für deinen Shop

Damit bist du eigentlich voll im Bild. Aber funktioniert dein eigener Shop tatsächlich so, wie er sollte? Mit unserer Checkliste kannst du die wichtigsten Punkte einmal durchgehen:

• Cookie-Banner vor dem Tracking: Werden nicht notwendige Cookies, Pixel und externe Dienste wirklich erst nach der Einwilligung geladen?
• Ablehnen ist genauso einfach wie Akzeptieren: Gibt es eine gleichwertige Möglichkeit, nicht notwendige Cookies abzulehnen?
• Alle Dienste berücksichtigt: Sind auch Apps, externe Inhalte, eigene Skripte und Marketing-Tools in deine Consent-Lösung eingebunden?
• Widerruf funktioniert: Können Kund:innen ihre Einwilligung später genauso einfach wieder ändern?
• Mehrere Märkte geprüft: Sind die Consent-Einstellungen für alle relevanten EU-Zielländer korrekt konfiguriert?
• Gastbestellungen berücksichtigt: Funktionieren Einwilligung und Widerruf auch ohne Kundenkonto?
• Consent Mode korrekt eingebunden: Wird der Einwilligungsstatus an Google und andere angebundene Dienste entsprechend weitergegeben?
• Neue Apps geprüft: Kontrollierst du bei der Installation einer neuen App, ob sie Cookies, Tracking oder andere Datenübertragungen mitbringt?
• Einwilligungen dokumentiert: Kannst du nachvollziehen, wann und wofür eine Einwilligung erteilt wurde?

Und der wichtigste Punkt: Ein Cookie-Banner ist nichts, was du einmal einrichtest und dann nie wieder anfasst, sondern Teil deiner technischen Shop-Infrastruktur. Je mehr Apps, Märkte und Tracking-Dienste dazukommen, desto wichtiger wird es, regelmäßig zu prüfen, ob alles noch so funktioniert, wie es soll.

Außerdem nicht vergessen: Nachrichten lesen. Denn auch die Rechtsprechung kann sich ändern.

Cookie Consent auf Shopify: Gut vorbereitet durch die EU

„Merci pour votre consentement et bienvenue dans notre magasin !“, spricht der Türsteher und öffnet dir mit ausladender Geste die Tür. Bei der Person hinter dir läuft es nicht ganz so glatt. Sie wird am Schlafittchen gepackt und in den Rinnstein befördert. Vielleicht hat sie unsere Beiträge nicht gelesen.


Denn aus Brüssel prasselt gerade jede Menge Neues auf den E-Commerce ein. Nicht nur rund um den Datenschutz, sondern auch bei vielen weitere Verbraucherrechten. Den Widerrufsbutton haben wir ja bereits erwähnt, aber weißt du auch, was es mit dem GARAN-Gewährleistungslabel auf sich hat? Du kannst dich entweder schlaulesen oder dir die passende Lösung direkt installieren. Beides ist natürlich auch möglich.

Ansonsten sagen wir: Merci d’avoir lu et à la prochaine !

FAQ: Cookie Consent auf Shopify