Shopifys neue native Cookie-Consent-Lösung: Rechtskonform oder nicht? (Update)

Seit 2024 stellt Shopify Händlern in den Datenschutzeinstellungen eine native Cookie-Consent-Lösung bereit, mit welcher Shop-Besucher ihr Cookie-Einwilligungsverhalten rechtswirksam sollen steuern können. Der folgende Beitrag geht der Frage nach, ob die Shopify-Lösung den Anforderungen an einen datenschutzkonformen Cookie-Consent entspricht, und geht in einer Aktualisierung auch auf eine dazu von Shopify selbst veröffentlichte Mitteilung ein.

I. Das Cookie Banner von Shopify

Nachdem Shopify zunächst seit Herbst 2020 eine eigene Cookie-Consent-Lösung im Shopify-Appstore bereitgestellt hatte, mit welcher Shop-Betreiber die höchstrichterliche Rechtsprechung von EuGH und BGH zur Einwilligungspflicht für technisch nicht notwendige Cookies anforderungskonform sollten umsetzen können, stellt der Shopsystem-Anbieter seit 2024 mit dem "Cookie Banner" eine native Cookie-Einwilligungslösung direkt in den Shopify-Einstellungen ("Einstellungen > Datenschutz des Kunden > Cookie Banner") bereit.

Anders als die vorherige Shopify-eigene Lösung muss das neue Cookie Banner nicht aus dem Appstore geladen werden, sondern lässt sich mit wenigen Klicks direkt in den Shop-Einstellungen kalibrieren und sodann als Pop-Up der Shop-Ansicht hinzufügen.

Nach Shopifys Ansicht ermöglicht das hauseigene Cookie-Banner einen datenschutzkonformen Cookie-Consent für alle vom Shop-Betreiber eingesetzten cookie-basierten Dienste und soll insbesondere den Rückgriff auf (ggf. kostenpflichtige) Drittanbieter-Tools hinfällig werden lassen.

II. Datenschutzrechtliche Würdigung der Lösung

Wie rechtlich gefordert, stellt das hauseigene Cookie-Consent-Tool von Shopify zwar sicher, dass bei Seitenaufruf alle technisch nicht notwendigen Cookies so lange blockiert werden, bis der Nutzer seine Cookie-Einwilligung erteilt.
Die Einwilligungsfunktion an sich ist rechtlich aber noch ausbaubedürftig.

Auch ermöglicht die Consent-Lösung rechtskonform die Steuerung des Einwilligungsverhaltens über drei zentrale, gleich große und identisch akzentuierte Buttons, mit denen jeweils

• alle Cookies akzeptiert werden können
• alle Cookies außer die technisch erforderlichen abgelehnt werden können
• individuelle Cookie-Einstellungen aufgerufen werden können.

Problematisch ist allerdings, dass das Shopify-Tool in den individuellen Cookie-Einstellungen nur eine Einwilligung in Cookie-Kategorien zulässt:

In rechtlicher Hinsicht sind derartige kategoriebezogene Generaleinwilligungen aber nicht ausreichend, weil sie die datenschutzrechtlich geforderte „Freiwilligkeit“ bei der Einwilligungserteilung beeinträchtigen. Die Freiwilligkeit ist ein maßgebliches Kriterium für die Wirksamkeit einer datenschutzrechtlichen Einwilligung, s. Art. 4 Nr. 11 und Art. 7 Abs. 3 DSGVO. Fehlt sie, ist die zugrundeliegende Einwilligungserklärung unwirksam mit der Folge, dass sich der Erklärungsempfänger (hier: der Shop-Betreiber) so behandeln lassen muss, als hatte er die Einwilligung nie korrekt eingeholt.

Um die Freiwilligkeit zu wahren, wäre erforderlich, dass Shopify Einwilligungsoptionen für jeden einzelnen cookie-basierten Dienst in das Tool integriert, also in den Kategorien Unterauswahl-Schaltflächen für alle cookie-basierten Dienste pro Kategorie bereitstellt. Nur dann könnte ein Nutzer zum einen hinreichend erkennen, welche Dienste im jeweiligen Shopify-Shop überhaupt zum Einsatz kommen könnten, und sich zum anderen für oder gegen ihr Setzen von Cookies entscheiden.

Wie diese individuelle Einstellungsmöglichkeit im Tool graphisch oder optisch dargestellt wird, ist dahingegen nicht relevant. Entscheidend ist nur, dass sie vorhanden ist. Daneben kann es freilich eine „Alle akzeptieren“-Schaltfläche geben.

III. Fazit

Das hauseigene "Cookie Banner" von Shopify als natives, in den Shop-Einstellungen konfigurierbares Cookie-Consent-Tool hat aufgrund seines schlichten und unaufdringlichen Designs eindeutig Potenzial. Darüber hinaus blockt es effektiv alle technisch nicht notwendigen Cookies ab.

Rechtlich erforderlich wäre aber ein Nachrüsten dahingehend, dass die "individuellen Einstellungen" nicht nur die Einwilligungserteilung für ganze Cookie-Kategorien, sondern vielmehr ein feinjustierteres Einwilligungsmanagement für jeden einzelnen cookie-basierten Dienst innerhalb einer jeden Kategorie zuließen.

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .