# Shopify-Newsletter DSGVO-konform: die Checkliste

> So machen Sie den Newsletter Ihres Shopify-Shops DSGVO-konform: Double Opt-in in Shopify aktivieren, Checkout-Checkbox richtig einstellen, Bestandskunden, AVV, Drittlandtransfer, Impressum und Abmeldelink.

Source: https://sendbroadcast.net/shopify-newsletter-dsgvo

Shopify bringt die meisten Einstellungen mit, die ein deutscher Shop für einen sauberen Newsletter braucht. Sie sind nur nicht alle ab Werk richtig gesetzt. Diese Checkliste geht die Punkte in der Reihenfolge durch, in der Abmahnungen und Prüfungen sie typischerweise ansprechen.

> Diese Seite ist keine Rechtsberatung. Für Ihren konkreten Fall sprechen Sie mit Ihrem Datenschutzbeauftragten oder einer Anwältin. Shopify-Menüpfade: Stand Oktober 2026.

## 1. Double Opt-in in Shopify aktivieren

Für Werbe-E-Mails brauchen Sie eine vorherige ausdrückliche Einwilligung (§ 7 Abs. 2 Nr. 2 UWG), und Sie müssen sie nachweisen können. Double Opt-in ist der übliche Nachweis: Die Person bekommt eine Bestätigungs-E-Mail und ist erst nach dem Klick eingetragen.

So schalten Sie es in Shopify ein:

1. Öffnen Sie **Einstellungen > Benachrichtigungen > Kundenbenachrichtigungen**.
2. Wählen Sie im Abschnitt zum Marketing-Double-Opt-in **Customer marketing confirmation** (Bestätigung für Kundenmarketing).
3. Passen Sie den Text der Bestätigungs-E-Mail an und senden Sie sich einen Test.

Dafür muss der Vertriebskanal Onlineshop installiert sein. Liegt Ihr Shop in Deutschland, zeigt Shopify im Bereich E-Mail-Marketing zusätzlich die Option **Require customers to confirm their subscription**.

Zwei Fallen:

- **Alte Abonnenten.** Wer sich vor dem Einschalten angemeldet hat, muss laut Shopify nicht nachträglich bestätigen. Für diese Kontakte haben Sie also keinen Double-Opt-in-Nachweis aus Shopify.
- **Apps.** Nutzen Sie ein Pop-up oder ein Newsletter-Tool als App, gilt Shopifys Einstellung dort nicht automatisch. Hat die App keine eigene Double-Opt-in-Option, trägt sie Anmeldungen ohne Bestätigung ein. Prüfen Sie jede App, die E-Mail-Adressen sammelt.

## 2. Die Checkout-Checkbox nicht vorankreuzen

Kunden können sich im Checkout über eine Checkbox für E-Mail-Marketing anmelden. Shopify erlaubt, diese Checkbox für bestimmte Regionen vorauszuwählen, automatisch nach Rechtslage oder manuell.

Für Deutschland gilt: Ein vorangekreuztes Kästchen ist keine Einwilligung. Das sagt Erwägungsgrund 32 der DSGVO, und der EuGH hat es im Urteil Planet49 (C-673/17, 1. Oktober 2019) bestätigt. Wählen Sie in den Checkout-Einstellungen keine Region für die Vorauswahl aus, dann ist die Checkbox nie vorangekreuzt.

Eine vorangekreuzte Checkbox ist auch ein typischer Abmahngrund. Werbung ohne wirksame Einwilligung ist nach § 7 UWG eine unzumutbare Belästigung. Mitbewerber und Verbraucherverbände können sie abmahnen.

Ein sauberer Checkbox-Text sagt, was kommt und wie oft, und verweist auf die Abmeldung. Zum Beispiel: „Ja, ich möchte den Newsletter mit Angeboten und Neuheiten erhalten, etwa zweimal im Monat. Abmeldung jederzeit über den Link in jeder E-Mail.“

## 3. Bestandskunden ohne Einwilligung: nur mit allen vier Bedingungen

§ 7 Abs. 3 UWG erlaubt Werbe-E-Mails an Kunden ohne Einwilligung, aber nur wenn alle vier Bedingungen erfüllt sind:

1. Sie haben die Adresse im Zusammenhang mit einem Verkauf bekommen.
2. Sie werben nur für eigene, ähnliche Waren.
3. Der Kunde hat nicht widersprochen.
4. Sie weisen beim Erheben der Adresse und in jeder E-Mail klar darauf hin, dass er jederzeit widersprechen kann.

Für Shopify heißt das: Ein Kundenkonto ohne Kauf reicht nicht. Der Hinweis auf das Widerspruchsrecht muss schon im Checkout stehen, nicht erst in der ersten E-Mail. Der EuGH hat die Ausnahme am 13. November 2025 (C-654/23) etwas weiter gefasst, die vier Bedingungen gelten aber weiter zusammen. Die Beweislast liegt bei Ihnen. Wer sicher gehen will, holt auch bei Kunden eine Einwilligung ein.

## 4. AVV mit Shopify und mit dem Newsletter-Tool

**Shopify.** Shopifys Data Processing Addendum ist Teil der Nutzungsbedingungen. Sie schließen den AVV also mit den Bedingungen ab, ein eigener Vertrag ist nicht nötig. Vertragspartner für Händler in Europa ist Shopify International Limited in Irland. Laden Sie die aktuelle Fassung unter [shopify.com/legal/dpa](https://www.shopify.com/legal/dpa) herunter und legen Sie sie ab.

**Das Newsletter-Tool.** Shopify Messaging (früher Shopify Email) kommt von Shopify selbst, ein weiterer Anbieter kommt nicht hinzu. Prüfen Sie trotzdem, dass Ihre Datenschutzerklärung den Versand nennt. Für jedes andere Tool brauchen Sie einen eigenen AVV mit dessen Anbieter. Das gilt auch für Pop-up- und Formular-Apps, die Adressen speichern.

## 5. Drittlandtransfer prüfen

Shopify International Limited verarbeitet die Daten Ihrer europäischen Kunden zuerst. Übermittlungen an die Muttergesellschaft Shopify Inc. in Kanada stützt Shopify laut AVV unter anderem auf den Angemessenheitsbeschluss für Kanada, konzerninterne Übermittlungen auf Binding Corporate Rules, weitere Übermittlungen auf Standardvertragsklauseln.

Das Newsletter-Tool ist oft der größere Punkt. Wo die Anbieter speichern:

| Tool | Anbieter | Datenspeicherung |
| --- | --- | --- |
| Shopify Messaging | Shopify | bei Shopify, wie Ihre übrigen Shopdaten |
| Klaviyo | USA (Boston) | USA; EU-Umgebung in Deutschland seit September 2026 nur für neue Vertragskunden |
| Mailchimp | USA (Intuit) | USA |
| Brevo | Frankreich | EU: OVH in Frankreich und Deutschland, Google Cloud in Belgien |
| CleverReach | Deutschland (Rastede) | laut Anbieter Server in Deutschland und der EU |
| Broadcast | Software zum Selbsthosten | auf Ihrem Server, z. B. bei Hetzner in Deutschland |

Quellen: [Klaviyo Privacy FAQs](https://www.klaviyo.com/legal/privacy-faqs), [Klaviyo zur EU Data Residency](https://www.klaviyo.com/solutions/customer-data-platform), [Brevo zum Speicherort](https://help.brevo.com/hc/en-us/articles/360001005510-Data-storage-location), [CleverReach zur DSGVO](https://www.cleverreach.com/en/gdpr-compliant-newsletter-tool/). Stand Oktober 2026.

Bei einem US-Anbieter nennen Sie in der Datenschutzerklärung das Drittland und die Grundlage, meist das EU-US Data Privacy Framework. Das DPF gilt, ist aber angefochten. Was ein Wegfall bedeuten würde, steht unter [Was passiert, wenn das Data Privacy Framework fällt?](/blog/data-privacy-framework-faellt). Die Details zu Klaviyo stehen unter [Klaviyo und die DSGVO](/compare/klaviyo-dsgvo), zu Mailchimp unter [Mailchimp und die DSGVO](/compare/mailchimp-dsgvo).

## 6. Datenschutzerklärung und Impressum

**Datenschutzerklärung.** Der Newsletter-Abschnitt nennt das Tool als Empfänger, die Rechtsgrundlage (Einwilligung oder § 7 Abs. 3 UWG), den Ablauf des Double Opt-in, was Sie protokollieren und wie lange, und ein mögliches Drittland. Misst Ihr Tool Öffnungen und Klicks, gehört auch das hinein.

**Impressum.** Jeder Newsletter braucht ein Impressum nach § 5 DDG, in der E-Mail selbst oder über einen direkten Link. Prüfen Sie in der Vorlage, ob der Footer wirklich ausgefüllt ist.

## 7. Abmeldelink und Auskunftsanfragen

**Abmeldung.** Jede E-Mail braucht einen gut sichtbaren Abmeldelink, und die Abmeldung muss sofort wirken. Gmail und Yahoo verlangen von Massenversendern seit 2024 zusätzlich eine Abmeldung mit einem Klick im E-Mail-Header. Synchronisieren Sie Abmeldungen zurück nach Shopify, wenn Sie ein externes Tool nutzen. Sonst landet ein abgemeldeter Kunde beim nächsten Import wieder auf der Liste.

**Auskunft.** Anfragen nach Art. 15 DSGVO beantworten Sie innerhalb eines Monats und vollständig, mit allen Empfängern. Die Abmahnwelle von 2023 gegen Shops mit Klaviyo und Mailchimp setzte genau hier an.

## 8. Wenn Sie Broadcast nutzen wollen

Broadcast ist eine Newsletter-Software, die Sie selbst hosten. Eine Shopify-App gibt es nicht. Broadcast kennt keine Shopify-Events, verschickt keine Warenkorbabbrecher-Mails und hat keine Produktblöcke. Shopifys eigene Checkout-Erinnerung können Sie weiter nutzen.

Heute kommen Ihre Shopify-Kunden auf zwei Wegen in Broadcast:

- **CSV.** Exportieren Sie die Kunden in Shopify und importieren Sie nur die Zeilen, in denen „Accepts Email Marketing“ auf yes steht. Hatten Sie früher kein Double Opt-in, fehlt der Nachweis auch nach dem Import. Klären Sie mit Ihrem DSB, ob Sie diese Kontakte neu bestätigen lassen.
- **Webhook und API.** Schicken Sie neue Kunden per Shopify-Webhook an die Broadcast-API. Mit dem Parameter `double_opt_in` verschickt Broadcast eine Bestätigungs-E-Mail und trägt die Person erst nach dem Klick ein.

Die Anleitungen dazu: [Bestehende Liste importieren](/how-to/bring-your-existing-list) und [Shopify mit Broadcast verbinden](/how-to/connect-shopify-to-broadcast) (beide Englisch). Wie der Rest des Stacks in Deutschland aussieht, beschreibt [E-Mail-Marketing selbst hosten](/email-marketing-self-hosted-germany).

## Häufige Fragen

### Ist der Shopify-Newsletter DSGVO-konform?

Shopify liefert die Werkzeuge: Double Opt-in, eine Checkbox ohne Vorauswahl und einen AVV. Konform wird der Newsletter erst, wenn Sie diese Einstellungen richtig setzen und Datenschutzerklärung und Impressum dazu passen.

### Wie aktiviere ich Double Opt-in in Shopify?

Unter Einstellungen > Benachrichtigungen > Kundenbenachrichtigungen wählen Sie im Abschnitt zum Marketing-Double-Opt-in die Bestätigung für Kundenmarketing. Shops in Deutschland sehen zusätzlich die Option, dass Kunden ihre Anmeldung bestätigen müssen. Apps, die selbst Adressen sammeln, müssen Sie getrennt einstellen.

### Darf die Newsletter-Checkbox im Checkout vorangekreuzt sein?

Nein. Ein vorangekreuztes Kästchen ist nach Erwägungsgrund 32 DSGVO und dem EuGH-Urteil Planet49 keine wirksame Einwilligung. Wählen Sie in Shopify keine Region für die Vorauswahl.

### Brauche ich einen AVV mit Shopify?

Ja. Er ist als Data Processing Addendum Teil der Shopify-Nutzungsbedingungen und gilt mit ihnen. Für jedes externe Newsletter-Tool brauchen Sie zusätzlich einen eigenen AVV.

### Welches Newsletter-Tool für Shopify ist DSGVO-konform?

Das hängt weniger am Tool als an der Einrichtung. Shopify Messaging kommt von Shopify selbst, ein weiterer Anbieter kommt nicht hinzu. Bei US-Tools wie Klaviyo oder Mailchimp kommt ein Drittlandtransfer hinzu. Brevo und CleverReach speichern nach eigenen Angaben in der EU. Mit einer selbst gehosteten Software wie Broadcast liegt die Liste auf Ihrem Server, eine Shopify-Integration fehlt aber.

---

## Weiterlesen

- [Klaviyo und die DSGVO](/compare/klaviyo-dsgvo)
- [Klaviyo et le RGPD](/compare/klaviyo-rgpd) (Französisch)
- [Newsletter versenden: Schritt für Schritt](/newsletter-versenden)
- [Mailchimp und die DSGVO](/compare/mailchimp-dsgvo)
- [Was passiert, wenn das Data Privacy Framework fällt?](/blog/data-privacy-framework-faellt)
- [EU Data Sovereignty 2026](/blog/eu-data-sovereignty-email-marketing-2026) (Englisch)
- [Klaviyo Alternative](/compare/klaviyo-alternative) und [Klaviyo Pricing](/compare/klaviyo-pricing) (Englisch)
- [Klaviyo Deliverability](/klaviyo-deliverability) (Englisch)