Shopify – Praktischer Helfer oder praktisch ein Bußgeldrisiko?

In diesem Artikel soll es um den Anbieter Shopify und dessen Konformität mit der DSGVO gehen. Denn der Anbieter erfreut sich aktuell größter Beliebtheit, ist jedoch nicht ganz unumstritten.

Zuerst einmal die Frage: was ist denn Shopify genau?

Shopify ist in jüngerer Zeit sehr beliebt bei Betreibern von Onlineshops. Es handelt sich bei diesem Anbieter um eine Software as a Service Lösung (SaaS), die es dem Nutzer ermöglicht den gesamten Shop für diesen zu hosten. Der jeweilige Kunde „shoppt“ dann also auf dem Server von Shopify und nicht auf dem eigenen.

Was ist das Problem bezüglich Shopify?

Im Prinzip hat die Entscheidung der Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz den Stein der Verunsicherung ins Rollen gebracht. Der Kern des Problems ist auch hier, wie so oft, die (potentielle) Datenübertragung in die USA.

Shopify selbst gibt an, Daten nur nach Kanada zu übertragen. So weit so gut, denn aus europäischer Perspektive stellt Kanada ein sicheres Drittland dar. Ab diesem Punkt wird es jedoch problematisch, denn von Kanada aus werden die Daten wiederum in weitere Drittländer übertragen, unter anderem die USA. Die mögen aus kanadischer Sicht sicher sein, bekannter weise aber nicht aus der europäischen Sichtweise. Denn aus dieser müssten die Standardvertragsklauseln abgeschlossen werden – und genau diese bietet Shopify nicht an. Die Datenweitergabe erfolgt über Content Delivery Networks (CDN) wie Cloudflare oder Cloudfront. Dieses ist quasi eine Art zweiter dazwischengeschalteter Server, der es ermöglicht, dass die Daten nicht immer vom eigentlichen Shopify Server geladen werden müssen. Genau diese Einstellung lässt sich jedoch seitens Shopify nicht deaktivieren. Der  europäische Nutzer kann dieser „Falle“ also auch durch eigene Einstellungen nicht entkommen.

Im Gegenteil: Shopify selbst verharrt auf dem Standpunkt, dass der Dienst DSGVO-konform sei und ohne Bedenken genutzt werden könne.

Welche Folgen sind zu erwarten?

Die juristische Antwort ist: es kommt drauf an. Wie eine Behörde im Einzelfall entscheidet, ist leider nicht vorauszusehen. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Rheinland-Pfalz verbleibt zum Beispiel trotz Ihrer Negativentscheidung dabei, dass jeder Einzelfall für sich selbstständig zu bewerten ist.

Dennoch sollten Sie aus dieser Entscheidung mitnehmen, dass Shopify solange ein Bußgeldrisiko in sich trägt, bis die Möglichkeit der Abschaltung der CDNs durch Shopify eingeräumt wird. An dieser Stelle der Vollständigkeit halber auch noch einmal die Erinnerung, dass diese Bußgelder durchaus sehr empfindlich sein können – bis zu 20 Millionen Euro bzw. 4% des weltweiten Vorjahresumsatz.

Die Nutzung des Dienstes sollte also – zumindest aktuell – gut überlegt sein!

Bundesländer fordern Personenkennziffer für alle

Laut Berichten der Funke-Mediengruppe wünschen sich alle 16 Bundesländern eine praktikable Authentifizierungsmöglichkeit für Deutsche gegenüber dem Staat in Form einer „einheitlichen, nutzerfreundlichen, deutschlandweit gültigen Bürger-ID“.
Diese Personenkennziffer soll im Zuge der „Volldigitalisierung aller Verwaltungsprozesse“ eingeführt werden, um die „Zettelwirtschaft und vergilbte Karteikartenmentalität in deutschen Behörden“ zu beenden.

Zu Personenkennziffern sei gesagt, dass sie verfassungsrechtlich umstritten sind.
Das Mikrozensus-Urteil von 1969 sieht darin einen Widerspruch zur menschlichen Würde, da es den Menschen zum bloßen Objekt im Staat machen würde.
Ferner sieht das Volkszählungsurteils des Bundesverfassungsgerichtes den möglichen Verstoß gegen das Grundrecht auf informationelle Selbstbestimmung.

Weitere Informationen finden Sie hier:
https://netzpolitik.org/2023/buerger-id-bundeslaender-fordern-personenkennziffer-fuer-alle/

EDSA stellt den Entwurf des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework auf den Prüfstand

Nach der heutigen Verabschiedung des Angemessenheitsbeschlusses durch die EDSA (Europäischer Datenschutzausschuss) begrüßt der BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) Professor Kelber den Beschluss. Er sieht darin „den Willen, ein angemessenes Schutzniveau für Betroffene, deren personenbezogenen Daten an Unternehmen in die USA übermittelt werden, zu schaffen. Deutliche Fortschritte gibt es insbesondere im Bereich des Government Access für Zwecke der nationalen Sicherheit.“

Gleichzeitig äußert Professor Kelber Bedenken, ob das durch den Angemessenheitsbeschluss gewährleistete Schutzniveau wirklich gleichwertig mit den Schutzstandards der EU sein kann.
Nicht zuletzt sieht der Angemessenheitsbeschluss eine „Bulk Collection“ von Daten vor, die weder im Vorfeld noch im Nachhinein durch eine unabhängige Stelle geprüft werden.

Weitere Informationen finden Sie hier:
https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2023/07_Stellungnahme-EDSA-EU-US-DPF.html?nn=251944