Shopify ist bei Händlern in Singapur weit verbreitet. Der Personal Data Protection Act (PDPA) ist das zentrale Datenschutzgesetz Singapurs – durchgesetzt von der Personal Data Protection Commission (PDPC).
Dieser Leitfaden erklärt, was der PDPA von singapurischen Shopify-Shops verlangt, wo typische Lücken liegen und mit welchen konkreten Schritten Sie das beheben.
Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Die Anforderungen des PDPA werden von der PDPC ausgelegt und durchgesetzt. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt.
Der PDPA gilt für jede Organisation, die personenbezogene Daten in Singapur erhebt, verwendet oder offenlegt – unabhängig davon, wo die Organisation ihren Sitz hat (PDPA Abschn. 2(1), Definition von „organisation“; PDPC-Leitlinien zu den Kernbegriffen, „Organisations“). Wenn Sie:
... gelten die PDPA-Pflichten für Sie.
Personenbezogene Daten im Sinne des PDPA umfassen alles, was eine Person identifiziert: Name, E-Mail-Adresse, Telefonnummer, Lieferadresse, Kaufhistorie sowie IP-Adresse, Geräte-Identifikatoren und Surfverhalten, soweit sie sich einer identifizierbaren Kundin oder einem identifizierbaren Kunden zuordnen lassen (PDPC-Leitlinien zu ausgewählten Themen, Rn. 7.2 bis 7.5).
Ihr Shop erhebt das meiste davon über den Checkout, die Kundenkonten und die Analysefunktionen.
Prüfen Sie Ihre PDPA-Compliance vor Ihrer nächsten Kampagne. Führen Sie einen kostenlosen PDPA-Scan für Ihren Shopify-Shop durch → – sehen Sie, welchen Tracking-Code Ihre Startseite ohne erkennbaren Einwilligungsmechanismus ausliefert.
Die PDPA verlangt eine Einwilligung, bevor Sie personenbezogene Daten erheben, verwenden oder offenlegen – es sei denn, es greift eine Ausnahme (z. B. wenn die Daten öffentlich verfügbar sind oder die Erhebung gesetzlich vorgeschrieben ist) (PDPA Abschn. 13 und First Schedule).
Für einen Shopify-Shop bedeutet das:
Sie dürfen personenbezogene Daten nur für den Zweck verwenden, für den sie erhoben wurden. Wenn eine Kundin oder ein Kunde Ihnen die E-Mail-Adresse zur Abwicklung einer Bestellung gibt, dürfen Sie diese Adresse nicht für den Versand von Marketingnachrichten nutzen, sofern keine gesonderte Einwilligung in das Marketing vorliegt.
Häufiger Fehler: das Importieren von Bestell-Kontakt-E-Mails in eine Marketingliste und der Versand von Werbung ohne ein gesondertes Marketing-Opt-in.
Die PDPA verpflichtet Sie, Kundinnen und Kunden zum Zeitpunkt der Erhebung darüber zu informieren, welche Daten Sie erheben und warum. In der Praxis bedeutet das, dass Ihr Shopify-Shop eine Datenschutzerklärung benötigt, die:
Kundinnen und Kunden haben das Recht, auf die über sie gespeicherten personenbezogenen Daten zuzugreifen und Berichtigungen zu verlangen. Ihre Datenschutzerklärung muss erläutern, wie dieses Recht ausgeübt wird, und die PDPA erwartet, dass Sie auf entsprechende Anfragen reagieren können.
Seit dem 1. Februar 2021 ist die Meldung von Datenschutzverletzungen Pflicht (PDPA Teil 6A, Abschn. 26A bis 26E). Ist eine Verletzung geeignet, den betroffenen Personen erheblichen Schaden zuzufügen, oder erreicht sie ein erhebliches Ausmaß (500 oder mehr Personen: Abschn. 26B(1) und Regulation 4 der Personal Data Protection (Notification of Data Breaches) Regulations 2021), verpflichtet Abschn. 26D(1) PDPA die Organisation, die PDPC so bald wie möglich und spätestens 3 Kalendertage nach dem Tag zu benachrichtigen, an dem sie festgestellt hat, dass die Verletzung zu melden ist. Nach Abschn. 26D(2) muss sie außerdem die betroffenen Personen benachrichtigen, wenn die Verletzung ihnen voraussichtlich erheblichen Schaden zufügt, vorbehaltlich der Ausnahmen in Abschn. 26D(5) bis (7).
Standardmäßig lädt ein Shopify-Shop:
Die meisten dieser Dienste können personenbezogene Daten erheben. Der PDPA enthält keine eigene Cookie-Regel, aber Abschn. 13 verbietet einer Organisation, personenbezogene Daten ohne Einwilligung – erteilt oder kraft Gesetzes angenommen (deemed consent) – zu erheben, sofern keine Ausnahme greift, und Abschn. 20 verlangt, dass der Zweck spätestens bei der Erhebung mitgeteilt wird. Nach den Leitlinien der PDPC braucht es keine Einwilligung für Cookies, die keine personenbezogenen Daten erheben oder einem vom Besucher ausdrücklich gewünschten Dienst dienen (Warenkorb, Login, Sicherheit); erforderlich ist sie dagegen, wenn Cookies personenbezogene Daten für zielgerichtete Werbung erheben, und wer lediglich seine Browsereinstellungen nicht geändert hat, hat nicht eingewilligt (Advisory Guidelines on Selected Topics, Rn. 7.9 bis 7.14). Ein Tag, das personenbezogene Daten erhebt, braucht diese Einwilligung also vor der Erhebung – praktisch: bevor es ausgelöst wird.
Die Lösung: Sie benötigen ein Einwilligungsmanagement-System in Ihrem Shopify-Shop, das:
Das in Shopify integrierte Cookie-Banner hält Shopifys eigene Cookies und Shopify-Pixel bis zur Einwilligung zurück, allerdings nur in den Regionen, in denen es aktiviert ist. Standardmäßig sind das das Vereinigte Königreich und der EWR; Singapur ist erst abgedeckt, wenn Sie es in den Datenschutzeinstellungen für Kunden hinzufügen. Skripte, die fest im Theme stehen oder von Apps eingefügt werden, die Shopifys Customer Privacy API nicht beachten, hält es nicht auf; dafür braucht es eigene Logik oder eine Einwilligungs-App, die sie blockiert (Shopify Help Center, „Datenschutzeinstellungen für Kunden konfigurieren“).
Consentmo (kostenloser Tarif und kostenpflichtige Tarife) – eine Shopify-native Einwilligungs-App. Ihr Eintrag nennt automatische Skript-Blockierung, Geolokalisierung und den PDPA unter den unterstützten Regelwerken. Eine Shopify-native Option.
CookieYes für Shopify – eine Shopify-native App, deren Eintrag automatische Blockierung von Drittanbieter-Skripten nennt (kostenloser Tarif verfügbar; aktuelle Tarife im Eintrag prüfen).
Funktionen und Preisstufen der Apps laut den Einträgen im Shopify App Store, abgerufen am 3. Oktober 2026 – überprüfen Sie die aktuellen Funktionen im jeweiligen Shopify-Eintrag der App.
Eine Standard-Vorlage für die Shopify-Datenschutzerklärung reicht für den PDPA nicht aus. Wir empfehlen, Folgendes zu ergänzen:
Wenn Ihr Shop sowohl Kundinnen und Kunden in Singapur als auch in der EU bedient, gelten beide Regelwerke – unabhängig voneinander.
| Aspekt | PDPA (Singapur) | DSGVO (EU) |
|---|---|---|
| Durchgesetzt von | PDPC | nationale Datenschutzbehörden (z. B. die CNIL in Frankreich, in Deutschland die Landesdatenschutzbehörden) |
| Maximales Bußgeld | Obergrenze abhängig vom Jahresumsatz in Singapur (Abschn. 48J(3), für Verstöße ab dem 1. Oktober 2022) | Obergrenze abhängig vom weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres (Art. 83 Abs. 5) |
| Frist zur Meldung von Datenschutzverletzungen | Spätestens 3 Kalendertage nach der Feststellung der Meldepflicht (Abschn. 26D(1)) | Möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 Abs. 1) |
| Marketing-Einwilligung | Opt-in erwartet (PDPC-Leitlinien) | Ausdrückliches Opt-in erforderlich |
| Tracking-/Cookie-Einwilligung | Erforderlich, wenn der Tracker personenbezogene Daten erhebt, und zwar vor der Erhebung (sofern keine angenommene Einwilligung oder Ausnahme greift) | Erforderlich (ePrivacy-Richtlinie) |
| Extraterritorialer Anwendungsbereich | Ja – jede Organisation, die personenbezogene Daten in Singapur erhebt, verwendet oder offenlegt, unabhängig vom Sitz | Ja – Daten von in der EU ansässigen Personen |
| Recht auf Auskunft über personenbezogene Daten | Ja (PDPA Abschn. 21) | Ja (DSGVO Art. 15) |
Die PDPC veröffentlicht ihre Durchsetzungsentscheidungen unter pdpc.gov.sg. Zentrale Muster aus ihrer Entscheidungsdatenbank:
Wenn Ihr Shopify-Shop sowohl in Singapur ansässige Personen als auch europäische Kundinnen und Kunden bedient, unterliegen Sie gleichzeitig zwei unabhängigen Datenschutzregimen. Sitetals deckt beide ab. Führen Sie den EU-/DSGVO-Scan für Ihr europäisches Risiko durch und den PDPA-Scan für Singapur.
Für weiteren DSGVO-/EU-Kontext: DSGVO-Bußgelder 2026: 13 reale Fälle und was sie gekostet haben. Für einen vollständigen Compliance-Selbsttest: die 12 DSGVO-Prüfpunkte, die die meisten Unternehmen übersehen.
Fügen Sie die URL Ihres Shopify-Shops ein. Der kostenlose Scan liest Ihre Startseite und die von ihr verlinkte Datenschutz- oder Rechtsseite und zeigt Tracking-Code ohne erkennbaren Einwilligungsmechanismus, einen fehlenden Link zur Datenschutzerklärung und einen fehlenden Datenschutzkontakt.
Vollständiger PDF-Bericht mit Verweisen auf PDPC-Durchsetzungsentscheidungen und einer Maßnahmen-Checkliste: ab S$68.
Quellen: PDPA 2012, Abschn. 2(1), 13, 20, 21, 26B, 26D und 48J sowie First Schedule (konsolidierte Fassung, in Kraft seit 5. Dezember 2025) · Personal Data Protection (Notification of Data Breaches) Regulations 2021 (S 64/2021), Regulation 4 · PDPC, Advisory Guidelines on the PDPA for Selected Topics (überarbeitet am 23. Mai 2024), Kapitel 7 · PDPC, Advisory Guidelines on Key Concepts in the PDPA (überarbeitet am 29. April 2026) · SingHealth/IHiS [2019] SGPDPC 3 · Goldheart Jewelry Pte. Ltd. [2025] SGPDPC 4 · Shopify Help Center, „Datenschutzeinstellungen für Kunden konfigurieren“ (abgerufen am 3. Oktober 2026) · DSGVO Art. 15, 33 Abs. 1 und 83 Abs. 5
Sitetals Redaktion