Kundendaten zu Shopify migrieren: Was mit Passwörtern, Einwilligungen und Bestellhistorie passiert

Im Projektbrief einer Migration, die ich gerade begleite, steht unter den Risiken ein Satz, der die übliche Sorge umdreht: Die Migration der Kundendaten ist technisch einfach, braucht aber eine saubere Datenschutz-Kommunikation an die Bestandskunden. Wer Kundendaten zu Shopify migrieren will, denkt oft zuerst an die Technik und dabei vor allem an die Passwörter. Die sind seit den neuen Kundenkonten von Shopify aber kein Thema mehr. Arbeit machen die Einwilligungen, die Information der Kunden und die Frage, was aus der alten Bestellhistorie wird.

Dieser Beitrag geht die vier Punkte der Reihe nach durch: die Kundenliste und der CSV-Import, die Anmeldung ohne Passwort, die Newsletter-Einwilligungen mit ihrem Nachweis und die Bestellhistorie. Am Ende steht die Mitteilung an die Bestandskunden und der Ablauf, wie wir ihn bei einem Fachhändler planen, den ich 2026 von IONOS zu Shopify begleite. Dort ist der Kundenimport noch nicht gelaufen, deshalb liest Du hier das Vorgehen und keine Zahlen aus dem Ergebnis. Wie die Produkte bei so einem Umzug in den Shop kommen, steht im Beitrag zur Migration von IONOS, Jimdo oder JTL.

1Kundendaten zu Shopify migrieren: Reihenfolge und CSV-Import

Shopify empfiehlt für den Umzug eine feste Reihenfolge: erst die Produkte, dann die Kunden, dann die alten Bestellungen. Eine Bestellung braucht nämlich das Produkt und den Kunden, an die sie gehängt wird, und beides muss schon im Shop sein, wenn sie importiert wird. Für die Kunden heißt das, dass sie an der Reihe sind, sobald das Sortiment steht. Was Du für die Produkte brauchst, steht im Beitrag zur Migration von IONOS, Jimdo oder JTL, hier geht es nur um die Kundenliste.

Der Import selbst läuft über eine CSV-Datei nach der Vorlage von Shopify. Eine Zuordnung von Spalten gibt es dabei nicht, die Spaltennamen in Deiner Datei müssen den Namen der Vorlage entsprechen, Groß- und Kleinschreibung spielt dabei keine Rolle. Vorgesehen sind Name, E-Mail-Adresse, Telefonnummer, die Standardadresse mit Firma und Ländercode, dazu Tags, eine Notiz, die Steuerbefreiung und die Spalten für E-Mail-, SMS- und WhatsApp-Marketing. Auch Kunden-Metafelder nimmt die Vorlage an, wenn das Metafeld im Admin schon angelegt ist. Der Export aus dem alten System hat andere Spaltennamen, deshalb baust Du die Datei einmal in der Tabelle um.

Ein paar Regeln aus der Shopify-Hilfe solltest Du dabei kennen. Die Datei darf höchstens 15 MB groß sein, bei mehr Kunden teilst Du sie auf. Sie muss als UTF-8 gespeichert sein, sonst kommen Umlaute kaputt an. Die Spalte für die E-Mail-Adresse muss vorhanden sein, darf aber leer bleiben. Kunden mit doppelter E-Mail-Adresse oder Telefonnummer überspringt Shopify, und zwar so, dass nur das letzte Profil mit dem doppelten Wert importiert wird. Setzt Du den Haken zum Überschreiben vorhandener Kunden, ersetzt Shopify alle Daten des Kunden, auch die Tags. Gesamtumsatz und Zahl der Bestellungen ignoriert Shopify beim Import, diese Werte entstehen nur aus Bestellungen, die im Shop liegen.

In der Tabelle führst Du vor dem Import die Dubletten zusammen, statt sie Shopify überspringen zu lassen. Testkonten und offensichtlich falsche Adressen fliegen raus, Ländercodes kommen auf zwei Buchstaben. Ein Tag wie „altshop“ hilft Dir später beim Filtern der importierten Kunden. Wenn der alte Shop Kundengruppen kannte, etwa Händler mit eigenen Preisen, landen die erstmal auch als Tag in der Datei, dazu unten mehr.

2Passwörter: Warum sie nicht mitkommen und warum das kein Problem mehr ist

Die Passwörter Deiner Kunden kommen bei keinem dieser Wege mit. Shopify schreibt dazu, dass Passwörter aus einem anderen Shop außerhalb von Shopify verschlüsselt sind und sich deshalb nicht per CSV übernehmen lassen. Auch die Migrationsdienste ändern daran nichts, LitExtension nennt es auf seiner Seite zur Shopify-Migration als Grenze des Verfahrens. Bei den klassischen Kundenkonten hieß das, dass jeder Bestandskunde nach dem Import eingeladen werden musste, um sich ein neues Passwort zu setzen.

Mit den neuen Kundenkonten von Shopify ist das anders. Kunden melden sich dort standardmäßig ohne Passwort an: Sie geben ihre E-Mail-Adresse ein und bekommen einen sechsstelligen Code zugeschickt. Entscheidend für die Migration ist ein Satz aus der Shopify-Hilfe: Wer ein Kundenprofil im Admin hat, hat damit schon ein Konto und kann sich mit der E-Mail-Adresse aus dem Profil anmelden. Jeder Kunde aus Deiner CSV kann sich also nach dem Import anmelden und braucht dafür weder eine Einladung noch eine Aktivierungsmail. Meldet sich jemand mit einer E-Mail-Adresse an, die noch kein Profil hat, legt Shopify das Profil automatisch an.

Dazu kannst Du die Anmeldung über Shop ergänzen, wenn Shop Pay aktiv ist, oder die Anmeldung mit Google, Facebook und Apple zuschalten. Einen eigenen Identitätsanbieter wie Auth0 oder Okta gibt es nur mit Shopify Plus, das wird eher für einen Hersteller mit Händlerportal interessant.

Die klassischen Kundenkonten mit Passwort hat Shopify am 26. Februar 2026 abgekündigt. Neue Shops bekommen sie nicht mehr, es gibt keine Funktionsupdates und keinen technischen Support mehr, und ein Abschaltdatum will Shopify noch 2026 nennen. Ein Shop, der jetzt umzieht, startet also ohnehin mit den neuen Konten. Die Frage nach dem Passwort stellt sich damit nicht mehr.

Was Du Deinen Kunden dazu sagst, ist dann kurz: Dein Konto gibt es weiter, Du brauchst kein Passwort mehr, Du bekommst beim Anmelden einen Code per E-Mail. Mehr steht dazu in der Mitteilung weiter unten.

3Einwilligungen: Die Spalte „Accepts Email Marketing“ und der Nachweis dahinter

In der Vorlage von Shopify steuern eigene Spalten die Einwilligungen: „Accepts Email Marketing“, „Accepts SMS Marketing“ und „Accepts WhatsApp Marketing“. Erlaubt sind nur die Werte „yes“ und „no“. Eine Spalte für den Zeitpunkt oder den Wortlaut der Einwilligung gibt es in der CSV nicht. Shopify nimmt also Dein „yes“ entgegen, der Nachweis, dass es stimmt, bleibt Deine Sache. In der Hilfe zu den Kontaktdaten schreibt Shopify das auch so: Für die Einwilligungen der Kunden ist der Händler verantwortlich.

Wie viel dieser Nachweis wiegt, hat das Verwaltungsgericht Düsseldorf am 27. Juli 2026 gezeigt. Ein Portalbetreiber hatte Werbemails verschickt und als Beleg für die Einwilligung nur E-Mail-Adresse, IP-Adresse und Zeitstempel vorgelegt, dazu die IP-Adresse der Bestätigung. Die Bestätigungsmail selbst konnte er nicht vorlegen. Das Gericht hat die Verwarnung der Aufsichtsbehörde bestätigt, weil zwischen einer IP-Adresse und einer E-Mail-Adresse kein zwingender Zusammenhang besteht und die Daten nicht zeigen, ob und mit welchem Inhalt überhaupt eingewilligt wurde. Die IT-Recht Kanzlei empfiehlt nach dem Urteil, zu jeder Einwilligung die E-Mail-Adresse, Zeitpunkt und Wortlaut der Einwilligung, Inhalt und Versand der Double-Opt-in-Mail und die anschließende Bestätigung so zu speichern, dass man sie im Streitfall vorlegen und ausdrucken kann.

Für den Umzug heißt das: Diese Nachweise liegen im alten System, und das alte System wird irgendwann abgeschaltet. Exportiere sie, bevor das passiert, und lege sie außerhalb beider Shops ab. Läuft Dein Newsletter über ein eigenes Tool, bleiben die Nachweise dort liegen, und der Umzug des Shops ändert daran erstmal nichts. Dann geht es nur noch darum, dass die Spalte in der CSV mit dem Stand im Newsletter-Tool übereinstimmt. Ich beschreibe hier, was ich im Projekt mache, Rechtsberatung ist das nicht. Wie Dein alter Shop die Einwilligungen gespeichert hat und was davon als Nachweis taugt, klärst Du mit Deinem Rechtstexte-Anbieter.

• Liste aller Abonnenten mit dem Datum der Anmeldung und dem Wortlaut des Einwilligungstextes, der damals auf der Seite stand.
• Protokoll des Double-Opt-in: Versand der Bestätigungsmail und Zeitpunkt des Klicks, möglichst mit der Mail selbst.
• Liste der Abmeldungen, damit niemand durch den Import wieder auf „yes“ rutscht.
• Für Kunden, bei denen nichts davon vorliegt, steht in der CSV „no“.

Der letzte Punkt tut weh, wenn die Liste groß ist. Ob Du diese Kunden noch einmal um eine Einwilligung bitten darfst, gehört ebenfalls zu Deinem Rechtstexte-Anbieter, denn so eine Mail kann selbst schon als Werbung gelten. Warum eine Erinnerungsmail ohne Einwilligung ein Problem ist, steht im Beitrag zu Warenkorbabbrecher-Mails, dort geht es um dieselbe Frage aus einer anderen Richtung.

4Bestellhistorie: Mitnehmen, archivieren oder beides

Alte Bestellungen nimmt Shopify nicht per CSV an. In der Übersicht zur Migration nennt Shopify für Bestellungen nur Migrations-Apps, die Order API und die Transaction API. Die kostenlose Store Migration App von Shopify hilft hier auch nicht weiter, sie importiert laut App-Store-Eintrag Produkte und Kunden aus Square, WooCommerce, Etsy, Wix, Amazon, eBay, Clover und Lightspeed, Bestellungen aber nicht. Wer die Historie mitnehmen will, braucht eine App wie Matrixify oder einen Migrationsdienst wie LitExtension oder Cart2Cart.

Bei Matrixify laufen die Bestellungen über eine Tabelle mit Bestellnummer, Kunde, Positionen und Zahlungsstatus. Der Status ist dabei nur ein Etikett. Laut Dokumentation wird „bezahlt“ im Admin so markiert, ohne dass eine Transaktion entsteht, und der Betrag unter „vom Kunden bezahlt“ steht auf null. Für Deine Buchhaltung ändert sich also nichts, in Shopify steht nur die Information, dass es die Bestellung gab. Eine Bestellbestätigung an den Kunden verschickt Matrixify dabei standardmäßig nicht.

Jeder Mitarbeiter, der Benachrichtigungen über neue Bestellungen bekommt, erhält laut Shopify-Hilfe pro importierter Bestellung eine E-Mail, der Inhaber eingeschlossen. Bei einigen tausend alten Bestellungen ist das Postfach danach voll. Shopify empfiehlt, die Benachrichtigung für neue Bestellungen vor dem Import abzuschalten und danach wieder einzuschalten.

Die Alternative ist, die Historie nicht in den Shop zu holen, sondern zu archivieren. Der Export aus dem alten System als Tabelle, dazu die Rechnungen als PDF, abgelegt dort, wo Deine Buchhaltung ohnehin liegt. Die Aufbewahrungspflichten für Rechnungen gelten unabhängig vom Shopsystem, und ein Import in Shopify ersetzt dieses Archiv nicht, weil dabei ja keine Rechnungen entstehen. Ob die Historie zusätzlich im Kundenkonto sichtbar sein muss, ist eine Frage an Dein Geschäft. Prüf erstmal, wie oft Kunden alte Bestellungen im Konto überhaupt aufrufen, etwa für Nachbestellungen oder Gewährleistungsfälle. Bei einem Sortiment, das regelmäßig nachgekauft wird, ist die Historie im Konto ein Argument für den Import. Bei einem Sortiment, bei dem der Kunde selten dieselbe Bestellung wiederholt, reicht oft das Archiv und eine kurze Antwort im Kundenservice, wenn jemand fragt. Was ein Import im Rahmen einer Festpreis-Migration kostet und was nicht, steht im Beitrag zu Kosten und Dauer.

Noch ein Wort zu den Kundengruppen aus dem ersten Abschnitt. Haben Händlerkunden im alten Shop eigene Preise gesehen, ist das in Shopify eine Frage der B2B-Funktionen mit Unternehmen und Preislisten, und die ziehen mit einem Kundenimport nicht mit um. Das ist ein eigenes Arbeitspaket, das vor dem Umzug auf die Liste gehört.

5Die Mitteilung an Deine Bestandskunden

Für die Frage, ob Du Deine Bestandskunden beim Wechsel des Shopsystems aktiv informieren musst, habe ich keine Aussage von IT-Recht Kanzlei, Händlerbund oder einer Datenschutzbehörde gefunden, die genau diesen Fall behandelt. Belegt sind die allgemeinen Regeln, und aus denen leite ich einen Vorsichtsweg ab. Rechtsberatung ist auch das nicht.

Shopify handelt laut seiner eigenen Datenschutzvereinbarung als Auftragsverarbeiter für Dich und stützt die Übermittlung von Daten auf verbindliche Unternehmensregeln und den Angemessenheitsbeschluss für Kanada. Die Weitergabe an einen Auftragsverarbeiter braucht laut dem Landesdatenschutzbeauftragten in Baden-Württemberg keine eigene Einwilligung der Kunden, aber einen Vertrag nach Art. 28 DSGVO, und die Betroffenen müssen über die Empfänger ihrer Daten informiert sein. Das passiert über die Datenschutzerklärung, in der Shopify als Empfänger stehen muss. Die Transparenz-Leitlinien der Datenschutzbehörden nennen neue Empfängerkategorien und neue Übermittlungen in Drittländer als Beispiele für grundlegende Änderungen, über die Betroffene frühzeitig und in einer eigenen Mitteilung informiert werden sollen, nicht vermischt mit Werbung.

Daraus wird in meiner Planung eine kurze Nachricht an alle Kunden mit Konto, ein paar Tage vor dem Go-Live. Sie sagt, dass der Shop auf ein neues System umzieht, dass das Konto weiter besteht, dass die Anmeldung künftig per Code statt Passwort läuft, was mit den gespeicherten Adressen passiert und wo die neue Datenschutzerklärung steht. Ein Rabattcode oder ein Link zu Angeboten hat darin nichts zu suchen, sonst liest der Kunde die Mail eben doch als Newsletter. Die neue Datenschutzerklärung selbst kommt von Deinem Rechtstexte-Anbieter, etwa IT-Recht Kanzlei, Händlerbund oder Trusted Shops.

6Der Ablauf für den Kundenumzug, Schritt für Schritt

Beim Fachhändler steht die Kundenmigration als eigener Punkt im Arbeitspaket Produktdaten, mit der Datenschutz-Kommunikation als Teil davon und einem zweiten Eintrag im Arbeitspaket Recht. Begonnen ist beides noch nicht. So setze ich den Ablauf für einen Shop mit Endkunden auf, und so ist er auch dort vorgesehen.

• Export der Kundenliste und der Einwilligungsnachweise aus dem alten Shop, solange er läuft, und Ablage außerhalb beider Systeme.
• Durchsicht in der Tabelle: Dubletten, Testkonten, Ländercodes, Tag für die Herkunft, Spalten auf die Vorlage von Shopify umbenennen.
• Einwilligungen abgleichen: „yes“ nur mit Nachweis, Abmeldungen prüfen, Rest auf „no“.
• Entscheidung zur Bestellhistorie: Import über eine App oder einen Dienst, oder Archiv außerhalb des Shops.
• Datenschutzerklärung vom Rechtstexte-Anbieter auf Shopify umstellen und die Mitteilung an die Kunden formulieren.
• Mitteilung verschicken, wenige Tage vor dem Go-Live, ohne Werbung.
• Import in Shopify so kurz wie möglich vor der Umstellung der Domain, danach Stichprobe: Anmeldung mit drei bis vier echten Kundenadressen testen, Adressen und Tags prüfen.
• Nach dem Go-Live die Kunden nachziehen, die zwischen Export und Umstellung noch im alten Shop bestellt haben.

Der letzte Punkt geht gern mal unter. Zwischen dem Export und dem Tag, an dem die Domain umgestellt wird, läuft der alte Shop weiter, und jeder Neukunde aus dieser Zeit fehlt im Import. Je kürzer der Abstand, desto kleiner die Liste, die Du danach von Hand oder mit einer zweiten kleinen CSV nachträgst. Wie der Go-Live-Tag selbst abläuft, mit Weiterleitungen und DNS-Wechsel, steht im Beitrag zur Weiterleitungsliste. Und wenn Du noch vor der Entscheidung stehst, ob der Umzug für Dich überhaupt das richtige Projekt ist, fang beim Beitrag zur Migration zu Shopify an, dort geht es um die Fragen vor der Plattform.