Shopware

Die Shopware AG ist die operative Gesellschaft, eingetragen beim Amtsgericht Coesfeld unter HRB 11471 mit der deutschen USt-IdNr. DE261679493 und Sitz in Ebbinghoff 10, 48624 Schöppingen, Nordrhein-Westfalen, Deutschland. Der zweiköpfige Vorstand besteht aus den Gründern Stefan Hamann und Sebastian Hamann; den Aufsichtsratsvorsitz hat Christoph Hertz inne. Muttergesellschaft der Shopware AG ist die deutsche Holdinggesellschaft Shopware Holding GmbH (Amtsgericht Coesfeld HRB 20410, gleiche Schöppinger Adresse), an der die Brüder Hamann die Mehrheit halten und PayPal Holdings, Inc. rund 41 Prozent. EU- und deutsche Kunden schließen ihre Verträge mit der Shopware AG; Ansprechpartner der Rechtsabteilung für den Auftragsverarbeitungsvertrag ist [email protected]. Eine separate US-Gesellschaft, Shopware US Inc., verantwortet Vertrieb und Marketing in den Vereinigten Staaten, betreibt jedoch nicht die SaaS-Infrastruktur.

Der Speicherort von Shopware Cloud SaaS ist in Anhang IV des Auftragsverarbeitungsvertrags wörtlich zugesichert: EU, Region eu-central-1 in Frankfurt, Deutschland, auf der Infrastruktur der AWS EMEA SARL. Der Observability-Subprozessor Datadog Inc. verarbeitet die Daten in der Datadog-Germany-Region. Bei Shopware auf Upsun PaaS können Kunden zwischen AWS Europe (EU, Großbritannien, USA, Kanada, Australien), Microsoft Azure France (nur EU), Google Cloud France (EU, Großbritannien, USA), OVHcloud (nur EU) und Platform.sh / Upsun selbst (nur EU) wählen. Wer die MIT-lizenzierte Community Edition oder eine kostenpflichtige Edition selbst hostet, betreibt Shopware vollständig auf eigener Infrastruktur und wählt den Speicherort selbst. Anhang II des Auftragsverarbeitungsvertrags erklärt, dass der Auftragsverarbeiter keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO erhebt oder verarbeitet.

Die Shopware AG selbst ist eine deutsche Gesellschaft, die von ihrem deutschen Vorstand geführt wird, und die Ebene der Kundendaten von Shopware Cloud SaaS liegt in AWS Frankfurt. Die Exposition gegenüber dem CLOUD Act verläuft über zwei mittelbare Kanäle. Erstens die SaaS-Subprozessorenkette: Die AWS EMEA SARL ist eine luxemburgische Gesellschaft, letztlich aber eine Tochtergesellschaft der Amazon.com, Inc., und die Datadog Inc. ist eine Gesellschaft aus New York, die Daten in der EU-Region verarbeitet; beide sind nach 18 U.S.C. § 2713 für Daten in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle erreichbar. Zweitens hält seit dem 21. Oktober 2025 die PayPal Holdings, Inc. (Nasdaq: PYPL, in den USA börsennotiert) eine strategische Minderheitsbeteiligung von rund 41 Prozent an der Shopware Holding GmbH, nachdem sie den Anteil der Carlyle Group übernommen hat; die Brüder Hamann behalten die Mehrheit und die operative Kontrolle, doch PayPal ist ein in den USA börsennotierter Gesellschafter mit Sitz im Aufsichtsrat. Kunden, die auf europäischen souveränen Hostern wie Hetzner, IONOS, OVHcloud oder Scaleway selbst hosten oder die OVHcloud- bzw. Upsun-PaaS-Regionen wählen, vermeiden jeden in den USA ansässigen Auftragsverarbeiter im produktiven Datenpfad.

Shopware 6 veröffentlicht seinen vollständigen E-Commerce-Kern unter der MIT-Lizenz auf github.com/shopware/shopware (Copyright 2019 shopware AG); die composer.json weist das Paket als shopware/platform mit dem Typ library und der Lizenz MIT aus. Der Kern ist gegenüber den kostenpflichtigen Editionen weder beschnitten, doppellizenziert noch funktional eingeschränkt: Nutzende der Community Edition erhalten denselben MIT-lizenzierten Kern, den die Subscription-Editionen Rise, Evolve und Beyond um Managed Services, Premium-Plugins (B2B Components, Advanced Search, Dynamic Access, Digital Sales Rooms, Multi-Inventory, Subscriptions) und gemanagtes Cloud-Hosting erweitern. Das Shopware Account-Portal und der Shopware Store als Marktplatz für Erweiterungen werden von Shopware als kommerzielle Dienste betrieben und greifen ab einem jährlichen GMV von über 1 Mio. EUR gemäß Fair Usage Policy, doch die Software selbst ist kostenfrei nutzbar. Rund 3.100 Community-Erweiterungen werden im Shopware Store angeboten, und Shopware wurde in der Emerce 100 2026 als Nummer 1 unter den Open-Source-E-Commerce-Lösungen geführt.

Shopware veröffentlicht seine Subprozessoren-Liste direkt in Anhang IV des Auftragsverarbeitungsvertrags unter shopware.com/en/privacy/dpa/ und nicht auf einer separaten Seite. Die SaaS-Subprozessoren sind die AWS EMEA SARL (IaaS, Frankfurt eu-central-1) und Datadog Inc. (Monitoring, Region Deutschland). Die PaaS-Subprozessoren sind die AWS EMEA SARL, Microsoft Azure France, Google Cloud France, OVHcloud sowie die Platform.sh SAS, die unter dem Namen Upsun firmiert. Die Website shopware.com selbst nutzt eine separate Reihe von Marketing- und Analyse-Auftragsverarbeitern, die in der Datenschutzerklärung der Website unter shopware.com/de/datenschutz/website/ offengelegt sind, darunter Usercentrics (Consent-Management), HubSpot, Amplitude, Sentry, Dreamdata, Google-Produkte, Meta, LinkedIn, Microsoft Advertising, PayPal Luxembourg und Unzer; diese erhalten zu keinem Zeitpunkt Zugriff auf Kundendaten von Shopware Cloud. Shopware verpflichtet sich gemäß Klausel 7.7(a) des Auftragsverarbeitungsvertrags zu einer Vorankündigung von mindestens drei Monaten bei jedem neuen Subprozessor.

Jede kostenpflichtige Shopware-Edition (Rise, Evolve, Beyond) ist als SaaS auf AWS Frankfurt, als PaaS auf Upsun über eine kundenseitig wählbare europäische Cloud-Region oder als Self-Hosting auf eigener Infrastruktur verfügbar. Die kostenlose Community Edition gibt es ausschließlich zum Self-Hosting. Den stärksten Souveränitätspfad bietet das Self-Hosting des MIT-lizenzierten Kerns auf einem europäischen Hoster wie Hetzner, IONOS, OVHcloud oder Scaleway, wodurch die Shopware AG vollständig aus der Auftragsverarbeitungskette ausscheidet. Am zweitstärksten ist Shopware auf Upsun PaaS in der OVHcloud-Region, da hier sämtliche Subprozessoren im produktiven Datenpfad in der Europäischen Union ansässig bleiben und IaaS-Anbieter mit US-Muttergesellschaft vermieden werden. Shopware Cloud SaaS auf AWS Frankfurt bietet zwar EU-Datenhaltung, behält jedoch die Subprozessorenkette aus AWS und Datadog mit US-Muttergesellschaft und entsprechender Konzern-Exposition bei.