Klaviyo lässt sich DSGVO-konform nutzen: Auftragsverarbeitungsvertrag und Standardvertragsklauseln, Double Opt-in mit Nachweis, Onsite-Tracking erst nach Einwilligung, Klaviyo in der Datenschutzerklärung, Prozesse für Auskunft und Löschung.
Klaviyo lässt sich in Deutschland, Österreich und der Schweiz rechtssicher betreiben, wenn ein paar Dinge von Anfang an sauber aufgesetzt sind. Dieser Beitrag beschreibt die Punkte, die wir bei jedem Setup prüfen. Er ist keine Rechtsberatung; für die Ausgestaltung im Einzelfall braucht es eine Anwältin oder einen Datenschutzbeauftragten.
1. Auftragsverarbeitung und Drittlandtransfer
Klaviyo verarbeitet Daten in deinem Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag, den Klaviyo als Data Processing Agreement bereitstellt und der in den Nutzungsbedingungen eingebunden ist. Da Klaviyo ein US-Unternehmen ist, stützt sich der Datentransfer auf die EU-Standardvertragsklauseln und die Zertifizierung unter dem EU-US Data Privacy Framework. Beides sollte in deiner Dokumentation (Verzeichnis der Verarbeitungstätigkeiten) vermerkt sein.
2. Einwilligung: Double Opt-in als Standard
Für Werbe-E-Mails brauchst du eine Einwilligung, die du nachweisen kannst. Double Opt-in ist in Klaviyo pro Liste aktivierbar und sollte für alle Marketing-Listen aktiv sein. Wichtig ist, was gespeichert wird: Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, Quelle (Formular, Checkout, Gewinnspiel) und der Wortlaut der Einwilligung. Klaviyo protokolliert Zeitpunkte und Quelle im Profil; den Wortlaut der Einwilligungstexte solltest du versioniert selbst dokumentieren.
Ausnahme: Bestandskunden dürfen unter engen Voraussetzungen ohne Einwilligung für ähnliche Produkte angeschrieben werden (§ 7 Abs. 3 UWG). Das setzt einen deutlichen Hinweis bei der Erhebung und in jeder Mail voraus. In der Praxis raten wir davon ab, weil die Zustellbarkeit unter unerwünschten Mails leidet; wie stark, steht im Beitrag Klaviyo Zustellbarkeit.
3. Checkbox im Checkout und Formulare
Eine vorangekreuzte Newsletter-Checkbox ist keine Einwilligung. Die Checkbox muss aktiv gesetzt werden, der Text muss klar sagen, was kommt (Newsletter mit Angeboten und Informationen der Marke), und die Anmeldung sollte in den Double-Opt-in-Prozess laufen. Für Pop-ups gilt dasselbe; zusätzlich sollte ein Rabatt nicht als Bedingung getarnt sein, die den Eindruck erweckt, die Anmeldung sei Pflicht. Gestaltung und Benchmarks stehen unter Klaviyo Pop-ups und Formulare.
4. Onsite-Tracking und Cookies
Das Klaviyo-Skript im Shop erfasst Produktansichten und Website-Aktivität identifizierter Besucher. Das ist ein Tracking, das nach TDDDG und DSGVO eine Einwilligung über das Consent-Tool braucht. Praktisch heißt das: Das Skript wird erst nach Zustimmung geladen. Die Folge ist, dass Browse Abandonment und Viewed-Product-Segmente nur die einwilligenden Besucher erreichen. Bestell- und Checkout-Events aus dem Shopsystem sind davon nicht betroffen, weil sie serverseitig übertragen werden.
5. Datenschutzerklärung
Klaviyo gehört in die Datenschutzerklärung mit Zweck (Newsletter, Marketing-Automation, Analyse), Rechtsgrundlage (Einwilligung), Empfänger (Klaviyo Inc., USA), Drittlandtransfer (Standardvertragsklauseln, Data Privacy Framework), Speicherdauer und Widerrufshinweis. Wenn SMS oder WhatsApp genutzt werden, sind sie gesondert aufzuführen.
6. Betroffenenrechte: Auskunft und Löschung
Klaviyo bietet pro Profil einen Export der gespeicherten Daten und eine Löschfunktion, die das Profil samt Ereignissen entfernt. Für Löschanfragen sollte ein Prozess existieren: Anfrage prüfen, Profil in Klaviyo löschen, Shop und weitere Tools ebenfalls, Bestätigung an die Person. Wichtig: Eine Abmeldung ist keine Löschung. Abgemeldete Profile bleiben als Unterdrückung gespeichert, damit die Person nicht versehentlich erneut angeschrieben wird; das ist zulässig und sinnvoll.
7. Aufbewahrung und Datensparsamkeit
Speichere nur, was du nutzt. Umfragedaten, Geburtstage und Präferenzen sind wertvoll, brauchen aber einen Zweck und eine Information bei der Erhebung. Profile ohne Einwilligung und ohne Kaufhistorie sollten nach einer festgelegten Frist gelöscht werden; das reduziert zugleich die Kosten, siehe Klaviyo Kosten.
Checkliste
- AV-Vertrag und Drittlandtransfer dokumentiert
- Double Opt-in für alle Marketing-Listen aktiv, Einwilligungstexte versioniert
- Checkout-Checkbox nicht vorangekreuzt, Text eindeutig
- Klaviyo-Skript erst nach Consent geladen
- Datenschutzerklärung mit Klaviyo, SMS und WhatsApp aktualisiert
- Prozess für Auskunft und Löschung definiert
- Löschfristen für inaktive Profile ohne Einwilligung festgelegt
Die rechtlichen Punkte sind Teil der Setup-Checkliste; für WooCommerce- und Shopware-Shops die Consent-Details in Klaviyo und WooCommerce und Klaviyo und Shopware.
FAQ
Ist Klaviyo in Deutschland DSGVO-konform nutzbar?
Ja, mit AV-Vertrag, sauberer Einwilligung, Consent-gesteuertem Tracking und einer vollständigen Datenschutzerklärung. Die Einordnung im Einzelfall sollte eine Anwältin oder ein Datenschutzbeauftragter vornehmen.
Müssen wir bei der Migration alle Kontakte neu bestätigen lassen?
Nein, wenn die bestehenden Einwilligungen nachweisbar sind und mit Zeitstempel und Quelle übernommen werden. Fehlt der Nachweis, ist eine Re-Permission-Kampagne der sichere Weg. Details unter Klaviyo Migration.
Dürfen wir Kunden nach dem Kauf ohne Anmeldung anschreiben?
Transaktionsmails wie Bestell- und Versandbestätigung ja. Marketing-Mails nur mit Einwilligung oder unter den engen Voraussetzungen der Bestandskundenausnahme.
Weiterlesen
Du willst wissen, wo in deinem Klaviyo-Konto Umsatz liegen bleibt? Let me roast your CRM.
Kostenlose CRM-Analyse anfragen
