Klaviyo und Datenschutz: DSGVO-konform E‑Mail Marketing betreiben

01Klaviyo und das EU-US Data Privacy Framework

Thema

DPF-zertifiziert

Merke

SCCs als Absicherung

Klaviyo ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert.[2] Das DPF ist der Nachfolger des 2020 gekippten Privacy Shield und wurde im Juli 2023 von der EU-Kommission als angemessenes Datenschutzniveau anerkannt (Angemessenheitsbeschluss gem. Art. 45 DSGVO).[3]

Das bedeutet: Der Datentransfer von der EU in die USA ist auf dieser Grundlage rechtlich zulässig, solange das empfangende US-Unternehmen DPF-zertifiziert ist.[3] Klaviyo ist das.

Hinweis: Das DPF wird bereits angefochten (wie schon Safe Harbor und Privacy Shield): Das EU-Gericht hat eine Klage im September 2025 abgewiesen,[17] das Rechtsmittel beim EuGH ist noch offen.[18] Es empfiehlt sich daher, zusätzlich die Standardvertragsklauseln (SCCs) als Absicherung beizubehalten. Klaviyo bietet diese an.[5]

02Auftragsverarbeitungsvertrag (AVV) abschließen

Thema

Art. 28 DSGVO

Merke

Verarbeitung nur nach Weisung

Art. 28 DSGVO verlangt, dass du mit jedem Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitet, einen Auftragsverarbeitungsvertrag (AVV) abschließt.[4] Klaviyo stellt einen AVV (im Englischen „Data Processing Agreement“ / DPA) bereit.[5]

Den AVV findest du öffentlich auf der Klaviyo-Website unter klaviyo.com/legal → Data Processing Agreement.[5] Er ist Teil der Nutzungsbedingungen und gilt automatisch, sobald du ihnen zustimmst.[6] Der AVV regelt unter anderem:

• Welche Daten Klaviyo verarbeitet (E‑Mail-Adressen, Namen, Kaufverhalten etc.)
• Dass Klaviyo die Daten nur nach deiner Weisung verarbeitet[5]
• Technische und organisatorische Schutzmaßnahmen
• Rechte der betroffenen Personen (Auskunft, Löschung etc.)
• Sub-Auftragsverarbeiter die Klaviyo einsetzt

03Double Opt-in einrichten

Thema

Bestätigungs-Mail

Merke

Consent dokumentieren

In Deutschland und Österreich ist Double Opt-in der empfohlene Standard für Newsletter-Anmeldungen.[7] Das bedeutet: Nach der Eingabe der E‑Mail-Adresse in ein Formular erhält der Nutzer eine Bestätigungs-Mail und muss den Anmeldelink klicken.

In Klaviyo aktivierst du Double Opt-in in den List Settings.[8] Wichtig: Dokumentiere den Consent. Klaviyo speichert automatisch den Zeitstempel, die IP-Adresse und die Quelle der Anmeldung.

04Datenschutzerklärung anpassen

Thema

Klaviyo-Passage

Merke

Zweck und Rechtsgrundlage

Deine Datenschutzerklärung muss Klaviyo als Auftragsverarbeiter benennen. Folgende Punkte sollten enthalten sein:

• Name und Adresse: Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA 02111, USA[5]
• Zweck: E‑Mail Marketing, Marketing-Automation, Profiling
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Newsletter; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für transaktionale Mails[4]
• Datentransfer: USA, auf Basis des EU-US Data Privacy Framework + Standardvertragsklauseln[6]
• AVV: Abgeschlossen gemäß Art. 28 DSGVO

05Tracking und Cookies

Thema

ePrivacy-Richtlinie

Merke

erst nach Zustimmung

Klaviyo setzt Cookies und Tracking-Pixel ein, um das Verhalten der Nutzer auf deiner Website zu erfassen (z.B. Viewed Product, Added to Cart).[9] Dieses Tracking fällt unter die ePrivacy-Richtlinie und erfordert eine vorherige Einwilligung des Nutzers.[10]

Das bedeutet: Der Klaviyo-Tracking-Code auf deiner Website darf erst geladen werden, nachdem der Nutzer im Cookie-Banner zugestimmt hat.[11] Die meisten Consent Management Plattformen (CMP) wie Cookiebot oder Usercentrics unterstützen die bedingte Einbindung von Klaviyo.

06Rechte der Betroffenen

Thema

Auskunft bis Datenübertragbarkeit

Merke

Unsubscribe Link immer

Deine Kunden haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15): Welche Daten speicherst du über mich?[4]
• Löschung (Art. 17): Bitte lösche alle meine Daten.
• Widerspruch (Art. 21): Ich will keine Mails mehr bekommen.[4]
• Datenübertragbarkeit (Art. 20): Gib mir meine Daten in einem maschinenlesbaren Format.

In Klaviyo kannst du Profildaten einsehen, exportieren und löschen.[12] Die Abmeldemöglichkeit (Unsubscribe Link) muss in jeder Marketing-Mail enthalten sein.[13] Klaviyo fügt diesen automatisch ein.[14]

07Checkliste: Klaviyo DSGVO-konform nutzen

Thema

7 Punkte

Merke

Aufwand überschaubar

1. AVV auf klaviyo.com/legal lesen und für deine Unterlagen ablegen
2. Double Opt-in für alle Listen aktivieren
3. Datenschutzerklärung um Klaviyo-Passage ergänzen
4. Cookie-Banner so konfigurieren, dass Klaviyo-Tracking erst nach Consent lädt
5. Unsubscribe-Link in jeder Marketing-Mail sicherstellen
6. Prozess für Auskunfts- und Löschungsanfragen definieren
7. Liste der Sub-Auftragsverarbeiter von Klaviyo dokumentieren[15]

Fazit: Klaviyo lässt sich DSGVO-konform betreiben. Die Grundlage ist der AVV, das EU-US Data Privacy Framework und ein sauberes Consent Management. Der Aufwand für die Einrichtung ist überschaubar, aber es gibt keinen Grund, es nicht zu machen.