Brevo: Harmloses Newsletter-Tool oder mehrfache Datenschutzaufgabe?
Brevo klingt nach einem einfachen Newsletter-Tool, ist technisch aber mehr: Sobald du ein Anmeldeformular einbindest oder die automatische Besucherverfolgung aktivierst, baut deine Website automatisch Verbindungen zu Brevo auf – noch bevor jemand überhaupt etwas eingegeben hat. Das bringt gleich mehrere Datenschutzaufgaben mit sich, von der Cookie-Frage bis zu der Frage, wer außerhalb der EU auf die Daten zugreifen kann.
Überblick
Was ist Brevo?
Brevo, früher Sendinblue, ist ein E-Mail-Marketing- und Automatisierungsdienst des französischen Anbieters Sendinblue SAS. Du kannst darüber Newsletter verschicken, Anmeldeformulare auf deiner Website einbinden und optional das Verhalten deiner Besucher verfolgen, um automatisierte Kampagnen auszulösen.
| Brevo – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟡 | Nur bei aktivierter Automatisierung. |
| Externe Verbindungen | 🔴 | Formular und Tracking bauen automatisch Verbindungen auf. |
| Datenschutzerklärung | 🔴 | Eintrag mit Namensnennung nötig. |
| Drittlandtransfer | 🔴 | Zugriff aus den USA und Indien auf die in der EU gespeicherten Daten. |
| Auftragsverarbeitung | 🔴 | Vertrag ist Teil der Nutzungsbedingungen. |
| Benutzereingaben | 🔴 | Formulardaten gehen direkt an Brevo. |
| KI-Verarbeitung | 🟡 | Nur bei aktiviertem KI-Chatbot. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was macht Brevo mit den Daten deiner Website-Besucher?
Brevo kommt in zwei Formen auf deiner Website vor, und beide bauen automatisch eine Verbindung zu Brevo auf, sobald jemand die Seite öffnet. Bindest du ein Anmeldeformular ein, lädt deine Seite automatisch Inhalte von Brevo nach – egal ob du dafür die eingebettete Variante oder die Version mit reinem HTML-Code nutzt, beide holen sich Inhalte direkt von Brevos Servern.
Erst wenn jemand das Formular tatsächlich abschickt, wandern Name, E-Mail-Adresse und alle weiteren Formularfelder zu Brevo.
Schaltest du zusätzlich die automatische Besucherverfolgung ein, beobachtet Brevo ab dann auf jeder Seite, welche Inhalte sich jemand ansieht, um daraus automatisierte E-Mail-Kampagnen auszulösen – dafür braucht Brevo ein eigenes Cookie, das einen Besucher über mehrere Seitenaufrufe hinweg wiedererkennt.
Die Daten landen zwar auf Servern in Frankreich und Deutschland, aber Brevo lässt Support und technische Wartung teilweise von Schwesterunternehmen in den USA und Indien erledigen, die dafür auf diese Daten zugreifen können. Weil Brevo dabei in deinem Auftrag verarbeitet, übernimmst du als Website-Betreiber die entsprechenden Pflichten – vom Vertrag mit Brevo bis zum Eintrag in deiner Datenschutzerklärung. Zusätzlich lässt sich in Brevo ein KI-Chatbot einschalten, der dann Chat-Nachrichten deiner Besucher automatisiert beantwortet.
Cookies
Setzt Brevo Cookies auf deiner Website?
Brevo setzt nur dann ein Cookie, wenn du die automatische Besucherverfolgung aktivierst – der Cookie heißt sib_cuid und merkt sich einen Besucher über mehrere Seitenaufrufe hinweg, damit Brevo sein Verhalten nachvollziehen und automatisierte Kampagnen daran anknüpfen kann.
Lässt du die Besucherverfolgung ausgeschaltet und nutzt Brevo nur für Formulare und den E-Mail-Versand, setzt Brevo laut eigener Dokumentation zum Tracking-Code gar kein Cookie. Ist die Besucherverfolgung aktiv, ist der Cookie nicht technisch notwendig, sondern reine Analyse zu Marketingzwecken – damit zustimmungspflichtig. Dein Cookie-Banner muss diesen Cookie blockieren, bis der Besucher zustimmt.
Externe Verbindungen
Welche externen Verbindungen baut Brevo auf?
Ein Anmeldeformular von Brevo lädt automatisch Inhalte von Brevos Servern nach, sobald die Seite aufgerufen wird – dafür gibt es zwei gleichwertige Wege, das Formular einzubinden:
- eine eingebettete Variante, die zusätzlich ein eigenes Cookie setzt
- oder eine Version mit reinem HTML-Code, die kein eigenes Cookie setzt, aber ebenfalls automatisch mit Brevo Kontakt aufnimmt.
Der unabhängige Test von frame-for-business.de bestätigt genau diesen Unterschied zwischen beiden Einbindungsarten. Aktivierst du zusätzlich die automatische Besucherverfolgung, lädt jede Seite deiner Website ein weiteres, unsichtbares Skript nach, das dein Besucherverhalten protokolliert. avalex.de kommt in seiner rechtlichen Einschätzung zu Brevo zu dem Schluss, dass sich diese Verbindungen nicht über ein berechtigtes Interesse rechtfertigen lassen und der Besucher vorher zustimmen muss.
Dein Cookie-Banner muss diese Verbindungen blockieren, bis der Besucher zustimmt.
Benutzereingaben
Was passiert mit den Daten aus dem Anmeldeformular?
Ein Anmeldeformular von Brevo nimmt Name, E-Mail-Adresse und alle weiteren Felder entgegen, die du im Formular anlegst. Diese Angaben gehen erst raus, wenn das Formular abgeschickt wird – ein Cookie-Banner hilft hier nicht.
Direkt beim Formular muss ein Hinweis auf deine Datenschutzerklärung stehen, damit Besucher wissen, dass ihre Angaben an Brevo gehen. Weil Brevo diese Daten in deinem Auftrag entgegennimmt und verwaltet, brauchst du außerdem einen Vertrag mit Brevo, der genau das regelt.
Drittlandtransfer
Werden die Daten deiner Besucher außerhalb der EU verarbeitet?
Brevo speichert die Daten deiner Website-Besucher auf Servern in Frankreich und Deutschland, also innerhalb der EU. Laut dem Auftragsverarbeitungsvertrag von Brevo greifen aber auch Schwesterunternehmen in den USA und Indien auf diese Daten zu, wenn sie Kundenservice und technische Wartung übernehmen.
Weil dieser Zugriff aus Ländern außerhalb der EU erfolgt, zählt das als Datenübertragung ins Ausland, obwohl die Daten selbst nicht umziehen – Brevo sichert diesen Zugriff über zusätzliche Verträge ab, die die EU für genau solche Fälle vorschreibt. Ein weiteres Schwesterunternehmen sitzt in Kanada – dafür hat sich die EU direkt mit der kanadischen Regierung auf ein ausreichendes Datenschutzniveau geeinigt, weshalb dieser Zugriff unproblematisch ist.
Auftragsverarbeitung
Brauchst du einen Vertrag mit Brevo?
Weil Brevo alle Daten verarbeitet, die über die Formulare und die Besucherverfolgung bei dir anfallen, verarbeitet Brevo diese Daten in deinem Auftrag – dafür schreibt die DSGVO einen Vertrag zur Auftragsverarbeitung vor. e-recht24.de bestätigt diese Pflicht ausdrücklich für Brevo. Brevo GmbH liefert diesen Vertrag standardmäßig als Teil der Nutzungsbedingungen mit, ein gesonderter Abschluss ist nicht nötig – du findest ihn im Kundenkonto unter den Rechtsdokumenten.
KI-Verarbeitung
Verarbeitet Brevo Besucherdaten mit Künstlicher Intelligenz?
Brevo bietet innerhalb seiner Chat-Funktion einen KI-Chatbot an, den du gesondert einrichten und aktivieren musst. Ist der KI-Chatbot aktiv, beantwortet er Chat-Nachrichten deiner Website-Besucher automatisiert und verarbeitet dafür deren Eingaben. Lässt du den KI-Chatbot ausgeschaltet, bleiben Formulare, E-Mail-Versand und Besucherverfolgung davon vollständig unberührt.
Datenschutzerklärung
Muss Brevo in deine Datenschutzerklärung?
Brevo muss namentlich in deine Datenschutzerklärung, weil das Tool automatisch Verbindungen zu eigenen Servern aufbaut, Formulardaten entgegennimmt und Daten außerhalb der EU zugänglich macht. Nenne Brevo mit Namen, erkläre kurz, wofür du es einsetzt, und ergänze den Hinweis auf den Zugriff aus den USA und Indien.
Wir nutzen Brevo für Newsletter.
Brevo setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Sendinblue SAS auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Brevo stellt beim Laden der Website automatisch eine Verbindung zu Servern von Sendinblue SAS her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Wenn du über ein Formular von Brevo deine Daten eingibst, werden diese durch ein KI-System verarbeitet und an Sendinblue SAS übermittelt. Soweit Sendinblue SAS die Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Bei der Nutzung von Brevo kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung sind EU-Standardvertragsklauseln.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Brevo?
Hier siehst du, wo Brevo im DSGVO-Vergleich zu anderen Newsletter steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Brevo in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Brevo in unseren DSGVO-Checks am häufigsten vor?
Brevo taucht bei 4 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Brevo gefunden wurde.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check auf datenrein.de?
Ob Brevo bei dir mit oder ohne Besucherverfolgung läuft, welche Formulareinbindung du gewählt hast und ob der KI-Chatbot mitläuft, siehst du im Adminbereich oft gar nicht auf einen Blick – ein Scan auf datenrein.de zeigt dir stattdessen direkt, welche Verbindungen und Cookies auf deiner Website tatsächlich aktiv sind, statt dass du das selbst im Quellcode zusammensuchst.
Jeder Scan liefert uns außerdem echte Signale, die wir bereits bekannten Tools zuordnen oder als neuen Fall in unsere Recherche aufnehmen – dadurch erkennt der Scanner mit der Zeit mehr Tools zuverlässiger, wovon am Ende jede Website profitiert, die ihn nutzt.
Hier haben wir für dich recherchiert
- Brevo – offizielle Website
- Brevo Help Center
- Brevo – Allgemeine Nutzungsbedingungen
- Brevo – Vereinbarung zur Auftragsverarbeitung mit Liste der Unterauftragsverarbeiter
- Brevo Help Center – Installation des Trackers
- Brevo Help Center – Formular-Einbindung
- Brevo Help Center – Wie hält Brevo die DSGVO ein
- e-recht24.de – Datenschutzerklärung für Brevo
- avalex.de – Rechtliche Einschätzung zu Brevo
- frame-for-business.de – Praxistest Sendinblue/Brevo