Klaviyo im DSGVO-Check: Wenn das Tracking beginnt, bevor sich jemand anmeldet
Klaviyo ist längst mehr als ein Newsletter-Tool für Shopify-Shops – die Plattform beobachtet Besucher, sobald ihr Skript lädt, lange bevor sich jemand irgendwo anmeldet. Wer Klaviyo einbindet, bekommt damit gleich mehrere Datenschutz-Baustellen auf einmal: eigene Cookies, eine automatische Verbindung in die USA und einiges an Kleingedrucktem für die Datenschutzerklärung.
Überblick
Was ist Klaviyo?
Klaviyo ist eine E-Mail- und SMS-Marketing-Plattform aus den USA, mit der vor allem Online-Shops automatisierte Kampagnen, Newsletter und personalisierte Nachrichten versenden. Dafür sammelt Klaviyo Kundendaten und beobachtet, was Besucher auf der Website tun, um daraus passende Marketing-Aktionen abzuleiten.
| Klaviyo – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | Setzt mehrere eigene Marketing-Cookies, zustimmungspflichtig. |
| Externe Verbindungen | 🔴 | Baut schon beim Seitenaufruf automatisch Verbindungen zu Klaviyo-Servern auf. |
| Datenschutzerklärung | 🔴 | Muss namentlich genannt werden. |
| Drittlandtransfer | 🔴 | Überträgt Daten in die USA. |
| Auftragsverarbeitung | 🔴 | Vertrag zur Auftragsverarbeitung nötig. |
| Benutzereingaben | 🔴 | Eigene Anmeldeformulare für Newsletter und SMS. |
| KI-Verarbeitung | 🟡 | Optionale KI-Funktionen, teils mit Besucherbezug. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher, wenn du Klaviyo einbindest?
Sobald das Klaviyo-Skript auf deiner Seite lädt, baut es automatisch eine Verbindung zu mehreren Klaviyo-Servern auf – noch bevor ein Besucher irgendetwas anklickt. Dabei wird die IP-Adresse übertragen und ein Cookie gesetzt, mit dem Klaviyo einzelne Besucher wiedererkennt.
Parallel dazu legt Klaviyo einen Eintrag im lokalen Speicher deines Browsers an, in dem es das Verhalten noch anonymer Besucher zwischenspeichert – identifiziert sich jemand später über ein Formular, wird dieser Verlauf rückwirkend seinem Profil zugeordnet. Genau dafür gibt es auch die Anmeldeformulare: Trägt jemand seine E-Mail-Adresse oder Telefonnummer ein, um Newsletter oder SMS-Nachrichten zu bekommen, landen diese Daten direkt bei Klaviyo.
Weil Klaviyo ein US-Unternehmen ist, reisen sämtliche dieser Daten – Tracking wie Formulareingaben – in die USA. Damit das rechtlich sauber läuft, schließt du mit Klaviyo einen Vertrag zur Auftragsverarbeitung ab. Zusätzlich bietet Klaviyo mittlerweile eigene KI-Funktionen an, etwa für automatisierte Antworten im Kundenchat – die stehen aber getrennt vom Kernfeature und lassen sich einzeln ein- und ausschalten.
Cookies
Welche Cookies setzt Klaviyo?
Klaviyo setzt bei einer typischen Einbindung fünf bis sieben eigene Cookies, die alle demselben Zweck dienen: Sie verfolgen, was ein Besucher auf deiner Seite tut, welche Produkte er sich ansieht und ob er einen Kauf abbricht. Diese Cookies fallen in die Kategorie Marketing und sind zustimmungspflichtig. Dein Cookie-Banner muss diese Cookies blockieren, bis der Besucher zustimmt.
Zusätzlich legt Klaviyo einen Eintrag namens klaviyoOnsite im lokalen Speicher des Browsers an, um das Verhalten noch nicht identifizierter Besucher zwischenzuspeichern – auch dieser Eintrag darf erst nach der Zustimmung des Besuchers geschrieben werden, weil er personenbezogene Daten verarbeitet. Ein Cookie-Banner kann diesen Eintrag allerdings nicht wie ein Cookie blockieren, sondern muss stattdessen das Skript aufhalten, das ihn schreibt.
Externe Verbindungen
Welche Verbindungen baut Klaviyo automatisch auf?
Schon beim Laden deiner Seite ruft Klaviyo mehrere eigene Server auf – unter anderem für das allgemeine Besucher-Tracking, für die Auslieferung deiner Anmeldeformulare und Pop-ups und für die eigentliche Übertragung der gesammelten Ereignisse. Diese Verbindungen entstehen automatisch und sind für den Betrieb deiner Website nicht notwendig – sie dienen ausschließlich dazu, Besucher zu identifizieren und ihr Verhalten zu erfassen. Dein Cookie-Banner muss diese Verbindungen blockieren, bis der Besucher zugestimmt hat.
Benutzereingaben
Was passiert mit den Daten aus Klaviyo-Formularen?
Über die eigenen Anmeldeformulare von Klaviyo können Besucher ihre E-Mail-Adresse oder Telefonnummer hinterlassen, um Newsletter oder SMS-Nachrichten zu bekommen – teilweise mit getrennten Kästchen für jeden Kanal. Diese Angaben gehen erst raus, wenn das Formular abgeschickt wird – ein Cookie-Banner hilft hier nicht. Direkt beim Formular muss ein Hinweis auf deine Datenschutzerklärung stehen.
Drittlandtransfer
Wohin überträgt Klaviyo die Daten deiner Besucher?
Klaviyo sitzt in Boston, USA, und verarbeitet dort sämtliche Daten, die es über deine Website sammelt – sowohl das Tracking als auch die Formulareingaben. Für diesen Transfer stützt sich Klaviyo auf das EU-US Data Privacy Framework: Die EU und die USA haben sich darauf geeinigt, dass Datenübertragungen an zertifizierte US-Unternehmen unter bestimmten Auflagen erlaubt sind, und Klaviyo ist dort als teilnehmendes Unternehmen gelistet. Für Fälle, die davon nicht abgedeckt sind, hat Klaviyo zusätzlich vertragliche Standardklauseln hinterlegt, die denselben Zweck erfüllen.
Auftragsverarbeitung
Brauchst du einen Vertrag mit Klaviyo?
Weil Klaviyo Kunden- und Besucherdaten in deinem Auftrag verarbeitet und weiterleitet, brauchst du mit Klaviyo einen Vertrag zur Auftragsverarbeitung. Klaviyo stellt diesen Vertrag direkt in den Konto-Einstellungen unter Datenschutz bereit – du musst kein separates Formular ausfüllen, sondern nur den Bedingungen zustimmen.
KI-Verarbeitung
Verarbeitet Klaviyo Besucherdaten mit KI?
Klaviyo bietet mehrere KI-Funktionen an, die du einzeln aktivieren kannst – etwa automatisch generierte Marketing-Texte oder einen KI-gestützten Chat-Support, der mit deinen Kunden kommuniziert. Aktivierst du diesen Chat-Support, verarbeitet die KI direkt das, was Besucher in den Chat schreiben.
Die reinen Marketing-Text-Funktionen laufen dagegen ohne Besucherdaten und lassen sich unabhängig von den Chat-Funktionen ein- und ausschalten. Ohne aktivierte KI-Funktionen läuft Klaviyo genauso wie vorher – die Kernfunktion Newsletter- und SMS-Marketing hängt nicht daran.
Datenschutzerklärung
Muss Klaviyo in deine Datenschutzerklärung?
Klaviyo muss namentlich in deine Datenschutzerklärung, weil es sowohl automatisch Besucher trackt als auch Daten in die USA überträgt. e-recht24.de führt Klaviyo ausdrücklich als eintragspflichtigen Dienst und nennt dabei genau, was hineingehört: den Zweck der Datenerhebung, wie lange die Daten gespeichert werden, auf welcher Grundlage das passiert, dass du die Daten an Klaviyo weitergibst, dass du dafür einen Vertrag zur Auftragsverarbeitung geschlossen hast, und dass Besucher der Datenerhebung jederzeit widersprechen können.
Wir nutzen Klaviyo für Newsletter.
Klaviyo setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Klaviyo, Inc. auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Wenn du über ein Formular von Klaviyo deine Daten eingibst, werden diese durch ein KI-System verarbeitet und an Klaviyo, Inc. übermittelt. Soweit Klaviyo, Inc. die Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Bei der Nutzung von Klaviyo kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Klaviyo?
Hier siehst du, wo Klaviyo im DSGVO-Vergleich zu anderen Newsletter steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Klaviyo in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Klaviyo in unseren DSGVO-Checks am häufigsten vor?
Klaviyo taucht bei 1 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Klaviyo gefunden wurde.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check für Klaviyo?
Ein Scan zeigt dir schwarz auf weiß, ob und wie Klaviyo auf deiner Seite aktiv ist – welche der oben beschriebenen Verbindungen tatsächlich feuern und welche Cookies wirklich gesetzt werden, statt dass du das Skript-Chaos deiner Seite selbst durchsuchen musst.
Jeder Scan liefert außerdem echte Signale, die wir bekannten Tools wie Klaviyo zuordnen oder als neuen Fall in unsere Recherche aufnehmen – dadurch erkennt der Scanner mit jeder gescannten Website mehr Tools zuverlässiger, wovon am Ende jeder profitiert, der seine eigene Seite prüft.
