Datenschutzerklärung für Klaviyo

Darum ist Klaviyo datenschutzrechtlich relevant

Händler entscheiden selbst, welche Daten sie im Rahmen ihres E-Mail- und/oder SMS-Marketings von Nutzern erheben. In der Regel sammeln sie dabei jedoch

• E-Mail-Adressen,
• Telefonnummern,
• Namen und
• IP-Adressen.

Dabei handelt es sich um personenbezogene Daten. Diese sind in Deutschland durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) besonders geschützt. E-Commerce-Unternehmen müssen daher verschiedene datenschutzrechtliche Pflichten beachten.

Klaviyo datenschutzkonform verwenden

Um Abmahnungen und Schadensersatzzahlungen zu vermeiden, sollten Händler für den Einsatz von Klaviyo die folgenden Anforderungen aus dem Gesetz erfüllen:

Double-Opt-In einhalten

Sowohl für E-Mail-Marketing als auch für SMS-Marketing müssen Unternehmen das sogenannte Double-Opt-In-Verfahren nutzen:

Double-Opt-In für E-Mail

Um die E-Mail-Adresse von Usern datenschutzkonform zu erheben, fragen Händler diese zunächst ab und bitten User gleichzeitig um die Zustimmung in den Mail-Versand. In diesem Rahmen sollten sie auch darauf verweisen, dass Nutzer die E-Mails jederzeit wieder abbestellen können. Danach sollten Händler automatisiert die erste Mail an Kunden verschicken. Diese sollte jedoch lediglich über die Anmeldung informieren und eine Bestätigung verlangen. Erst wenn Nutzer die Anmeldung bestätigt haben, verfügen Unternehmen über ein rechtlich wasserdichtes Double-Opt-In.

Double-Opt-In für SMS

Telefonnummern für SMS-Marketing können Händler über ein Online-Formular auf ihrer Webseite erfragen. Dabei sollten sie Nutzer darüber aufklären, dass diese durch die Angabe ihrer Nummer einen Newsletter abonnieren. Und: User sollten erfahren, dass sie den Newsletter jederzeit wieder abbestellen können. Dann zeigen Unternehmen im Online-Formular die Telefonnummer des Newsletter-Absenders an und verweisen Nutzer darauf, dass sie die Nummer speichern und den Newsletter mit einem Befehl wie „Start“ aktivieren können.

Vertrag zur Auftragsverarbeitung abschließen

Ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) ist immer dann notwendig, wenn Unternehmen Userdaten an Dritte weitergeben, um diese weisungsgebunden verarbeiten zu lassen. Das gibt Art. 28 DSGVO vor. Das heißt für die Praxis: Händler müssen mit Klaviyo einen AV-Vertrag abschließen. Der Vertrag sollte ansprechen,

• welche Userdaten Klaviyo speichert,
• wie lange Klaviyo die Daten speichert,
• warum und wie Klaviyo die Daten verarbeitet und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen müssen gemäß Art. 13 Abs. 1 DSGVO in ihrer Datenschutzerklärung angeben,

• warum sie für die Verwendung von Klaviyo personenbezogene Daten sammeln,
• wie lange sie die Daten speichern,
• welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. a DSGVO),
• dass sie die Daten an Klaviyo weitergeben,
• dass sie für die Datenweitergabe mit Klaviyo einen AV-Vertrag geschlossen haben und
• dass User der Einwilligung in die Datenerhebung jederzeit widersprechen können.

Auskunftspflicht beachten

Fordern Nutzer Unternehmen auf, die über sie gesammelten Daten offenzulegen, müssen Unternehmen dem nachkommen. Das gilt auch für Klaviyo. Händler müssen die Daten in einem strukturierten und technisch gängigen Format zur Verfügung stellen.

Löschpflicht beachten

E-Commerce-Unternehmen dürfen die über Klaviyo erhobenen Daten nur so lange speichern, wie sie diese auch tatsächlich benötigen. Ist der angestrebte Zweck erfüllt, müssen sie die Daten löschen. Das gilt auch, wenn Nutzer Unternehmen dazu auffordern, ihre Daten zu löschen. Dem müssen sie dann unmittelbar nachkommen.

Rechtsprechung zu Klaviyo

Bisher liegt zu Klaviyo – soweit ersichtlich – keine Rechtsprechung vor. Für die Verwendung der Software gibt es jedoch die folgenden Entwicklungen und analog anwendbaren Entscheidungen:

2023: Abmahnung für den Einsatz von Klaviyo

Seit März 2023 versendet die Kanzlei brandt.legal Abmahnungen, die einen Einsatz von Klaviyo als unzulässig bezeichnen. Dabei verweist die Kanzlei auf eine Verletzung des allgemeinen Persönlichkeitsrechts von Usern. Zudem verschickt brandt.legal weitere Abmahnungen, die das Missachten von Auskunftsersuchen vorwerfen. Wie Unternehmen auf eine DSGVO-Abmahnung reagieren sollten, zeigen wir in unserem Beitrag zum Vorgehen bei Abmahnungen.

2023: Data Privacy Framework für Datentransfer in die USA

Die USA haben im Juli 2023 das EU-US Data Privacy Framework verabschiedet. Dies soll Nutzerdaten aus der EU besser schützen. So schränkt die Verordnung den Zugriff der Geheimdienste auf Userdaten auf ein „notwendiges und verhältnismäßiges Maß“ ein. Außerdem will die USA ein eigenes Gericht schaffen, an das sich Bürger bei Datenschutzverstößen wenden können. Welche weiteren Datenschutzmaßnahmen die neue Verordnung ergreift, zeigen wir in unserem Beitrag zum Data Privacy Framework.

2021: Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Unternehmen, die keinen AV-Vertrag mit Dritten für die weisungsgebundene Datenverarbeitung schließen, riskieren ein Bußgeld. Das musste auch der VfB Stuttgart feststellen. Dieser hatte mehrere tausend Mitgliederdaten von Dienstleistern verarbeiten lassen. Er hatte dafür mit diesen jedoch keine AV-Verträge geschlossen. Das wertete die Datenschutzbehörde Baden-Württemberg als schweren DSGVO-Verstoß. Sie sprach im März 2021 daher ein Bußgeld in Höhe von 300.000 Euro gegen den Verein aus.

2018: Datenschutzbehörde Hamburg zum AV-Vertrag

Ein deutsches Versandunternehmen musste im Dezember 2018 ein Bußgeld von 5.000 Euro zahlen. Es hatte personenbezogene Daten an einen spanischen Postdienstleister weitergegeben, ohne mit diesem einen AV-Vertrag zu schließen. Dafür sprach die Hamburger Datenschutzbehörde die genannte Strafe aus.

2016: OLG Düsseldorf zum Double-Opt-In-Verfahren

Seitenbetreiber sind beim Double-Opt-In-Verfahren verpflichtet, Nutzern nach einer Newsletter-Anmeldung eine Mail zuzuschicken, mit der diese die Anmeldung bestätigen können. Das entschied das Oberlandesgericht (OLG) Düsseldorf am 17.03.2016 (Az. I-15 U 64/15).

2011: Bundesgerichtshof zum Double-Opt-In-Verfahren

Unternehmen benötigen das Double-Opt-In-Verfahren, um die Einwilligung in einen Newsletter-Versand rechtmäßig einzuholen. Das stellte der Bundesgerichtshof (BGH) am 10.02.2011 fest (Az. I ZR 164/09).