Häufig gestellte Fragen zur DSGVO

Übersicht

Erfahre, wie die DSGVO mit Einwilligung, Anfragen zu Kund*innendaten und den Tools zusammenhängt, die du in Klaviyo verwendest.

DSGVO steht für die Datenschutz-Grundverordnung, eine EU-Verordnung, die 2016 verabschiedet wurde und am 25. Mai 2018 in Kraft getreten ist. Sie regelt die Verarbeitung personenbezogener Daten durch Unternehmen mit Sitz in der EU sowie durch Unternehmen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten dort überwachen. Weitere Informationen zur DSGVO findest du in unserer Blog-Serie.

Ist es legal, dass ich die Daten meiner europäischen Kund*innen an Klaviyo übertrage?

Die DSGVO erkennt mehrere rechtliche Mechanismen für die Übermittlung personenbezogener Daten aus der EU heraus an. Klaviyo ist unter dem Data Privacy Framework selbstzertifiziert und nutzt es für Übermittlungen, solange es in der jeweiligen Region als gültiger Übermittlungsmechanismus anerkannt ist. Als Rückfalloption gelten die Standardvertragsklauseln, wie in unserem Auftragsverarbeitungsvertrag beschrieben, der in unsere Nutzungsbedingungen aufgenommen ist. Wir empfehlen dir, dein Rechtsteam zu konsultieren, um den geeigneten Übertragungsmechanismus für alle Datenübertragungen zu bestimmen, die dein Unternehmen vornimmt.

Wenn wir für ältere Profile kein explizites Opt-in nachweisen können, gibt es dann eine Möglichkeit, die Einwilligung per E-Mail zu bestätigen?

Vor dem Inkrafttreten der DSGVO (25. Mai 2018) haben wir empfohlen, eine Re-Permissioning-Kampagne an deine Abonnent*innen in der EU zu senden. Jetzt, wo die Datenschutzgrundverordnung in Kraft ist, empfehlen wir diese Praxis jedoch nicht mehr. Bevor du bestehende Kund*innen oder Abonnent*innen kontaktierst, für die du kein ausdrückliches Opt-in nachweisen kannst, wende dich bitte an dein Rechtsteam.

Wie können wir die Einwilligung nachweisen, einschließlich des Datums, an dem sich Abonnent*innen angemeldet haben?

Klaviyo empfiehlt Double Opt-in für E-Mail-Abonnements. Um die Einwilligung nachzuweisen, bewahre den Hinweistext auf, der Abonnent*innen in dem Formular, der E-Mail oder auf der Webseite angezeigt wurde, auf der sie ihre Einwilligung gegeben haben, zusammen mit dem Datum und der Uhrzeit der Einwilligung und dem genauen Inhalt dessen, dem sie zugestimmt haben. Sprich mit deinem Rechtsteam über länderspezifische Opt-in-Anforderungen.

Müssen wir für unsere E-Mail-Felder auf unseren Websites weitere Kontrollkästchen hinzufügen, die Kund*innen ankreuzen können, bevor sie ihre Daten übermitteln?

Klaviyo bietet DSGVO-konforme Formulare mit mehreren Kontrollkästchen, die eine granulare Einwilligung ermöglichen (d. h. separate Einwilligung für E-Mail-Marketing und Facebook-Marketing).

Wenn du ein Popup-, Flyout-, eingebettetes oder Ganzseiten-Anmeldeformular von Grund auf erstellst, aktiviere Datenschutzfelder aktivieren. Passe die Sprache und die Kontrollkästchen für dein Marketingprogramm an, und lass sie vor der Veröffentlichung des Formulars von deinem Rechtsteam prüfen. Wenn du personenbezogene Daten von EU-Verbraucher*innen über andere Plattformen sammelst, musst du auch auf diesen Plattformen Änderungen vornehmen.

Wenn du ein benutzerdefiniertes Kontrollkästchen verwendest, um die Einwilligung per E-Mail zu erfassen, verwende seine Profileigenschaft, um ein Segment von Abonnent*innen zu erstellen, die es ausgewählt haben. Weise dem Kontrollkästchen statt $consent eine eigene benutzerdefinierte Eigenschaft zu. Klaviyo fügt automatisch E-Mail zu $consent hinzu, wenn sich jemand anmeldet, sodass dieser Wert allein keine Auswahl anzeigt. Sende Marketing an dieses Segment und füge deinen Marketing-Flows einen passenden Filter hinzu. Der gespeicherte Wert eines benutzerdefinierten Kontrollkästchens steuert nicht, ob das Absenden des Formulars jemanden für E-Mail-Marketing anmeldet.

Welche Arten von personenbezogenen Daten verarbeitet ihr, wo werden sie gespeichert, an wen werden sie weitergegeben und wie lange werden sie gespeichert?

Informationen über die Daten, die wir verarbeiten, und die Maßnahmen, die wir zu ihrem Schutz ergreifen, findest du in unserem Auftragsverarbeitungsvertrag (AVV). In Anhang 1 werden die Datenkategorien und die Zwecke der Verarbeitung beschrieben. Sicherheitsmaßnahmen sind in Anhang 2 aufgeführt. Du kannst auch unsere gesamten Nutzungsbedingungen lesen.

Sollten wir beim Erfassen von E-Mail-Adressen das Feingedruckte aktualisieren und Informationen darüber angeben, wie die Daten in Klaviyo gespeichert werden?

Ja, euer Kleingedrucktes sollte so aktualisiert werden, dass die folgenden Hinweise für Interessent*innen und Kund*innen aus der EU enthalten sind:

• Verwende eine klare, einfache und leicht verständliche Sprache.
• Gib an, wozu du die Daten benötigst und was du mit ihnen vorhast.
• Nenne deine Organisation und alle Drittanbieter, die du verwenden wirst.
• Teile den Personen mit, dass sie ihre Einwilligung zurückziehen können.

Muss ich Opt-in-E-Mails in der Landessprache bereitstellen, um die DSGVO zu erfüllen?

Nicht unbedingt. Die spezifischen Anforderungen können von Land zu Land unterschiedlich sein. Wir empfehlen dir daher, dich bei deinem Rechtsteam über die länderspezifischen Anforderungen zu informieren, aber Klaviyo bietet standardmäßige Opt-in-Texte in mehreren Sprachen.

Muss ich für alle persönlichen Daten von Verbraucher*innen eine Einwilligung einholen?

Für personenbezogene Daten, die keiner besonderen Kategorie angehören, gibt es mehrere mögliche Rechtsgrundlagen für die Verarbeitung, einschließlich der Einwilligung. Die DSGVO nennt mehrere Ausnahmen von ihrem allgemeinen Verbot der Verarbeitung von Daten besonderer Kategorien, einschließlich der ausdrücklichen Einwilligung. Klaviyos Richtlinie zur akzeptablen Nutzung verbietet jedoch das Erfassen, Speichern oder Verarbeiten von Daten besonderer Kategorien, wie z. B. Gesundheitsinformationen, in Klaviyo, selbst wenn du eine Einwilligung hast.

Andere rechtmäßige Grundlagen für die Verarbeitung personenbezogener Daten, die keiner besonderen Kategorie angehören, umfassen:

• Die Verarbeitung ist für die Erfüllung eines Vertrags oder für die Durchführung von Maßnahmen auf Antrag der betroffenen Person im Vorfeld eines Vertragsabschlusses erforderlich.
• Die Verarbeitung ist für die Erfüllung einer rechtlichen Verpflichtung erforderlich.
• Die Verarbeitung ist notwendig, um die lebenswichtigen Interessen der betroffenen Person oder einer anderen Person zu schützen.
• Die Verarbeitung ist für die berechtigten Interessen des Unternehmens erforderlich und diese Interessen überwiegen nicht die Interessen oder Grundrechte der betroffenen Person.
• Die Verarbeitung ist für eine Aufgabe erforderlich, die im öffentlichen Interesse liegt, oder zur Erfüllung der Pflichten eines öffentlichen Bediensteten.

Wir empfehlen dir, dein Rechtsteam zu konsultieren, um die geeignete Rechtsgrundlage für die Verarbeitung von Daten durch dein Unternehmen zu ermitteln.

Könnt ihr meine Daten anonymisieren, sodass ich ein Profil anzeigen kann, aber die persönlich identifizierbaren Informationen nicht sehe?

Klaviyo bietet keine Möglichkeit, eine anonymisierte Version eines bestehenden Profils anzuzeigen. Wenn du ein Profil löschst, werden identifizierende Informationen in der Event-Historie der Profilinhaber*in unkenntlich gemacht, während Event-Daten (z. B. Bestellung aufgegeben -Events) im Konto verbleiben, um die Genauigkeit der Performance-Metriken zu erhalten. Exportierte Daten können außerhalb von Klaviyo anonymisiert werden; durch den Export wird das Profil in deinem Konto nicht anonymisiert.

Das Löschen des Profils ist dauerhaft. Du kannst ein Profil löschen und die Datenschutzanfrage dokumentieren. Wähle im Löschdialog Profil löschen, um der Datenschutzanfrage zu entsprechen aus, bevor du das Löschen bestätigst. Du kannst auch alle Daten zu einem bestimmten Profil exportieren, wenn eine*r deiner Kontakte dies anfragt.

Ist eine Warenkorbabbruch-E-Mail mit der DSGVO konform?

Die Antwort auf diese Frage ist nicht ganz klar. Viele Unternehmen sind jedoch der Ansicht, dass du auf der Grundlage eines berechtigten Interesses auch ohne ausdrückliche Einwilligung zu Marketing-Mitteilungen Warenkorbabbruch-E-Mails versenden kannst. Du kannst eine E-Mail aufgrund eines Warenkorbabbruchs als eine Kommunikation betrachten, die sich auf die ausdrückliche Absicht bezieht, eine Transaktion mit deinem Unternehmen abzuschließen. Andere ausgelöste E-Mails, wie etwa wegen Browse Abandonment und zur Rückgewinnung, sind nicht unbedingt zulässig, es sei denn, der Kunde hat zuvor in einer DSGVO-konformen Weise dem Erhalt von Marketing-E-Mails von dir zugestimmt.

Die Anwendbarkeit von berechtigten Interessen oder anderen Rechtsgrundlagen hängt jedoch von den jeweiligen Umständen ab, z. B. von der Anzahl und Häufigkeit der E-Mails und der Zeit, die seit dem Warenkorbabbruch verstrichen ist. Wir empfehlen dir dringend, deine E-Mail-Kampagnen mit deinem Rechtsteam zu besprechen, um sicherzustellen, dass sie mit dem geltenden Recht vereinbar sind.

Ist die Verwendung von Google Fonts DSGVO-konform?

Die Verwendung von Google Fonts kann zu Problemen bei der Einhaltung der DSGVO führen, da der Google-Server die IP-Adresse des Empfängers benötigt, um die Schriftarten bereitzustellen. Gemäß DSGVO gilt eine IP-Adresse als personenbezogene Information, die zur Identifizierung von Benutzer*innen verwendet werden kann. Beachte, dass die Aufnahme von Google Fonts in deine Schriftbibliothek bedeutet, dass du Google Fonts verwendest.

Als Alternative zu Google Fonts bietet Klaviyo eine Auswahl an Schriftarten, die in Klaviyo gehostet werden, zur Verwendung in deinen Anmeldeformularen, auf Einwilligungsseiten und in E-Mails. Das Laden dieser Schriftarten sendet die IP-Adresse der Besucher*innen oder Empfänger*innen nicht an Google. Wenn du zu Klaviyo-gehosteten Schriftarten wechselst, aktualisiere die Schriftarten in deinen vorhandenen Inhalten und entferne außerdem Google Fonts aus deiner Schriftartenbibliothek.

Weitere Ressourcen