Für Online-Shops in Deutschland

Klaviyo und die DSGVO: was ein deutscher Shop wissen muss

Klaviyo ist ein US-Unternehmen und speichert Kundendaten standardmäßig in den USA. Seit September 2026 gibt es eine EU-Umgebung in Deutschland, aber nur für neue Vertragskunden. Diese Seite erklärt, was das für Ihren Shop bedeutet, was der Klaviyo-AVV regelt, was aus der Abmahnwelle von 2023 geworden ist und was Sie heute konkret tun sollten.

Wir sind keine Anwälte und diese Seite ist keine Rechtsberatung. Konkrete Hinweise für Ihr Unternehmen sollten von Ihrem Datenschutzbeauftragten (DSB) oder von einer Rechtsanwältin oder einem Rechtsanwalt kommen.

Offenlegung vorab

Wir entwickeln Broadcast, eine selbst gehostete Newsletter-Software. Broadcast hat heute keine Shopify-App. Es kennt keine Shopify-Events, verschickt keine Warenkorbabbrecher-Mails, hat keine Produktblöcke und kein SMS. Wer seine Shopify-Kunden in Broadcast haben will, importiert sie per CSV oder überträgt sie per API und Webhook. Wenn Ihr Umsatz an Klaviyos Shop-Automationen hängt, ist Broadcast heute kein Ersatz dafür.

Zur Checkliste für Klaviyo-Nutzer Shopify-Newsletter DSGVO-konform

Das Wichtigste in Kürze

  • • Klaviyo, Inc. sitzt in Boston und ist an der New Yorker Börse notiert. Laut eigenen Datenschutz-FAQ speichert Klaviyo Kundendaten im AWS-Rechenzentrum us-east-1 in Nord-Virginia. Wer Klaviyo nutzt, übermittelt also personenbezogene Daten in ein Drittland.
  • • Seit dem 15. September 2026 können berechtigte neue Vertragskunden ein Konto in Klaviyos EU-Umgebung in Deutschland bekommen (Limited Availability). Bestehende US-Konten lassen sich vorerst nicht umziehen. Klaviyo rechnet mit Migrationen ab dem ersten Quartal 2027.
  • • Die Übermittlung stützt Klaviyo auf das EU-US Data Privacy Framework und hält Standardvertragsklauseln als Rückfallebene bereit. Das DPF gilt, ist aber vor dem EuGH angefochten.
  • • 2023 verschickte die Kanzlei brandt.legal Abmahnungen an Shops, die Klaviyo oder Mailchimp nutzten. Gefordert wurden 5.000 Euro Entschädigung und eine Unterlassungserklärung. Das AG Augsburg hat 2024 eine Klage aus dieser Serie als rechtsmissbräuchlich abgewiesen. Das Risiko einer Auskunftsanfrage bleibt.
  • • Auch mit EU-Hosting bleibt Klaviyo ein US-Unternehmen und damit dem US Cloud Act unterworfen. Eine Newsletter-Software auf Ihrem eigenen Server in Deutschland umgeht diese Frage, ersetzt aber keine Shop-Automation.

Auf einen Blick

Frage Klaviyo Broadcast Self-Hosted
Wo liegen die Daten? USA (AWS us-east-1); EU-Umgebung nur für neue Vertragskunden Auf Ihrem Server, z. B. in Deutschland
Drittlandtransfer Ja, über DPF und SCC Mit einem reinen EU-Stack vermeidbar
Cloud Act Ja, auch bei EU-Hosting Nicht auf Anwendungs- und Datenbankebene; beim SMTP-Anbieter hängt es von Ihrer Wahl ab
Shopify-Integration Nativ und tief (Events, Warenkorb, Produkte) Keine. CSV-Import oder eigene Anbindung per API und Webhook
Preis bei 10.000 Kontakten ca. $150 im Monat $250 einmalig plus Server und Versand

Wo Klaviyo Ihre Kundendaten speichert

Die Antwort hat sich im September 2026 geändert, aber nicht für jeden.

Bestehende Konten: USA

Klaviyos Datenschutz-FAQ (Stand 16. Juni 2026) sagt, dass alle Kundendaten in den USA gespeichert werden, im AWS-Rechenzentrum us-east-1 in Nord-Virginia. Mitarbeiter in Australien, Irland, Singapur und Großbritannien können auf die Daten zugreifen, speichern sie aber nicht.

Wenn Sie Klaviyo heute schon nutzen, gilt das für Ihr Konto. Ein Umzug in die EU-Umgebung ist während der Limited Availability nicht möglich.

Neue Vertragskunden: EU-Umgebung in Deutschland

Seit dem 15. September 2026 können berechtigte neue Kunden mit Vertrag direkt in Klaviyos EU-Umgebung in Deutschland starten. Enthalten sind laut Klaviyo Klaviyo for Marketing, Marketing Analytics, Advanced KDP und Klaviyo Social.

Der Klaviyo-AVV (aktualisiert am 11. September 2026) sagt dazu: Bei vereinbarter EU-Datenresidenz speichert Klaviyo die personenbezogenen Daten in der EU. Klaviyo und bestimmte Unterauftragsverarbeiter können sie aber weiterhin außerhalb der EU verarbeiten. Für diese Übermittlungen gelten dieselben Transferregeln wie bisher.

Quellen: Klaviyo Privacy FAQs, Klaviyo zur EU Data Residency, Klaviyo Data Processing Agreement. Stand Oktober 2026.

Data Privacy Framework, Standardvertragsklauseln und Cloud Act

Für US-Konten ist das DPF die Rechtsgrundlage der Übermittlung. Für EU-Konten bleibt die Frage, wer auf die Daten zugreifen kann.

DPF und SCC

Klaviyo nimmt am EU-US Data Privacy Framework teil, dazu an der britischen Erweiterung und am Swiss-US DPF. Der AVV nennt das DPF als primären Transfermechanismus. Die Standardvertragsklauseln (Modul 2 und Modul 3) greifen, soweit und solange Klaviyo sich nicht auf das DPF stützen kann.

Das heißt: Fällt das DPF, gelten die SCC. Dann verlangt Schrems II wieder ein Transfer Impact Assessment mit zusätzlichen Garantien. Diese Arbeit liegt bei Ihnen, nicht bei Klaviyo.

Cloud Act

Der US Cloud Act von 2018 verpflichtet US-Unternehmen, Daten an US-Behörden herauszugeben, die sie kontrollieren. Das gilt auch für Daten in einem EU-Rechenzentrum.

Die EU-Umgebung von Klaviyo ändert den Speicherort. Sie ändert nicht, dass Klaviyo, Inc. ein US-Unternehmen ist. Für viele DSB ist das der Punkt, den kein Vertrag ganz auflöst.

Stand: Oktober 2026

Wo das Data Privacy Framework heute steht

  • Das DPF gilt. Der Angemessenheitsbeschluss vom 10. Juli 2023 ist in Kraft.
  • Rechtsmittel anhängig. Das Gericht der EU hat die Klage von Philippe Latombe am 3. September 2025 abgewiesen (T-553/23). Das Rechtsmittel C-703/25 P liegt beim EuGH, ein Verhandlungstermin ist nicht bekannt.
  • Neuer Druck aus den USA. Nach dem Urteil Trump v. Slaughter vom 29. Juni 2026 zur Abberufung von FTC-Mitgliedern hat noyb die Kommission am 30. Juni 2026 aufgefordert, den Beschluss aufzuheben. Die Kommission hat angekündigt, die Folgen zu prüfen.

Was passiert, wenn das Data Privacy Framework fällt? Szenario und Checkliste für den DSB →

Die Klaviyo-Abmahnungen von 2023

Wer „Klaviyo Abmahnung“ sucht, landet bei derselben Serie. Sie ist der Grund, warum viele Shops die DSGVO-Frage zu Klaviyo überhaupt stellen.

Wie die Abmahnungen funktionierten

  1. Ein Mandant aus Wien, Maximilian G., meldete sich bei Newslettern vieler Shops an.
  2. Danach verlangte er Auskunft nach Art. 15 DSGVO.
  3. Bestätigte die Auskunft den Einsatz von Klaviyo oder Mailchimp, folgte ein Schreiben der Berliner Kanzlei brandt.legal: Unterlassungserklärung mit 5.100 Euro Vertragsstrafe, mindestens 5.000 Euro Geldentschädigung, über 1.700 Euro Anwaltskosten.
  4. Shops, die gar nicht geantwortet hatten, bekamen in einer zweiten Welle Forderungen über 1.000 Euro plus Anwaltskosten.

Das Amtsgericht Augsburg hat am 27. Juni 2024 (Az. 18 C 3234/23) eine Schadensersatzklage aus dieser Serie wegen Rechtsmissbrauchs abgewiesen. In dem Fall ging es um eine unbeantwortete Auskunftsanfrage an einen Reiseanbieter, nicht um Klaviyo selbst. Nach Angabe der Kanzlei der Beklagten wurde Berufung eingelegt.

Quellen: WBS.LEGAL vom 16. März 2023, Kanzlei Himburg zum Urteil des AG Augsburg.

Die Lehre daraus ist nüchterner, als die Schlagzeilen klangen. Die Schreiben setzten an zwei Stellen an: am US-Tool und an einer fehlenden oder falschen Antwort auf die Auskunftsanfrage. Die zweite Stelle haben Sie selbst in der Hand. Beantworten Sie Anfragen nach Art. 15 DSGVO innerhalb eines Monats, vollständig und mit allen Empfängern, auch Klaviyo. Unterschreiben Sie eine vorformulierte Unterlassungserklärung nicht ohne anwaltliche Prüfung.

Wenn Sie bei Klaviyo bleiben: die Checkliste

Viele Shops bleiben bei Klaviyo, und das ist eine vertretbare Entscheidung. Dann sollte diese Liste abgehakt sein.

1. Den AVV kennen

Klaviyos Data Processing Agreement ist Teil des Vertrags und gilt mit den Nutzungsbedingungen. Die SCC gelten als abgeschlossen. Laden Sie die aktuelle Fassung herunter und legen Sie sie zu Ihren Unterlagen.

2. Datenschutzerklärung ergänzen

Nennen Sie Klaviyo als Empfänger, die USA als Drittland und das DPF mit den SCC als Rückfallebene. Ein Generator-Baustein reicht, wenn er zu Ihrem tatsächlichen Setup passt.

3. Einwilligung mit Double Opt-in

Jede Anmeldung, ob im Formular oder im Checkout, sollte per Bestätigungsmail laufen. Speichern Sie Zeitpunkt und Quelle der Bestätigung.

4. Onsite-Skript im Consent-Banner

Wenn Sie Klaviyos Skript für Formulare und Tracking im Shop einbinden, gehört es in Ihr Consent-Management und darf erst nach Zustimmung laden, soweit es nicht unbedingt erforderlich ist.

5. Auskunftsanfragen fristgerecht beantworten

Ein Monat ab Eingang. Legen Sie fest, wer im Team die Anfragen bearbeitet und wo die Klaviyo-Daten exportiert werden.

6. TIA und Rückfallebene dokumentieren

Tragen Sie Klaviyo ins Verzeichnis von Verarbeitungstätigkeiten ein. Schreiben Sie das Transfer Impact Assessment so, dass es auch ohne DPF trägt.

Klaviyo Alternative mit Server in Deutschland: was Broadcast kann und was nicht

Broadcast ist eine Newsletter-Software, die Sie auf Ihrem eigenen Server installieren, zum Beispiel bei Hetzner in Falkenstein oder Nürnberg. Liste, Datenbank und Versandlogik liegen bei Ihnen. Sie zahlen einmal $250 und keine Gebühr pro Kontakt.

Was heute funktioniert

Newsletter, Segmente, Automationen per Tag und Double Opt-in. Ihre Shopify-Kunden bringen Sie per CSV-Export mit, in dem die Spalte „Accepts Email Marketing“ die Einwilligung zeigt. Oder Sie schicken neue Kunden per Webhook an die Broadcast-API, auf Wunsch mit Bestätigungsmail.

Ein Tag wie kauf-erstkunde kann dann eine Sequenz starten: Dankesmail, Pflegetipps, Bitte um Bewertung.

Was Broadcast nicht kann

Es gibt keine native Shopify-Integration. Broadcast sieht keine Warenkörbe und keine Produktaufrufe. Warenkorbabbrecher-Mails, Produktempfehlungen aus dem Katalog und SMS gibt es nicht. Shopifys eigene Checkout-Erinnerung können Sie weiter nutzen. Wer seinen Umsatz mit Klaviyos Flows macht, bleibt dafür besser bei Klaviyo.

Bestehende Liste importieren (Englisch) → Shopify per Webhook anbinden (Englisch) → Klaviyo und Broadcast im Detail (Englisch) →

Kostenvergleich bei 10.000 Kontakten

Für reine Newsletter und einfache Automationen, ohne SMS.

Klaviyo E-Mail

10.000 aktive Profile

Monatlichca. $150
Über drei Jahreca. $5.400

Broadcast Self-Hosted

Hetzner CX23 + Amazon SES Frankfurt

Lizenz (einmalig)$250
Server und Versandca. $10 / Monat
Über drei Jahreca. $610

Klaviyo-Preis laut unserer Auswertung vom September 2026, Hetzner CX23 zu €5,49 netto im Monat (Stand September 2026), SES für etwa 40.000 E-Mails im Monat. Rechnen Sie Ihre eigene Liste mit dem Ersparnis-Rechner nach. Die Aufschlüsselung nach Profilzahl steht unter Klaviyo Pricing (Englisch).

Häufige Fragen

Kein Tool ist für sich DSGVO-konform, Ihr Einsatz ist es oder nicht. Klaviyo bietet einen AVV, nimmt am Data Privacy Framework teil und hält Standardvertragsklauseln als Rückfallebene bereit. Damit lässt sich Klaviyo rechtmäßig einsetzen. Die Übermittlung in die USA bleibt aber bestehen, und das DPF ist vor dem EuGH angefochten.
Seit dem 15. September 2026 für berechtigte neue Vertragskunden, in einer EU-Umgebung in Deutschland. Bestehende US-Konten können vorerst nicht umziehen. Klaviyo rechnet mit Migrationen ab dem ersten Quartal 2027. Laut AVV können Klaviyo und bestimmte Unterauftragsverarbeiter die Daten auch dann außerhalb der EU verarbeiten.
Ja, und Sie haben ihn bereits. Klaviyos Data Processing Agreement ist Teil des Vertrags. Die Standardvertragsklauseln gelten darin als abgeschlossen. Laden Sie die aktuelle Fassung herunter, damit Sie sie bei einer Prüfung vorlegen können.
Nicht ignorieren, nichts unterschreiben, nichts zahlen, bevor eine Anwältin oder ein Anwalt das Schreiben geprüft hat. Das AG Augsburg hat im Juni 2024 eine Klage aus der Serie von 2023 als rechtsmissbräuchlich abgewiesen. Dagegen wurde Berufung eingelegt. Eine offene Auskunftsanfrage sollten Sie trotzdem sofort beantworten.
Für Newsletter, Segmente und Automationen per Tag ja. Für Warenkorbabbrecher, Produktempfehlungen, Shopify-Events und SMS nein. Broadcast hat heute keine Shopify-Integration. Eine mögliche Aufteilung: Newsletter in Broadcast, Checkout-Erinnerung bei Shopify.
Exportieren Sie die Kunden in Shopify als CSV und importieren Sie nur die Zeilen mit „Accepts Email Marketing“ auf yes. Für neue Kunden schicken Sie einen Shopify-Webhook an die Broadcast-API. Mit dem Parameter double_opt_in verschickt Broadcast dann eine Bestätigungsmail.

Ihre Liste auf Ihrem Server.

Broadcast macht Sie nicht automatisch DSGVO-konform. Es nimmt den US-Anbieter aus der Anwendungs- und Datenbankebene.

Einmalige Lizenz. Keine Gebühr pro Kontakt. Keine Shopify-App, das sagen wir lieber vorher.

Broadcast ansehen: $250 einmalig Der DSGVO-Stack zum Selbsthosten

Weiterführende Beiträge

Shopify-Newsletter DSGVO-konform
Checkliste für Double Opt-in, Checkbox und AVV
Wenn das Data Privacy Framework fällt
Szenario und Checkliste für US-Tools
Mailchimp & DSGVO
BayLDA, Schrems II und AVV
Klaviyo et le RGPD
Dieselbe Frage aus französischer Sicht
EU Data Sovereignty 2026 (Englisch)
Cloud Act, DPF und NIS2 für E-Mail-Marketing
Klaviyo Deliverability (Englisch)
Wenn Klaviyo-Mails im Spam landen

Still deciding?

Comparisons cover the tradeoffs. How To covers whether Broadcast does the specific thing you need, organized by what you are trying to accomplish rather than by feature name. If the answer is no, it says no.

Browse How To Segment subscribers Branch a sequence Bring an existing list