Keap (ehemals Infusionsoft)

Keap platziert einen persistenten Besucher-Identifikations-Cookie (INFUSIONSOFT_COOKIE), der anonyme Website-Besucher mit CRM-Kontaktdatensätzen verknüpft, sobald ein Identifizierungsereignis eintritt. Er setzt auch Session-Cookies zur Verfolgung von Seitensequenzen und einen Marketing-Mess-Cookie. Keap-E-Mail-Kampagnen enthalten 1x1-Tracking-Pixel, die E-Mail-Öffnungen aufzeichnen, und Link-Click-Tracking wird auf jede ausgehende URL in Keap-E-Mails angewendet. All diese Technologien senden Daten an Keaps US-Server und erfordern nach der ePrivacy-Richtlinie eine vorherige Einwilligung.

Ja, eine vorherige informierte Einwilligung ist für das JavaScript-Tracking-Skript von Keap nach der ePrivacy-Richtlinie in allen EU-Mitgliedstaaten obligatorisch. Das Skript ist nicht wesentlich und erstellt detaillierte Verhaltensprofile, was es fest in die Kategorie der Tracking-Technologien einordnet, die ein aktives Opt-in erfordern. Die Einwilligung für Marketing-E-Mails ist für B2C-Kontakte separat nach Art. 6(1)(a) DSGVO erforderlich. Die B2B-E-Mail-Prospektierung über berechtigte Interessen ist in einigen EU-Jurisdiktionen noch möglich, wird aber zunehmend eingeschränkt.

Keap verarbeitet Daten unter mehreren Rechtsgrundlagen je nach Aktivität: Einwilligung (Art. 6(1)(a)) für Tracking-Cookies und Marketing-E-Mail-Kommunikationen; Vertragserfüllung (Art. 6(1)(b)) für während einer Kauftransaktion erstellte Kontaktdatensätze; und berechtigte Interessen (Art. 6(1)(f)) für Betrugsprävention und B2B-Prospektierung in erlaubten Jurisdiktionen. Wichtig: Die Rechtsgrundlage für die anfängliche Datenerfassung erstreckt sich nicht automatisch auf die anschließende Marketing-Nutzung, daher ist eine separate Rechtsgrundlage erforderlich, bevor ein Transaktionskontakt einer Keap-Marketing-Sequenz hinzugefügt wird.

Ja, und dies ist eine wesentliche Compliance-Überlegung. Keap hat kein EU-Rechenzentrum; 100% seiner CRM-Daten, Verhaltens-Tracking-Daten, E-Mail-Inhalte und Engagement-Metriken werden auf der Infrastruktur von Keap Inc. in den USA gespeichert. Der Rechtsmechanismus ist der EU-US Data Privacy Framework (Keap ist zertifizierter Teilnehmer), ergänzt durch Standardvertragsklauseln im Datenverarbeitungszusatz von Keap. UK-Transfers verwenden das UK IDTA. Verantwortliche müssen Keaps DPA ausführen, die DPF-Zertifizierung jährlich verifizieren und den US-Transfer in ihrer Datenschutzerklärung offenlegen.

Eine DSFA wird für jede Organisation empfohlen, die Keap mit einer wesentlichen europäischen Kontaktdatenbank einsetzt, insbesondere wenn automatisierte Marketing-Sequenzen, Lead-Scoring oder Verhaltensprofilierung involviert sind. Die Kombination aus Website-Verhaltens-Tracking, E-Mail-Engagement-Daten und ausschließlich in den USA gespeichertem Kontaktprofiling erstellt ein Datenschutzrisikoprofil, das eine dokumentierte Folgenabschätzung erfordert. Wenn Keap-Automatisierung für Entscheidungen genutzt wird, die den Zugang von Einzelpersonen zu Produkten oder Preisen beeinflussen, können auch Art. 22 DSGVO-Überlegungen zur automatisierten Entscheidungsfindung gelten.

Schalten Sie das Keap-Tracking-Skript hinter die CMP-Einwilligung, damit es nur nach dem Opt-in feuert. Zeigen Sie für eingebettete Formulare bis zur Einwilligung einen statischen Platzhalter an, dann laden Sie das Keap-iframe. Implementieren Sie Keaps Double-Opt-in für alle EU-Marketing-Listen. Führen Sie Keaps DPA aus und bestätigen Sie die DPF-Zertifizierung. Segmentieren Sie EU-Kontakte in Keap mit Tags, wenden Sie strengere Suppressionslogik an und konfigurieren Sie Aufbewahrungs-Automatisierungen zum Löschen inaktiver EU-Kontakte.

EU-gehostete Alternativen umfassen ActiveCampaign (EU-Datenspeicherung verfügbar), HubSpot (EU-Rechenzentren und starke DSGVO-Tools), Brevo (ehemals Sendinblue, französisches Unternehmen mit EU-Datenverarbeitung) und Mautic (Open Source, selbst gehostet). Die wichtigsten Compliance-Differenziatoren sind EU-Datenspeicherung, integriertes Double-Opt-in, Suppressionslisten-Verwaltung und DSGVO-konforme DPA-Dokumentation.

Führen Sie in Ihrer Cookie-Richtlinie INFUSIONSOFT_COOKIE als Marketing-/Tracking-Cookie mit einer Laufzeit von 1 Jahr auf und alle Keap-Session-Cookies als funktional. Ergänzen Sie in Ihrer Datenschutzerklärung einen Abschnitt über Keap als US-basierten Auftragsverarbeiter, in dem Sie angeben: Kategorien der übertragenen Daten, Zweck, Rechtsgrundlage, US-Transfermechanismus (EU-US DPF und SCC), Keaps Datenspeicherungspraktiken und das Widerrufsrecht Ihrer Kontakte. Verlinken Sie auf Keaps Datenschutzerklärung. Überprüfen Sie beide Dokumente nach jedem Keap-DPA-Update oder DPF-Rezertifizierung.