GoHighLevel DSGVO | Datenschutz richtig einrichten (Deutsch)

Zu keinem Thema bekommt Martin so viele Fragen wie zu GoHighLevel DSGVO und Datenschutz. Deshalb gibt es jetzt einen Sprintkurs, der die wichtigsten Punkte ein für alle Mal klärt: Auftragsverarbeitungsvertrag, Serverstandorte und Sicherheit, danach die Praxis mit Abmeldelink, DND, Double-Opt-in sowie Auskunfts- und Löschanfragen.

GoHighLevel DSGVO: Wer ist wofür verantwortlich?

Die DSGVO regelt den Umgang mit personenbezogenen Daten. Dazu gehören nicht nur Name, Telefonnummer und E-Mail-Adresse, sondern auch die IP-Adresse. Bei der Verarbeitung gibt es zwei Rollen:

• Du brauchst für die Verarbeitung immer eine Rechtsgrundlage. Nicht immer ist eine Einwilligung nötig, etwa bei Vertragserfüllung. Im Zweifel ist die Einwilligung die sicherere Wahl.
• Du musst nachweisen können, warum und zu welchem Zweck du Daten verarbeitet hast. Dabei helfen Audit-Logs und nachvollziehbare Workflows, zum Beispiel für das Double-Opt-in.
• Auch wenn HighLevel konform nutzbar ist, bist du nicht automatisch raus. Der große Teil liegt beim Unternehmer.

Auftragsverarbeitungsvertrag (AVV) und Serverstandorte

Ein AVV regelt, wie ein Dienstleister personenbezogene Daten im Auftrag eines anderen Unternehmens verarbeitet und welche Datenschutzpflichten gelten. HighLevel stellt ihn automatisch bereit. So kommst du daran:

1. Wechsle in den Agency Account, nicht in einen Subaccount.
2. Gehe unten links auf Einstellungen und dann weit unten auf Einhaltung (englisch Compliance).
3. Klicke beim Data Processing Agreement auf Mehr erfahren.
4. Lade das Dokument herunter und lege es in deinem Ordner ab.

Dein eigener AVV gegenüber Kunden

Damit ist das Thema nicht erledigt. Nimmst du Kunden in HighLevel auf oder verkaufst oder vermietest Subaccounts, brauchst du selbst einen AVV gegenüber deinem Kunden. Musterverträge aus der Community kannst du nicht eins zu eins nutzen, sie müssen individuell zu dir passen. Martin sieht individuell erstellte Verträge über einen spezialisierten Anbieter als sicherere Variante.

Serverstandorte und Unterauftragsverarbeiter

HighLevel verarbeitet Daten laut Martin teilweise in den USA, und je nach genutzter Funktion können weitere Dienstleister beteiligt sein. Die komplette Liste der Unterauftragsverarbeiter ist öffentlich. Da Daten außerhalb der EU verarbeitet werden, berücksichtigt der Vertrag unter anderem die Standardvertragsklauseln der EU. Martin hat dazu einige Fragen an HighLevel gestellt, die teils noch unbeantwortet sind. Wichtig: Nicht jede Funktion ist automatisch sofort konform, bei Neuem solltest du einen Datenschutzexperten fragen.

Sicherheit im Account: Berechtigungen und Zwei-Faktor

Selbst mit allen Dokumenten musst du dafür sorgen, dass Unbefugte keinen Zugriff auf Kundendaten haben. Martin nennt drei Punkte:

• Vergib immer nur die Berechtigung, die jemand wirklich braucht. Wer nur den Kalender betreut, braucht keinen Zugriff auf anderes.
• Prüfe regelmäßig, ob Personen ihren Zugriff noch brauchen. Martin hatte anfangs viele Leute mit Zugriff, die längst keine Aufgaben mehr hatten.
• Bei einer Datenpanne gibt es gesetzliche Meldepflichten. Je nach Fall musst du sie laut Martin innerhalb von 72 Stunden bei der Datenschutzbehörde melden. Bereite dich dafür mit einem Datenschutzexperten vor.

Wie du Rollen für Kunden und Team in den Kundenzugängen sauber trennst, ist ebenfalls Teil guter Praxis.

Datenschutzerklärung und Cookie-Banner

Datenschutzerklärung und Impressum müssen von der Startseite aus mit einem Klick erreichbar sein, meist im Footer. Die Texte solltest du nicht selbst erfinden, sondern mit einem Profi oder Profi-Tool erstellen. Martin empfiehlt dafür einen Anbieter, der sich auf HighLevel spezialisiert hat. Für Websites und Funnels gilt:

• Besucher müssen die Datenerhebung ablehnen können, bevor Daten wie Name oder IP-Adresse erfasst werden.
• Der Banner muss individuell zu deiner Seite passen. Eine Sprach-KI, Karten oder ein Livechat funktionieren nur nach Zustimmung zu den passenden Cookies.
• Die Einwilligung muss jederzeit änderbar sein, zum Beispiel über einen Link im Footer oder einen kleinen runden Button unten links.
• Design und Einstellungen kannst du anpassen. Laut der Expertin aus der Community sollte es einen Ablehnen-Button geben, und Alles akzeptieren darf nicht verführerisch hervorgehoben sein.

Einwilligung und Double-Opt-in Schritt für Schritt

Wer ein Kontaktformular nutzt, darf die Daten zur Bearbeitung der Anfrage verwenden, aber nicht einfach Werbe-E-Mails schicken. Dafür brauchst du eine extra Einwilligung. Deshalb baut Martin ein optionales Feld wie Ich möchte den Newsletter erhalten ein und bestätigt es per Double-Opt-in. So gehst du vor:

1. Formular erstellen: Im AI Studio ein Kontaktformular mit Vorname, Nachname, E-Mail-Adresse und optionalem Newsletter-Feld erstellen. Auf Verbinden klicken, sonst landen die Daten nirgends. Gib dem Formular am besten schon im Prompt einen Namen.
2. Automation anlegen: Trigger AI Studio Form Submitted, Filter auf das Projekt und das Formular. Das Formular einmal ausfüllen, damit es erkannt wird.
3. Bedingung: Wenn/Sonst auf das Feld Newsletter abonnieren, ist nicht leer. Bei Nein endet der Ablauf.
4. Bestätigungs-E-Mail senden: mit Betreff und Text zur Bestätigung der E-Mail-Adresse.
5. Triggerlink anlegen: Unter Marketing und Triggerlinks einen Link namens DOI erstellen, der auf eine Bestätigungsseite zeigt, und ihn in der E-Mail einfügen. Ohne Link geht der Kontakt nicht weiter.
6. Warten auf Klick: Aktion Warten, bis der Kontakt auf den Triggerlink klickt. Optional mit Timeout und Erinnerung.
7. Tags vergeben: Tag DOI bestätigt hinzufügen und zusätzlich einen dynamischen Tag mit dem Datum, damit du nachweisen kannst, wann bestätigt wurde.

Im Test lässt sich der Ablauf über die Ausführungsprotokolle prüfen. Wer bestätigt hat, kannst du in den Kontakten per Tag filtern, zum Beispiel für E-Mail-Listen, oder in einer Pipeline führen. Mehr zu den Bausteinen findest du bei den Automationen.

E-Mail-Marketing, Abmeldelink und DND

DND heißt Do Not Disturb. Im Unternehmensprofil unter Einstellungen ist ein Abmeldelink standardmäßig voreingestellt, und wer sich abmeldet, bekommt keine E-Mails mehr, auch nicht über Rundmails oder Workflows. Martin geht trotzdem einen eigenen Weg über einen Triggerlink:

1. Lege unter Marketing → Triggerlinks einen Link namens Abmeldung an, der auf eine Seite mit Abmeldebestätigung zeigt.
2. Füge den Link als Text in deine E-Mails ein, zum Beispiel Du willst keine E-Mails mehr bekommen, dann klicke hier.
3. Den voreingestellten Abmeldelink schaltest du im Unternehmensprofil aus. Klappt das nicht, hilft laut Martin vorübergehend die Plattformsprache Englisch, danach stellst du wieder auf Deutsch.

Wichtig: Bei Werbe-E-Mails musst du immer eine Abmeldemöglichkeit mit einem Klick anbieten, auch wenn sich Leute für den Newsletter angemeldet haben. Mehr zum Versand findest du bei E-Mail-Marketing.

DND manuell setzen

Wenn dir jemand schreibt, dass er keine E-Mails mehr möchte, öffnest du den Kontakt und klickst auf DND. Du wählst den Kanal, also SMS, WhatsApp, E-Mail oder alle. Das Protokoll zeigt, dass DND aktiviert wurde. Mit einem Klick nimmst du es wieder heraus. Tipp: Setze DND vor dem Zusammenführen von Kontakten und nimm es danach wieder heraus, damit niemand ungewollt Mails bekommt.

Auskunft, Datenexport und Löschung

Jeder hat das Recht auf Auskunft, welche personenbezogenen Daten du zu welchem Zweck speicherst, und kann die Löschung verlangen. Dazu zählen auch Notizen und Gesprächsverläufe. Fast niemand besteht darauf, aber du solltest vorbereitet sein.

Martin geht davon aus, dass Daten nach etwa 70 bis 75 Tagen endgültig gelöscht sein müssen, bitte prüfe das für deinen Fall. Bei Unsicherheit kannst du ein Ticket schreiben oder im Support fragen, ob eine Löschung vorgezogen werden kann. Bereite am besten vorab ein Dokument mit deinem Ablauf vor.

Hilfe bei Fragen

Bei technischen Problemen wendest du dich zuerst an den HighLevel-Support über das blau-weiße Fragezeichen im Account. Deutschsprachige Hilfe bekommst du in der Growth Community mit täglichem Live-Call, Workshops und Diskussionen.

Das Video zu GoHighLevel DSGVO

Hier siehst du den kompletten Sprintkurs:

Fazit: GoHighLevel DSGVO sauber umsetzen

Bei GoHighLevel DSGVO kommt es auf drei Dinge an: die richtigen Verträge, saubere Einstellungen im Account und nachvollziehbare Prozesse für Einwilligung, Abmeldung und Löschung. HighLevel ist konform nutzbar, doch die Hausaufgaben bleiben bei dir. Wer sie mit Profis erledigt und die Abläufe dokumentiert, hat laut Martin schon mehr als die halbe Miete. Welche Frage zum Datenschutz beschäftigt dich am meisten? Schreib sie gern in die Kommentare.

Häufige Fragen zu GoHighLevel DSGVO

Ist GoHighLevel DSGVO-konform nutzbar?

Laut Martin ist HighLevel konform nutzbar, aber das hängt nicht nur an der Software. Der große Teil der Verantwortung liegt beim Unternehmer selbst, es gibt also immer Hausaufgaben. Der Artikel ersetzt keine Rechtsberatung.

Wer ist Verantwortlicher und wer Auftragsverarbeiter?

Verantwortlich ist, wer entscheidet, warum und wofür personenbezogene Daten verarbeitet werden, meist du. Auftragsverarbeiter ist der Dienstleister, der die Daten in deinem Auftrag verarbeitet, hier HighLevel. Richtest du als Agentur HighLevel für Kunden ein und verarbeitest deren Daten, wirst du automatisch selbst zum Auftragsverarbeiter.

Wo finde ich den Auftragsverarbeitungsvertrag?

Im Agency Account gehst du unten links auf Einstellungen und dann auf Einhaltung, auf Englisch Compliance. Dort öffnest du unter Mehr erfahren das Data Processing Agreement, lädst es herunter und legst es ab. Achtung: Die Option für HIPAA Compliance daneben nicht anklicken, sie ist für amerikanische Gesundheitsbereiche und lässt sich nach dem Kauf technisch nicht rückgängig machen.

Brauche ich als Agentur einen eigenen AVV für meine Kunden?

Ja, wenn du Kunden in HighLevel aufnimmst oder Subaccounts verkaufst, brauchst du selbst einen Auftragsverarbeitungsvertrag gegenüber deinem Kunden. Musterverträge solltest du nicht eins zu eins nutzen, sondern individuell erstellen lassen, zum Beispiel über einen darauf spezialisierten Anbieter.

Wie sichere ich meinen Account ab?

Vergib nur die Berechtigungen, die jemand wirklich braucht, beschränke bei Bedarf die Datensichtbarkeit auf zugewiesene Daten, aktiviere die Zwei-Faktor-Authentifizierung und prüfe regelmäßig, wer noch Zugriff hat.

Wie richte ich Double-Opt-in ein?

Du baust ein Formular mit optionalem Newsletter-Feld, eine Automation mit Trigger und Wenn/Sonst-Bedingung, versendest eine Bestätigungs-E-Mail mit Triggerlink und wartest auf den Klick. Danach vergibst du Tags, auch einen mit Datum zur Nachweisbarkeit.

Was bedeutet DND?

DND steht für Do Not Disturb, also Bitte nicht stören. Ein Kontakt mit DND bekommt auf dem gewählten Kanal, also SMS, WhatsApp, E-Mail oder allen Kanälen, keine Nachrichten mehr.

Wie gehe ich mit Löschanfragen um?

Du kannst ein Löschformular anbieten und per Workflow die Aktion Kontakt löschen als letzten Schritt ausführen. Gelöschte Kontakte lassen sich bis zu 60 Tage wiederherstellen. Anfragen musst du unverzüglich, spätestens innerhalb eines Monats, beantworten.

Weitere Neuigkeiten im Blog

Website mit KI erstellen 🤯 Diese KI kostet jetzt 0 € extra! (2027)

AI Studio und kostenlose KI-Nutzung

Neue GoHighLevel Community-Abzeichen im Kundenportal & GoKollab | Tutorial auf Deutsch

Abzeichen designen und per Workflow belohnen

Martin Dellwing

HighLevel Certified Admin

Martin Dellwing ist der bekannteste GoHighLevel-Experte im deutschsprachigen Raum und der erste deutschsprachige HighLevel Certified Admin weltweit.

Mehr über Martin erfahren →