DSGVO: Fragen und Antworten für Newsletter & Co

20.03.2018: Rund um die Datenschutz-Grundverordnung (DSGVO) gibt es die unterschiedlichsten Ratschläge, die man vielerorts lesen kann – und dabei sehr viel Ungewissheit, was man nun tatsächlich machen darf bzw. sollte.

Wir haben die häufigsten Fragen zur DSGVO gesammelt und versucht, möglichst praxisnahe und verständliche Antworten zu geben.

Verlieren meine bisherigen Zustimmungen mit der DSGVO ihre Gültigkeit?

Nein. Wenn Sie Ihre Empfänger bisher gültig angeschrieben haben, dürfen Sie das auch nach dem Inkrafttreten der DSGVO tun!

Darf ich meine Kunden weiter anschreiben?

Die DSGVO ändert hier an der rechtlichen Situation nichts. Also wenn Sie das bisher im legalen Rahmen getan haben, dürfen Sie Ihre Kunden auch weiterhin anschreiben.

Außerdem gibt es neben einer Zustimmung ja noch weitere Rechtsgrundlagen, um Kunden – auch ohne ausdrückliche Zustimmung – anschreiben zu dürfen. Zum Beispiel bei Transaktions-Mails, also E-Mails die rein der Erfüllung von vertraglichen Verpflichtungen dient.

Darf ich Interessenten auch ohne deren vorherige Zustimmung per E-Mail anschreiben?

Nein. Das TKG schreibt klar eine vorherige Zustimmung vor, daran ändert sich mit der DSGVO nichts. Einzige Ausnahme sind bestehende Kunden, wobei auch hier mehrere Voraussetzungen erfüllt sein müssen, um diese anschreiben zu dürfen. Details dazu finden Sie in unserem "Leitfaden Rechtlich Grundlagen für E-Mail-Marketing."

Soll ich meine bestehenden Kontakte anschreiben, um eine nachträgliche Zustimmung einzuholen?

Nein! Wenn Sie der Ansicht sind, dass bisher ein Newsletter-Versand nicht zulässig war, dann ist auch das Mail mit der nachträglichen Zustimmung unzulässig.

Und außerdem ist die Aktion kontraproduktiv, denn die Erfahrung zeigt, dass nur ein kleiner Prozentsatz an Empfängern tatsächlich nochmals ihre Zustimmung geben.

Was soll ich tun, wenn ich nicht von allen Empfängern eine nachweisbare Zustimmung habe?

Die Newsletter weiterhin verschicken. Wenn sich jemand abmeldet, dies natürlich unverzüglich durchführen und alle personenbezogenen Daten löschen, da ja kein weiterer Grund zu deren Speicherung vorhanden ist – wenn dies den einzigen Grund für die Verarbeitung der personenbezogenen Daten dargestellt hat.

Außerdem sollten Sie zeitnah alle Abläufe – insbesondere die Newsletter-Anmeldung – überprüfen und dafür sorgen, dass hier alle Bestimmungen, auch jene der DSGVO, eingehalten werden.

Darf ich den Download eines Whitepapers (o.ä.) von der Zustimmung zu dem Empfang eines Newsletters abhängig machen?

Ja. Das lässt sich mit dem "berechtigten Interesse", den die DSGVO vorsieht, argumentieren. Allerdings sollten Sie dabei mehrere Punkte beachten:

• Dem Empfänger muss der "Deal" klar sein, d.h. er darf nicht überrascht sein, plötzlich einen Newsletter zu bekommen.
• Es darf kein Zwang ausgeübt werden (z.B. wenn das Whitepaper ein seltenes Nischenthema beschreibt und für die Empfänger nahezu unverzichtbar ist).
• Natürlich muss in dem Newsletter – wie in jedem E-Mailing - eine Abmeldemöglichkeit vorhanden sein.
• Es dürfen keine personenbezogenen Daten abgefragt werden, die nicht erforderlich sind.

Brauche ich eine Datenschutz-Erklärung auf der Website?

Ja. Denn es gibt wohl kaum eine Website, wo tatsächlich keinerlei personenbezogene Daten verarbeitet werden. Oder haben Sie wirklich weder ein Kontakt- noch ein Newsletter-Anmeldeformular, und Google Analytics setzen Sie auch nicht ein?

Sobald Sie also personenbezogene Daten verarbeiten, müssen Sie den Betroffenen darüber aufklären, zu welchem Zweck (und auf Basis welcher Grundlage) Sie die Daten verarbeiten, wie lange sie aufbewahrt werden, ob sie eventuell weitergegeben werden, usw. Und das machen Sie am besten in einer Datenschutz-Erklärung.

Muss ich bei einem Newsletter-Anmeldeformular eine Datenschutz-Einwilligung einholen?

Ja. Denn die meisten professionellen E-Mail-Marketing Tools sammeln auch Nutzungsdaten, also z.B. das Öffnungs- und Klickverhalten der Empfänger. Darüber muss ein Empfänger im Zuge der Anmeldung informiert werden und dieser Verarbeitung zustimmen!

Muss ich meine Formulare auf double Opt-in umstellen?

Bei öffentlich erreichbaren Formularen ja. Denn ein double Opt-in entspricht dem "aktuellen Stand der Technik" (den die DSGVO explizit vorschreibt), um zu verhindern, dass jemand einen Newsletter bekommt, den er nie angefordert hat. Außerdem protokollieren gute E-Mail-Marketing Systeme wie Dialog-Mail den gesamten Prozess automatisch – wichtig für einen Nachweis im Falle einer Auskunftsbegehrens.

Darf ich alle Felder abfragen, die mir für ein Anmeldeformular sinnvoll erscheinen?

Nein. Das Datenschutz-Gesetz schreibt vor, dass Sie nur jene Daten erheben dürfen, die Sie für die Erfüllung der Dienstleistung auch tatsächlich benötigen. Wenn jemand also einen Folder bestellt (der postalisch versendet wird), dann dürfen Sie natürlich nach der Adresse fragen.

Für eine reine Newsletter-Anmeldung benötigen Sie im Normalfall allerdings nur Name und E-Mail-Adresse. Eine postalische Anschrift – so interessant diese vielleicht auch sein möge – benötigen Sie dafür nicht. Und dürfen sie daher auch nicht abfragen.

Praxis-Tipp: Ein häufiges Missverständnis ist, diese weiteren Felder einfach nur nicht als Pflichtfelder zu definieren. Doch das ist nicht ausreichend – denn Sie dürfen diese Daten auch dann nicht erheben, wenn Sie freiwillig bekannt gegeben werden!

Wie verfasse ich ein DSGVO-konformes Anmelde-Formular?

Tipps dazu haben wir in unseren Artikel "Das ideale Anmelde-Formular" beschrieben.

Disclaimer: Logischerweise können wir hier nur allgemeine Empfehlungen aussprechen, diese ersetzen keine Beratung im Einzelfall. Aber das wissen Sie natürlich.