Sieben Tipps, wie du deine Kunden-Email-Kontakte DSGVO-konform machst

Die Datenschutz-Grundverordnung (DSGVO) vereinheitlicht die Verarbeitung personenbezogener Daten durch Unternehmen und öffentliche Stellen im gesamten EU-Raum. Sie soll die Privatsphäre der Empfänger:innen schützen und ihre Rechte stärken. Die DSGVO ist somit auch eine vertrauensstärkende Maßnahme, die langfristig gesehen auch den Unternehmen zugute kommt.

Vielen Unternehmen bereitet die Herausforderung, ihre Datenbestände DSGVO-konform zu machen, allerdings Kopfschmerzen. Denn oft sind sie sich nicht im Klaren, wie und ob sie Email-Adressen von Kunden und Abonnenten für E-Mail-Marketings, Eventeinladungen oder für Umfragen einsetzen können. Wichtig ist, schon von vornherein klar zu planen, welche Einverständniserklärung man vom Empfänger einholt:

Leicht verständliche Einwilligung 

Die Einwilligung für die Verarbeitung und Nutzung von personenbezogenen Daten für Email-Marketing muss mittels Double-Opt-In erfolgen, klar und einfach formuliert sein und erklären, zu welchem konkreten Zweck die Informationen gebraucht werden. Ein Tipp hierzu: Erkläre den Nutzen deiner künftigen Aussendungen, das gibt dem Empfänger einen klaren Überblick, was er zu erwarten hat.

Anmeldung nur über Double-Opt-In 

Beim Double-Opt-In muss die Person oder ein/e Berechtigte/r der Email-Adresse über einen E-Mail-Aktivierungslink die Anmeldung bzw. das Einverständnis bestätigen. Das sogenannte DOI verhindert damit, dass Dritte unbefugt eine Email-Adresse zu einem Verteiler anmelden.

ACHTUNG: Schweigen bzw. Untätigbleiben seitens der Person gelten nicht als Einwilligung! Und: Im Zuge der Anmeldung ist auch der Hinweis auf das Widerrufsrecht verpflichtend!

Es ist natürlich auch weiterhin möglich, ein schriftliches Einverständnis z.B. am Point of Sale oder an einer Hotelrezeption einzuholen. Sowohl im Falle einer Anmeldung via Email als auch im Falle einer schriftlichen Einverständniserklärung müssen ein Zeitstempel (inklusive Datum und ggf. Uhrzeit) sowie der Hinweis auf das Widerrufsrecht angeführt werden. Das macht in der Regel der Email-Marketing-Provider. Solltest du von einem Nutzer aufgefordert werden, diese Informationen beizubringen, so wende dich an ebendiesen.

Ein Beispiel:

„Der Vertragspartner stimmt zu, dass seine persönlichen Daten, nämlich ... (die Datenarten genau aufzählen, z.B. „Name“, „Adresse“, etc.) zum Zweck der ... (genaue Zweckangabe, z.B. „zur Zusendung von Werbematerial über die Produkte der Firma ...“) bei der Firma NN verarbeitet werden und die Daten ... (die Datenarten genau aufzählen, z.B. „Name“, „Adresse“, etc.) zum Zweck der ... (genaue Zweckangabe, z.B. „zur zentralen Abwicklung des Kunden-Beschwerdemanagements“) an ... (genaue Angabe des Übermittlungsempfängers, z.B. Name der Konzernmutter mit Anschrift) weitergegeben werden. Diese Einwilligung kann jederzeit bei ... (Angabe der entsprechenden Kontaktdaten) widerrufen werden.“

(Quelle WKO)

Was ist mit bestehenden Adressen?

Bereits bestehende Zustimmungen bleiben weiterhin gültig, aber achte darauf, dass diese jederzeit nachweisbar und mit einem Zeitstempel (inklusive Datum und ggf. Uhrzeit) versehen sind. E-Mail-Marketing-Systeme speichern diese Daten zu jedem Kontakt mit ab.

Achtung, Kopplungsverbot!

Um Personen zur Bekanntgabe von gewünschten personenbezogenen Daten – wie etwa Alter, Adresse oder Geburtsdatum zu bewegen – wurden vor dem Inkrafttreten der DSGVO Angebote und Services – etwa die Teilnahme an Gewinnspielen oder Events – oft an die verpflichtende Bekanntgabe dieser Informationen gebunden. Dies ist laut DSGVO verboten!

• Im Zuge der Einwilligung musst du nicht nur erklären, zu welchem konkreten Zweck du die Email-Adressen verwendest,
• du musst in der Folge auch darauf achten, dass die personenbezogenen Daten nur für den in der Einwilligung angeführten Verwendungszweck genutzt werden dürfen.
• Hol daher die benötigten Einwilligungen für verschiedene Verwendungszwecke separat voneinander ein!

%MEDIUM-RECTANGLES% 

Einwilligung für Online-Tracking

Online-Tracking bedeutet, das Surfverhalten eines Benutzers zu beobachten – etwa durch Website-Cookies auf einzelnen Webangeboten oder über mehrere Webangebote hinweg, um zum Beispiel Bestellungen und Warenkörbe im eigenen Webshop zu analysieren. Setzt du Cookies ein, die personenbezogene Daten (z.B. IP-Adresse) verarbeiten, ist die DSGVO zu berücksichtigen und eine entsprechende Einverständniserklärung von den betroffenen Website-Usern einzuholen. Hier hat es sich bewährt, den Benutzern beim ersten Besuch der Website einen so genannten Cookie-Banner auszuspielen, der mit einem Klick auf „OK“ oder „Zustimmen“ bestätigt werden muss. Nur dann darf das personenbezogene Nutzerverhalten auch getrackt werden.

Einwilligungen clever verwalten

Personen, deren Daten du nutzt und verarbeitest, können ihre Einwilligung jederzeit widerrufen. Um möglichst rasch auf Löschanfragen reagieren zu können, empfiehlt es sich daher, ein möglichst transparentes Consent-Management-System zu implementieren und zu pflegen. 

Das bedeutet, dass jede Einwilligung einer Person in einer Kundendatenbank protokolliert werden muss. Die führenden europäischen Email-Marketing-Anbieter haben das Consent-Management-System in der Regel integriert und bieten somit Rechtssicherheit und DSGVO-konformes Datenhandling. Email-Newsletter-Systeme müssen auch sogenanntes Blacklisting integriert haben. Diese Systeme verhindern, dass du unabsichtlich Adressen neu importierst, welche sich bereits abgemeldet haben.

Gekaufte Adressdatenbanken

So manches Unternehmen, das Adressdatenbanken zugekauft hat, sorgt sich nun, ob es diese noch nutzen und verarbeiten darf. Die Antwort: Es kommt darauf an. Nämlich darauf, wo du die Daten erworben hast. Bei Gewerbetreibenden in diesem Bereich, wie etwa Adressverlagen oder Direktmarketing-Unternehmen, ist dies üblicherweise kein Problem. Wer auf Nummer sicher gehen will, holt sich dafür eine schriftliche Bestätigung des Adressverlags oder des Direktmarketing-Unternehmens ein.

Weiterlesen: So bereiten Sie ihren Webshop auf die DSGVO vor

Weiterlesen: Adressen kaufen – was du damit laut DSGVO tun darfst und was nicht

Weiterlesen: Wie du deine Adressdatenbank endlich richtig nützt

Weiterlesen: Ich möchten einen Newsletter versenden, was muss ich rechtlich beachten