Datenschutzerklärung für CleverReach

Warum ist CleverReach datenschutzrechtlich relevant?

Um Newsletter an Kunden versenden zu können, benötigen Webseitenbetreiber zunächst ihre E-Mail-Adressen. E-Mail-Adressen gelten als personenbezogene Daten. Das heißt: Sie sind durch die Datenschutz-Grundverordnung (DSGVO) besonders geschützt. Seitenbetreiber müssen daher verschiedene gesetzliche Vorgaben berücksichtigen.

Wie können Webseitenbetreiber CleverReach datenschutzkonform verwenden?

Um über CleverReach datenschutzkonform Newsletter zu versenden, müssen Webseitenbetreiber diesen Pflichten nachkommen:

Einwilligung der User einholen

Wollen Webseitenbetreiber die E-Mail-Adresse von Nutzern erheben, verarbeiten und speichern, benötigen sie dafür ihre Einwilligung. Dabei hat die rechtliche Praxis gezeigt: Erheben Unternehmen die E-Mail-Adresse von Nutzern per Double-Opt-In, erfüllen sie die Anforderungen der DSGVO.

Dazu müssen sie User bei der Erhebung ihrer E-Mail darauf hinweisen, dass sie diese speichern und für den E-Mail-Versand verwenden. Daneben müssen sie Nutzern mitteilen, dass sie dem jederzeit wieder widersprechen können. Anders gesagt: Sie können den Newsletter, den sie erhalten, jederzeit wieder abbestellen. Haben Kunden ihre E-Mail hinterlassen, müssen Webseitenbetreiber ihnen per Mail eine Bestätigung der Newsletter-Anmeldung zusenden. Darin sollten User einen Link finden, der sie das noch einmal bestätigen lässt. Webseitenbetreiber können Usern nun über CleverReach Newsletter zuschicken.

Vertrag zur Auftragsverarbeitung abschließen

Erhalten Dritte – wie beispielsweise eine andere Firma – Zugriff auf die Kundendaten eines Unternehmens, müssen sie mit dieser Partei einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Das schreibt § 28 DSGVO vor. Das bedeutet: Binden Webseitenbetreiber CleverReach für ihren Newsletter-Versand ein, müssen sie mit dem Anbieter einen AV-Vertrag eingehen. Darin müssen sie festlegen,

• welche Userdaten sie wie lange speichern wollen,
• warum und wie sie diese verarbeiten und
• welche Rechte und Pflichten die Verantwortlichen haben.

CleverReach bietet Webseitenbetreibern die Möglichkeit, den Vertrag direkt in ihrem Account abzuschließen.

Datenschutzerklärung anpassen

Seitenbetreiber müssen in ihrer Datenschutzerklärung festhalten, warum sie

• über CleverReach personenbezogene Daten erheben,
• wie lange sie diese Daten speichern wollen,
• welche Rechtsgrundlage ihnen dieses Vorgehen erlaubt (Art. 6 Abs. 1 lit. a DSGVO),
• dass sie die Daten an CleverReach weitergeben,
• dass sie für die Datenweitergabe mit CleverReach einen AV-Vertrag geschlossen haben und
• dass Nutzer der Einwilligung in die Datenerhebung jederzeit widersprechen können.

Diese Pflichten schreibt § 13 Abs. 1 DSGVO vor.

Auskunftspflicht beachten

Bitten Nutzer Unternehmen darum, die bisher über sie erhobenen Daten offenzulegen, müssen sie dem nachkommen. Das heißt: Wollen User ihre Daten aus CleverReach einsehen, müssen Unternehmen ihnen diese in einem strukturierten und technisch gängigen Format bereitstellen.

Löschpflicht beachten

Unternehmen dürfen die für CleverReach gesammelten Daten nur für den Newsletter-Versand nutzen. Melden Nutzer den Newsletter ab, müssen sie ihre Daten löschen. Das gilt auch, wenn Nutzer direkt die Löschung ihrer Daten fordern.

Welche rechtlichen Fallstricke auf Unternehmen sonst noch warten, zeigen wir in unserem Artikel zur E-Mail-Werbung. Und: In einem weiteren Beitrag geben wir 11 wertvolle Tipps für das Erstellen und Versenden von Newslettern.

Rechtsprechung zum Versand von Newslettern über CleverReach

Für die Verwendung von CleverReach ist diese Rechtsprechung relevant:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Der Bundesgerichtshof (BGH) hat am 10.02.2011 entschieden: Webseitenbetreiber, die E-Mails an User verschicken, müssen für die Einholung der Erlaubnis das Double-Opt-In-Verfahren verwenden (Az. I ZR 164/09). Dieses Urteil ist auch für den Einsatz von CleverReach relevant.

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Das Oberlandesgericht (OLG) Düsseldorf hat bestätigt, dass Webseitenbetreiber Nutzern im Rahmen des Double-Opt-In-Verfahrens eine Mail zukommen lassen dürfen, die sie die Anmeldung für einen Newsletter bestätigen lässt (17.03.2016, Az. I-15 U 64/15).

Niederländische Aufsichtsbehörde zur Auskunfts- und Löschpflicht

Unternehmen dürfen bei Auskunfts- und Löschanfragen von Kunden nicht grundsätzlich die Identität jeder Anfrage anzweifeln. Das stellte eine niederländische Aufsichtsbehörde fest. Ein Medienunternehmen hatte Kunden für jede Auskunfts- und Löschanfrage um ein Bild ihres Personalausweises gebeten. Dabei hatte es die Kunden zudem nicht darauf hingewiesen, dass diese nicht erforderliche Daten in dem Ausweis schwärzen können. Die Aufsichtsbehörde sprach daher ein Bußgeld in Höhe von 525.000 Euro aus. Das Unternehmen hat Widerspruch gegen die Strafe eingelegt.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Im März 2021 verhängte die Datenschutzbehörde Baden-Württemberg ein Bußgeld von 300.000 Euro gegen den Fußball-Bundesligaclub VfB Stuttgart. Dieser hatte zwischen 2016 und 2018 mehrere tausend Mitgliederdaten an Dienstleister weitergegeben, um sie weisungsgebunden weiterverarbeiten zu lassen. Dafür hatte der Fußballclub jedoch keinen AV-Vertrag mit den Dritten geschlossen.

Datenschutzbehörde Hamburg zum AV-Vertrag

5.000 Euro Bußgeld musste ein deutsches Versandunternehmen bezahlen. Das Unternehmen hatte es versäumt, mit einem spanischen Postdienstleister einen AV-Vertrag zu schließen, obwohl dieser weisungsgebunden personenbezogene Daten verarbeitete. Die Datenschutzbehörde Hamburg sprach daher im Dezember 2018 das Bußgeld aus.