Datenschutzerklärung für Evalanche

Warum ist Evalanche datenschutzrechtlich relevant?

Unternehmen erheben und speichern über Evalanche Userdaten wie

• E-Mail-Adressen,
• Namen und
• IP-Adressen.

Es handelt sich dabei um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) besonders geschützt. Unternehmen müssen daher besondere datenschutzrechtliche Pflichten beachten, wenn sie Evalanche verwenden.

Evalanche datenschutzkonform verwenden

Unternehmen können über Evalanche unter anderem Adressen verwalten, Web-Formulare anlegen sowie E-Mail-Kampagnen steuern und auswerten. Sie erheben und verarbeiten mit diesen Funktionen personenbezogene Daten. Sie müssen daher diese Pflichten erfüllen:

Double-Opt-In-Verfahren für E-Mails verwenden

Bevor Unternehmen E-Mail-Adressen von Usern für einen Newsletter-Versand verwenden, müssen sie ihre Einwilligung dafür einholen. Rechtlich bewährt hat sich dafür das Double-Opt-In-Verfahren. Dies verlangt, dass Unternehmen Nutzer bei der Erhebung ihrer Kontaktdaten zunächst darauf hinweisen, dass sie so in den Versand einwilligen. Zudem müssen Business-Inhaber dabei erklären, dass Nutzer ihre Einwilligung jederzeit widerrufen können.

Haben User eingewilligt, können Unternehmen ihnen eine erste Mail zuschicken. Diese bestätigt, dass sich Nutzer für den Service angemeldet haben. Und: Die Mail fordert sie auf, die Anmeldung zu bestätigen. In der Regel stellen Unternehmen dafür einen Link in der Mail zur Verfügung. Klicken Nutzer auf den Link, haben sie die Anmeldung bestätigt. Unternehmen verfügen dann über eine rechtlich gültige Einwilligung in den Mailversand.

Double-Opt-In-Verfahren für SMS-Versand verwenden

Evalanche ermöglicht es Unternehmen, SMS, MMS und WhatsApp an Kunden zu verschicken. Um dies datenschutzkonform vorzunehmen, müssen sie vorher ihre Einwilligung einholen. Dafür eignet sich eine Form des Double-Opt-In-Verfahrens: Unternehmen fragen zunächst die Telefonnummer der Kunden ab. In diesem Rahmen erklären sie, wofür sie die Nummer nutzen wollen. Und: Wie bei E-Mails weisen Unternehmen darauf hin, dass Kunden die Erlaubnis für die Verwendung ihrer Telefonnummer jederzeit wieder zurückziehen können. Unternehmen sollten Nutzer die Einwilligung per Opt-In bestätigen lassen.

Jetzt können Business-Inhaber ihre Telefonnummer Usern anzeigen. Diese müssen an die Nummer einen vorgegebenen Befehl verschicken, der den Versand von Informationen per SMS, MMS oder WhatsApp startet.

Grundsatz der Datenminimierung einhalten

Evalanche fragt in seinen Grundeinstellungen lediglich die Userdaten ab, die Unternehmen zwingend für den E-Mail- oder SMS-Versand benötigen. Dieser von Evalanche als „Progressive Profiling“ bezeichnete Prozess stellt sicher, dass sie den Grundsatz der Datenminimierung der DSGVO einhalten. Wollen Unternehmen mehr Daten abfragen, können sie die Formulare selbst mit neuen Feldern ergänzen. Sie sollten dabei jedoch keine Daten abfragen, die für den Mailversand nicht relevant sind.

Vertrag zur Auftragsverarbeitung abschließen

Unternehmen speichern mit Evalanche personenbezogene Daten und geben diese an den hinter der Software stehenden Anbieter SC Networks weiter. Dafür müssen Unternehmen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) mit SC Networks abschließen. Denn: Die DSGVO gibt in Art. 28 vor, dass sie einen AV-Vertrag benötigen, sobald sie personenbezogene Daten an einen Dritten zur weisungsgebundenen Verarbeitung weiterreichen.

Der Vertrag sollte festhalten,

• welche Userdaten Evalanche speichert,
• aus welchem Grund es diese speichert,
• für welchen Zeitraum es diese speichern will und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Immer dann, wenn Unternehmen personenbezogene Daten erheben, müssen sie in ihrer Datenschutzerklärung darauf hinweisen. Das bedeutet: Unternehmen müssen in ihrer Datenschutzerklärung erwähnen,

• warum Evalanche personenbezogene Daten speichert,
• wie lange es die Daten speichert,
• welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. f DSGVO) und
• dass Nutzer ihre Einwilligung in die Datenerhebung und Datenspeicherung jederzeit zurückziehen können.

Business-Inhaber sollten in diesem Kontext auch erklären, dass sie mit Evalanche einen AV-Vertrag geschlossen haben.

Auskunftspflicht beachten

Nutzer können Unternehmen jederzeit dazu verpflichten, die mittels Evalanche über sie erhobenen Daten offenzulegen. Unternehmen müssen die Daten dann in einem strukturierten und technisch gängigen Format zur Verfügung stellen.

Löschpflicht beachten

Bestellen User einen Newsletter wieder ab, müssen Unternehmen ihre Daten löschen. Denn: Die Daten erfüllen dann keinen Zweck mehr. Die Löschpflicht besteht für Unternehmen auch, wenn Nutzer die Löschung ihrer Daten einfordern.

Rechtsprechung zu Evalanche

Zu Evalanche liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Für die Verwendung des Tools sind jedoch diese Urteile relevant:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Seitenbetreiber müssen das Double-Opt-In-Verfahren verwenden, um die Einwilligung von Usern in einen E-Mail-Versand einzuholen. Das entschied der Bundesgerichtshof (BGH) im Februar 2011 (Az. I ZR 164/09).

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Das Oberlandesgericht (OLG) Düsseldorf bestätigte die Entscheidung des BGH im März 2016. Dabei erklärte es auch, dass Seitenbetreiber Nutzern eine Mail zuschicken dürfen, die sie die Anmeldung für einen E-Mail-Versand bestätigen lässt (Az. I-15 U 64/15).

Datenschutzbehörde Hamburg zum AV-Vertrag

Ein fehlender AV-Vertrag kann Unternehmen ein Bußgeld bescheren. Dabei droht ihnen eine Strafe von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes. Die Datenschutzbehörde Hamburg sprach daher im Dezember 2018 ein Bußgeld in Höhe von 5.000 Euro gegen den Versanddienstleister Kolibri Image aus. Dieser hatte mit einem spanischen Dienstleister keinen AV-Vertrag geschlossen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußball-Bundesligaclub VfB Stuttgart musste im März 2021 eine Strafe von 300.000 Euro zahlen. Er hatte zwar mehrere Dienstleister beauftragt, um Mitgliederdaten verarbeiten zu lassen. Er hatte dafür jedoch keinen AV-Vertrag mit den Dienstleistern geschlossen.

Niederländische Aufsichtsbehörde zur Auskunfts- und Löschpflicht

Ein niederländisches Medienunternehmen hatte stets ein Foto des Personalausweises verlangt, wenn Kunden ihre Daten einsehen oder löschen lassen wollten. Dabei wies das Unternehmen zudem nicht darauf hin, dass Kunden nicht-relevante Daten in ihrem Ausweis schwärzen können. Das stufte die zuständige niederländische Aufsichtsbehörde als DSGVO-Verstoß ein: Unternehmen dürfen nicht per se ein Foto des Personalausweises einfordern, um die Identität von Kunden festzustellen. Die Behörde sprach daher ein Bußgeld von 525.000 Euro aus. Das Unternehmen hat Einspruch eingelegt.