Datenschutzerklärung für GetResponse

Warum GetResponse datenschutzrechtlich relevant ist

Für E-Mail-Kampagnen über GetResponse benötigen Unternehmen die E-Mail-Adressen von Usern. Diese sind als personenbezogene Daten besonders geschützt. Unternehmen müssen daher verschiedene Vorgaben aus der Datenschutz-Grundverordnung (DSGVO) beachten.

GetResponse datenschutzkonform einsetzen

Damit Webseitenbetreiber E-Mail-Kampagnen über GetResponse datenschutzkonform durchführen können, müssen sie diese rechtlichen Pflichten erfüllen:

Empfänger einwilligen lassen

Die DSGVO schreibt vor: Webseitenbetreiber müssen User ausdrücklich fragen, ob sie ihre E-Mail-Adresse erheben, speichern und verarbeiten dürfen. Die bisherige rechtliche Praxis hat dabei gezeigt: Das Double-Opt-In-Verfahren ist geeignet, um die Erlaubnis der Nutzer einzuholen.

Beim Double-Opt-In-Verfahren weisen Unternehmen User zunächst darauf hin, dass sie ihre E-Mail-Adresse erheben und für das Versenden eines Newsletters verwenden. Stimmen User dem zu, schicken Unternehmen ihnen per E-Mail eine Bestätigung über die Newsletter-Anmeldung zu. In dieser Mail finden User einen Link, über den sie die Anmeldung noch einmal bestätigen müssen. Erst dann haben Nutzer ihre Einwilligung DSGVO-konform abgegeben.

GetResponse setzt im E-Mail-Registrierungsprozess ein datenschutzrechtlich konformes Double-Opt-In-Verfahren ein. Und: Webseitenbetreiber können über GetResponse manuell neue E-Mail-Kontakte anlegen. Diese erhalten dann eine Mail, die sie die Anmeldung für den Newsletter bestätigen lässt.

Vertrag zur Auftragsverarbeitung abschließen

Nutzen Webseitenbetreiber GetResponse für ihr E-Mail-Marketing, erhält der Anbieter Zugriff auf ihre Kundendaten. Damit dieser Prozess den Vorgaben von § 28 DSGVO entspricht, müssen Webseitenbetreiber mit GetResponse einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Dieser bestimmt,

• welche Nutzerdaten sie wie lange speichern,
• aus welchem Grund und wie sie die Daten verarbeiten und
• welche Rechte und Pflichten die Verantwortlichen haben.

GetResponse bietet den AV-Vertrag in Form eines Data Processing Agreements an. Webseitenbetreiber können diesen bei GetResponse jedoch nicht in ihrem Account abschließen. Nach aktuellem Stand können sie den Vertrag nur erhalten und abschließen, wenn sie diesen beim Support anfordern.

Datenschutzerklärung anpassen

Webseitenbetreiber müssen gemäß § 13 Abs. 1 DSGVO in ihrer Datenschutzerklärung ausführlich darüber informieren, warum sie für die Nutzung von GetResponse

• personenbezogene Daten erheben,
• wie lange sie diese speichern,
• welche Rechtsgrundlage ihnen dieses Vorgehen erlaubt (Art. 6 Abs. 1 lit. a DSGVO),
• dass sie die Daten an GetResponse weitergeben,
• dass sie für die Datenweitergabe mit GetResponse einen AV-Vertrag geschlossen haben und
• dass User der Einwilligung in die Datenerhebung jederzeit widersprechen können.

Auskunftspflicht beachten

Nutzer haben gemäß der DSGVO das Recht, die Daten einzusehen, die Unternehmen über sie für GetResponse erhoben haben. Dabei müssen Unternehmen die Daten in einem strukturierten und technisch gängigen Format bereitstellen.

Löschpflicht beachten

User haben gemäß der DSGVO das Recht, die Löschung ihrer Daten zu verlangen. Und: Unternehmen dürfen die für GetResponse erhobenen Daten nur so lange speichern, wie sie diese für den angestrebten Zweck – wie für das Verschicken eines Newsletter – benötigen. Sobald dieser Zweck wegfällt, müssen Unternehmen die Daten löschen.

Problem Serverstandort / Standardvertragsklauseln

GetResponse speichert seine Daten auf Servern in der EU, aber auch auf Servern in den USA. Dabei ist nicht klar, wo die Daten von deutschen Kunden landen. Unternehmen müssen daher sicherstellen, dass sie für die Datenweitergabe an GetRepsonse über eine rechtliche Grundlage verfügen. Nach aktuellem Stand bieten Standardvertragsklauseln diese rechtliche Grundlage. Unternehmen müssen diese mit GetResponse abschließen. Haben sie mit dem Anbieter die Klauseln bereits abgeschlossen, sollten sie überprüfen, ob es sich dabei um die neuen Standardvertragsklauseln handelt, die die EU-Kommission kürzlich herausgegeben hat. Unternehmen haben bis zum 27. Dezember 2022 Zeit, diese abzuschließen. Und: Sie müssen eine Risikoabschätzung vornehmen. Diese legt offen, wie der Datentransfer in die USA abläuft und welche Maßnahmen GetResponse zum Schutz der Nutzerdaten ergreift.

Rechtsprechung zum Versand von Newslettern über GetResponse

Für den Einsatz von GetResponse ist diese Rechtsprechung relevant:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Am 10.02.2011 hat der Bundesgerichtshof (BGH) entschieden, dass Webseitenbetreiber für die Einholung einer Einwilligung in den E-Mail-Versand das Double-Opt-In-Verfahren verwenden dürfen (Az. I ZR 164/09).

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Das Oberlandesgericht (OLG) Düsseldorf hat festgestellt: Webseitenbetreiber dürfen ihren Kunden im Rahmen des Double-Opt-In-Verfahrens eine E-Mail zuschicken, damit sie die Anmeldung für einen Newsletter bestätigen können (17.03.2016, Az. I-15 U 64/15).

Datenschutzbehörde Hamburg zum AV-Vertrag

Ein spanischer Postdienstleister verarbeitete weisungsgebunden personenbezogene Daten für ein deutsches Versandunternehmen. Die beiden hatten jedoch keinen AV-Vertrag geschlossen. Das stufte die Hamburger Datenschutzbehörde als einen Datenschutzverstoß ein. Es verhängte daher im Dezember ein Bußgeld in Höhe von 5.000 Euro gegen das deutsche Versandunternehmen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

300.000 Euro musste der Fußball-Bundesligaclub VfB Stuttgart im März 2021 zahlen. Er hatte wiederholt Daten von Mitgliedern des Clubs zur Verarbeitung an Dienstleister weitergegeben. Ein AV-Vertrag lag dafür jedoch nicht vor. Daher verhängte die Datenschutzbehörde Baden-Württemberg die Strafe.

Niederländische Aufsichtsbehörde zur Auskunfts- und Löschpflicht

Ein niederländisches Medienunternehmen bat seine Kunden stets um ein Bild ihres Personalausweises, wenn sie ihre Daten einsehen oder löschen wollten. Dabei wies das Unternehmen die Kunden auch nicht darauf hin, dass sie nicht erforderliche Daten in dem Ausweis schwärzen können. Dieses Vorgehen stufte eine niederländische Aufsichtsbehörde als Datenschutzverstoß ein. Sie verhängte daher ein Bußgeld in Höhe von 525.000 Euro. Das Medienunternehmen hat Widerspruch gegen die Strafe eingereicht.

Aktuelles zum Versand von Newslettern

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) mahnte ein Unternehmen ab, das den E-Mail-Marketing-Anbieter Mailchimp verwendete. Dieser speichert personenbezogene Daten in den USA. Zwar hatte das Unternehmen Standardvertragsklauseln mit Mailchimp geschlossen. Es hatte jedoch nicht überprüft, welche weiteren Maßnahmen der Anbieter nutzt, um Nutzerdaten zu schützen. Das Unternehmen gab nach der Rüge der Datenschutzaufsicht an, Mailchimp nicht mehr zu verwenden. Die Aufsicht verzichtete daher auf ein Bußgeld. In unserem Beitrag „Datenschutz: Ist der Newsletter-Dienst Mailchimp nicht mehr erlaubt?“ zeigen wir, worauf Unternehmen bei der Verwendung von Mailchimp und anderen E-Mail-Marketing-Tools jetzt achten müssen.