Datenschutzerklärung für Inxmail

Warum Inxmail datenschutzrechtlich relevant ist

Versenden Unternehmen über Inxmail E-Mails oder Newsletter, verwenden Sie dafür personenbezogene Daten wie

• Namen und
• E-Mail-Adressen.

Die Software ermöglicht es zudem, Daten zum Erfolg von Kampagnen, wie beispielsweise Öffnungs- und Klickraten von E-Mails, auszuwerten. Um diese Daten nutzen und verarbeiten zu dürfen, müssen Business-Inhaber die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) beachten. 

Inxmail datenschutzkonform einsetzen

Das Gesetz schreibt Unternehmen diese Verpflichtungen vor, wenn sie Inxmail nutzen:

Double-Opt-In für E-Mail-Versand

Bevor Unternehmen personenbezogene Daten verwenden können, benötigen sie eine Einwilligung der Nutzer. Diese muss freiwillig, spezifisch, informiert und eindeutig sein. Um die Einwilligung einzuholen, hat sich das Double-Opt-In-Verfahren etabliert.

Dabei erheben Unternehmen in einem ersten Schritt die E-Mail von Nutzern. Bereits hier sollten sie darauf hinweisen, dass Nutzer so in die Zusendung von E-Mails einwilligen. Dabei sollten sie jedoch auch erklären, dass User die Einwilligung jederzeit wieder widerrufen können.

In einem zweiten Schritt können Unternehmen Nutzern eine erste E-Mail zukommen lassen. Diese dient lediglich dazu, die Anmeldung für den Mail-Dienst bestätigen zu lassen. Unternehmen können für die Bestätigung einen entsprechenden Link in der Mail platzieren. Sobald User auf den Link klicken, verfügen Unternehmen über eine rechtlich zulässige Einwilligung, ihre personenbezogenen Daten für das Versenden von Mails zu verwenden.

Vertrag zur Auftragsverarbeitung abschließen

Unternehmen erheben und speichern personenbezogene Daten und geben diese an einen Dritten – Inxmail – weiter. Dafür müssen sie mit Inxmail einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Diese Pflicht ergibt sich aus Art. 28 DSGVO. Business-Inhaber können den AV-Vertrag in ihrem Account von Inxmail abschließen. Sie sollten den Vertrag prüfen, ob dieser festhält,

• welche Daten Inxmail speichert,
• wie lange Inxmail die Daten speichert,
• warum Inxmail die Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen müssen in ihrer Datenschutzerklärung aufführen, dass sie über Inxmail personenbezogene Daten erheben, speichern und an den Software-Anbieter weitergeben. Im Detail sollten Sie dabei erklären,

• warum sie mit Inxmail personenbezogene Daten sammeln,
• wie lange sie die Daten speichern,
• welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. f DSGVO),
• dass sie mit Inxmail für die Datenweitergabe einen AV-Vertrag geschlossen haben und
• dass User ihre Einwilligung in die Datenerhebung und damit in den E-Mail-Versand jederzeit widerrufen können.

Auskunftspflicht beachten

Nutzer haben jederzeit das Recht, die Daten einzusehen, die Unternehmen über sie über Inxmail sammeln. Sie müssen diese in einem strukturierten und technisch gängigen Format bereitstellen.

Löschpflicht beachten

Fordern Nutzer die Löschung ihrer Daten, müssen Unternehmen dem nachkommen. Und: Sie dürfen über Inxmail erhobene Daten nur so lange speichern, wie sie diese für ihren angestrebten Zweck – also beispielsweise einen Newsletter-Versand – benötigen. Unser Beitrag zur E-Mail-Werbung zeigt, welche 11 Tipps Unternehmen für das Erstellen und Versenden von Newslettern beachten sollten.

Rechtsprechung zu Inxmail

Für den Einsatz von Inxmail ist diese Rechtsprechung relevant:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Das Double-Opt-In-Verfahren eignet sich, um Nutzer in den E-Mail-Versand einwilligen zu lassen. Das entschied der Bundesgerichtshof (BGH) im Februar 2011 (Az. I ZR 164/09).

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Das Oberlandesgericht (OLG) Düsseldorf kam im März 2016 zu dem Schluss: Unternehmen dürfen Nutzern im Rahmen des Double-Opt-In-Verfahrens eine Mail zuschicken, um sie die Anmeldung für einen Newsletter bestätigen zu lassen (Az. I-15 U 64/15).

Datenschutzbehörde Hamburg zum AV-Vertrag

Schließen Seitenbetreiber keinen AV-Vertrag mit Inxmail, droht ihnen ein Bußgeld. Dies kann bei bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes liegen. Art. 83 Abs. 4 lit. a DSGVO ermöglicht dieses Strafmaß. Ein deutsches Versandunternehmen musste im Dezember 2018 ein Bußgeld in Höhe von 5.000 Euro zahlen. Es hatte mit einem spanischen Dienstleister keinen AV-Vertrag geschlossen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Dienstleister, die Mitgliederdaten für einen Fußballverein weisungsgebunden verarbeiten, sind Auftragsverarbeiter. Das stellte die Datenschutzbehörde Baden-Württemberg fest. Der Bundesligaclub VfB Stuttgart hatte zwar Mitgliederdaten an Dienstleister weitergegeben, aber dafür keine AV-Verträge mit den Dritten geschlossen. Die Datenschutzbehörde sprach daher im März 2021 ein Bußgeld in Höhe von 300.000 Euro aus.

Niederländische Aufsichtsbehörde zur Auskunfts- und Löschpflicht

Unternehmen dürfen nicht grundsätzlich die Identität von Usern anzweifeln, wenn diese ihre über sie erhobenen Daten einsehen oder löschen wollen. Das stellte eine niederländische Aufsichtsbehörde im Februar 2022 fest. Ein Medienunternehmen hatte jedoch genau das getan, indem es jedes Mal ein Foto des Personalausweises verlangte. Dabei verwies es die Kunden auch nicht darauf, dass sie nicht relevante Daten im Ausweis schwärzen können. Die niederländische Aufsichtsbehörde stufte das als schweren DSGVO-Verstoß ein. Sie sprach daher ein Bußgeld von 525.000 Euro gegen das Unternehmen aus. Dies hat Einspruch gegen die Strafe eingelegt.