Datenschutzerklärung für MailerLite

Warum ist MailerLite datenschutzrechtlich relevant?

Unternehmen, die MailerLite für ihre E-Mail-Kampagnen nutzen, erheben User-Daten wie

• E-Mail-Adressen,
• gegebenenfalls Namen,
• IP-Adressen und
• Informationen zur Öffnungs- und Klickrate der verschickten E-Mails.

Sie geben diese Daten an MailerLite weiter. Dabei handelt es sich zum Teil um personenbezogene Daten. Die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) geben Unternehmen dafür besondere datenschutzrechtliche Pflichten vor.

So können Seitenbetreiber MailerLite datenschutzkonform verwenden

Um MailerLite datenschutzkonform zu verwenden, müssen Unternehmen diese Vorgaben erfüllen:

Double-Opt-In für E-Mail-Versand

Bevor Unternehmen E-Mails an User verschicken, benötigen sie von ihnen eine Einwilligung in den Versand. Sie können diese per Double-Opt-In-Verfahren einholen. Das Verfahren hat sich als rechtssicher bewährt.

Unternehmen erheben dabei zunächst die Mailadresse der User. In diesem Kontext verweisen sie darauf, dass Nutzer so der Zusendung von E-Mails zustimmen. Daneben müssen Unternehmen erklären, dass User ihre Einwilligung in den Versand jederzeit widerrufen können.

Haben sich Kunden einmal für den Mailversand angemeldet, lassen Unternehmen ihnen eine erste Mail zukommen. Sie fordern User darin auf, die Anmeldung zu bestätigen. In der Regel können Kunden das über einen Klick auf einen Link in der Mail vornehmen. Unternehmen haben dann rechtlich zulässig die Einwilligung in den Mailversand eingeholt.

Vertrag zur Auftragsverarbeitung abschließen

Seitenbetreiber, die MailerLite verwenden, geben die darüber erhobenen Daten an den Mailanbieter weiter. § 28 DSGVO schreibt dafür vor: Erhalten Dritte Zugriff auf personenbezogene Daten, um diese weisungsgebunden zu verarbeiten, müssen Seitenbetreiber mit diesen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) eingehen. MailerLite stellt diesen online zur Verfügung.

Unternehmen sollten in dem Vertrag erklären,

• welche Userdaten MailerLite speichert,
• wie lange der Mailanbieter die Daten speichert,
• warum er die Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Seitenbetreiber müssen in ihrer Datenschutzerklärung aufführen, dass sie mit MailerLite einen AV-Vertrag geschlossen haben. Dabei sollten sie erläutern,

• warum sie über MailerLite personenbezogene Daten sammeln,
• wie lange sie die Daten speichern wollen,
• welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. f DSGVO) und
• dass Nutzer ihrer Einwilligung in die Datenerhebung und damit in den E-Mail-Versand jederzeit widersprechen können.

Auskunftspflicht beachten

Fordern Nutzer Unternehmen auf, die über sie gesammelten Daten offenzulegen, müssen Unternehmen dem nachkommen. Denn: Die DSGVO schreibt ihnen eine Auskunftspflicht vor. Unternehmen müssen die Daten dann in einem strukturierten und technisch gängigen Format bereitstellen.

Löschpflicht beachten

Bestellen Nutzer einen Newsletter wieder ab, müssen Unternehmen ihre Daten löschen. Denn: Die Daten haben dann ihren Zweck verloren. Die Löschpflicht gilt auch, wenn User Unternehmen darum bitten, ihre Daten zu entfernen.

Welche rechtlichen Stolperfallen sonst noch beim E-Mail-Marketing warten, zeigt unser Artikel zur E-Mail-Werbung. Damit Unternehmen – beispielsweise über MailerLite – effiziente E-Mail-Kampagnen aufsetzen, geben wir 11 wertvolle Tipps für das Erstellen und Versenden von Newslettern.

Rechtsprechung zu MailerLite

Für MailerLite ist diese Rechtsprechung relevant:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Im Februar 2011 entschied der Bundesgerichtshof (BGH): Seitenbetreiber müssen das Double-Opt-In-Verfahren verwenden, um die Einwilligung von Usern in den E-Mail-Versand einzuholen (Az. I ZR 164/09).

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Im März 2016 bestätigte das Oberlandesgericht (OLG) Düsseldorf die Entscheidung des BGH. Dabei kam es zu dem Schluss, dass Unternehmen ihren Kunden im Rahmen des Double-Opt-In-Verfahrens eine Mail zukommen lassen dürfen, die sie die Anmeldung in den Mailversand bestätigen lässt (Az. I-15 U 64/15).

Datenschutzbehörde Hamburg zum AV-Vertrag

Seitenbetreiber müssen mit Dritten, die zur weisungsgebundenen Verarbeitung Zugriff auf erhobene personenbezogene Daten erhalten, einen AV-Vertrag schließen. Ansonsten riskieren sie ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes. Das gibt Art. 83 Abs. 4 lit. a DSGVO vor. Die Datenschutzbehörde Hamburg sprach in diesem Kontext ein Bußgeld in Höhe von 5.000 Euro gegen ein deutsches Versandunternehmen aus. Dies hatte mit einem beauftragten Dienstleister, der Zugriff auf personenbezogene Daten hatte, keinen AV-Vertrag geschlossen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußball-Bundesligaverein VfB Stuttgart gab zwischen 2016 und 2018 mehrere tausend Mitgliederdaten an Dienstleister weiter. Diese sollten die Daten weisungsgebunden verarbeiten. Die Parteien versäumten es jedoch, dafür einen AV-Vertrag zu schließen. Das stufte die Datenschutzbehörde Baden-Württemberg als Verstoß gegen die DSGVO ein. Sie sprach im März 2021 daher eine Strafe von 300.000 Euro gegen den Verein aus.

Niederländische Aufsichtsbehörde zur Auskunfts- und Löschpflicht

Unternehmen dürfen ein Auskunfts- oder Löschersuch nicht an zu hohe Anforderungen knüpfen. Das musste ein niederländisches Medienunternehmen feststellen. Dies hatte von seinen Kunden für jede Auskunfts- und Löschanfrage ein Bild des Personalausweises verlangt. Dabei hatte es zudem nicht darauf hingewiesen, dass Kunden nicht-relevante Daten im Ausweis schwärzen können. Dieses Vorgehen stufte eine niederländische Behörde als Datenschutzverstoß ein. Sie sprach daher ein Bußgeld von 525.000 Euro gegen das Medienunternehmen aus. Dies hat Einspruch eingelegt. Die endgültige Entscheidung steht daher noch aus.