Datenschutzerklärung für Mautic

Ist die Nutzung von Mautic zulässig?

Verwenden Sie ein Tool oder Programm, das personenbezogene Daten verarbeitet, werden diese Daten an den Dienstanbieter des Tools übermittelt. Je nachdem, in welchem Land der Dienstanbieter sitzt (Sitz des Datenempfängers), kann diese Datenübermittlung problematisch sein.

Denn: Übertragen Sie personenbezogene Daten aus der EU in ein Drittland, ist dies nur unter bestimmten Voraussetzungen zulässig. Und zwar dann, wenn das Schutzniveau für die Datenübermittlung in ein Drittland mit dem der EU der Sache nach gleichwertig ist. Bietet das Drittland ein angemessenes Datenschutzniveau, verabschiedet die EU-Kommission einen Angemessenheitsbeschluss. 

Der Diensteanbieter von Mautic ist Acquia Inc. Dieses Unternehmen hat seinen Sitz in den USA. Es gibt einen Angemessenheitsbeschluss für die Datenübermittlung in die USA. Zusätzlich ist die Datenübertragung in die USA rechtlich aber erst dann zulässig, wenn der Datenempfänger außerdem nach dem Datenschutzabkommen EU-USA (Data Privacy Framework) zertifiziert ist.

Wichtig:

Nur weil die Datenübertragung mit diesem Tool rechtlich zulässig ist, bedeutet dies nicht, dass das Programm automatisch datenschutzkonform ist. Damit Sie nicht gegen den deutschen Datenschutz verstoßen, müssen Sie zusätzliche Pflichten erfüllen. Welche das sind, lesen Sie hier.

Mehr zum Thema Datenübertragung in die USA finden Sie in unserem Artikel "Privacy Shield 2.0: Datentransfer in die USA".

Warum ist Mautic datenschutzrechtlich relevant?

Je nachdem, wie Seitenbetreiber Mautic verwenden, erheben sie verschiedene Daten ihrer Webseitenbesucher. Das können beispielsweise

• E-Mail-Adressen,
• Namen,
• persönliche Interessen oder
• IP-Adressen sein.

Erheben Seitenbetreiber über Mautic personenbezogene Daten, müssen sie auf die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) achten.

So nutzen Sie Mautic datenschutzkonform

Unternehmen können Mautic selbst oder auf einem externen Server hosten:

1) Mautic lokal einbinden

Hosten Unternehmen Mautic selbst, erreichen sie das Maximum an Datenschutz für das Tool.

2) Mautic auf einem externen Server hosten

Hosten Unternehmen Mautic auf einem externen Server, müssen Sie folgende datenschutzrechtliche Vorgaben erfüllen: 

AV-Vertrag abschließen

Unternehmen müssen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) mit dem Server-Anbieter abschließen.

Nutzer-Einwilligung einholen

Mautic setzt einen Cookie in den Browser von Usern, um Daten zu erheben. Dafür benötigen Unternehmen die Erlaubnis der Nutzer. Sie können diese beispielsweise über einen Cookie Banner einholen. Sie können den Cookie Banner mit einem Cookie Consent Tool rechtssicher umsetzen. Auf diese Weise stellen sie sicher, dass sie die Nutzer-Einwilligung datenschutzkonform einholen.

Datenschutzerklärung anpassen

Seitenbetreiber müssen in ihrer Datenschutzerklärung darauf hinweisen, dass sie über Mautic personenbezogene Daten erheben. Dabei sollten sie aufführen, um welche Daten es sich konkret handelt, wie lange sie die Daten speichern und welche Rechtsgrundlage ihnen das erlaubt (Art. 6 DSGVO). Sie sollten Nutzern zudem erklären, dass sie der Datenspeicherung jederzeit widersprechen können.

IP-Adressen anonymisieren

Mautic erlaubt es Seitenbetreibern, beispielsweise ihre Webseite und ihr E-Mail-Marketing zu tracken. Dabei erheben sie unter anderem die IP-Adresse der Nutzer. Sie benötigen diese für ein funktionierendes Tracking jedoch nur in anonymisierter Form. Seitenbetreiber sollten daher die IP-Adressen standardmäßig anonymisieren.

Nutzerdaten regelmäßig löschen

Unternehmen sammeln mit Mautic personenbezogene Daten. Die DSGVO gibt vor, dass sie diese nur so lange behalten dürfen, bis sie damit den angestrebten Zweck erfüllt haben. Unternehmen müssen daher in regelmäßigen Abständen ihre Datenbanken bereinigen. Haben sich beispielsweise User von einem Newsletter-Versand abgemeldet, müssen Unternehmen ihre Daten in einem angemessenen Zeitraum, wie z. B. innerhalb von 30 Tagen, löschen. Sie müssen die Daten auch löschen, wenn Nutzer sie dazu auffordern.

Auskunftspflicht beachten

User können Unternehmen jederzeit dazu verpflichten, die über sie erhobenen Daten offenzulegen. Fordern Nutzer also, die über Mautic gesammelten Daten einsehen zu dürfen, müssen Unternehmen diese in einem strukturierten und technisch gängigen Format zur Verfügung stellen.

Double-Opt-In für E-Mail-Versand verwenden

Nutzen Unternehmen Mautic, um Usern Newsletter zuzuschicken, müssen sie dafür zunächst ihre Einwilligung einholen. Dafür hat sich das Double-Opt-In-Verfahren bewährt. Das Double-Opt-In-Verfahren soll User vor einem Missbrauch ihrer Daten schützen. Dafür gibt es vor, dass Unternehmen nur dann E-Mails an Nutzer verschicken dürfen, wenn sie über ihre Erlaubnis verfügen. Diese können sie in zwei Schritten einholen:

1) Unternehmen erheben die E-Mail-Adresse der User und verweisen sie per Opt-In darauf, dass sie so in die Zusendung von E-Mails einwilligen.

2) Unternehmen verschicken an die E-Mail-Adresse eine Bestätigung, dass sich User für einen Mail-Service angemeldet haben. User müssen die Mail per Klick auf einen entsprechenden Link bestätigen. Diese erste Mail darf noch keine werblichen Inhalte aufweisen. Sie muss deutlich machen, dass es nur darum geht, die Anmeldung für den Newsletter zu bestätigen. Kommen Nutzer dem nach, haben Unternehmen eine rechtssichere Einwilligung für den Versand von E-Mails eingeholt.

Double-Opt-In für SMS-Versand verwenden

Mautic ermöglicht es Seitenbetreibern, einen SMS-Versand in ihr Direktmarketing zu integrieren. Unternehmen benötigen auch dafür die Erlaubnis der Nutzer. Sie können diese in Anlehnung an das Double-Opt-In-Verfahren in zwei Schritten einholen:

1) Seitenbetreiber erheben die Telefonnummer der User, beispielsweise über eine Online-Maske auf ihrer Webseite. Dabei verweisen sie darauf, dass Nutzer auf diese Weise einwilligen, SMS an ihre Telefonnummer zu erhalten. Sie müssen das per Opt-In bestätigen.

2) Seitenbetreiber zeigen Nutzern eine Telefonnummer an, von der sie ihren SMS-Newsletter an sie verschicken möchten. User müssen an diese Nummer einen vorgegebenen Befehl versenden, der den Start des SMS-Versands auslöst. Erhalten Seitenbetreiber diesen Startbefehl, verfügen sie über eine rechtssichere Einwilligung in den SMS-Versand.

Standardvertragsklauseln abschließen

Auch wenn eine Datenübertragung durch DPF-Zertifizierung zulässig ist, empfehlen wir Ihnen nach Möglichkeit den Abschluss von Standardvertragsklauseln sowie eine Datentransfer-Folgenabschätzung vorzunehmen.

Eine rechtssichere Datenschutzerklärung können Sie jetzt schnell und kostenfrei mit unserem Datenschutz-Generator erstellen.