Datenschutzerklärung für Newsletter allgemein

Darum sind Newsletter datenschutzrechtlich relevant

Je nachdem, welche Daten User bei der Anmeldung für einen Newsletter angeben müssen, kann es sich dabei um personenbezogene Daten handeln. E-Mail-Adresse, Facebook-Konto (für den Messenger) und Telefonnummer (SMS oder WhatsApp) stellen personenbezogene Daten dar, die besonders schützenswert sind. Die Datenschutz-Grundverordnung (DSGVO) gibt dafür verschiedene Pflichten vor.

Newsletter datenschutzkonform versenden

Damit Seitenbetreiber ihren Newsletter an User verschicken dürfen, benötigen sie ihre Einwilligung. Je nach Kanal müssen Seitenbetreiber diese Einwilligung auf unterschiedliche Weise einholen:

Newsletter-Versand über E-Mail

Für den Versand per E-Mail müssen sie über das Double-Opt-In-Verfahren das „OK“ der Nutzer erhalten. Beim Double-Opt-In-Verfahren fragen Seitenbetreiber zunächst die E-Mail-Adresse der User ab. Dabei müssen sie Nutzer darauf hinweisen, dass sie ihre Daten für den Newsletter-Versand verwenden und sie dem jederzeit widersprechen können. User erhalten dann eine Mail über die Anmeldung für den Newsletter. Diese Anmeldung müssen sie dann per Klick noch einmal bestätigen. Damit haben Seitenbetreiber rechtmäßig die Einwilligung der User eingeholt.

Newsletter-Versand über WhatsApp oder SMS

Wollen Webseitenbetreiber ihren Newsletter per WhatsApp oder SMS verschicken, benötigen sie dafür die Telefonnummer der Nutzer. Bisher hat sich das Vorgehen etabliert, dass Seitenbetreiber die Telefonnummer der User in einer Online-Maske abfragen. Sie klären Nutzer dabei per Opt-In darüber auf, dass sie den Newsletter bestellen. Gleichzeitig verweisen sie darauf, dass User diesen jederzeit wieder abbestellen können. Haben User dem zugestimmt und ihre Nummer eingetragen, wird ihnen die Nummer des Newsletter-Versenders angezeigt. Diese Nummer speichern sie ab und schicken an sie eine Nachricht mit einem vorher festgelegten Befehl wie „Start“. Dieser aktiviert den Newsletter-Versand. Damit ähnelt die Vorgehensweise dem Double-Opt-In-Verfahren für E-Mail-Newsletter.

Newsletter-Versand über Facebook Messenger

Wollen Seitenbetreiber ihren Newsletter über den Facebook Messenger versenden, müssen User über den Messenger mit ihnen Kontakt aufnehmen. Dafür bieten Unternehmen in der Regel einen Link an, der den Messenger der Nutzer öffnet. Hier können diese dann mit einem vorher definierten Befehl wie „Start“ den Newsletter-Versand aktivieren. Seitenbetreiber sollten auch hier vorher aufklären, dass User auf diese Weise in den Newsletter-Versand einwilligen und dass sie diesen jederzeit wieder abbestellen können – zum Beispiel durch den Befehl „Stop“.

Für alle drei Kanäle gilt: Verschicken Webseitenbetreiber Newsletter ohne die Einwilligung der Nutzer, ist dieser rechtswidrig. Es liegt dann eine unzumutbare Belästigung gemäß § 7 Abs. 2 Nr. 3 UWG vor.

Datenschutzerklärung aktualisieren

Darüber hinaus müssen Seitenbetreiber in ihrer Datenschutzerklärung über die Datenerhebung und die Datenverwendung für den Newsletter-Versand informieren. Sie müssen angeben,

• wofür sie die personenbezogenen Daten (E-Mail, Facebook-Konto oder Telefonnummer) erheben und verarbeiten,
• wie lange sie diese Daten speichern,
• welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. a DSGVO) und
• dass Nutzer die Einwilligung jederzeit widerrufen können.

Vertrag zur Auftragsverarbeitung abschließen

Nutzen Webseitenbetreiber eine Software wie MailChimp oder Klick-Tipp, um ihren Newsletter zu versenden, müssen sie mit dem jeweiligen Anbieter einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Der Vertrag muss dabei unter anderem

• Gegenstand und Dauer der Datenverarbeitung,
• Art und Zweck der Datenverarbeitung,
• Art der personenbezogenen Daten,
• Kategorien der Betroffenen und
• Pflichten und Rechte der Verantwortlichen

aufführen. Kommen Seitenbetreiber diesen gesetzlichen Regelungen nicht nach, drohen ihnen Bußgelder. Art. 83 Abs. 4 lit. a DSGVO spricht von einem Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres.

Den AV-Vertrag müssen Seitenbetreiber zudem in ihrer Datenschutzerklärung ansprechen. Sie müssen Nutzer darüber aufklären, dass sie einen Vertrag mit einem Anbieter für Newsletter-Marketing abgeschlossen haben und erklären, wie dieser ihre Daten verwendet.

Welche Abmahnfallen auf Seitenbetreiber beim Versand von Newslettern warten, zeigen wir in unserem ausführlichen Artikel zu E-Mail-Werbung und Newsletter Marketing. Zusätzlich haben wir 11 Tipps für das Erstellen und Versenden von Newslettern zusammengetragen.

Auskunftspflicht beachten

Unternehmen müssen Nutzern stets die Möglichkeit geben, ihre bisher für den Newsletter-Versand gesammelten Daten einzusehen. Sie müssen Nutzern die Daten in einem strukturierten und technisch gängigen Format bereitstellen. Das gibt die DSGVO vor.

Löschpflicht beachten

Unternehmen dürfen Nutzerdaten nur so lange aufbewahren, wie sie diese tatsächlich für den Newsletter-Versand benötigen. Bestellen User beispielsweise einen Newsletter ab, entfällt der Zweck der Daten. Unternehmen müssen diese dann löschen. Und: Fordern User eine Löschung ihrer Daten, müssen Unternehmen dem Wunsch ebenfalls nachkommen.

Rechtsprechung zum Versand von Newslettern

Für den Versand von Newslettern liegt diese Rechtsprechung vor:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Das Double-Opt-In-Verfahren ist geeignet, um die User-Einwilligung in den Empfang von E-Mail-Newslettern einzuholen. Das stellte der Bundesgerichtshof (BGH) am 10.02.2011 fest (Az. I ZR 164/09).

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Das Oberlandesgericht (OLG) Düsseldorf hat die Einschätzung des BGH in einem Urteil bestätigt. Es kam am 17.03.2016 zu dem Schluss, dass Seitenbetreiber Usern nach Abonnieren des Newsletters stets eine Mail zukommen lassen müssen, damit diese die Anmeldung für den Newsletter bestätigen können.

Datenschutzbehörde Hamburg zum AV-Vertrag

Schließen Seitenbetreiber keinen AV-Vertrag mit einem Dritten, droht ihnen ein Bußgeld. Dies kann bei bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes liegen. Art. 83 Abs. 4 lit. a DSGVO ermöglicht dieses Strafmaß. Ein deutsches Versandunternehmen musste daher im Dezember 2018 ein Bußgeld in Höhe von 5.000 Euro zahlen. Es hatte mit einem spanischen Dienstleister keinen AV-Vertrag geschlossen. Die Datenschutzbehörde Hamburg hatte daraufhin das Bußgeld ausgesprochen.

Aktuelles zum Versand von Newslettern

Die bayerische Datenschutzbehörde (BayLDA) stellte im März 2021 fest: Das Newsletter-Tool Mailchimp entspricht nicht den Vorgaben der DSGVO. Es ist daher nicht datenschutzkonform. Denn: Es übermittelt E-Mail-Adressen von Nutzern an den Anbieter in der USA, ohne dass dafür eine rechtliche Grundlage besteht.

Konkret bezog sich die Entscheidung auf ein Unternehmen aus München, das für den Versand seines Newsletters Mailchimp verwendete. Die Datenschutzbehörde verwies darauf, dass Mailchimp seinen Kunden für den Datentransfer zwar EU-Standardvertragsklauseln anbietet. Das reicht jedoch nicht aus, so die Datenschutzaufsicht. Es fehlt der wichtige Schritt zu überprüfen, ob zusätzliche Maßnahmen erfolgt sind, um die Datenübermittlung in die USA datenschutzkonform zu gestalten. Das betroffene Unternehmen gab an, Mailchimp nicht mehr zu verwenden. Ein Bußgeld musste es daher nicht bezahlen.

Was die Entscheidung der bayerischen Datenschutzbehörde für die Verwendung von Mailchimp und anderen Newsletter-Tools bedeutet, haben wir in unserem Beitrag „Datenschutz: Ist der Newsletter-Dienst Mailchimp nicht mehr erlaubt?“ erklärt.

Aktuelles zum Double-Opt-In-Verfahren

Beim Double-Opt-In-Verfahren darf die Bestätigungsmail für eine Mail-Anmeldung keine werblichen Inhalte aufweisen. Dabei sind selbst Sätze wie “Hast du Fragen zum Newsletter? Kontaktiere uns über...” nicht erlaubt. Sie gelten als werblich. Das entschied das Landgericht Stendal (Urteil vom 12.05.2021, Az. 22 S 87/20).