Datenschutzerklärung für Zoho Campaigns

Warum ist Zoho Campaigns datenschutzrechtlich relevant?

Mit Zoho Campaigns erheben Unternehmen Userdaten wie

• E-Mail-Adressen,
• IP-Adressen,
• Informationen zu Öffnungs- und Klickraten von Mails und Umfragen sowie
• gegebenenfalls Namen.

Dabei handelt es sich teilweise um personenbezogene Daten. Und: Sie geben diese Daten an den Anbieter der Software in den USA weiter. Dafür müssen sie bestimmte Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) erfüllen.

Zoho Campaigns datenschutzkonform verwenden

Um Zoho Campaigns datenschutzkonform einzusetzen, müssen Unternehmen diese datenschutzrechtlichen Pflichten beachten:

Double-Opt-In für E-Mail-Versand

Damit Seitenbetreiber E-Mails an Nutzer verschicken dürfen, benötigen sie zunächst ihre Einwilligung. Dafür können sie das Double-Opt-In-Verfahren nutzen. Dabei erheben Seitenbetreiber zunächst die E-Mail-Adresse der Nutzer. Sie verweisen User darauf, dass sie auf diese Weise in den Mail-Versand einwilligen. Und: Sie erklären ihnen, dass sie diese Einwilligung jederzeit widerrufen können.

Dann schicken Unternehmen Nutzern eine erste Mail zu. Diese erklärt, dass sie sich für den Mail-Versand angemeldet haben und sie die Anmeldung per Klick auf einen entsprechenden Link bestätigen müssen. Klicken Nutzer auf den Link, haben Unternehmen eine Einwilligung in den E-Mail-Versand eingeholt.

Opt-In für SMS-Versand

Unternehmen können mit Zoho Campaigns SMS verschicken, um ihren Kunden beispielsweise einen Newsletter zukommen zu lassen. Um die dafür notwendige Telefonnummer zu erheben, können sie eine Abwandlung des Double-Opt-In-Verfahrens nutzen. In einem ersten Schritt müssen sie dabei die Telefonnummer der User abfragen. Wie bei der Mail-Erhebung erklären sie, für welchen Zweck sie die Nummer erheben und dass User ihre Einwilligung jederzeit widerrufen können. Nutzer müssen das bestätigen, indem sie bei der Abfrage der Telefonnummer ein Häkchen in der verwendeten Online-Maske setzen.

Im nächsten Schritt zeigen Unternehmen die Nummer an, von der sie ihre Informationen an die Kunden verschicken möchten. Kunden müssen die Nummer einspeichern und einen Befehl an diese verschicken, der den Start des SMS-Versands auslöst. Mit dem Start-Befehl verfügen Unternehmen über eine rechtssichere Einwilligung für den SMS-Versand.

Vertrag zur Auftragsverarbeitung abschließen

Unternehmen geben Userdaten an Zoho Campaigns weiter. Dabei handelt es sich zum Teil um personenbezogene Daten. Für die Weitergabe von personenbezogenen Daten an Dritte schreibt § 28 DSGVO vor: Seitenbetreiber müssen mit dem Dritten einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Zoho Campaigns stellt diesen in Form eines Data Processing Agreements zur Verfügung. Dies sollte erklären,

• welche Nutzerdaten Zoho Campaigns speichert,
• wie lange es die Daten speichern will,
• warum es die Daten speichert und
• welche Rechte und Pflichten Seitenbetreiber und Zoho Campaigns haben.

Datenschutzerklärung anpassen

Zoho Campaigns hat seinen Standort in den USA. Unternehmen geben daher Userdaten an einen Drittstaat außerhalb der EU weiter. Das müssen sie in ihrer Datenschutzerklärung erwähnen. In diesem Kontext sollten sie User auf die Datenschutzbestimmungen und Nutzungsbedingungen von Zoho Campaigns verweisen. Diese können sich dann selbst informieren, wie der Anbieter ihre Daten in den USA verwendet.

Und: Seitenbetreiber müssen in ihrer Datenschutzerklärung aufführen, dass sie mit Zoho Campaigns einen AV-Vertrag geschlossen haben. Dabei sollten sie konkret erklären,

• warum sie personenbezogene Daten erheben,
• wie lange sie diese speichern wollen,
• welche Rechtsgrundlage ihnen das erlaubt ( 6 Abs. 1 lit. c DSGVO) und
• dass Nutzer der Datenspeicherung jederzeit widersprechen können.

Standardvertragsklauseln prüfen

Der Privacy Shield eignet sich nicht mehr, um rechtssicher Daten in die USA zu übertragen. Zoho Campaigns bietet daher Standardvertragsklauseln an, um den Datentransfer rechtlich zulässig zu gestalten. Unternehmen müssen diese Klauseln mit Zoho Campaigns abschließen. Zusätzlich müssen sie das Risiko des Datentransfers in die USA prüfen und dokumentieren. Dabei sollten sie festhalten,

• welche Daten sie an Zoho Campaigns in den USA versenden,
• welche Rechtsvorschriften in den USA für den Datenschutz gelten und
• ob Zoho Campaigns zusätzliche Anstrengungen unternimmt, um die Nutzerdaten zu schützen.

Auskunftspflicht beachten

Fordern Nutzer Unternehmen auf, die über Zoho Campaigns gesammelten Daten zu ihrer Person offenzulegen, müssen Unternehmen dem nachkommen. Denn: Die DSGVO schreibt Seitenbetreibern eine Auskunftspflicht vor. Sie müssen Usern die Daten in einem strukturierten und technisch gängigen Format zur Verfügung stellen.

Löschpflicht beachten

Melden sich Nutzer von einem Newsletter ab, müssen Unternehmen ihre Daten löschen. Denn: Die Daten erfüllen dann keinen Zweck mehr. Und: Unternehmen müssen die Daten auch entfernen, wenn Nutzer sie um eine Löschung bitten. Unser Artikel zur E-Mail-Werbung zeigt ausführlich, welche rechtlichen Stolperfallen im E-Mail-Marketing warten. Damit Unternehmen rechtssichere E-Mail-Kampagnen fahren, geben wir zudem 11 wertvolle Tipps für das Erstellen und Versenden von Newslettern.

Rechtsprechung zu Zoho Campaigns

Für Zoho Campaigns ist diese Rechtsprechung relevant:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Um eine Einwilligung von Nutzern in den E-Mail-Versand einzuholen, müssen Seitenbetreiber das Double-Opt-In-Verfahren nutzen. Das entschied der Bundesgerichtshof (BGH) im Februar 2011 (Az. I ZR 164/09).

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Das Oberlandesgericht (OLG) Düsseldorf hat die Entscheidung des BGH im März 2016 bestätigt. Die Richter verwiesen darauf, dass Seitenbetreiber Usern eine Mail zuschicken dürfen, um die Anmeldung in einen Mail-Versand zu bestätigen (Az. I-15 U 64/15).

Europäischer Gerichtshof zum Privacy Shield

Der EuGH erklärte den Privacy Shield im Juli 2020 für unwirksam. Das bedeutet: Unternehmen können diesen nicht mehr als rechtliche Basis verwenden, um personenbezogene Daten in die USA zu versenden. Denn: Die dortigen Überwachungsprogramme sind nicht auf das zwingend erforderliche Maß beschränkt. Zudem können User nicht gegen Unternehmen oder Behörden in den USA klagen, sollten diese ihre Daten rechtsmissbräuchlich verwenden. Es herrscht dort daher kein angemessenes Datenschutzniveau.

Datenschutzbehörde Hamburg zum AV-Vertrag

Seitenbetreiber müssen mit Dritten, an die sie personenbezogene Daten zur weisungsgebundenen Verarbeitung weitergeben, einen AV-Vertrag schließen. Unterlassen sie das, riskieren sie ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes. Die Datenschutzbehörde Hamburg sprach daher im Dezember 2018 ein Bußgeld gegen ein Versandunternehmen aus. Dies hatte personenbezogene Daten an einen Dienstleister weitergegeben, ohne einen AV-Vertrag zu schließen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Bundesligaverein VfB Stuttgart hatte mehrere Dienstleister beauftragt, um Daten seiner Vereinsmitglieder weisungsgebunden verarbeiten zu lassen. Er versäumte es jedoch, mit den Dienstleistern einen AV-Vertrag einzugehen. Das war ein Verstoß gegen die Vorgaben der DSGVO, fand die Datenschutzbehörde Baden-Württemberg. Sie sprach daher im März 2021 ein Bußgeld in Höhe von 300.000 Euro gegen den Verein aus.

Niederländische Aufsichtsbehörde zur Auskunfts- und Löschpflicht

Unternehmen dürfen das Recht der Nutzer auf Auskunft oder Löschung ihrer Daten nicht an zu hohe Voraussetzungen knüpfen. Zu diesem Schluss kam eine niederländische Datenschutzbehörde im Februar 2022. Ein Unternehmen hatte von seinen Kunden erst ein Bild ihres Personalausweises verlangt, um einem Lösch- oder Auskunftsantrag nachzukommen. Dabei verwies es zudem nicht darauf, dass Kunden nicht-relevante Daten im Ausweis schwärzen können. Das verstieß gegen die DSGVO, so die niederländische Datenschutzbehörde. Sie verhängte daher ein Bußgeld von 525.000 Euro gegen das Unternehmen. Dies ist mit der Strafe nicht einverstanden. Es hat Einspruch dagegen eingelegt.

Aktuelles zum Versand von Newslettern über US-amerikanische Anbieter

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) entschied im März 2021: Das US-amerikanische E-Mail-Marketing-Tool Mailchimp ist nicht datenschutzkonform. Es überträgt personenbezogene Daten ohne rechtliche Grundlage in die USA. Es reicht nicht aus, wenn deutsche Unternehmen mit Mailchimp Standardvertragsklauseln abschließen. Sie müssen zusätzlich prüfen, ob und welche Maßnahmen Mailchimp für den Schutz der Userdaten ergreift. Zoho Campaigns ist wie Mailchimp ein E-Mail-Marketing-Tool eines US-amerikanischen Anbieters. Die Einschätzung der Datenschutzbehörde zu Mailchimp ist daher auch auf Zoho Campaigns übertragbar. Was das jetzt grundsätzlich für Newsletter-Dienste aus den USA bedeutet, zeigen wir in unserem Beitrag „Datenschutz: Ist der Newsletter-Dienst Mailchimp nicht mehr erlaubt?“.