E-Mail-Liste aufbauen: Rechtliche und praktische Schritte

E-Mail-Liste aufbauen: Was rechtlich und praktisch zusammenspielt

In einer E-Mail-Liste werden personenbezogene Daten verarbeitet. Nach den Begriffsbestimmungen des Unternehmensserviceportals (USP) sind das alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – etwa Name, Adresse, Geburtsdatum, E-Mail-Adresse, IP-Adresse, Kontonummer, Kfz-Kennzeichen oder auch Interessen und Vorlieben. Diese Regeln gelten unabhängig von der Größe des Betriebs, also für Ein-Personen-Unternehmen ebenso wie für KMU und Großunternehmen.

Daraus ergeben sich zwei getrennt zu erledigende Stränge: eine wirksame Einwilligung samt Nachweis und eine Verwaltung der Liste, die Zweck, Datenumfang, Rollen und Abmeldung abdeckt. Beides muss zusammenpassen – ein lückenloser Nachweis hilft wenig, wenn in der Liste Daten liegen, die für den Newsletter nicht gebraucht werden.

Als österreichische Anlaufstellen für Detailfragen dienen das USP (Begriffsbestimmungen und Rechtsgrundlagen), die WKO (Hinweise zur Einwilligungserklärung für Newsletter), die Arbeiterkammer mit ihrer FAQ zur DSGVO (Stand 1. März 2024) sowie die Österreichische Datenschutzbehörde als Aufsichtsbehörde.

Rechtliche und praktische Schritte beim Aufbau einer E-Mail-Liste

Warum die Einwilligung beim Newsletter-Versand im Mittelpunkt steht

Für Newsletter-Versand und E-Mail-Werbung gilt das Verbot mit Erlaubnisvorbehalt: Die Verarbeitung der dabei anfallenden personenbezogenen Daten ist nur rechtmäßig, wenn eine Einwilligung der betroffenen Person oder ein gesetzlicher Rechtfertigungsgrund vorliegt. Das betrifft nicht nur das Speichern, sondern jeden Schritt – Erheben, Erfassen, Speichern, Verändern, Abfragen, Löschen und Vernichten personenbezogener Daten.

Ein berechtigtes Interesse allein trägt den Newsletter-Versand derzeit nicht. Zwar erkennt Erwägungsgrund 47 der DSGVO die Verarbeitung für Zwecke der Direktwerbung ausdrücklich als berechtigtes Interesse des Verantwortlichen an. Art. 95 DSGVO bestimmt aber, dass die DSGVO nur gilt, soweit die ePrivacy-Richtlinie (RL 2002/58/EG) keine besonderen Regelungen mit demselben Regelungsziel enthält (vgl. Erwägungsgrund 173). Nach Art. 13 Abs. 1 dieser Richtlinie ist E-Mail-Werbung zurzeit nur bei Einwilligung des Betroffenen zulässig; ob die kommende ePrivacy-Verordnung hier mehr Klarheit bringt, ist offen.

Informationspflichten gegenüber den Empfängern bestehen unabhängig davon, ob die Werbemaßnahme auf ein berechtigtes Interesse oder auf eine Einwilligung gestützt wird – ihr Inhalt unterscheidet sich je nach gewähltem Rechtfertigungsgrund.

Was eine gültige Einwilligung ausmacht

Das USP nennt als Voraussetzung einer zulässigen datenschutzrechtlichen Einwilligung die Freiwilligkeit: Die betroffene Person muss freiwillig zustimmen. Dazu treten die Bedingungen für die Einwilligung nach Art. 7 DSGVO – die Zustimmung bezieht sich auf einen bestimmten Zweck und ist widerrufbar. Praktisch bedeutet das: kein vorangekreuztes Kästchen, keine Koppelung an ein anderes Produkt und eine klare Bezeichnung dessen, wofür die Adresse verwendet wird.

Eine bestimmte Form ist nicht vorgesehen: Eine Einwilligung kann auch ohne Schriftform wirksam erteilt werden. Erfolgt die Anmeldung in Papierform, sollte laut WKO zu Beweiszwecken eine Unterschrift eingeholt werden.

Inhaltlich muss der Einwilligungstext erkennen lassen, wer den Newsletter zu welchem Thema versendet und welche Daten dafür verarbeitet werden. Je unbestimmter der Text formuliert ist, desto schwieriger wird später der Nachweis, dass sich die Zustimmung auf genau diese Verwendung bezogen hat.

Das Anmeldeformular: Zweck, Daten und Datenschutzhinweis

Das Formular sollte den Zweck unmittelbar beim Feld nennen, etwa „Anmeldung zum Newsletter mit Produktneuigkeiten und Aktionen“. Aus dieser Formulierung ergibt sich, was der Einwilligungstext im Nachhinein belegen muss, und sie begrenzt gleichzeitig, wofür die Adresse später verwendet werden darf.

Als Pflichtfeld genügt in der Regel die E-Mail-Adresse. Daneben können laut österreichischen Datenschutzerklärungen neben IP-Adresse und E-Mail-Adresse auch Anrede, Name, Adresse und Telefonnummer erfasst werden. Für den reinen Newsletter-Versand sind diese Zusatzangaben nicht erforderlich; jede zusätzliche Angabe erweitert den Verarbeitungsumfang und damit die Pflichten zu Auskunft, Berichtigung und Löschung.

Der Datenschutzhinweis informiert gemäß Art. 13 DSGVO darüber, wie mit den Daten umgegangen wird; für die Formulierung gibt es Mustertexte für den Datenschutzhinweis. Im Formular selbst wird auf die Datenschutzerklärung verlinkt. Dort ist auch anzuführen, welche von der Website beauftragten Auftragsverarbeiter – etwa Provider – Daten verarbeiten.

Einwilligungen nachweisbar dokumentieren

Die WKO hält ausdrücklich fest: Die Einwilligung muss zu Beweiszwecken dokumentiert werden; wenn die Anmeldung in Papierform erfolgt, sollte zu Beweiszwecken eine Unterschrift eingeholt werden.

Erwägungsgrund 42 der DSGVO befasst sich mit Beweislast und Erfordernissen einer Einwilligung – die Beweislast liegt beim Verantwortlichen. In die Dokumentation gehören daher der Zeitpunkt der Anmeldung, der konkret verwendete Einwilligungstext in seiner damaligen Fassung und der Anmeldekanal (Online-Formular, Papierliste, Anmeldung im Geschäft). Bei Online-Anmeldungen lässt sich zusätzlich die IP-Adresse protokollieren, die in Newsletter-Anmeldungen typischerweise mitgeführt wird.

Wer den Einwilligungstext später umstellt, verliert den Bezug zu dem Wortlaut, den frühere Empfänger gesehen haben. Alte Fassungen sollten deshalb aufbewahrt werden – sonst lässt sich für Bestandsanmeldungen nicht mehr belegen, worauf sich die Zustimmung bezogen hat.

Die Liste sauber verwalten: Rollen und Datenumfang

Verantwortlicher ist nach der Definition des USP, wer über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet; Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Wer ein Newsletter-Werkzeug eines Dienstleisters nutzt, bleibt Verantwortlicher für die Liste; der Dienstleister ist Auftragsverarbeiter und braucht einen Vertrag zur Auftragsverarbeitung.

Jede Verarbeitung braucht eine Rechtsgrundlage; als Beispiel nennt das USP ausdrücklich die Zustimmung zum Erhalt eines Newsletters. Verarbeitung umfasst dabei jeden Umgang mit den Daten, also auch das Erheben, Erfassen, Speichern, Verändern, Abfragen, Löschen oder Vernichten.

In der Liste sollten nicht mehr Felder stehen, als für Versand und Ansprache nötig sind. Wer zusätzlich Adresse oder Telefonnummer erhebt, muss diesen Zweck im Datenschutzhinweis nennen und die Daten entsprechend behandeln. Fällt der Zweck weg – etwa nach Abmeldung – oder besteht kein Bedarf mehr, ist zu löschen; wer Daten nie erhoben hat, muss sie auch nicht ausweisen, berichtigen oder sperren.

Abmelden und Widersprechen leicht gemacht

Art. 21 DSGVO regelt das Widerspruchsrecht. Um keine weiteren Newsletter oder Mailwerbungen mehr zu erhalten, muss der angeschriebene Kunde lediglich der Verarbeitung für Zwecke der Werbung widersprechen. Jede Aussendung braucht daher einen funktionierenden Abmeldelink und eine Kontaktmöglichkeit, über die ein Widerspruch auch ohne Klick auf diesen Link ankommt.

Die Bedingungen für die Einwilligung nach Art. 7 DSGVO umfassen die Widerrufbarkeit: Der Widerruf ist jederzeit möglich und darf nicht über den Abmeldeweg hinaus erschwert werden.

Nach einer Abmeldung oder einem Widerspruch ist der Versand einzustellen, die Abmeldung in der Liste zu vermerken und der Datensatz zu löschen, soweit keine andere Rechtsgrundlage für eine Aufbewahrung besteht.

Schritt-für-Schritt-Checkliste für den Aufbau in Österreich

Für Detailfragen zu einzelnen Punkten stehen in Österreich die WKO, das USP, die Arbeiterkammer und die Österreichische Datenschutzbehörde zur Verfügung.