E-Mail-Marketing und DSGVO: Einwilligung und Double-Opt-in

E-Mail-Marketing in Österreich: Warum die Einwilligung am Anfang steht

Für personenbezogene Daten gilt das Verbot mit Erlaubnisvorbehalt: Die Verarbeitung ist nur rechtmäßig, wenn eine Einwilligung der betroffenen Person oder ein gesetzlicher Rechtfertigungsgrund vorliegt. Bei E-Mail-Werbung bleibt praktisch nur die Einwilligung. Erwägungsgrund 47 der DSGVO sieht Direktwerbung zwar ausdrücklich als berechtigtes Interesse des Verantwortlichen, doch Art. 13 Abs. 1 der ePrivacy-Richtlinie (RL 2002/58/EG) in Verbindung mit Art. 95 DSGVO verdrängt diese Möglichkeit – E-Mail-Werbung ist derzeit nur bei Einwilligung zulässig.

Die Wirtschaftskammer Österreich behandelt die Einwilligungserklärung für Newsletter im Zusammenhang mit TKG und DSGVO. Sie hält fest, dass andernfalls das Double-Opt-in-Verfahren verwendet werden kann: Dabei wird ein erstes Kontakt-Mail mit einer Benachrichtigung an die eingetragene Adresse versendet.

Seit Inkrafttreten der DSGVO lässt sich dieser zweistufige Anmeldeprozess bei den meisten Newslettern beobachten. Die DSGVO nennt Double-Opt-in zwar nicht namentlich, Art. 7 Abs. 1 DSGVO verlangt aber, dass der Verantwortliche nachweisen kann, dass die betroffene Person in die Verarbeitung eingewilligt hat. Diesen Nachweis liefert das Verfahren – deshalb steht die Einwilligung am Anfang jeder Newsletter-Planung, und alle folgenden Abschnitte bauen darauf auf.

Entwicklung der DSGVO-konformen Anmeldepraxis in Österreich

Double-Opt-in in zwei Schritten – und wie es sich von Single-Opt-in unterscheidet

Double-Opt-in besteht aus zwei Schritten. Erstens die Anmeldung: Die Person trägt ihre E-Mail-Adresse in das Newsletter-Formular ein und klickt auf „Anmelden“. Zweitens die Bestätigung: An die eingetragene Adresse geht eine E-Mail mit einem Bestätigungslink; erst wenn dieser Link angeklickt wird, ist die Anmeldung aktiviert. Ohne diesen Klick erhält die Adresse keine Aussendungen.

Davon zu unterscheiden ist Single-Opt-in: Dort ist die Anmeldung bereits mit der Eingabe der E-Mail-Adresse abgeschlossen, und die Werbung geht sofort an den Empfänger. Single-Opt-in gilt heute nicht mehr als geeignete Lösung, weil damit kein datenschutzkonformer E-Mail-Versand nachgewiesen werden kann. Eine Zwischenstufe ist der Confirmed-Opt-In Lite (COIL): Hier gibt es keine sofortige Bestätigungsmail mit Aktivierungslink, die Werbung wird direkt nach der Anmeldung versendet, und die Adresse landet zunächst auf einer Quarantäneliste. Interagiert der Empfänger nicht positiv, wird er nach einer Weile von dieser Liste gelöscht; interagiert er positiv, wird er in die reguläre Liste übernommen.

Der praktische Nutzen des Double-Opt-in liegt in drei Punkten: Es schützt vor Missbrauch, weil keine falschen oder fremden E-Mail-Adressen in die Liste gelangen und Spam-Bots keine gültigen Einträge erzeugen. Es verbessert die Qualität der Kontaktliste, weil nur tatsächlich Interessierte bestätigen. Und es erhöht die Zustellbarkeit, weil ungültige Adressen gar nicht erst aufgenommen werden und die Reputation des Absenders geschützt wird. Die österreichische Datenschutzbehörde wendet dasselbe Muster an: Nach der Anmeldung wird eine erste E-Mail verschickt, mit der Bitte, die E-Mail-Adresse über den Aktivierungslink zu bestätigen.

Einwilligung nach DSGVO: freiwillig, bestimmt und nachweisbar

Rechtliche Grundlage sind Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung) und Art. 7 DSGVO (Bedingungen für die Einwilligung). Ergänzend nennt die DSGVO in Erwägungsgrund 42 Beweislast und Erfordernisse einer Einwilligung sowie in Erwägungsgrund 43 die Überschrift „Zwanglose Einwilligung“. Werbemails vor der Bestätigung lassen sich damit nicht begründen.

Die Einwilligung ist jederzeit widerrufbar. Wie das in der Praxis aussieht, zeigt der Muster-Newsletter eines österreichischen Datenschutzportals: Dort wird ausdrücklich festgehalten, dass die Einwilligung jederzeit widerrufen werden kann, per E-Mail oder auf jede sonstige Art, und dass der Widerruf bewirkt, dass keine Informationen mehr zugesendet werden.

Für Rückfragen gibt es in Österreich zwei naheliegende Anlaufstellen: die Wirtschaftskammer Österreich mit ihrer Seite zur Einwilligungserklärung für Newsletter sowie die Österreichische Datenschutzbehörde (dsb.gv.at), die selbst einen eigenen Newsletter betreibt und dabei angibt, seit 2015 zu publizieren, die Anmeldung kostenlos und eine Abmeldung jederzeit möglich zu halten.

Was im Anmeldeformular stehen muss

Nach Art. 13 und 14 DSGVO ist am Formular offenzulegen, welche Daten zu welchem Zweck verarbeitet werden. Die Datenschutzbehörde macht das für ihren eigenen Newsletter so: Verarbeitet werden Name und E-Mail-Adresse der Bezieher:innen, Verantwortliche im Sinne des Art. 4 Z 7 DSGVO ist die Datenschutzbehörde, die Daten werden gespeichert und für Zwecke der Versendung benützt, eine Übermittlung an Dritte ist nicht vorgesehen, und die Mailserver werden auf EDV-Anlagen der Datenschutzbehörde und des Bundesministeriums für Justiz als Auftragsverarbeiter betrieben.

Ein zweites österreichisches Beispiel zeigt, wie die Angaben in Datenkategorien gegliedert werden: Genannt werden die E-Mail-Adresse sowie – wenn angegeben – Name, Vorname und Geburtsdatum, wobei diese Angaben nicht zwingend notwendig sind. Als Zweck wird die automationsunterstützte Verarbeitung, das heißt Speicherung, zur Zusendung des Newsletters angeführt. Name und Vorname dienen der Personalisierung und sind ausdrücklich freiwillig; auch dort ist die Angabe jederzeit selbst änderbar. Zusätzlich enthält dieses Beispiel einen Hinweis nach Art. 49 Abs. 1 lit. a DSGVO zum Datentransfer in die USA samt Nennung des Auftragsverarbeiters und des EU-US Data Privacy Framework.

Als Formulierungshilfe lässt sich dieses Muster übernehmen: „Ich stimme zu, dass [Unternehmen] meine E-Mail-Adresse (Datenkategorie) automationsunterstützt verarbeitet, um mir den Newsletter [Thema] zuzusenden (Zweck). Die Angabe von Name und Vorname ist freiwillig. Ich kann die Einwilligung jederzeit widerrufen, per Abmeldelink im Newsletter oder per E-Mail an [Adresse]; nach dem Widerruf werden keine Informationen mehr zugesendet. Es gelten die Informationen in der Datenschutzerklärung [Link].“ Das Ankreuzkästchen für die Einwilligung gehört dabei so gestaltet, dass es erklärt, wofür die Daten genutzt werden, und mit einem Link zur Datenschutzerklärung verbunden ist.

DSGVO-Konformität in der Praxis: Beispiele aus Österreich

Nachweisbarkeit: Das Double-Opt-in als Beweis für die Einwilligung

Die Beweislast liegt beim Versender. Art. 7 Abs. 1 DSGVO verlangt, dass der Verantwortliche nachweisen kann, dass die betroffene Person in die Verarbeitung eingewilligt hat. In der Praxis heißt das: Zu jeder Adresse in der Liste muss sich belegen lassen, dass und wie die Einwilligung zustande gekommen ist.

Double-Opt-in ist die zuverlässigste Methode, um Einwilligungen nachweisbar zu dokumentieren, weil es eine zweite, aktive Handlung der betroffenen Person verlangt, die im System protokolliert werden kann. Single-Opt-in liefert diese Absicherung nicht: Es gibt keinen zweiten Bestätigungsschritt, und damit lässt sich kein datenschutzkonformer E-Mail-Versand nachweisen. Wer das Anmeldeverfahren umstellt, sollte deshalb nicht nur die Neuanmeldungen erfassen, sondern auch festhalten, auf welchem Weg die Bestätigung erteilt wurde.

Widerruf und Abmeldung: jederzeit und ohne Hürden

Ein sauberer Widerrufsweg umfasst mehr als einen Link. Die österreichische Datenschutzbehörde nennt für ihren Newsletter zwei Möglichkeiten: die Abmeldung direkt über den im Newsletter angeführten Link oder alternativ die Abmeldung per Post oder E-Mail an die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, [email protected]. Nach diesem Muster sollte neben einem Abmeldelink in der Aussendung auch der Widerruf über die gewohnten Kontaktkanäle möglich sein.

Zum Widerruf gehört die Löschung: Die Datenschutzbehörde hält fest, dass die Daten nach erfolgter Abmeldung vom Bezug des Newsletters aus der Datenanwendung gelöscht werden. Wird der Widerruf per E-Mail oder auf sonstige Art erklärt, bewirkt er jedenfalls, dass keine Informationen mehr zugesendet werden. Für die Umsetzung bedeutet das, eine Abmeldung unmittelbar in der Liste wirksam werden zu lassen und nicht bloß als Öffnungs- oder Klickverzicht zu behandeln.

Öffnungs- und Klickmessung: Zusatzinformationen brauchen eine eigene Grundlage

Wird die Reichweite des Newsletters gemessen, kommen zu den Stammdaten weitere Verarbeitungen hinzu. Ein österreichisches Datenschutzportal beschreibt das offen im Anmeldeprozess: Die versendeten Newsletter enthalten einen sogenannten Web-Beacon, also eine pixelgroße Datei. Beim Öffnen des Newsletters erfolgt eine Reaktion an den Versanddienstleister, der damit die Reichweite und die Reaktionen analysiert. Gespeichert werden technische Informationen zum Browser und zum System, die IP-Adresse und der Zeitpunkt des Abrufs. Diese Informationen werden zur technischen Verbesserung der Services, zur Auswertung von Zielgruppen und Leseverhalten anhand der Abruforte (die über die IP-Adresse bestimmbar sind) sowie der Zugriffszeiten genutzt; erhoben wird auch, ob ein Newsletter geöffnet wurde.

Solche Zusatzverarbeitungen gehören in die Informationen nach Art. 13 und 14 DSGVO im Anmeldeformular – also dorthin, wo die betroffene Person vor dem Absenden ihre Einwilligung erteilt. Wer keine Erfolgsmessung braucht, kann den Newsletter auch zur Gänze ohne Auswertung betreiben: Die Datenschutzbehörde gibt für ihren eigenen Newsletter an, dass keinerlei Daten zum Übermittlungsvorgang, also weder Zustell- noch Lesebestätigungen, ermittelt werden.

Wird für Versand oder Auswertung ein Dienstleister außerhalb der EU eingesetzt, zeigt das genannte Österreich-Beispiel, wie eine Offenlegung aussehen kann: Die Information umfasst einen Hinweis nach Art. 49 Abs. 1 lit. a DSGVO zum Datentransfer in die USA, die Nennung des Auftragsverarbeiters und den Verweis auf dessen Registrierung nach dem EU-US Data Privacy Framework.

Umsetzung von der Anmeldung bis zur ersten Aussendung

Der Ablauf in der Praxis: Interessierte geben im Formular die E-Mail-Adresse ein und akzeptieren die Einwilligung zur Datenverarbeitung. Daraufhin geht automatisch eine E-Mail mit einem Bestätigungslink an die eingetragene Adresse. Erst mit dem Klick auf diesen Link wird die Anmeldung aktiviert und die Adresse in die reguläre Liste übernommen. Vor diesem Klick darf keine Werbung versendet werden – genau das ist der Unterschied zum Single-Opt-in, bei dem die Werbung sofort nach der Eingabe der Adresse ankommt.

Typische Stolperfalle: Wer Adressen ohne dokumentierte Anmeldung ungeprüft in den Verteiler übernimmt, verliert die Absicherung, die das Double-Opt-in bietet – es schützt gerade davor, dass fremde oder falsche Adressen ungeprüft in die Liste gelangen. Ebenso problematisch ist es, den Bestätigungslink durch eine automatische Aktivierung zu umgehen oder die Bestätigungsmail mit werblichen Inhalten zu vermischen, weil die Einwilligung dann nicht mehr eindeutig dem Newsletter-Abo zugeordnet werden kann. Wird die Reichweitenmessung eingesetzt, muss sie im Formular offengelegt sein; wird sie nicht gebraucht, lässt sie sich wie bei der Datenschutzbehörde vollständig weglassen.

Checkliste für eine DSGVO-konforme Newsletter-Anmeldung

Anmeldung nur mit Double-Opt-in: Anmeldeformular, Bestätigungsmail mit Link, Aktivierung erst nach dem Klick.

Keine Werbung vor der bestätigten Anmeldung – Aussendungen erst an aktivierte Adressen.

Im Formular die Datenkategorien nennen (in der Regel E-Mail-Adresse, optional Name und Vorname) und den Zweck der Verarbeitung angeben.

Freiwillige Zusatzangaben ausdrücklich als freiwillig kennzeichnen und als änderbar beschreiben.

Einwilligungstext mit Widerrufshinweis und Link zur Datenschutzerklärung direkt neben dem Anmeldeknopf platzieren.

Web-Beacon, IP-Adresse, Öffnungs- und Klickauswertung im Formular offenlegen – oder den Newsletter ohne jede Erfolgsmessung betreiben.

Bei Einsatz von Dienstleistern außerhalb der EU den Datentransfer samt Auftragsverarbeiter und Rechtsgrundlage der Übermittlung anführen.

In jeder Aussendung einen Abmeldelink mitführen und den Widerruf zusätzlich per E-Mail oder Post ermöglichen.

Nach der Abmeldung die Daten aus der Newsletter-Datenanwendung löschen und die Abmeldung sofort wirksam werden lassen.

Den Nachweis der Einwilligung dokumentieren: wer wann über den Bestätigungslink zugestimmt hat.

Für Rückfragen zur Einwilligung die Wirtschaftskammer Österreich und für datenschutzrechtliche Fragen die Österreichische Datenschutzbehörde ([email protected]) heranziehen.