Sieben Tipps, wie Sie Ihre Kunden-Email-Kontakte DSGVO-konform machen

Die Datenschutz-Grundverordnung (DSGVO) vereinheitlicht die Verarbeitung personenbezogener Daten durch Unternehmen und öffentliche Stellen im gesamten EU-Raum. Sie soll die Privatsphäre der EmpfängerInnen schützen und ihre Rechte stärken. Die DSGVO ist somit auch eine vertrauensstärkende Maßnahme, die langfristig gesehen auch den Unternehmen zugute kommt.

Vielen Unternehmen bereitet die Herausforderung, ihre Datenbestände DSGVO-konform zu machen, allerdings Kopfschmerzen. Denn oft sind sie sich nicht im Klaren, wie und ob sie Email-Adressen von Kunden und Abonnenten für E-Mail-Marketings, Eventeinladungen oder für Umfragen einsetzen können. Wichtig ist, schon von vornherein klar zu planen, welche Einverständniserklärung man vom Emfpänger einholt:

Leicht verständliche Einwilligung 

Die Einwilligung für die Verarbeitung und Nutzung von personenbezogenen Daten für Email-Marketing muss mittels Double-Opt-In erfolgen, klar und einfach formuliert sein und erklären, zu welchem konkreten Zweck die Informationen gebraucht werden. Ein Tipp hierzu: Erklären sie den Nutzen ihrer künftigen Aussendungen, das gibt dem Empfänger einen klaren Überblick, was er zu erwarten hat.

Anmeldung nur über Double-Opt-In 

Beim Double-Opt-In muss die Person oder ein/e Berechtigte/r der Email-Adresse über einen E-Mail-Aktivierungslink die Anmeldung bzw. das Einverständnis bestätigen. Das sogenannte DOI verhindert damit, dass Dritte unbefugt eine Email-Adresse zu einem Verteiler anmelden.

ACHTUNG: Schweigen bzw. Untätigbleiben seitens der Person gelten nicht als Einwilligung! Und: Im Zuge der Anmeldung ist auch der Hinweis auf das Widerrufsrecht verpflichtend!

Es ist natürlich auch weiterhin möglich, ein schriftliches Einverständnis z.B. am Point of Sale oder an einer Hotelrezeption einzuholen. Sowohl im Falle einer Anmeldung via Email als auch im Falle einer schriftlichen Einverständniserklärung müssen ein Zeitstempel (inklusive Datum und ggf. Uhrzeit) sowie der Hinweis auf das Widerrufsrecht angeführt werden. Das macht in der Regel der Email-Marketing-Provider. Sollten Sie von einem Nutzer aufgefordert werden, diese Informationen beizubringen, so wenden Sie sich an ebendiesen.

Ein Beispiel:

„Der Vertragspartner stimmt zu, dass seine persönlichen Daten, nämlich ? (die Datenarten genau aufzählen, z.B. „Name“, „Adresse“, etc.) zum Zweck der ? (genaue Zweckangabe, z.B. „zur Zusendung von Werbematerial über die Produkte der Firma ?“) bei der Firma NN verarbeitet werden und die Daten ? (die Datenarten genau aufzählen, z.B. „Name“, „Adresse“, etc.) zum Zweck der ? (genaue Zweckangabe, z.B. „zur zentralen Abwicklung des Kunden-Beschwerdemanagements“) an ? (genaue Angabe des Übermittlungsempfängers, z.B. Name der Konzernmutter mit Anschrift) weitergegeben werden. Diese Einwilligung kann jederzeit bei ? (Angabe der entsprechenden Kontaktdaten) widerrufen werden.“

(Quelle WKO)

Was ist mit bestehenden Adressen?

Bereits bestehende Zustimmungen bleiben weiterhin gültig, aber achten Sie darauf, dass diese jederzeit nachweisbar und mit einem Zeitstempel (inklusive Datum und ggf. Uhrzeit) versehen sind. E-Mail-Marketing-Systeme speichern diese Daten zu jedem Kontakt mit ab.

Achtung, Kopplungsverbot!

Um Personen zur Bekanntgabe von gewünschten personenbezogenen Daten – wie etwa Alter, Adresse oder Geburtsdatum zu bewegen – wurden vor dem Inkrafttreten der DSGVO Angebote und Services – etwa die Teilnahme an Gewinnspielen oder Events – oft an die verpflichtende Bekanntgabe dieser Informationen gebunden. Dies ist laut DSGVO verboten!

• Im Zuge der Einwilligung müssen Sie nicht nur erklären, zu welchem konkreten Zweck Sie die Email-Adressen verwenden,
• Sie müssen in der Folge auch darauf achten, dass die personenbezogenen Daten nur für den in der Einwilligung angeführten Verwendungszweck genutzt werden dürfen.
• Holen Sie daher die benötigten Einwilligungen für verschiedene Verwendungszwecke separat voneinander ein!

%MEDIUM-RECTANGLES% 

Einwilligung für Online-Tracking

Online-Tracking bedeutet, das Surfverhalten eines Benutzers zu beobachten – etwa durch Website-Cookies auf einzelnen Webangeboten oder über mehrere Webangebote hinweg, um zum Beispiel Bestellungen und Warenkörbe im eigenen Webshop zu analysieren. Setzen Sie Cookies ein, die personenbezogene Daten (z.B. IP-Adresse) verarbeiten, ist die DSGVO zu berücksichtigen und eine entsprechende Einverständniserklärung von den betroffenen Website-Usern einzuholen. Hier hat es sich bewährt, den Benutzern beim ersten Besuch der Website einen so genannten Cookie-Banner auszuspielen, der mit einem Klick auf „OK“ oder „Zustimmen“ bestätigt werden muss. Nur dann darf das personenbezogene Nutzerverhalten auch getrackt werden.

Einwilligungen clever verwalten

Personen, deren Daten Sie nutzen und verarbeiten, können ihre Einwilligung jederzeit widerrufen. Um möglichst rasch auf Löschanfragen reagieren zu können, empfiehlt es sich daher, ein möglichst transparentes Consent-Management-System zu implementieren und zu pflegen. 

Das bedeutet, dass jede Einwilligung einer Person in einer Kundendatenbank protokolliert werden muss. Die führenden europäischen Email-Marketing-Anbieter haben das Consent-Management-System in der Regel integriert und bieten somit Rechtssicherheit und DSGVO-konformes Datenhandling. Email-Newsletter-Systeme müssen auch sogenanntes Blacklisting ingegriert haben. Diese Systeme verhindern, dass Sie unabsichtlich Adressen neu importieren, welche sich bereits abgemeldet haben.

Gekaufte Adressdatenbanken

So manches Unternehmen, das Adressdatenbanken zugekauft hat, sorgt sich nun, ob es diese noch nutzen und verarbeiten darf. Die Antwort: Es kommt darauf an. Nämlich darauf, wo Sie die Daten erworben haben. Bei Gewerbetreibenden in diesem Bereich, wie etwa Adressverlagen oder Direktmarketing-Unternehmen, ist dies üblicherweise kein Problem. Wer auf Nummer sicher gehen will, holt sich dafür eine schriftliche Bestätigung des Adressverlags oder des Direktmarketing-Unternehmens ein.

Weiterlesen: So bereiten Sie ihren Webshop auf die DSGVO vor

Weiterlesen: Datenschutz und Google-Analytics – so geht's

Weiterlesen: Neun Musts für den sicheren Umgang mit Cloud-Speichern