Was bedeutet die Europäische Datenschutz-Grundverordnung „EU-DSGVO“ für unser Online-Marketing?

Gleich vorweg: Es gibt Themen, mit denen beschäftigt man sich im Unternehmensalltag durchaus gerne. Die DSGVO gehört für mich persönlich definitiv nicht dazu!

Trotzdem gibt es eine starke Motivation, mich mit dem Thema auseinanderzusetzen. Wir kennen das ja alle: Wenn man sich nicht intrinsisch motivieren kann, braucht es entsprechend starke äußere Faktoren. Und die fallen hier durchaus ins Gewicht! Schließlich drohen jedem, der sich und sein Unternehmen nicht DSGVO-fit macht, gigantisch hohe Bußgelder. Und weil es gleichzeitig eine engmaschigere Überprüfung als bisher geben soll, steigt das Risiko, erwischt zu werden.

Die DSGVO betrifft nun einmal alle. Auch die Kleinen. So wie mich.

Wie gemein! Verbringe ich als Einzelunternehmerin doch eh schon einen unerträglich hohen Prozentsatz meiner Zeit mit unproduktiven, verwalterischen, bürokratischen Tätigkeiten. Und jetzt kommt noch was oben drauf. Gemein, gemein, gemein! Doch STOPP – Jammern und Mitleidheischen sind wohl keine Argumente, die ich vor einem Datenschutzgericht in die Waagschale werfen kann.

Mir hilft letztlich ein kleiner Perspektivenwechsel von der Unternehmerin zur Privatperson:

Habe ich mich nicht fürchterlich aufgeregt, als ich 2014 direkt betroffen war, als das Bundeskriminalamt einen Datensatz mit Millionen ausgespähter Zugangsdaten gefunden hatte? Habe ich mich nicht Ostern erst echauffiert, weil mich ein Online-Shop, bei dem ich einmal etwas bestellt habe, daraufhin täglich (!) und ohne meine Zustimmung mit Newslettern bombardiert hat, die ich nur äußerst kompliziert wieder loswerden konnte? Und sträuben sich nicht sogar bei mir, die ich ja als Dialogmarketingexpertin durchaus die Vorteile von zielgerichtetem, datengestützten Marketing propagiere, alle Nackenhaare beim bloßen Gedanken, jemand könnte meine Telefonate oder Messenger-Chats heimlich auslesen, um mir dann auf anderen Kanälen passende Werbung zu präsentieren oder meinen mutmaßlichen physischen oder psychischen Zustand an die Krankenkasse weiterzugeben?

Wenn ich also als Privatperson mein Recht auf Datenschutz hochhalte, dann muss ich auch in meiner Rolle als Unternehmerin meinen Beitrag dazu leisten. Liebe wird es trotzdem nicht, Sympathie ist auch was anderes. Aber ich kann mein Gegenüber, diese DSGVO, nun wenigstens akzeptieren und respektieren.

Mein Ziel lautet also:

Erstmal Struktur in die Sache bringen. Zugegebenermaßen ist es meine Struktur, die eben meiner Herangehensweise an das Thema entspricht. Das muss nicht unbedingt jedem Leser entgegenkommen. Ich hoffe dennoch, dass der eine oder andere diese ausführlichen Ausführungen schätzt und einen Nutzen für sich daraus ziehen kann.

Ich lege meinen Fokus dabei ganz klar auf die Auswirkungen der DSGVO aufs Online-Marketing. Das ist keine Willkür, sondern resultiert schlicht daraus, dass sich dort zum einen für mich selbst und meine Firmen die wichtigsten Handlungsfelder ergeben und sich zum anderen die Fragestellungen meiner Kunden auf diesen Bereich beziehen.

• Wichtige Fakten rund um die EU Datenschutz-Grundverordnung
• Schritt für Schritt zur Umsetzung der DSGVO
• Datenschutz für den Webauftritt
• Datenschutz im E-Mail-Marketing
• Datenschutz für Facebook-Unternehmensseiten und Facebook-Ads
• Mein persönliches DSGVO-Fazit

Novellierungen der Datenschutzgesetzgebung sind für mich grundsätzlich nichts Neues, bin ich doch seit fast einem Vierteljahrhundert im Dialogmarketing beheimatet.

Die Branche traf es beispielsweise 2009, als die BDSG-Novelle 2009 drohte, ganze Geschäftsmodelle im klassischen Dialogmarketing bis ins Mark zu erschüttern. Irgendjemandem gelang es dann, Ausnahmetatbestände zu erwirken und es war fast alles gut.

Kurze Zeit später bereits begann die EU, an der DSGVO zu arbeiten. Einen ersten Entwurf gab es bereits 2012, beschlossen und verabschiedet wurde das Ding am 24.5.2016. Es war also an sich genug Zeit, die man seither theoretisch hätte nutzen sollen. Denn 2 Jahre später, also am 25.5.2018 ist jetzt definitiv Schluss mit lustig: Die DSGVO ist in allen ihren Teilen verbindlich und gilt ab diesem Datum unmittelbar in jedem Mitgliedstaat. Sprich: Die DSGVO geht am 25. Mai 2018 ohne Übergangsfrist in aktives deutsches Recht über.

Ich habe mich indes gefragt: Was wird mit dem BDSG? Ersatzlos gestrichen? Aber nein! Das „BDSG (neu) 2018“, also wie der Name schon vermuten lässt, eine neue Fassung des BDSG, wird am 25. Mai 2018 mit der Datenschutz-Grundverordnung (DSGVO) in Kraft treten und das noch aktuelle Bundesdatenschutzgesetz komplett ersetzen.

Moment mal: Neben der DSGVO sind doch, so hatte ich zumindest mehrfach gelesen, nationale Regelungen nicht zulässig. Sprich: Es ist nicht möglich, Dinge strenger oder laxer zu regeln als in der DSGVO. Allerdings erlaubt die DSGVO nationale, spezifischeren Vorschriften, wie sie dann im BDSG-neu zu finden sind, für einige Dinge ausdrücklich. Das passiert mittels der sogenannten Öffnungsklauseln, die in einzelnen Bestimmungen der DSGVO vorsehen, dass beispielsweise der Gesetzgeber in Deutschland spezifischere Vorschriften vorsehen kann, sofern sie sich an einen definierten Handlungsspielraum halten. Ich gehe also mal davon aus, dass das BDSG-neu keine Regelungen enthält, mit denen dieser Handlungsspielraum überschritten wird und damit davon, dass ab 25.5.2018 auch all das, was im BDSG-neu steht, für alle deutschen Unternehmen gilt. Es lohnt also wohl auch ein Blick in diese Texte, denn im BDSG-neu werden beispielsweise zusätzlich zu den Bußgeldern, die die DSGVO für Verstöße vorsieht, strafrechtliche Sanktionen ausgerufen, die für bestimmte Verstöße Freiheitsstrafen von bis zu drei Jahren vorsehen. Außerdem wurden wohl einige Verstöße ergänzend aufgenommen, die in der DSGVO nicht vorgesehen sind.

Beruhigend war für mich, im Sumpf der ganzen Panikmache doch an der einen oder anderen Stelle zu lesen, dass die Datenschutzgesetzgebung in Deutschland schon immer recht strenge Regeln gesetzt hat. Wer sich bisher an die Gesetze und dort verankerten Grundsätze gehalten, den Datenschutz also ernst genommen hat, hat schon eine solide Basis, auf der er jetzt aufsetzen kann.

Ein Beispiel ist der Grundsatz der Datensparsamkeit, hinter dem der Grundgedanke steckt, dass für die Datenverarbeitung nur die personenbezogenen Daten gesammelt werden dürfen, die für den jeweiligen Dienst unbedingt notwendig sind. Mein Paradebeispiel hierfür: Bei der Newsletteranmeldung darf das einzige Pflichtfeld die E-Mail-Adresse sein.

Um gleich beim E-Mail-Marketing zu bleiben, das in Deutschland von jeher zum am strengsten reglementierten Marketing-Instrument gehörte: E-Mail-Marketing ist Permission-Marketing und ohne die vorherige Zustimmung des Empfängers eine unzumutbare Belästigung – unabhängig davon, ob ich eine B2B- oder B2C-Zielgruppe habe. Ohne rechtssicheres Opt-in war E-Mail-Marketing also auch in der Vergangenheit nicht möglich – zumindest nicht, wenn man als Unternehmen gesetzeskonform agieren wollte. Die DSGVO stellt hierzu umfassend klar: Eine explizite Einwilligung in jegliche Datenverarbeitung ist grundsätzlich nötig, außer es liegt eine gesetzliche Erlaubnis vor.

Wer personenbezogene Daten verarbeitet, musste schon immer für die Datensicherheit einstehen. Dies geschieht durch geeignete technische und organisatorische Maßnahmen, die den Schutz vor Datenmissbrauch ausreichend gewährleisten können. Im Zweifel werden hier die Regeln aus dem IT-Sicherheitsgesetz als Stand der Technik herangezogen.

Eine gewisse Transparenz bei der Datenverarbeitung war schon immer vorgesehen und verpflichtend. Allerdings wird es künftig um mehr Transparenz und mehr Kontrolle gehen, die der einzelne über den Umgang mit seinen Daten erhalten wird.

Auch bisher ergab sich aus dem Bundesdatenschutzgesetz (BDSG, § 4f) für zahlreiche Unternehmen die Pflicht, einen Datenschutzbeauftragten zu bestellen. Ich kann nicht beurteilen, ob durch die Regelungen in der DSGVO nun mehr Organisationen unter diese Verpflichtung fallen.

Ohne schon auf die einzelnen Dinge, die man als Unternehmer anpacken und anpassen muss, einzugehen, habe ich mir überlegt, in welchen großen Punkten die DSGVO eigentlich Änderungen mit sich bringt und bin zu folgender Aufstellung gekommen:

Bevor ich auf die Details für die Online-Medien eingehe, will ich noch einen Überblick über die grundlegenden Aufgaben geben und die einzelnen Schritte definieren, mit denen man aus meiner Sicht in die Umsetzung der DSGVO einsteigen sollte.

Wenn ich Arbeitgeber bin, muss ich mich auch mit speziellen Vorgaben zum Arbeitnehmer-Datenschutz beschäftigen. Diese klammere ich hier komplett aus und freue mich exakt in dem Moment, in dem ich diese Zeilen schreibe, dass ich seit einem Jahr nicht mehr mit Minijobbern arbeite. Die Gründe dafür stehen zwar auf einem anderen Blatt Papier und haben absolut nichts mit der DSGVO zu tun, erleichtern mir aber jetzt das Leben. Juhu!

Wer hier nur die entsprechenden Regelungen zum Datenschutzbeauftragten in Art. 37 der DSGVO liest, könnte das Thema schnell für sich abhaken. Denn daraus ergibt sich eine Verpflichtung, einen DSB zu bestellen, nur dann, wenn die Kerntätigkeit des Unternehmens in der Verarbeitung besonders sensibler Daten (wie Gesundheitsdaten, politische Meinungen etc.) besteht oder wenn Art, Umfang oder Zweck der Datenverarbeitung eine systematische Überwachung erforderlich machen (z. B. weil Scoring- und Profiling-Maßnahmen eingesetzt werden).

Allerdings lohnt hier zusätzlich ein Blick ins BDSG-neu, weil dort der deutsche Gesetzgeber in § 38 ergänzende Regelungen getroffen hat, wann privatwirtschaftliche Unternehmen einen Datenschutzbeauftragten benennen müssen – die oben bereits erwähnen Öffnungsklauseln lassen grüßen! Faktisch müssen Unternehmen also ab 10 Mitarbeitern einen DSB bestellen. Und für dessen Tätigkeitsfeld gibt es jetzt klare Regelungen, deren Umfang im Vergleich zu den bisherigen Anforderungen gestiegen ist und die man wiederum in der DSGVO nachlesen darf. Ob der DSB intern bestellt wird oder ob man einen externen DSB beauftragt, muss fallweise geklärt werden. Beides ist möglich, beides hat Vor- wie Nachteile.

Für mich ergibt sich keine Verpflichtung, einen DSB zu bestellen, daher kann ich einen Haken an dieses Thema machen.

Ab hier ist dann aber jeder auch noch so kleine Betrieb, der irgendwo etwas mit personenbezogenen Daten zu tun hat (und die müssen mitnichten digital vorliegen!), in der Pflicht. Also praktische jeder vom Einzelunternehmen über den Verein und das KMU bis hin zum Großkonzern.

Man darf die folgenden Schritte durchexerzieren:

Es klang vorhin schon an: Eine Webseite verarbeitet wahrscheinlich mehr personenbezogene Daten als jede andere Stelle einer Firma. Und es sind häufig mehr externe Dritte mit im Boot als man gedacht hat.

So ist es heute nahezu unmöglich, eine Webseite zu besuchen, ohne seine IP-Adresse zu übertragen. Zugriffe von Nutzern werden vom Webhoster in einer Server-Log-Datei protokolliert und meist auch mit einem Webtracking-Tool erfasst.

Nicht ohne Grund starte ich meine Ausführungen daher mit den datenschutzrechtlich relevanten Themen, die die Website eines Unternehmens betreffen.

Da der Webhoster in der Regel personenbezogene Daten auf den Servern speichert und / oder verarbeitet, muss mit diesem gemäß Art. 28 DSGVO ein Vertrag zur Auftragsverarbeitung geschlossen werden.

Wenn der Webhoster zugleich auch E-Mail-Provider ist und Sie also nicht nur den Webserver, sondern auch den Mailserver nutzen, auf dem dann die gesamte Kundenkorrespondenz inkl. Bestellvorgängen liegt, wird das Thema noch offensichtlicher.

Viele Webhosting-Anbieter stellen diesen Vertrag im Kundenbereich zur Verfügung. Gültig wird dieser aber natürlich erst, wenn er von Ihnen gegengezeichnet und zum Hosting-Dienstleister gesendet bzw. elektronisch abgeschlossen wurde (letzteres wird übrigens durch die DSGVO möglich!).

Die Domainfactory stellt einen Auftragsverarbeitungsvertrag (AVV) beispielsweise unter „Support – Formulare“ zum Download und Ausfüllen zur Verfügung und auch Strato-Kunden finden das Formular für den AVV im Kunden-Login unter „Mein Vertrag – Vertragsänderung – Auftragsverarbeitung“. Jimdo schreibt hier noch am 6.5., dass im Laufe des Mai den Nutzern ein entsprechender Vertrag zur Verfügung gestellt wird. Er kann aber in jedem Fall schon seit einiger Zeit direkt im Konto beim Jimdo-Support angefordert werden.

Am besten ist es, wenn der Server in Deutschland oder innerhalb der EU steht.

Denn wenn personenbezogene Daten in Drittländer außerhalb des Europäischen Wirtschaftsraums transferiert werden, muss der Anbieter zum Beispiel durch entsprechende Zertifizierungen ein angemessenes Datenschutzniveau nachweisen oder muss andere geeignete Garantien vorlegen.

Oftmals bieten Content-Management- oder Shop-Systeme integrierte Tracking-Tools, die zu einem gewissen Umfang auch Auswertungen zu Besucherzahlen, Downloadstatistiken etc. zur Verfügung stellen. Meiner Ansicht nach kann keines davon mit Google Analytics konkurrieren, das als kostenloses Webtracking-Tool im Hinblick auf die Funktionalitäten einfach ungeschlagen ist und den entscheidenden Vorteil hat, dass es sich – wenn Sie AdWords-Kampagnen schalten – damit einfach verknüpfen lässt. Ebenso lassen sich Daten aus der Search Console importieren.

Daher empfehle ich meinen Kunden grundsätzlich, für Webseiten wie Webshops Google Analytics zu nutzen. In der Regel muss – um das Tracking technisch zum Laufen zu bringen – dafür nur der UA-Code in das verwendete Content-Management-/Shop-System eintragen werden. Es läuft anschließend automatisch. Allerdings eben noch nicht automatisch rechtssicher!

Hierfür waren schon vor der DSGVO noch ein paar Schritte notwendig, die ich hier zusammenstelle.

Eine SSL-Verschlüsselung war datenschutzrechtlich grundsätzlich schon IMMER empfehlenswert, wenn man auf der Website Formulare anbietet, über die User personenbezogene Daten verschicken.

Andernfalls kann man nämlich auch heute schon haftbar gemacht werden, wenn jemand die Daten abgreift und Schindluder damit treibt. Daher sollte auch in der Vergangenheit ein SSL-Zertifikat schon immer implementiert werden. Google unterstützt diese Datensicherheit ebenfalls und hat irgendwann festgestellt, dass nicht alle Websitebetreiber Daten verschlüsselt übertragen. Deshalb wurde dieses Kriterium vor einiger Zeit in den Ranking-Algorithmus mit aufgenommen – das erhöhte tatsächlich den Umsetzungsdruck.

Dieser steigt durch die DSGVO nun quasi ins Unermessliche und man kann konstatieren, dass JEDE Website ein SSL-Zertifikat benötigt. Hier sollte man – falls man es noch nicht getan hat – prüfen, ob ein SSL-Zertifikat vielleicht bereits im Hosting-Paket mit drin ist und nur noch aktiviert werden muss. Falls nicht, muss ein Zertifikat separat für die Website beantragt werden. Hier gibt es unterschiedliche Kategorien von SSL-Zertifikaten, wobei meines Erachtens auch ein günstiges wie das „Let’s Encrypt“- Zertifikat ausreicht, denn die „Großen“ kosten dann doch ca. 120 Euro pro Jahr.

Über Cookies ist im Rahmen der DSGVO deshalb zu sprechen, weil ein Werbe-Cookie – auch wenn es pseudonymisiert ist – zu den personenbezogenen Daten zählt. Schließlich speichert es viele Daten (z. B. auch Verhaltensmerkmale) ab, über die der Nutzer gegebenenfalls identifiziert werden kann. Möglicherweise auch durch Kombination mit der personenbezogenen IP-Adresse.

Anforderungen an Cookies werden aktuell durch die ePrivacy-Richtlinie formuliert, die bis zum Wirksamwerden der ePrivacy-Verordnung (voraussichtlich 2019) gilt und im Übrigen auch Cookie-Richtlinie genannt wird. Mit der ePrivacy-Verordnung soll eine Einwilligungspflicht für Tracking- und Targeting-Cookies eingeführt werden. Die deutschen Datenschutzbehörden haben am 26.4.18 in einer gemeinsamen Stellungnahme allerdings darauf hingewiesen, dass die ePrivacy-Richtlinie in Deutschland nicht direkt anwendbar sei. So weiß man als Otto-Normal-User irgendwie mal wieder nicht, an was man sich nun klammern soll. Es wird jedenfalls auf die entsprechenden Regelungen aus dem Telemediengesetz (TMG), die nach dem 25.5.2018 weiterhin gültig sind, hingewiesen.

Was ich für mich aus den Regeln für Cookies rausgelesen habe: Der Einsatz von Cookie-Hinweisen war bisher nur empfohlen, da es dafür keine gültige Rechtsvorschrift gab. Diese Lücke schließt nun die DSGVO und mit der DSGVO benötigt nun jede Webseite, die Cookies nutzt, die Einwilligung der Nutzer. Sprich: Die Cookie-Banner werden damit zur Pflicht.

Außerdem gehört in die Datenschutzerklärung ein entsprechender Absatz, in dem auf die Verwendung von Cookies hingewiesen wird und in dem der User darüber aufgeklärt wird, wie er dies beeinflussen kann. Aber das war bisher meines Erachtens auch schon so.

Es scheint aber alles darauf hinauszulaufen, dass in naher Zukunft zumindest immer dann ein aktives Einverständnis eingeholt werden muss, wenn Cookies nicht zwingend nötig sind (wie z. B. bei Session-IDs) bzw. „berechtigte Interessen“ vorhanden sind (wie z. B. bei einem normalen Webtracking z. B. via Google Analytics). Alle, die Retargeting z. B. über Google AdWords nutzen oder auf nutzungsbasierte Online-Werbung (Online Behavioural Advertising – „OBA“) setzen, sollten also mit offenen Ohren die weiteren Entwicklungen zur ePrivacy-Verordnung und zur Auslegung der DSGVO verfolgen.

Die Vorgaben und Regelungen zum Impressum und den dort geforderten Pflichtangaben sowie der Positionierung (von jeder Seite mit einem Mausklick erreichbar) ändern sich durch die DSGVO nicht.

Aufgrund des Transparenz-Grundsatzes, der die DSGVO prägt, ist es einleuchtend, dass für User jederzeit nachvollziehbar sein muss, welche Daten zu welchem Zweck wie und von wem verarbeitet werden. Zusätzlich ist jetzt auch ein Hinweis auf die jeweilige Rechtsgrundlage der Datenverarbeitung notwendig. Analog zum Impressum müssen diese Informationen leicht zugänglich sein. Das heißt, ein eigener Menüpunkt, der die Datenschutzerklärung von jeder Unterseite mit einem Mausklick erreichbar macht, ist zwingend. Das, was dann in den Texten zu finden ist, muss klar und einfach verständlich formuliert sein.

Die Pflichtinhalte einer Datenschutzerklärung sind ziemlich umfassend und irgendwie tut sich schon allein dadurch ein Widerspruch zu „klar und einfach“ auf… Aber hilft ja nichts – da Verstöße mit hohen Bußgeldern geahndet werden, muss man auf die Datenschutzerklärung besondere Sorgfalt verwenden.

Eine ordnungsgemäße Datenschutzerklärung muss letztlich alle datenschutzrelevanten Dienste aufgreifen, die auf der gesamten Webseite (also auf irgendeiner der ggf. unzähligen Unterseiten) verwendet werden. Auf den Einsatz mancher Komponenten muss der User nur hingewiesen werden, bei anderen muss auch aufgezeigt werden, wie er bestimmte Funktionen deaktivieren kann und manche lassen sich überhaupt nicht mit dem Datenschutzrecht konform einsetzen. Es ist kompliziert!

Und man hat – wie ich selbst feststellen durfte – auf seiner Website deutlich mehr solcher relevanten Komponenten / Dienste als man denkt!

Beispiele dafür sind:

Meine Erkenntnis: Wo man bisher mit zum Teil sogar kostenlosen Datenschutz-Generatoren auskam, muss man jetzt aus meiner Sicht auf externe Hilfe zurückgreifen und sich eine individuelle Datenschutzerklärung erstellen lassen.

Ich selbst bin zweigleisig gefahren und kann beide Wege auch in exakt der Kombination guten Gewissens weiterempfehlen:

Auf den meisten Websites findet sich zumindest ein Formular, über das personenbezogene Daten übermittelt werden. Häufig werden dem User aber auch mehrere Formulare für unterschiedliche Kontaktintentionen angeboten, z. B.:

• Newsletter-Anmeldeformular
• Kontaktformular
• Infomaterial-Anforderung
• Call-Back-Formular

Schon nach bisher geltendem Recht müssen Personen der Verwendung der übermittelten Daten zustimmen, allerdings war die Zustimmung bei Online-Formularen quasi bereits vorausgewählt, denn es genügte ein Hinweis mit Link auf die Datenschutzerklärung. Nun müssen User allerdings der Speicherung von Daten durch eine eindeutige Handlung zustimmen – auch wenn diese Daten nicht sensibel sind.

Es genügt also nicht mehr, auf die Datenschutzerklärung zu verlinken und dort detailliert zu beschreiben, was mit den Daten geschieht und welchem Zweck sie dienen. Ich brauche zur aktiven Zustimmung zur Datenverarbeitung neben dem Link zur Datenschutzerklärung also künftig eine Checkbox, die als Pflichtfeld angeklickt werden muss, aber natürlich systemseitig nicht vorangeklickt sein darf.

Für Blog-Betreiber, die in der Regel eine Kommentarfunktion anbieten (schließlich leben Blogs auch irgendwie von der Interaktion mit den Usern), ergibt sich noch ein weiterer Aspekt, der berücksichtigt werden muss.

Von Kommentierenden wird in der Regel der Name und die E-Mail-Adresse gefordert, es wird aber von den eingesetzten Systemen standardmäßig zumindest die IP-Adresse abgespeichert. Letzteres schon aus Selbstschutz, um bei Missbrauch oder strafbaren Inhalten den Übeltäter darüber identifizieren zu können.

Manchmal werden die Daten – z. B. beim Einsatz von Gravataren in WordPress – auch direkt weitergegeben und mit dem Avatar des Kommentierenden verknüpft. An dieser Stelle sollte man grundsätzlich überdenken, ob man den Gravatar-Dienst nicht generell deaktivieren möchte und überlegen, wie man mit der IP-Adressen-Speicherung kommentierender User umgehen will. Wer alle Kommentare vor Freischaltung sowieso manuell überprüft, kann ggf. die Speicherung der IP-Adressen komplett unterbinden. Das kann man mit ein paar Codezeilen programmieren oder – für WordPress – zum Beispiel das Plugin „Remove IP“ nutzen.

In jedem Fall muss ein Hinweis zur Datenspeicherung untergebracht werden – als anklickbare, nicht vorangeklickte Checkbox.

Wenn man als Blogbetreiber darüber hinaus anbietet, den Kommentierenden bei weiteren Interaktionen per E-Mail darüber zu benachrichtigen, muss man dafür ebenfalls eine aktive Zustimmung zur Datenverarbeitung einholen. Einen Schritt weiter gedacht, benötigt man für den E-Mail-Versand streng genommen auch ein „Double-opt-in für Kommentarbenachrichtigungen“…

Einfacher als die Umsetzung der DSGVO im Hinblick auf die Website erscheint es mir, die in der DSGVO getroffenen Regelungen fürs E-Mail-Marketing zu prüfen und die notwendigen Anpassungen vorzunehmen. Vielleicht liegt das auch daran, dass – wie eingangs schon erwähnt – E-Mail-Marketing in Deutschland schon immer sehr streng reglementiert war.

Trotzdem habe ich häufig erlebt, dass Unternehmen es unter der Devise „Wo kein Kläger da kein Richter“ haben draufankommen lassen und einen E-Mail-Verteiler eben auch ohne rechtskonformes Opt-in genutzt haben. Da bisher Bußgelder in Höhe von maximal 300.000 Euro drohten, konnten zumindest größere Unternehmen das tatsächlich riskieren und Bußgelder im Zweifel aus der Portokasse oder aus extra für solche Fälle gebildeten Rückstellungen zahlen. Es war quasi „unternehmerisches Risiko“, das man einging, um im Gegenzug viel Geld für den Aufbau eines permissionbasierten E-Mail-Verteilers zu sparen. Dieses „Draufankommenlassen“ verbietet sich bei den jetzt in Aussicht stehenden Bußgeldern meiner Ansicht nach allerdings völlig.

Vorab noch der Hinweis: Trotz DSGVO behalten natürlich die fürs E-Mail-Marketing seit jeher bedeutsamen Regelungen aus dem UWG und dem TMG weiterhin Gültigkeit. Außerdem werden sicherlich auch die Regeln der ePrivacy-Verordnung zu beachten sein, deren Inkrafttreten momentan für 2019 erwartet wird.

Für den Serverstandort des E-Mail-Dienstleisters gilt im Prinzip Analoges wie für den Serverstandort Ihres Webhosters. Idealerweise befindet er sich in Deutschland oder innerhalb der EU. Ansonsten gilt es, bestimmte, weiterführende Regelungen zu beachten.

Die Thematik des Serverstandorts in den USA betraf vor allem immer den Einsatz von MailChimp, die sich im Hinblick auf Datenspeicherung und Datenverarbeitung in der Vergangenheit immer recht bedeckt gehalten hatten. Ich habe meinen Kunden daher immer zum Einsatz alternativer Lösungen (z. B. CleverReach oder Newsletter2Go) geraten. MailChimp ist zwischenzeitlich aber unter dem US-EU-Datenschutzabkommen „Privacy Shield“ zertifiziert und verpflichtet sich damit, die EU-Datenschutzvorgaben einzuhalten, so dass datenschutzrechtlich nichts gegen den Einsatz sprechen sollte, auch wenn die MailChimp-Server in den USA stehen und arbeiten.

Auch bisher war es schon notwendig, mit dem Newsletter-Dienstleister einen Auftragsdatenverarbeitervertrag abzuschließen. Da die DSGVO an vielen Stellen Änderungen erforderlich macht, ist es empfehlenswert, bis zum 25.5.2018 einen neuen Auftragsverarbeitungsvertrag anzufordern und abzuschließen, der den Vorgänger ersetzt.

Das Newsletter-Anmeldeformular auf der Website muss dem Grundsatz der Datensparsamkeit, der auch bisher schon im BDSG verankert war, Genüge tun. Für den User müssen außerdem Zweck und Umfang der Datenverarbeitung transparent gemacht werden, er muss auf die Widerrufmöglichkeit sowie die Speicherdauer aufmerksam gemacht werden, und die Kenntnisnahme der Datenschutzerklärung muss aktiv via Checkbox bestätigt werden (siehe oben bei „Formulare“).

Die Datenschutzerklärung selbst enthält die entsprechenden Hinweise auf den Newsletter-Dienstleister als datenverarbeitenden Drittanbieter. Sie gibt detaillierte Erläuterungen zum Double-Opt-in-Prozedere inkl. Protokollierung, eingesetzten Trackingmaßnahmen und Analysemöglichkeiten beim Newsletterversand und vielem mehr. Natürlich darf auch der Hinweis nicht fehlen, auf welcher Rechtsgrundlage die ganze Datenverarbeiterei beruht.

Idealerweise stellen die Newsletter-Anbieter Mustertexte im Konto zur Verfügung, die rechtlich geprüft sind und von Ihnen mittels „copy and paste“ in die Datenschutzerklärung übernommen werden können.

Wer am Beispiel von MailChimp sehen möchte, was da alles zusammenkommt, dem sei dieser Blogbeitrag von Dr. Thomas Schwenke zur Lektüre empfohlen.

Die einzig rechtssichere Möglichkeit, Permissions fürs E-Mail-Marketing zu sammeln, ist das sog. Double-Opt-in-Verfahren. Hierzu sei nochmals darauf hingewiesen, dass die Checkmail, die zur Verifizierung des Opt-ins versendet wird, werbefrei gehalten sein muss und ein ordnungsgemäßes Impressum benötigt (TMG!). Da der User ein Auskunftsrecht und Unternehmen eine Nachweispflicht haben, ist eine Protokollierung der Einwilligung unumgänglich.

Die Abmeldung vom Newsletter muss einfach möglich sein, d.h. man darf den Usern keine Hürden – wie „Double-Opt-out“ oder „Opt-out nur nach Login“ – in den Weg legen.

Das sollte aber – unabhängig von den rechtlichen Vorgaben – aus Marketingsicht sowieso selbstverständlich sein. Denn der User möchte sich ja nur vom Newsletter abmelden – nicht mehr und nicht weniger. Das heißt also noch lange nicht, dass er damit gleich seine gesamte Kundenbeziehung mit uns beenden möchte! Es wäre also grob fahrlässig, ihn an dieser Stelle mit einem komplizierten Prozedere zu verärgern!

Problematisch sehe ich den Hinweis, dass eine Abmeldung ein echtes Löschen der Daten sein muss. Das habe ich an einigen Stellen so gelesen. Hier möchte ich anmerken, dass aus meiner Sicht ein berechtigtes Interesse sowohl des Unternehmens aber auch des Users bestehen kann, die E-Mail-Adresse oder im Printbereich auch die postalische Adresse in einer Negativliste zu behalten, um überhaupt gewährleisten zu können, dass diese dauerhaft von der Bewerbung ausgeschlossen werden kann.

Das Kopplungsverbot stellt eine wichtige Neuerung dar. Es regelt, dass die Einwilligung zur Datenverarbeitung freiwillig erfolgen muss.

Wenn also für die Erbringung einer Dienstleistung (z. B. Download eines Whitepapers, Erfüllung eines Kaufvertrags) die Einwilligung in die Verarbeitung von personenbezogenen Daten (z. B. Newsletter-Abo) nicht erforderlich ist, darf ich sie auch nicht daran koppeln.

Diese Regelung sorgt aus Usersicht positiv für Transparenz, denn immer dann, wenn ich für einen Service mit Daten zahle, ist etwas nicht wirklich „kostenlos“ und darf dann auch nicht mehr so benannt werden.

Allerdings gefährdet das Kopplungsverbot per se alle Geschäftsmodelle, die auf dem Prinzip „Service gegen Daten“ beruhen (z. B. auch alle Freemailer). Wenn ich so etwas einsetze, dann muss ich also erst einmal prüfen, ob es überhaupt noch zulässig ist, mit diesem Geschäftsmodell unverändert am Markt zu agieren. In jedem Fall ist es empfehlenswert, sich darüber Gedanken zu machen, ob ein „Entkoppeln“ möglich ist oder aber ein deutliches Kommunizieren der Gegenleistung „Daten“ Sinn macht.

Ich fokussiere in meiner Beratung nicht auf Social-Media-Marketing, daher bin ich auch im Hinblick auf die DSGVO nicht tiefer in die Anforderungen und Neuerungen eingestiegen, was diese Kanäle anbelangt.

Ich möchte aber an dieser Stelle einige Links im Hinblick auf Facebook-Fanpages sowie die Nutzung von Facebook-Ads empfehlen.

• Hier stellt Facebook Unternehmen, die die Plattformen und Lösungen der Facebook-Unternehmen nutzen, wichtige Informationen bereit.
  Aus meiner Sicht ist ein wichtiger Hinweis, dass Facebook in den meisten Fällen – bei einer „normalen“ Facebook-Unternehmensseite beispielsweise – die Rolle des Datenverantwortlichen übernimmt, nicht aber als Auftragsverarbeiter fungiert. Allerdings gibt es auch Anwendungsfälle, in denen Facebook als Auftragsverarbeiter agiert: Dazu zählen neben „Custom Audiences“ und „Workplace by Facebook“, von denen die meisten kleineren Unternehmen nicht betroffen sein dürften, allerdings auch „Messungen und Analysen“, die meines Erachtens bei jeglicher Nutzung von Facebook Werbekampagnen erstellt werden. Daher lohnt in diesen Fällen die weitere Beschäftigung mit dem Thema doch.

• Hierfür verweise ich auf den Blog von Thomas Hutter, der uns unter dem Tag „dsgvo“ sicher zu allen DSGVO-relevanten Entwicklungen im Hinblick auf Facebook auf dem Laufenden halten wird.

Die Umsetzung der DSGVO bringt – bezogen auf zeitliche wie monetäre Budgets – einen unverhältnismäßig großen Aufwand für kleine und mittlere Unternehmen mit sich.

Unverhältnismäßig wären auch die angedrohten Bußgelder, wobei ich persönlich hier ja auf den „Grundsatz der Verhältnismäßigkeit“ hoffen würde. Allerdings will ich persönlich das nicht austesten. Denn auch wenn nicht gleich die 20-Mio.-€-Karte gezogen würde: Selbst ein 5-stelliges Bußgeld reichte schon aus, um Detzel Marketing den Garaus zu machen…

Mein persönlicher Schreckmoment kam dann recht zum Schluss meiner Recherchen in Form einer dramatischen Erkenntnis: „Oh nein, ich bin ja manchmal auch selber Auftragsverarbeiter! Immer dann zum Beispiel, wenn ich im Auftrag meiner Kunden den Pressemitteilungsversand via Supermailer übernehme. Ich muss mir also zeitnah auch Gedanken darüber machen, wie ich einen Auftragsverarbeitungsvertrag für meine Auftragsverarbeitungstätigkeit erstellen (lassen) kann.

Aber nun starte ich erstmal – leider kurz vor Torschluss – in die Umsetzung der drängenden Themen.