E-Mail-Marketing und die DSGVO

Das E-Mail-Marketing ist nach wie vor eines der beliebtesten und verbreitetsten Mittel, um neue Kunden zu gewinnen und auf das Unternehmen aufmerksam zu machen. Konjunktur hat somit auch der Einsatz innovativer und geeigneter Tools. Besonders die datenschutzkonforme Umsetzung des E-Mail-Marketings ist in den vergangenen Jahren in den Fokus gerückt und wirft in der Praxis häufig Fragen auf. In diesem Blog-Artikel zeigen wir auf, worauf zu achten ist und wo derzeit die rechtlichen Fallstricke liegen, um sich vor unliebsamen Schreiben und Bußgeldern zu schützen.

Die Auswahl geeigneter Tools

Mit der Anwendung der Datenschutzgrundverordnung (DSGVO) seit dem 25.05.2018 hat sich die Rechtslage in Sachen Datenschutz in einigen Aspekten verändert. Anbieter von Software as a Service-Dienstleistungen ("SaaS") sind seither dazu angehalten, datenschutzfreundliche Voreinstellungen in ihren Produkten und Services zu implementieren ("Privacy by Design"). Darüber hinaus müssen sie Nutzern die Möglichkeit geben, ihre Datenschutz-Präferenzen individuell einstellen zu können ("Privacy by Default"). Der Datenschutz beginnt daher bereits bei der Auswahl geeigneter Lösungen, für deren Einsatz der Verwender als Auftraggeber im Rahmen einer sogenannten „Auftragsverarbeitung“ verantwortlich zeichnet (Art. 28 DSGVO). Wer hier bereits auf den Datenschutz achtet ist gut beraten, um die DSGVO-Anforderungen in der Praxis zu erfüllen. Besonders Software-Anbieter außerhalb der Europäischen Union (EU) punkten mit attraktiven Features, weisen jedoch bei genauem Hinsehen ein anderes Verständnis für den Datenschutz auf. Problematisch ist insbesondere die Datenübermittlung in sogenannte "unsichere Drittländer". Das sind solche Länder, die kein der EU gleichwertiges Schutzniveau für personenbezogene Daten aufweisen oder aufgrund nationaler Besonderheiten auch gar nicht aufweisen können (z. B. aufgrund von umfassenden Signalüberwachungstätigkeiten). Diese Fälle sind zu Dauerbrennern in der aufsichtsbehördlichen Praxis geworden. Deutsche und europäische Anbieter sind in Sachen Datenschutz daher meist deutlich im Vorteil.

Worauf rechtlich zu achten ist

Beim E-Mail-Marketing spielen neben dem Datenschutz auch wettbewerbsrechtliche Faktoren eine entscheidende Rolle. Denn wer unzulässiges E-Mail-Marketing betreibt, handelt in der Regel auch wettbewerbswidrig nach dem Gesetz gegen den unlauteren Wettbewerb (UWG). Nicht nur klassische Newsletter sind grundsätzlich nur mit einer Einwilligung Betroffener zulässig, sondern auch die werbliche Ansprache insgesamt. Es bedarf also keiner „reinen“ werblichen E-Mail, um die daraus resulierenden Anforderungen bereits erfüllen zu müssen. Die erste Besonderheit hier zu Lande ist das Verfahren zum sogenannten "Double-Opt-In" (kurz "DOI"). Dabei geht es zusammengefasst darum, dass wer sich für das Newsletter anmeldet auch tatsächlich der Inhaber des E-Mail-Accounts ist. Es erfolgen somit grundsätzlich zwei Einwilligungen, nämlich die Anmeldung zum Newsletter und in der Folge die Bestätigung des Inhabers im E-Mail-Account selbst. Beide dieser "bestätigenden Handlungen" müssen zudem nachweisbar und damit systemseitig protokolliert sein. Bereits das Zusenden der - egebenenfalls nicht angeforderten - ersten Bestätigungsmail an den Account-Inhaber würde andernfalls einen Wettbewerbs-Verstoß dastellen.

Ausnahme vom Einwilligungserfordernis

Es existiert jedoch eine Ausnahme von dem Einwilligungserfordernis, nämlich das E-Mail-Marketing für die eigenen Bestandskunden. Die Ausnahme gilt nach dem UWG zumindest für solche E-Mails, die sich auf "ähnliche Waren und Dienstleistungen" beziehen, die durch Kunden bereits erworben wurden. Nach der DSGVO bewegt sich das Bestandskunden-Marketing entsprechend im Bereich eines „berechtigten Interesses“ nach Art. 6 Abs. 1 lit. f DSGVO. Ob sich die Zulässigkeit somit nur auf "ähnliche Waren und Dienstleistungen" oder sogar auf sämtliche Leistungen bezieht, ist rechtlich umstritten. Hierbei besteht ein potentieller Konflikt zwischen dem Datenschutz- und dem Wettbewerbsrecht. Es sollte daher besonders darauf geachtet werden, die einzelne Newsletter-Typen zu kategorisierten, damit Betroffene beim Abmelden bzw. Widerrufen der Einwilligung eine zweckbezogene Auswahl treffen können. Sofern nicht die Einwilligung einschlägig ist (Widerruf), handelt es sich dabei um einen Widerspruch.

Weitere Aspekte, die zu beachten sind

Neben dem "DOI-Verfahren" ist eine Reihe weiterer Aspekte für die Ausgestaltung einer Einwilligung entscheidend. Die Einwilligung muss sowohl transparent als auch ausdrücklich erfolgen und einen direkten Hinweis darauf enthalten, "dass" und auch "wie" das bestehende Widerrufsrecht ausgeübt werden kann. Für das "DOI-Verfahren" hat sich somit die „Kästchen-Lösung“ als ausdrückliche und nachweisliche Einwilligung etabliert. Dennoch ist Vorsicht geboten, denn man kann beispielsweise nicht „in Datenschutzbestimmungen“ insgesamt einwilligen. Ein derartiges Einverständnis ist nicht konkret und versetzt den Nutzer in eine Zwangslage, sämtlichen Verarbeitungen zuzustimen. Eine Einwilligung muss sich von anderen Sachverhalten deutlich unterscheiden und auf konkret festgelegte Zwecke beziehen. Für Betroffene muss klar erkennbar sein, "worauf sie sich einlassen" und "in was genau" sie einwilligen. Eine Einwilligung, insbesondere im E-Mail-Marketing, gilt zudem zeitlich nicht unbegrenzt und muss in regelmäßigen Abständen erneuert werden. Somit ist auch die inhaltliche Ausgestaltung der Einwilligung entscheidend, damit diese rechtlich wirksam ist.