Newsletter

Anbieterauswahl im Fall von spezialisierten Dienstleistern

Die Nutzung eines Newsletter-Anbieters als Software-as-a-Service (häufig auch Cloud-Anbieter genannt), dürfte für die meisten Organisationen der einfachste Weg sein. Bei solchen Anbietern ist jedoch eine Reihe von Punkten zu prüfen:

1. Im Fall von Anbietern außerhalb des europäischen Wirtschaftsraums: Rechtsgrundlage für internationale Datentransfers klären.
   
   Praktische Relevanz
   An vielen Stellen werden US-amerikanische Anbieter für Newsletter beworben. Aufgrund des Schrems II-Urteils des Europäischen Gerichtshofs sind entsprechende Rechtsgrundlagen für Datentransfers in die USA jedoch nur in Ausnahmefällen und mit zusätzlichem Aufwand möglich.
   
   Praxistipp
   Der einfachste Weg ist es sicherlich, sich auf Anbieter aus dem europäischen Wirtschaftsraum zu beschränken.
    
2. Vertrag zur Verarbeitung im Auftrag muss abgeschlossen werden.
   
   Hintergrund
   Datenverarbeitung, für die die eigene Organisation verantwortlich ist, wird an Dritte ausgelagert.
   
   PraxisTIpp
   Kann ein separater Vertrag, in AGB integriert oder zusätzliche Funktion im Kundenportal sein. Hilfe-Seiten des Anbieters sollten hierüber Auskunft geben.
    
3. Datenschutzkonforme Anmeldeseiten
   (falls offene Anmeldung erwünscht)
   • Links für Impressum und Datenschutzhinweise vorhanden und lassen sich auf eigene Webseite verlinken
     
     Hintergrund
     Die eigene Organisation ist die sogenannte verantwortliche Stelle und nicht der Anbieter der Newsletter-Software.
      
   • Text der Anmeldemaske (insbesondere Einwilligungstext) kann angepasst werden oder passt bereits für die eigenen Zwecke.
     
     Hintergrund
     Muss an die selbst gewählte Rechtsgrundlage (siehe Schritt 2) und eventuelle Besonderheiten wie Open-/Clickrate-Tracking angepasst werden. Pflichtelemente wie der Hinweis auf die Widerrufsmöglichkeit im Fall einer Einwilligung müssen enthalten sein.
      
   • Möglichst keine Drittanbieter/Tracking-Tools auf der Anmeldeseite integriert. Wenn doch, dann nur in angemessenen Rahmen und als Unterauftragsverarbeiter, zum Beispiel für technische Fehleranalysen.
      
   • Falls ein Captcha zum Einsatz kommt: Datenschutzkonformer Captcha-Dienst. Siehe vorherigen Punkt zu auf der Anmeldeseite integrierten Drittanbietern.
      
   • Double Opt-In in der Regel sinnvoll. Hierzu versendete Mails sollten die im Folgenden genannten Anforderungen an Newsletter-Mails ebenfalls erfüllen.
      
4. Datenschutzkonforme Newsletter-Mails
   • Impressum per Link oder als Teil der versendeten E-Mails
   • Link zu Datenschutzhinweisen sollte enthalten sein
   • Abmeldelink am Ende jeder E-Mail (außer in besonderen Fällen ohne gesonderte Abmeldemöglichkeit bei vertraglicher Rechtsgrundlage)
   • Kein Open-/Clickrate-Tracking, außer es ist erwünscht und Teil der Einwilligung (siehe oben)

Unabhängig von der Art des Versands (spezialisierter Anbieter, Website-Plugin oder E-Mail-Programm) benötigt ihr eine Rechtsgrundlage nach DSGVO für den Versand des Newsletters. Denn das Sammeln der Empfänger-Adressen und der Versand stellen eine Verarbeitung personenbezogener Daten dar.

Prinzipiell kommen die folgenden Rechtsgrundlagen nach Art. 6 DSGVO in Betracht:

• Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO
• vertragliche Grundlage nach Art. 6 Abs. 1 lit. b) DSGVO
• berechtigtes Interesse nach Art. 6 Abs. 1. lit. f) DSGVO

Eine vertragliche Grundlage habt ihr beispielsweise dann, wenn ihr im Rahmen eines bestehenden Vertrags (z.B. Vereinsmitgliedschaft) E-Mails an eure Vertragspartner senden, die für die Vertragserfüllung erforderlich sind (z.B. Einladung zur Mitgliederversammlung). Bei Newslettern zu denen man sich separat anmeldet, ist dies in der Regel nicht der Fall, kann aber durch das Akzeptieren von Nutzungsbedingungen für den Newsletter erreicht werden. Allerdings bieten sich bei einem solchen „Newsletter-Vertrag“ kaum Vorteile gegenüber den anderen beiden Rechtsgrundlagen, so dass gesonderte Newsletter-Nutzungsbedingungen selten sinnvoll sind.

Beim Versand von Newslettern auf der Basis eines berechtigten Interesses müsst ihr eine Abwägung mit den berechtigten Interessen eurer Organisation gegenüber den Risiken für die E-Mail-Empfänger vornehmen. Dies kommt dann in Betracht, wenn üblicherweise mit dem Erhalt entsprechender E-Mails gerechnet werden kann und die jederzeitige Möglichkeit der Abmeldung (eines Widerspruchs) besteht. Anwendungsfälle hierfür sind beispielsweise die Bewerbung von Folgeveranstaltungen bei ehemaligen Veranstaltungsteilnehmern sowie Informationen über Vereinsaktivitäten für die Mitglieder und Sponsoren eines Vereins. Diese Interessenabwägung solltet ihr dokumentieren.

Solltet ihr keine vertragliche Grundlage haben und das berechtigte Interesse kommt nicht in Betracht, bleibt nur noch die Einwilligung als Rechtsgrundlage. Die Anforderungen an eine Einwilligung sind sehr hoch, aber durch den Einsatz einer Anmeldemaske mit nachgeschalteter Double Opt-In-Funktion in der Praxis gut umsetzbar. Wichtig ist, dass die Einwilligung dokumentiert wird (z.B. in der Newsletter-Software), die Einwilligung spezifisch genug ist, auf das Widerrufsrecht hingewiesen wird und der Widerruf auch jederzeit möglich ist (z.B. per Abmeldelink). Eine Kopplung der Einwilligung an weitere Dienstleistungen kann unzulässig sein und sollte daher vermieden werden.

Bei der Aufnahme bestehender Kontakte in euren Newsletter (z.B. Vereinsmitglieder) gelten dieselben Anforderungen in Bezug auf die Rechtsgrundlage wie bei der Aufnahme neuer Kontakte in den Verteiler!

Unabhängig vom gewählten Anbieter bzw. Tool und der gewählten Rechtsgrundlage, müsst ihr die Empfänger eures Newsletters über die Datenverarbeitung informieren [Link zu Datenschutzhinweise erstellen].

Nach Art. 13 DSGVO müsst ihr über folgendes informieren:

• Zweck der Datenverarbeitung, also des Newsletters (Kommunikation, Bewerbung von Veranstaltungen, etc.)
• von euch gewählte Rechtsgrundlage (Einwilligung, Vertrag, berechtigtes Interesse), ggf. mit Hinweis auf euer berechtigtes Interesse (Bewerbung von Folgeveranstaltungen, etc.)
• Hinweis auf Abmeldemöglichkeit (je nach Rechtsgrundlage im Hinblick auf Recht auf Widerruf oder Widerspruch)
• Dauer der Datenspeicherung (wie lange werden die Datensätze nach Abmeldung aufbewahrt?)
• ggf. Einsatz externer Dienstleister (z.B. bei Nutzung von Software-as-a-Service Anbieter)
• ggf. gesonderte Rechtsgrundlage bei Übermittlung in Drittländer außerhalb EWR

Die entsprechenden Informationen könnt ihr beispielsweise in einen gesonderten Abschnitt der allgemeinen Datenschutzhinweise eurer Webseite (häufig auch Datenschutzerklärung genannt) integrieren. Alternativ könnt ihr ein separates Dokument speziell für den Newsletter erstellen, dass ihr an entsprechenden Stellen zur Verfügung stellen bzw. verlinkt. In letzterem Fall kommen noch die allgemeinen Pflichtangaben des Art. 13 DSGVO hinzu: Name und Kontaktdaten des Verantwortlichen sowie des Datenschutzbeauftragten (falls zutreffend), der Hinweis auf Betroffenenrechte, sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde.

Autor: Hendrik vom Lehn