Marketingteams müssen vor dem Versand zwei unterschiedliche rechtliche Fragen klären. Die DSGVO regelt personenbezogene Daten. Die ePrivacy-Richtlinie regelt elektronische Kommunikation.
Die DSGVO regelt personenbezogene Daten: was eine Verarbeitung rechtmäßig macht, welche Rechte die betroffene Person hat und was Sie nachweisen können müssen. Die ePrivacy-Richtlinie, Richtlinie 2002/58/EG, regelt elektronische Kommunikation, und es ist Artikel 13 dieser Richtlinie, umgesetzt im nationalen Recht jedes Mitgliedstaats, der eine vorherige Einwilligung für unaufgefordertes Marketing per E-Mail und SMS verlangt und die enge Ausnahme für eigene Bestandskunden eines Anbieters vorsieht.
Die DSGVO ist daher nicht das Instrument, das allein darüber entscheidet, ob Marketing-E-Mails versendet werden dürfen. Diese Seite folgt dem Text im Amtsblatt. Sie stellt keine Rechtsberatung dar. ePrivacy-Regeln unterscheiden sich je nach Mitgliedstaat.
Was verlangt die DSGVO von einem Marketingprogramm?
Eine Rechtsgrundlage für die Verarbeitung und einen Nachweis dafür.
Die Verarbeitung personenbezogener Daten ist unzulässig, sofern nicht eine von sechs Rechtsgrundlagen greift:
Processing shall be lawful only if and to the extent that at least one of the following applies:
(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;
...
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject
Sowohl (a) als auch (f) werden für Marketing herangezogen, und die Wahl hat mehr Tragweite, als es scheint. Berechtigte Interessen setzt voraus, dass Sie eine Interessenabwägung durchgeführt und dokumentiert haben, und befreit Sie nicht von der ePrivacy-Einwilligungsregel für den Versand selbst. Diese Grundlage zu wählen, weil eine Einwilligung aufwendig erscheint, löst das falsche Problem.
Was gilt als Einwilligung?
Eine aktive Handlung – und die Verordnung schließt die gängigen Abkürzungen ausdrücklich aus:
Consent should be given by a clear affirmative act establishing a freely given, specific, informed and unambiguous indication of the data subject's agreement to the processing of personal data relating to him or her ... Silence, pre-ticked boxes or inactivity should not therefore constitute consent.
Artikel 7 stellt dann vier Bedingungen auf, und jede davon schließt ein verbreitetes Anmeldemuster aus:
1. Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.
2. If the data subject's consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language.
3. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof. It shall be as easy to withdraw as to give consent.
4. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.
Drei praktische Lesarten:
- Eine in den Nutzungsbedingungen versteckte Marketingeinwilligung verstößt gegen Absatz 2, weil sie nicht klar von den übrigen Gegenständen der Erklärung unterscheidbar ist.
- Ein Ein-Klick-Abo mit mehrstufiger Abmeldung verstößt gegen Absatz 3. Der Widerruf muss genauso einfach sein wie die Erteilung – das ist eine Symmetrieanforderung, keine allgemeine Zumutbarkeitsprüfung.
- Eine Pflicht zur Marketingeinwilligung als Voraussetzung für die Produktnutzung verstößt gegen Absatz 4, wenn das Marketing nicht zur Erbringung der Dienstleistung erforderlich ist.
Absatz 1 ist derjenige, der Ihr Datenschema statt Ihr Formular bestimmt. Sie müssen die Einwilligung nachweisen können. Das bedeutet: Speichern Sie, wann sie erteilt wurde, was dabei gesagt wurde und durch welche Handlung – nicht nur ein Flag mit dem Wert Ja.
Was passiert, wenn jemand widerspricht?
Das Marketing endet, ohne Abwägung und ohne Ausnahmen.
Die meisten DSGVO-Rechte unterliegen Einschränkungen. Das Widerspruchsrecht gegen Direktmarketing nicht:
2. Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related to such direct marketing.
3. Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.
Vergleichen Sie das mit dem allgemeinen Widerspruchsrecht in Absatz 1, bei dem ein Verantwortlicher die Verarbeitung fortsetzen darf, wenn er "demonstrates compelling legitimate grounds". Eine solche Klausel existiert in Absatz 2 nicht. Deshalb macht das Stützen auf berechtigte Interessen eine Marketingliste nicht beständiger als eine Einwilligung: Ein Widerspruch beendet beides.
Daran ist außerdem eine Hinweispflicht geknüpft:
4. At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
Zum Zeitpunkt der ersten Kontaktaufnahme, gesondert dargestellt. Ein Hinweis auf Betroffenenrechte, der nur über einen Link zur Datenschutzerklärung erreichbar ist, erfüllt das nicht offensichtlich.
Was bringt das noch mit sich?
Zwei Dinge, die leicht als Formalität abgetan werden und keine sind.
Ein Vertrag mit Ihrer Versandplattform. Ein Anbieter, der in Ihrem Auftrag versendet, ist ein Auftragsverarbeiter, und die DSGVO verlangt einen konkreten schriftlichen Vertrag zwischen Ihnen. Was ist ein Auftragsverarbeitungsvertrag beschreibt, was Artikel 28 für diesen Vertrag vorschreibt.
Wo die Daten liegen. Übermittlungen außerhalb der EU brauchen eine eigene Rechtsgrundlage. Damit wird die Region, in der Ihre Daten gespeichert und verarbeitet werden, zu einer Compliance-Frage statt einer Infrastrukturentscheidung. Was ist Datenresidenz beschreibt, wie das auf Bird funktioniert.
Kurz gesagt
Die DSGVO ist nicht die Vorschrift, die eine Einwilligung zum Versand verlangt.
Diese Vorschrift steht in der ePrivacy-Richtlinie. Die DSGVO regelt die personenbezogenen Daten, die Sie erheben und verarbeiten – eine andere Frage mit einer anderen Antwort.
Einwilligung hat eine Definition, und Schweigen erfüllt sie nicht.
Vorangekreuzte Kästchen und Untätigkeit sind ausgeschlossen, und der Widerruf der Einwilligung muss genauso einfach sein wie ihre Erteilung.
Das Widerspruchsrecht gegen Direktmarketing ist absolut.
Es gibt keine Abwägung und kein berechtigtes Interesse, das dem standhält. Sobald jemand widerspricht, endet die Verarbeitung für Marketingzwecke.
Sie müssen die Einwilligung nachweisen können, nicht nur besitzen.
Die Beweislast liegt beim Verantwortlichen. Damit wird die Aufzeichnung, wann und wie die Einwilligung erteilt wurde, Teil der Anforderung.