Newsletter Versand mit dem eigenem Webserver - datenschutzkonform

von (Kommentare: 0)

In unserer Tätigkeit als Datenschutzbeauftragte haben wir hin und wieder Kontakt zu den Aufsichtsbehörden. Da wir viele Kunden in Baden-Württemberg betreuen, ist der Kontakt zum LfDI BW am häufigsten. In diesem Zusammenhang ergaben Beschwerdeverfahren Anhaltspunkte, wie die Behörde in Baden-Württemberg die datenschutz­konforme Umsetzung von Newslettern sieht. Schwerpunkt­mäßig legt die Behörde hier einen hohen Stellenwert auf die Nachweisbarkeit und die Pflichtinformationen.

Im nachfolgenden Beitrag möchten wir sowohl auf die seitens der Behörde verlangten Anforderungen als auch auf eine Umsetzungsmöglichkeit auf dem eigenen Webserver eingehen. Hierbei erläutern wir, wie Sie oder Ihre Web-Agentur einen typischen Newsletter - ohne zusätzliche Drittanbieter - über die eigene Webseite datenschutzkonform organisieren können.

Anforderungen seitens des LfDI BW

Nachfolgende Punkte bei Newslettern sieht die Behörde in Baden-Württemberg als verpflichtend an:

  • Gibt es einen Nachweis für den Double-Opt-In (DOI) „Klick“?
    Der Verantwortliche muss die Registrierung zum Newsletter, also den „Klick“ auf den Anmeldelink in der E-Mail, nachweisen können. Hierfür sind die Server Log Files erforderlich.

  • Wurde der Betroffene korrekt und vollständig informiert?
    Hierbei ist es wichtig, nicht nur auf die Verarbeitung und Speicherung der Daten hinzuweisen, sondern auch auf den Zweck sowie auf die Rechte des Nutzers im Hinblick auf den Widerruf. Auch alle Angaben gemäß § 5 TMG (Impressum) sind erforderlich.

  • Liegt tatsächlich eine Einwilligung vor?
    Hier ist Vorsicht geboten: die reine „Bestätigung“ der E-Mail-Adresse ist laut Behörde im rechtlichen Sinne keine Einwilligung zum Erhalt eines Newsletters! Aus der Formulierung im Double-Opt-In-Verfahren muss eindeutig hervorgehen, dass die betroffene Person, dem Erhalt des Newsletters zustimmt.

Sollten Sie für die Verwaltung und den Versand von Newslettern einen externen Dienstleister einsetzen, empfehlen wir, sich die Rechtssicherheit im Rahmen des DOI bestätigen zu lassen.  

Newsletter-Prozess

Der klassische Ablauf zur Anmeldung dürfte inzwischen jedem bekannt sein. Dennoch werden auch beim nachfolgenden Newsletter-Prozess immer wieder Fehler gemacht - entweder seitens der Verantwortlichen oder der Web-Agenturen.

Egal, ob Sie einen Dienstleister nutzen oder Ihren Newsletter eigenständig aufsetzen, der Ablauf sollte immer wie folgt organisiert sein:



Bei einem Newsletter handelt es sich zudem um eine Verarbeitungstätigkeit im Sinne des Art. 4 DSGVO. Somit ist die Tätigkeit auch im Verzeichnis der Verarbeitungstätigkeiten gem. Art. 30 DSGVO zu dokumentieren, da Sie als Unternehmen personenbezogene Daten (E-Mail-Adresse, IP-Adresse und ggfs. den Namen) verarbeiten.

Rechtsgrundlage

Die Rechtsgrundlage für die Verarbeitung im Rahmen des Newsletters ist in der Regel die Einwilligung des Nutzers gem. Art. 6 Abs. 1 a) DSGVO. Auf den Versand im Rahmen des berechtigten Interesses (Art. 6 Abs. 1 f) DSGVO) gehen wir hier bewusst nicht ein, da dieser an weitere, über den Datenschutz hinausgehende, rechtliche Bedingungen geknüpft ist.

Die Verarbeitung ist nur dann rechtmäßig,

  • wenn der Abonnent die Einwilligung zum Erhalt des Newsletters gegeben hat und transparent über die Verarbeitung informiert wurde (Art. 6 Abs. 1 a) i. V. m. Art. 5 Abs. 1 a) DSGVO) und

  • wenn er im Zusammenhang mit seiner Einwilligung in verständlicher Sprache über den Zweck informiert wurde. Die Information in verständlicher Weise bezieht selbstverständlich sich nicht nur auf den Zweck der Verarbeitung, sondern auf sämtliche Hintergründe der Datenverarbeitung - über alle in Art. 13 DSGVO aufgezählten Punkte muss in einfacher und verständlicher Sprache informiert werden.

  • wenn die Einwilligung nachgewiesen werden kann (Art. 7 Abs. 1 i. V. m. Art. 5 Abs. 2 DSGVO und EG 42).

  • wenn der Abonnent über seine Rechte aufgeklärt wurde. Hierbei steht vor allem die Widerrufsmöglichkeit der Einwilligung im Vordergrund (Art. 7 Abs. 3 DSGVO).

  • wenn die Sicherheit der Verarbeitung (Art. 32 DSGVO) gewährleistet ist und die personenbezogenen Daten gegenüber Dritten nicht offengelegt werden. Um die Integrität und Vertraulichkeit (Art. 5 Abs. 1 f) DSGVO) zu gewährleisten, müssen die Daten also immer verschlüsselt (Art. 32 Abs. 1 a) DSGVO) übertragen werden.  

  • wenn die Einwilligung freiwillig erteilt wurde (Art. 7 Abs. 4 DSGVO).

Umsetzung über den eigenen Webserver

Um den Newsletter über die eigene Webseite zu realisieren, sollten demnach folgende Punkte beachtet werden:

  • Die Seite (Formular) zur Anmeldung für den Newsletter muss SSL-verschlüsselt (https://) sein.

  • Als Pflichtfeld darf lediglich die E-Mail-Adresse abgefragt werden. Alle restlichen Felder, wie z. B. Vor- und Nachname, müssen optional bleiben.

  • Die Double-Opt-In E-Mail vom Webserver an den Abonnenten darf ebenfalls nur verschlüsselt via SMTP-Protokoll SSL/TLS (meist Port 465) versendet werden.

  • Der Inhalt der Double-Opt-In E-Mail muss genau über den Zweck informieren, die Pflichtinformationen sowie ein Impressum enthalten. Hierbei können die Pflichtinformationen in der Double-Opt-In E-Mail enthalten sein. Alternativ nutzen Sie einen Link, um den Abonnenten auf Ihre Datenschutzerklärung zu leiten, in der die erforderlichen Angaben enthalten sind.

    Wichtig: Da die DOI-E-Mail alle Informationen nach Art. 13 DSGVO enthalten muss, die im Falle einer Beschwerde als Nachweis den Aufsichtsbehörden vorzulegen sind, empfehlen wir, zu Beweiszwecken ein BCC-Postfach zu erstellen. Die DOI-E-Mail an den Abonnenten sollte zeitgleich an diese BCC-E-Mail-Adresse gesendet werden, sodass ihr Versand dokumentiert wird.

    Wichtig: Es dürfen in der DOI-E-Mail keine Inhalte werblicher Natur enthalten sein, also keinesfalls Werbung zu Produkten, Dienstleistungen, Werbepartnern oder Informationen zu Rabatten usw..

  • Die Server-Log-Files der Web-Seiten „An- und Abmeldebestätigung“ sollten zu Beweiszwecken erst nach 3 Jahren (§ 195 BGB) nach der Abmeldung (Widerspruch) gelöscht werden.

Technische Voraussetzungen

Um den Newsletter auf dem eigenen Server umzusetzen, bedarf es ein paar Punkte, die berücksichtigt werden sollten:

  1. Server-Log-Files trennen
    Auch wenn es auf den ersten Blick seltsam wirkt, Sie sollten für den Newsletter einen separaten Webserver einrichten. Die erste Domain ist Ihre normale Webseite, z. B. https://www.kundendomain.de. Für die An- und Abmeldebestätigung des Newsletters verwenden Sie eine Sub-Domain, z. B. https://reg-nl.kundendomain.de

    Hintergrund:
    Die Server-Log-Files Ihrer normalen Webseite dürfen nicht lange gespeichert werden. Durch die regelmäßige Löschung der älteren Server-Log-Files würden Sie somit auch die Nachweise der Newsletter-An- bzw. Abmeldung vernichten, die Sie ggfs. der Behörde bereitstellen müssen.

  2. BCC-Postfach einrichten
    Zur Dokumentation der Pflichtinformationen sowie der Newsletter An- und Abmeldung erstellen Sie ein E-Mail-Postfach (z. B. bcc-nl-doku@kundendomain.de). Dieses Postfach wird ausschließlich zu Nachweiszwecken benötigt und darf nur von einem begrenzten Personenkreis einsehbar sein.

  3. Formular zur Newsletter-Anmeldung erstellen
    In der Regel nutzen Sie ein Content-Management-System (CMS) für die Pflege der Webseite. Diese Systeme besitzen meist von Haus aus Formular-Generatoren oder sie können durch Erweiterungen (Plugins) nachgerüstet werden.

Wir empfehlen, zur eindeutigen Zuordnung des Abonnenten, eine Art Kundennummer zu verwenden. Diese kann bereits im Newsletter-Anmeldeformular durch die Einbindung eines versteckten Elementes in Verbindung mit Ihrem PHP-Webserver erfolgen. Falls Ihre Webseite einen PHP-Server verwendet, kann durch die Einbindung dieses Codes eine solche „unique ID“ (UID) erzeugt werden:

<input type="hidden" name="uid" value="<? php echo uniqid(); ?>">

Weitere Informationen, die die Code-Zeile gut erklären finden Sie z. B. im selfhtml Tutorial und auf der Webseite von php-kurs.

Diese UID sollte als eindeutige Kennung in jeder Double-Opt-In E-Mail, dem Newsletter und den Abmeldelinks als Parameter enthalten sein. Nur so können Sie Ihre Leser eindeutig zuordnen.

Wichtig:
Bitte nutzen Sie nicht die E-Mail-Adresse als Parameter! In diesem Fall läge wahrscheinlich ein Datenschutzvorfall vor, besonders dann, wenn die Übertragung unverschlüsselt erfolgt.

Versand der Formularinhalte und der Double-Opt-In E-Mail an den Abonnenten

Sobald Ihr potenzieller Leser auf den Button [Abonnieren] klickt, versendet der Webserver zwei E-Mails. Diese Funktion bieten viele CMS-Systeme oder sie kann mittels Mailer-Plugins einfach nachgerüstet werden.

Formularinhalte senden

Um den neuen Leser in den Newsletter-Verteiler aufzunehmen, benötigen Sie die Informationen, die er/sie im Formular eingetragen hat. Damit aber hier kein Fehler passiert und Sie die E-Mail-Adresse bereits jetzt und ohne die Opt-In-Einwilligung in Ihren Newsletter-Verteiler aufnehmen, empfehlen wir, die E-Mail nicht sofort an die zuständige Stelle (Marketing o. ä.) zu senden. Diese E-Mail sollte ebenfalls im BCC-Postfach gespeichert werden. Erst wenn der Abonnent die Double-Opt-In E-Mail aktiv bestätigt, dürfen Sie die Informationen abrufen und nutzen.

Double-Opt-In E-Mail an den Abonnenten

Die zweite E-Mail wird direkt an den Abonnenten und zusätzlich als Kopie an Ihr BCC-Postfach versendet. Nachfolgende E-Mail (Textvorschlag) sollte alle Pflichtinformationen (hier per Link realisiert) und den Opt-In-Link zur Bestätigungsseite enthalten:

Guten Tag (ggf. Anrede und Name),

vielen Dank für Ihre Anmeldung zu unserem Newsletter.

Sie haben es fast geschafft - mit einem Klick auf den Link bestätigen Sie Ihre E-Mail-Adresse und stimmen dem Erhalt unseres Newsletters zu.
Dann erhalten Sie regelmäßig Informationen und News zu den Themen [eintragen – bspw. Produkte, Dienstleistungen usw.] und unserem Unternehmen.

Weitere Informationen zur Verarbeitung Ihrer Daten im Rahmen Ihres Abonnements finden Sie in unserer Datenschutzerklärung unter https://www.kundendomain.de/Datenschutz/.

Sofern Sie den Newsletter nicht abonniert haben, ignorieren Sie bitte diese E-Mail.

Bitte bestätigen Sie Ihr Newsletter-Abonnement unter folgendem Link:
https://reg-nl.kundendomain.de/confirm.php?uid=[individuelle-ID]

Mit freundlichen Grüßen
Kundenservice

(hier die vollständigen Impressum-Angaben anfügen)

Bestätigung des Newsletter-Abonnements

Hat der Abonnement die Double-Opt-In E-Mail erhalten und das Abonnement durch das Anklicken des Links bestätigt, sollte die erfolgreiche Registrierung auf der Webseite https://reg-nl.kundendomain.de/confirm.php?uid=[individuelle-ID] mit der Meldung „Vielen Dank für Ihre Newsletter-Anmeldung.“ bestätigt werden.

Um jetzt die Marketing-Abteilung über den Eingang eines neuen Abonnenten zu informieren, versendet die Webseite „confirm.php“ eine E-Mail an die zuständige Abteilung (z. B. nl-marketing@kundendomain.de) und zu Dokumentationszwecken an das BCC-Postfach.

Leser in den Newsletter-Verteiler aufnehmen

Erhält die zuständige Stelle per E-Mail die Informationen, dass ein neuer Nutzer sich zum Newsletter angemeldet hat, kann die E-Mail-Adresse und die sonstigen freiwilligen Angaben, die die Person im Formular eingegeben hat, leicht im BCC-Postfach über die UID gefunden und in die Verteilerliste übertragen werden.

Der Prozess des eigentlichen Newsletter-Versandes ist nicht Bestandteil dieses Blogs, da es hier unterschiedliche Möglichkeiten und Tools gibt.

Wichtig ist, dass beim Versenden der Newsletter immer die UID und natürlich die E-Mail-Adresse benötigt werden.

Inhaltliche Erfordernisse der Newsletter

Wie oben bereits erwähnt, benötigt der Newsletter, neben den Inhalten, die Sie versenden, immer ein Impressum, die Hinweise zum Datenschutz und die Möglichkeit, den Widerruf auszuüben und sich vom Newsletter abzumelden (Opt-Out). Dies könnte wie folgt aussehen:

[Inhalte des Newsletters]

Mit freundlichen Grüßen
Kundenservice
(hier die vollständigen Impressum-Angaben einfügen)

Möchten Sie unseren Newsletter nicht mehr erhalten, so können Sie durch den Aufruf des folgenden Links Ihr Abonnement kündigen:
https://reg-nl.kundendomain.de/cancel.php?uid=[individuelle-ID]

Weitere Informationen zur Verarbeitung Ihrer Daten im Rahmen Ihres Abonnements finden Sie in unserer Datenschutzerklärung unter https://www.kundendomain.de/Datenschutz/.

Newsletter Abmeldung

Nutzen Sie die Abmeldung über die Webseite https://reg-nl.kundendomain.de, bestätigen Sie den Widerruf z. B. mit der Meldung „Vielen Dank, Ihre E-Mail-Adresse wird aus unserem Verteiler gelöscht.“

Um die Marketing-Abteilung über den Widerruf zu informieren, versendet die Seite „cancel.php“ eine E-Mail an die zuständige Abteilung (z. B. nl-marketing@kundendomain.de) und zu Dokumentationszwecken auch an das BCC-Postfach. Jetzt müssen Sie zeitnah, spätestens jedoch vor dem nächsten Newsletter-Versand, dafür sorge Tragen, dass die E-Mail-Adresse gelöscht wird.

Anstatt des Abmeldelinks über die Webseite, kann die Abmeldung auch über eine E-Mail erfolgen. Das folgende Beispiel generiert eine E-Mail über das E-Mail-Programm des Lesers, über den er Sie über seine Abmeldung informiert:

<a href="mailto:nl-marketing@kundendomain.de?subject=Widerruf%20-%20Abmeldung%20vom%20Newsletter%20(UID%20XvoqTVlt42)&body=Bitte%20l%C3%B6schen%20Sie%20meine%20E-Mail-Adresse%20aus%20dem%20Verteiler. %0D%0AVielen%20Dank">Newsletter Abmelden</a>

Das Ergebnis dieses einfachen Beispiels sieht wie folgt aus: Abmeldung vom Newsletter

Sie können einen solchen Code mittels eines Online-Mailto-Generators (zum Beispiel über die Seite https://mailtolinkgenerator.com/) generieren.
In diesem Fall sollten Sie die E-Mail-Adresse aus dem Verteiler löschen und Ihrem Leser die Löschung ebenfalls bestätigen. Auch hier gilt es, die Bestätigung gleichzeitig an das BCC-Postfach (als BCC und nicht in CC!) zu Dokumentationszwecken zu senden.

Fazit

Einen Newsletter-Prozess mit dem eigenen Webserver und ohne einen externen Dienstleister zu organisieren ist generell, jedoch mit etwas Aufwand, machbar. Hier haben Sie die volle Kontrolle auf die Server-Log-Files und haben, durch den Einsatz eines BCC-Postfachs, einen zentralen Platz für die Dokumentation der An- und Abmeldungen sowie den Nachweis der Pflichtinformationen.

Nutzen Sie einen externen Drittanbieter, verzichten Sie in der Regel auf die Möglichkeit des Zugriffes auf die Server-Log-Files. Diese Informationen stellen die Drittanbieter in einer anderen Form (z. B. der Detailansicht) bereit. Sobald sich ein Leser abmeldet, wird die E-Mail-Adresse meist aus der Datenbank gelöscht. Im Falle einer Behördenanfrage haben Sie, je nach Anbieter, teilweise keine Möglichkeit der Beweisführung.

Aus diesem Grund empfehlen wir auch beim Einsatz von externen Dienstleistern generell den Einsatz eines BCC-Postfaches zur Dokumentation.

Halten Sie sich an die aufgeführten Punkte und es liegt keine technische Störung vor, können Sie davon ausgehen, dass Ihr Newsletter Prozess datenschutzkonform umgesetzt ist und einer Prüfung durch die Aufsichtsbehörde standhält.

Als externe Datenschutzbeauftragte unterstützen wir unsere Kunden nicht nur bei Anfragen seitens der Behörden, wir helfen auch bei der Umsetzung des Datenschutzes in Ihrem Unternehmen von A - wie Auftragsverarbeitung - bis Z - wie Zugangsberechtigung. Hierbei betrachten wir unsere Kunden ganzheitlich und individuell, sodass Sie trotz Einhaltung des Datenschutzes immer handlungsfähig bleiben. Kontaktieren Sie uns gerne.

TAGS

Zurück

Einen Kommentar schreiben

Was ist die Summe aus 9 und 7?

Updates Anmeldung zum Newsletter

Wir informieren Sie kostenlos über aktuelle Meldungen zum Thema Datenschutz.