Max Korn
Du möchtest auf deiner Website einen Bericht oder eine Checkliste anbieten. Besucher tragen ihre E-Mail-Adresse ein und bekommen den Inhalt zugeschickt. Darfst du ihnen danach auch Angebote senden?
Die Anforderung des Inhalts ist keine pauschale Erlaubnis für weitere Werbung. Trenn die Lieferung des Berichts von einer freiwilligen Newsletter-Anmeldung. Für eine persönliche Anfrage brauchst du wiederum nicht automatisch eine Einwilligung. Was du mit einer Adresse tun darfst, hängt davon ab, wofür die Person sie angegeben hat und welche Rechtsgrundlage dazu passt.
Anfrage, Bericht und Newsletter haben verschiedene Zwecke
Bei einer Kontaktanfrage erwartet jemand eine Antwort auf sein Anliegen. Wer einen Website-Bericht bestellt, erwartet diesen Bericht. Ein Newsletter verspricht dagegen weitere Nachrichten zu bestimmten Themen. Dieselbe Mailadresse kann in allen drei Abläufen vorkommen, die Erlaubnis wandert aber nicht automatisch mit.
Art. 5 DSGVO verlangt festgelegte Zwecke und eine darauf begrenzte Verarbeitung. Nach Art. 6 kann für eine angefragte Vertragsvorbereitung die Verarbeitung ohne Einwilligung zulässig sein. Bei anderen Anfragen kommt ein berechtigtes Interesse nach einer Abwägung infrage. Die Rechtsgrundlage für deinen Berichtsversand musst du anhand des konkreten Angebots festlegen.
Stell dir einen freiberuflichen Webdesigner vor, der einen kurzen Bericht zur Website eines Interessenten anbietet. Das Formular heißt „Website-Bericht anfordern“. Nach dem Versand übernimmt ein Automat die Adresse in einen Verteiler und schickt wöchentlich Angebote. Genau dieser Wechsel ist das Problem. Der angeforderte Bericht berechtigt den Anbieter nicht zu einer unbestellten Werbeserie.
Auch eine persönlich geschriebene Mail kann Werbung sein. „Hast du Interesse an einem Relaunch-Angebot?“ wird nicht allein dadurch zur zulässigen Anfragebearbeitung, dass ein Mensch auf Senden drückt. Eine notwendige Rückfrage zum bestellten Bericht hat einen anderen Zweck als eine Verkaufsnachricht.
Welche Angaben braucht der angeforderte Bericht?
Für den beispielhaften Website-Bericht braucht der Anbieter die zu prüfende Website und eine Adresse für die Zustellung. Einen Namen kann er freiwillig abfragen. Telefonnummer, Postanschrift und Unternehmensgröße gehören erst dann dazu, wenn sie für die versprochene Leistung erforderlich sind.
Das Formular sollte vor dem Absenden sagen, was geliefert wird. Ein allgemeiner PDF-Leitfaden ist etwas anderes als eine individuell geprüfte Website. Schreib auch dazu, ob die Antwort automatisch kommt oder jemand den Bericht erstellt. Eine persönliche Bewertung solltest du nur versprechen, wenn tatsächlich eine Person prüft.
Ein kurzer Hinweis könnte lauten: „Wir verwenden deine E-Mail-Adresse, um dir den angeforderten Website-Bericht zu schicken.“ Die vollständigen Datenschutzinformationen müssen zum Ablauf passen und bei der Erhebung verfügbar sein. Sie beschreiben unter anderem Zweck, Rechtsgrundlage, Empfänger, Speicherdauer oder deren Kriterien und deine Rechte.
Eine Checkbox „Datenschutz akzeptieren“ ersetzt weder diese Informationen noch die passende Rechtsgrundlage. Wenn du ein gewöhnliches Anfrageformular planst, findest du die Details im Ratgeber zum Kontaktformular und zur DSGVO.
Vereinbare weitere Werbung getrennt und freiwillig
Für Werbung per E-Mail verlangt § 7 Abs. 2 Nr. 2 UWG eine vorherige ausdrückliche Einwilligung. Das gilt auch gegenüber geschäftlichen Empfängern. Die Bestandskundenausnahme in Absatz 3 hat enge Voraussetzungen. Eine eingetragene Adresse allein erfüllt sie nicht.
Einwilligung heißt, dass die Person erkennt, welchem Unternehmen sie welche Werbung per E-Mail erlaubt. „Informationen und Angebote unserer Partner“ bleibt dafür zu unbestimmt. Nenn die Themen und die beworbenen Leistungen konkret. Die Datenschutzkonferenz verlangt eine freiwillige, informierte und eindeutig erklärte Entscheidung.
Für das Beispiel ist eine getrennte, zunächst leere Newsletter-Checkbox die übersichtliche Lösung. Der Bericht lässt sich ohne dieses Häkchen anfordern. Der Text beschreibt die weiteren Nachrichten, etwa Tipps zu Firmenwebsites und Angebote für Webdesign. Das Wort „Newsletter“ allein erklärt den Inhalt noch nicht.
Manche Anbieter möchten einen kostenlosen Inhalt nur zusammen mit einem Newsletter anbieten. Ob die Einwilligung dann freiwillig ist, braucht eine gesonderte rechtliche Prüfung. Ein versteckter Satz unter „Bericht anfordern“ löst die Frage nicht. Wenn du den Inhalt ohne Werbeeinwilligung liefern kannst, hältst du beide Entscheidungen für Besucher verständlich auseinander.
Bestätigung, Nachweis und Widerruf gehören zum Ablauf
Für Newsletter-Anmeldungen ist Double-Opt-in der übliche Nachweisschritt. Nach dem Eintrag erhält die Person eine Mail mit einem Bestätigungslink. Erst nach der Bestätigung startet der Newsletter. Die Datenschutzkonferenz fordert bei elektronischen Einwilligungen dieses Verfahren zur Überprüfung der Erklärung.
Bewahre den damaligen Einwilligungstext mit der Anmeldung und der Bestätigung nachvollziehbar auf. Ein gespeicherter Zeitpunkt oder eine IP-Adresse allein belegt nicht, welchem Text jemand zugestimmt hat. Der Versanddienst sollte die Nachweise zu einer einzelnen Adresse abrufen können.
Halte die Bestätigungsmail frei von Werbung. Sie bittet um die Bestätigung und enthält keine Angebote oder zusätzlichen Werbebanner. Der angeforderte Bericht und die Newsletter-Freigabe bleiben auch technisch getrennt. Ein Klick auf den Download-Link darf nicht nebenbei das Newsletter-Abo aktivieren.
Schalte außerdem die persönliche Messung von Öffnungen und Klicks zunächst ab. Laut der Datenschutzaufsicht Baden-Württemberg reicht die Zustimmung zum Newsletter für diese Überwachung nicht aus. Wenn du solches Tracking einsetzen möchtest, brauchst du dafür eine gesonderte Prüfung und Einwilligung. Es darf nicht schon in der Bestätigungsmail anlaufen.
Jede Newsletter-Ausgabe sollte einen funktionierenden Abmeldelink enthalten. Nach einem Widerruf stoppt der Werbeversand. Eine weiterhin nötige Bearbeitung einer gesonderten Anfrage beurteilst du unabhängig davon.
Prüfe auch Dienste und gespeicherte Kopien
Die Adresse liegt möglicherweise im Formular-Backend, im Versanddienst und in einer Kontaktverwaltung. Erfass diese Stationen, bevor du einen Anbieter auswählst. Bei Auftragsverarbeitung verlangt Art. 28 DSGVO einen entsprechenden Vertrag. Prüfe auch Unterauftragnehmer und mögliche Übermittlungen außerhalb des Europäischen Wirtschaftsraums. „Hosting in der EU“ beantwortet diese Fragen nicht vollständig.
Für alle Adressen dieselbe pauschale Löschfrist festzulegen, passt selten zum Ablauf. Eine unbestätigte Anmeldung, ein erledigter Berichtsversand und ein laufendes Newsletter-Abo haben verschiedene Zwecke. Leg je Zweck fest, wann du Daten entfernst und welche Nachweise gegebenenfalls noch erforderlich sind. Auch Kopien in weiteren Systemen gehören dazu.
Falls dir die Datenwege noch fehlen, hilft die Bestandsaufnahme für deine Datenschutzerklärung. Der Text muss anschließend den eingerichteten Versand beschreiben.
Teste beide Wege mit deiner eigenen Adresse
Fordere den Inhalt zuerst ohne Newsletter-Häkchen an. Du solltest den versprochenen Inhalt bekommen und anschließend keine Werbeserie erhalten. Wiederhole den Test mit Newsletter-Anmeldung und kontrolliere diese Punkte:
- Vor dem Bestätigungsklick kommt kein Newsletter an.
- Die Bestätigungsmail enthält keine Werbung und kein persönliches Öffnungstracking.
- Der gespeicherte Nachweis zeigt den tatsächlich verwendeten Einwilligungstext.
- Die Abmeldung beendet den Versand auch in verbundenen Systemen.
Lass dir jeden ausgelösten Versand im System zeigen. Ein Formular mit getrennten Checkboxen hilft wenig, wenn die Automatisierung anschließend doch alle Adressen in denselben Werbeverteiler schiebt.
