Einwilligungen zur Profilierung rechtssicher einholen
*Erfolgreiches Online Dialogmarketing bedarf heutzutage einer zielgenauen Ansprache von Empfängern, ausgerichtet an ihren individuellen Interessen und Bedürfnissen. Durch die personengenaue Messung des Nutzerverhaltens lassen sich individuelle Präferenzen ermitteln. Die Bildung von Nutzerprofilen anhand von Reaktionsdaten unterliegt in Deutschland und anderen europäischen Ländern jedoch gesetzlichen Beschränkungen durch das Datenschutz- und Wettbewerbsrecht. Es gilt die Grundregel: Wenn Daten aus der Analyse des Nutzungsverhaltens mit personenbezogenen Daten wie der E-Mail-Adresse verknüpft werden, so ist eine explizite Zustimmung des Betreffenden nötig. Dazu müssen rechtssichere Opt-In Prozesse abgebildet werden.*
Die Erhebung anonymisierter Nutzungsdaten zur Messung der allgemeinen Newsletter Performance ist rechtlich unproblematisch. Sobald Nutzerdaten jedoch personenbezogen erhoben werden sollen (Profilierung), ist eine explizite Zustimmung des betroffenen Empfängers im Rahmen einer Datennutzungserklärung notwendig. Eine rechtssichere Einwilligung muss immer bewusst und eindeutig erfolgen. Dies bedeutet, dass ein durchschnittlich verständiger Nutzer erkennen kann, dass er durch die Abgabe der Einwilligung rechtsverbindlich der Erhebung und Verwendung seiner personenbezogenen Daten zustimmt.
Möglichkeiten der Gestaltung der Einwilligung
Die Einholung von Einwilligungen zur Profilierung ist eine der wichtigsten Aufgaben im Online Dialogmarketing. Die vermutlich gängigste Variante ist die Einholung der Zustimmung über eine separate Checkbox im Rahmen des Registrierungsprozesses zum Newsletter Erhalt. Hierbei ist die Trennung von der Einwilligung zur E-Mail Zusendung in jedem Fall zu beachten. Die Erläuterung der Einwilligung ist in unterschiedlichem Umfang denkbar. Hier fehlt es an geeigneter Rechtsprechung. Folgende Varianten sind denkbar.
1. Vollständige Benennung der einwilligungsrelevanten Passagen
Die vermutlich sicherste Variante ist es, dem Nutzer mit der Checkbox alle wesentlichen bzw. einwilligungsrelevanten Sachverhalte konkret zu benennen oder diese in der Datenschutzbelehrung zu markieren.
„□ Ich willige ein, dass (_FIRMA__) im Rahmen dieses E-Mail Dienstes folgende Daten erhebt und in meinem Profil speichert:
- konkrete Beschreibung der eingesetzten Profilierungsmethoden / die entsprechenden Passagen aus der Datennutzungserklärung"
2. Verkürzte Benennung der einwilligungsrelevanten Passagen und Verlinkung
Wenn die konkreten Passagen zu lang sind oder die Verringerung der Registrierungen befürchtet wird, ist auch eine verkürzte Form mit Verlinkung denkbar. Diese Variante ist rechtlich sehr gut vertretbar, jedoch theoretisch angreifbar, da durch die Verlinkung (die generell zulässig ist) ein Gericht zu der Auffassung gelangen könnte, dass die konkreten einzelnen Gegenstände der Einwilligung unerwartet und überraschend für einen Verbraucher und damit unwirksam sind.
„□ Ich willige ein, dass (_FIRMA__) im Rahmen dieses E-Mail Dienstes folgende Daten erhebt und in meinem Profil speichert:
- kurze abstrakte Beschreibung der Art des Profilings + entsprechenden Link
- kurze abstrakte Beschreibung der Art des Profilings + entsprechenden Link
- …“
3. Verlinkte Datennutzungserklärung
Den Schwachpunkt einer möglichen gerichtlichen Niederlage hinsichtlich einer informierten Einwilligung (s. Variante 2) hat auch die dritte Variante (noch stärker, da abstrakter). Diese ist jedoch in der Praxis die vermutlich gängigste Lösung.
„□ Ich habe die Datenschutzerklärung aufmerksam gelesen und verstanden und willige ein, dass (FIRMA) meine personenbezogenen Daten im Rahmen dieses E-Mail Dienstes gemäß der Datenschutzerklärung [Link] erhebt und verwendet und die Nutzung des E-Mail Dienstes u.a. durch Profilbildung für mich individuell verbessert."
4. Einholung der Zustimmung im Rahmen des Double-Opt-In
Die Zustimmung zum erweiterten Tracking muss nicht zum gleichen Zeitpunkt erfolgen wie das Opt-In zum E-Mail Marketing. Die Zustimmung kann auch zu einem späteren Zeitpunkt nachgeholt werden. Hierdurch entsteht die Möglichkeit, diese Zustimmung vom Registrierungsformular z.B. in die Double-Opt-In E-Mail zu verlagern. Die Registrierungsseite muss hierfür nicht angepasst werden. Lediglich in der Double-Opt-In E-Mail wird die typische Bestätigung des Abonnements durch die Bestätigung der erweiterten Datennutzung ersetzt. Der Zweck der Double-Opt-In E-Mail – nämlich die Verifizierung der E-Mail Adresse – wird dadurch nicht beeinträchtigt.
„Lieber Herr / Frau Name,
vielen Dank für Ihre Registrierung zum FIRMA Newsletter an Ihre E-Mail Adresse E-MAIL.
Bitte bestätigen Sie zur Vervollständigung Ihrer Anmeldung unsere besonderen Regelungen zur Speicherung und Verwendung Ihrer personenbezogenen Daten sowie die Profilbildung für eine individuelle Verbesserung des E-Mail Dienstes gemäß unserer Datenschutzerklärung.
Ja, ich bestätige die Erhebung und Verarbeitung meiner personenbezogenen Daten für den FIRMA Newsletter gemäß Datennutzungserklärung.
Weitere Informationen zur Datennutzungserklärung finden Sie hier [Link].“
Der Zustimmungsweg über eine E-Mail ist insofern charmanter, da hierfür die Registrierungsseite(n) nicht angepasst werden müssen. Es ist jedoch nicht sicher, dass die Zustimmung in dieser Form bzw. die damit verbundenen Regelungen nicht als überraschend erachtet werden. Daher sind auch Varianten denkbar, bei denen eine ausführlichere Erläuterung gegeben wird oder bei der ein zweiter Link nur mit Bestätigung ohne erweiterte Datennutzung angeboten wird („Wenn Sie lediglich den E-Mail Service bestätigen möchten und der Datennutzungserklärung nicht zustimmen, klicken Sie hier“).
Denkbar ist auch ein „normaler“ Double-Opt-In Link und eine Zielseite (Landingpage), auf der mit einem extra Button die Zustimmung erteilt wird.
Weitere Informationen zu rechtssicherem Profiling
Nähere Informationen zur rechtssicheren Erhebung von personebezogenen Nutzerdaten und weitere Antworten zu Rechtsfragen im E-Mail Marketing finden Sie in der Checkliste 23 Fragen zu E-Mail Marketing und Recht.
-------
Weitere Tipps finden Sie in unserem Unternehmensblog: http://www.artegic.de/aktuelles
oder auf Twitter twitter.com/artegic.
-------
artegic AG – Know-how und Technologie für Online CRM
Zanderstraße 7
53177 Bonn
Tel.: +49 (0)228 22 77 97-0
Fax: +49 (0)228 22 77 97-900
E-Mail: info@artegic.de
Url: www.artegic.de
artegic ist vom TÜV Rheinland unternehmensweit nach dem internationalen Standard für IT- und Datensicherheit ISO/IEC 27001 zertifiziert.
Die Erhebung anonymisierter Nutzungsdaten zur Messung der allgemeinen Newsletter Performance ist rechtlich unproblematisch. Sobald Nutzerdaten jedoch personenbezogen erhoben werden sollen (Profilierung), ist eine explizite Zustimmung des betroffenen Empfängers im Rahmen einer Datennutzungserklärung notwendig. Eine rechtssichere Einwilligung muss immer bewusst und eindeutig erfolgen. Dies bedeutet, dass ein durchschnittlich verständiger Nutzer erkennen kann, dass er durch die Abgabe der Einwilligung rechtsverbindlich der Erhebung und Verwendung seiner personenbezogenen Daten zustimmt.
Möglichkeiten der Gestaltung der Einwilligung
Die Einholung von Einwilligungen zur Profilierung ist eine der wichtigsten Aufgaben im Online Dialogmarketing. Die vermutlich gängigste Variante ist die Einholung der Zustimmung über eine separate Checkbox im Rahmen des Registrierungsprozesses zum Newsletter Erhalt. Hierbei ist die Trennung von der Einwilligung zur E-Mail Zusendung in jedem Fall zu beachten. Die Erläuterung der Einwilligung ist in unterschiedlichem Umfang denkbar. Hier fehlt es an geeigneter Rechtsprechung. Folgende Varianten sind denkbar.
1. Vollständige Benennung der einwilligungsrelevanten Passagen
Die vermutlich sicherste Variante ist es, dem Nutzer mit der Checkbox alle wesentlichen bzw. einwilligungsrelevanten Sachverhalte konkret zu benennen oder diese in der Datenschutzbelehrung zu markieren.
„□ Ich willige ein, dass (_FIRMA__) im Rahmen dieses E-Mail Dienstes folgende Daten erhebt und in meinem Profil speichert:
- konkrete Beschreibung der eingesetzten Profilierungsmethoden / die entsprechenden Passagen aus der Datennutzungserklärung"
2. Verkürzte Benennung der einwilligungsrelevanten Passagen und Verlinkung
Wenn die konkreten Passagen zu lang sind oder die Verringerung der Registrierungen befürchtet wird, ist auch eine verkürzte Form mit Verlinkung denkbar. Diese Variante ist rechtlich sehr gut vertretbar, jedoch theoretisch angreifbar, da durch die Verlinkung (die generell zulässig ist) ein Gericht zu der Auffassung gelangen könnte, dass die konkreten einzelnen Gegenstände der Einwilligung unerwartet und überraschend für einen Verbraucher und damit unwirksam sind.
„□ Ich willige ein, dass (_FIRMA__) im Rahmen dieses E-Mail Dienstes folgende Daten erhebt und in meinem Profil speichert:
- kurze abstrakte Beschreibung der Art des Profilings + entsprechenden Link
- kurze abstrakte Beschreibung der Art des Profilings + entsprechenden Link
- …“
3. Verlinkte Datennutzungserklärung
Den Schwachpunkt einer möglichen gerichtlichen Niederlage hinsichtlich einer informierten Einwilligung (s. Variante 2) hat auch die dritte Variante (noch stärker, da abstrakter). Diese ist jedoch in der Praxis die vermutlich gängigste Lösung.
„□ Ich habe die Datenschutzerklärung aufmerksam gelesen und verstanden und willige ein, dass (FIRMA) meine personenbezogenen Daten im Rahmen dieses E-Mail Dienstes gemäß der Datenschutzerklärung [Link] erhebt und verwendet und die Nutzung des E-Mail Dienstes u.a. durch Profilbildung für mich individuell verbessert."
4. Einholung der Zustimmung im Rahmen des Double-Opt-In
Die Zustimmung zum erweiterten Tracking muss nicht zum gleichen Zeitpunkt erfolgen wie das Opt-In zum E-Mail Marketing. Die Zustimmung kann auch zu einem späteren Zeitpunkt nachgeholt werden. Hierdurch entsteht die Möglichkeit, diese Zustimmung vom Registrierungsformular z.B. in die Double-Opt-In E-Mail zu verlagern. Die Registrierungsseite muss hierfür nicht angepasst werden. Lediglich in der Double-Opt-In E-Mail wird die typische Bestätigung des Abonnements durch die Bestätigung der erweiterten Datennutzung ersetzt. Der Zweck der Double-Opt-In E-Mail – nämlich die Verifizierung der E-Mail Adresse – wird dadurch nicht beeinträchtigt.
„Lieber Herr / Frau Name,
vielen Dank für Ihre Registrierung zum FIRMA Newsletter an Ihre E-Mail Adresse E-MAIL.
Bitte bestätigen Sie zur Vervollständigung Ihrer Anmeldung unsere besonderen Regelungen zur Speicherung und Verwendung Ihrer personenbezogenen Daten sowie die Profilbildung für eine individuelle Verbesserung des E-Mail Dienstes gemäß unserer Datenschutzerklärung.
Ja, ich bestätige die Erhebung und Verarbeitung meiner personenbezogenen Daten für den FIRMA Newsletter gemäß Datennutzungserklärung.
Weitere Informationen zur Datennutzungserklärung finden Sie hier [Link].“
Der Zustimmungsweg über eine E-Mail ist insofern charmanter, da hierfür die Registrierungsseite(n) nicht angepasst werden müssen. Es ist jedoch nicht sicher, dass die Zustimmung in dieser Form bzw. die damit verbundenen Regelungen nicht als überraschend erachtet werden. Daher sind auch Varianten denkbar, bei denen eine ausführlichere Erläuterung gegeben wird oder bei der ein zweiter Link nur mit Bestätigung ohne erweiterte Datennutzung angeboten wird („Wenn Sie lediglich den E-Mail Service bestätigen möchten und der Datennutzungserklärung nicht zustimmen, klicken Sie hier“).
Denkbar ist auch ein „normaler“ Double-Opt-In Link und eine Zielseite (Landingpage), auf der mit einem extra Button die Zustimmung erteilt wird.
Weitere Informationen zu rechtssicherem Profiling
Nähere Informationen zur rechtssicheren Erhebung von personebezogenen Nutzerdaten und weitere Antworten zu Rechtsfragen im E-Mail Marketing finden Sie in der Checkliste 23 Fragen zu E-Mail Marketing und Recht.
-------
Weitere Tipps finden Sie in unserem Unternehmensblog: http://www.artegic.de/aktuelles
oder auf Twitter twitter.com/artegic.
-------
artegic AG – Know-how und Technologie für Online CRM
Zanderstraße 7
53177 Bonn
Tel.: +49 (0)228 22 77 97-0
Fax: +49 (0)228 22 77 97-900
E-Mail: info@artegic.de
Url: www.artegic.de
artegic ist vom TÜV Rheinland unternehmensweit nach dem internationalen Standard für IT- und Datensicherheit ISO/IEC 27001 zertifiziert.