Datenschutz Newsletter: Rechtssicheres E-Mail-Marketing in der Schweiz
Markus Näf
Markus Näf ist Rechtsanwalt und spezialisiert auf Datenschutzrecht und Informatikrecht. Er befasst sich seit Jahren mit der Umsetzung von komplexen Projekten im Informatikumfeld. Nebenbei ist er Lehrbeauftragter für Projektmanagement und Informatikrecht an der Fachhochschule St. Gallen.
Ein E-Mail an alle mit der Bitte um Bestätigung
In den vergangenen Monaten gingen unzählige E-Mails ein, die entweder eine Einwilligung zur Datenbearbeitung und zum Versand von elektronischen Newslettern beinhalteten oder teilweise auch nur eine Information über die Datenbearbeitung enthielten. Gelegentlich wird sogar noch eine zweite E-Mail, mit der Erinnerung an die ausstehende Bestätigung verschickt.
Die Einholung einer neuen Einwilligung ist in den meisten Fällen nicht notwendig, sondern eher kontraproduktiv. Im Zweifel sollte man auf nervende Rund-E-Mails verzichten. Denn die Datenschutzgrundverordnung (DSGVO) ändert die Regeln für Newsletter und Werbe-E-Mails nicht. Auch in der Schweiz hat sich in Bezug auf den Versand von Newslettern nichts geändert.
Reagiert eine angeschriebene Person nicht auf ein solches Einwilligungsmail, gilt das als Ablehnung und es dürfen grundsätzlich keine weiteren Newsletter mehr zugestellt werden. Wenn die Einwilligungsanfrage auch die Datenbearbeitung beinhaltet hat, gilt es auch als Widerspruch gegen die Datenbearbeitung und die entsprechenden Daten müssten gelöscht werden. Da aufgrund der Erfahrungen nur etwa 20% der angeschriebenen Personen reagieren, verlieren Unternehmen mit diesen unüberlegten Aktionen rund 80% ihrer Kontaktadressen.
In Deutschland oder Österreich sind Abmahnungen möglich, wenn ein Unternehmen gegen die Newsletter-Regeln verstösst. Es gilt aber zu bedenken, dass Empfänger, die sich in der Vergangenheit nie über Werbe-E-Mails beschwert haben, wahrscheinlich kaum Abmahnungen versenden (lassen) werden. Hier ist vielmehr die «altrechtliche» Einwilligung zu dokumentieren.
Rechtsgrundlagen für den Versand von elektronischen Werbe-Mails
Der Versand von elektronischen Werbe-Mails ist im Bundesgesetz über den unlauteren Wettbewerb (UWG) geregelt.
«Art. 3 Abs. 1 UWG
Unlauter handelt insbesondere, wer
(…)
o) Massenwerbung ohne direkten Zusammenhang mit einem angeforderten Inhalt fernmeldetechnisch sendet oder solche Sendungen veranlasst und es dabei unterlässt, vorher die Einwilligung der Kunden einzuholen, den korrekten Absender anzugeben oder auf eine problemlose und kostenlose Ablehnungsmöglichkeit hinzuweisen; wer beim Verkauf von Waren, Werken oder Leistungen Kontaktinformationen von Kunden erhält und dabei auf die Ablehnungsmöglichkeit hinweist, handelt nicht unlauter, wenn er diesen Kunden ohne deren Einwilligung Massenwerbung für eigene ähnliche Waren, Werke oder Leistungen sendet.»
Daraus folgt, dass nur in zwei Fällen die Zustellung von elektronischen Werbesendungen per E-Mail zulässig ist:
- Wenn der Empfänger eine explizite Einwilligung zur Zustellung von elektronischen Werbesendungen erteilt hat.
- Wenn mit dem Empfänger bereits ein Vertrag abgewickelt wurde und die Massenwerbung ähnliche Angebote betrifft.
Der Absender muss zudem immer die vollständigen und korrekten Absenderangaben angeben, wobei hier je eine Postadresse und E-Mail-Adresse genügen, eine Telefonnummer ist nicht zwingend. Weiter muss bei jedem E-Mail-Versand auf die jederzeitige Abmeldemöglichkeit hingewiesen werden. Die Nichteinhaltung dieser Vorschriften fällt unter die Strafbestimmungen des UWG. Die Fernmeldeanbieter sind nach Art. 83 der Fernmeldeverordnung (FMV) verpflichtet die Kunden vor unlauterer Massenwerbesendungen (SPAM) zu schützen und dürfen diese Sendungen unterdrücken. Die Anschlüsse von Absendern von unlauteren Massenwerbung müssen gesperrt werden.
Die Regelung umfasst jedoch nur elektronische Werbesendungen per E-Mail, SMS, Telefax oder andere elektronische Kommunikationskanäle. Telefonanrufe oder adressierte Postsendungen fallen nicht unter diese Bestimmungen, diese sind separat geregelt.
Passende Produkt-Empfehlungen
Adressierte Werbesendungen per Post
Die Verwendung der Adresse zu Werbezwecken ist grundsätzlich zulässig, wenn die betroffene Person ihre Adresse der Öffentlichkeit zugänglich gemacht hat und die Verwendung für Werbezwecke nicht untersagt hat. Als öffentlich zugänglich ist eine Adresse mit dem Eintrag im Telefonbuch, in einem Branchenbuch, in Verzeichnissen von Vereinigungen oder wenn sie im Internet publiziert ist. Um keine adressierten Werbesendungen per Post mehr zu erhalten, können Konsumenten sich beim Schweizerischen Direktmarketingverband in die sogenannte Robinson Liste eintragen lassen. Die Mitglieder haben sich in einem Ehrenkodex verpflichtet diesen Personen keine adressierten Postsendungen mehr zuzustellen. Der Konsument kann auf der Basis des Datenschutzgesetzes der Bearbeitung seiner Adresse wiedersprechen und die Löschung verlangen. Dies muss er aber einzeln gegenüber jedem Unternehmen erklären.
Telefonmarketing
Hier gilt das gleiche, die Verwendung der Telefonnummer zu Werbezwecken ist grundsätzlich zulässig, wenn die betroffene Person diese der Öffentlichkeit zugänglich gemacht und die Verwendung für Werbezwecke nicht untersagt hat. Der Konsument kann die Nutzung seiner Telefonnummer für Telefonmarketing mit einem Sterneintrag im Telefonbuch untersagen.
«Art. 3 Abs. 1 UWG
Unlauter handelt insbesondere, wer
(…)
u) den Vermerk im Telefonbuch nicht beachtet, dass ein Kunde keine Werbemitteilungen von Dritten erhalten möchte und dass seine Daten zu Zwecken der Direktwerbung nicht weitergegeben werden dürfen.»
Die Nichtbeachtung des Sterneintrags unterliegt den Strafbestimmungen des UWG.
Datenschutzrechtliche Einwilligung
Bei der Einwilligung wie auch bei der erfolgten Vertragsabwicklung besteht damit gleichzeitig ein Rechtfertigungsgrund für die Bearbeitung der Personendaten. Es ist in der Schweiz keine zusätzliche Einwilligung mehr notwendig.
Die Bestimmungen für den Versand von elektronischen Werbesendungen gelten abschliessend sowohl für juristische wie auch für natürliche Personen. Ob daneben die Personendaten zu (weiteren) Marketingzwecke bearbeitet werden dürfen, ergibt sich aber aus dem Datenschutzgesetz.
Die Europäische Datenschutzgrundverordnung (DSGVO) erklärt die Datenbearbeitung für Direktwerbung als Rechtfertigungsgrund für die Datenbearbeitung. Dieser stützt sich auf die berechtigten
Interessen nach Art. 6 Abs. 1 Bst. f DSGVO und diese sind in der Erwägung 47 präzisiert:
«Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.»
Das Unternehmen hat aber zu dokumentieren woher die Adresse stammt und in der Datenschutzerklärung auf die berechtigten Interessen zu verweisen. Hier ist eine Lockerung der Praxis festzustellen. In einem älteren Urteil der Eidg. Datenschutzkommission vom 15. April 2005 wurde noch festgestellt:
- Die Zustellung von unverlangter E-Mail-Werbung an unbekannte und wahllos zusammengestellte Adressen, welche im Internet gesammelt wurden, stellt eine widerrechtliche Datenbearbeitung im Sinne von Art. 12 Abs. 2 Bst. a in Verbindung mit Art. 4 DSG dar.
- Aus der Wirtschaftsfreiheit fliesst kein Rechtfertigungsgrund gemäss Art. 13 Abs. 1 DSG; insbesondere liegt kein überwiegendes privates Interesse der bearbeitenden Person vor.
- Einzig die ausdrückliche vorherige Einwilligung der Betroffenen wäre geeignet, bei Massenversand von E-Mail-Werbung eine widerrechtliche Persönlichkeitsverletzung im Sinne des Datenschutzgesetzes (DSG) auszuschliessen.
- Eine «Opt-Out»-Möglichkeit in unangeforderten Werbe-E-Mails hebt demnach die Rechtswidrigkeit ihres Versandes nicht auf. Hingegen wäre sie geeignet, in Werbe-E-Mails, die zulässigerweise versandt werden, die Ausübung des Selbstbestimmungsrechts der Betroffenen bezüglich künftiger weiterer Datenbearbeitung zu unterstützen.
Die Zulässigkeit der Bearbeitung der Personendaten ist nicht gleichzusetzen mit der Zulässigkeit eines elektronischen Werbeversands.
Regelung in der Europäischen Union
Der Versand von elektronischen Werbemails an Adressaten in der EU ist nur zulässig, wenn diese ihre Einwilligung erteilt haben (Opt-in) oder sich mit dem Werbenden in einer Auftraggeberbeziehung befinden. Die analoge Bestimmung zur Schweiz findet sich in Art. 13 der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002.
In diesem Zusammenhang wird dem Nutzer ausdrücklich empfohlen, die Erhebung von Nutzerdaten über das Internet vorzugsweise über das so genannte Double-Opt-In-Verfahren zu realisieren. Dies bedeutet, dass der E-Mail-Empfänger sich registriert und danach ein Bestätigungsmail an seine E-Mail-Adresse erhält, welches er mit einem Link bestätigen muss.
Bereinigung von alten Newsletter Verteilern
Es sollten nicht einfach wahllos an alle Empfänger neue Einwilligungsmails verschickt werden. Zudem sind die Einwilligungen für die Bearbeitung der Personendaten von der Einwilligung zur Zustellung von elektronischen Werbesendungen zu unterscheiden.
Es sind folgende Punkte zu beachten.
- Das Unternehmen muss neu die Einwilligung der betroffenen Person beweisen. Daher sollten solche Einwilligungen nur durchgeführt werden, wenn Sie auch systemmässig dokumentiert werden können. Nicht in allen Unternehmen sind die bisherigen Newsletter-Einwilligungen und das Double-Opt-In sauber dokumentiert. Diese können auch laufend bei Geschäftskontakten aktualisiert werden und zum Beispiel in Verträge oder Anfrageformulare integriert werden. Insbesondere ist für die Zukunft sicherzustellen, dass nur noch Adressen dokumentierter Einwilligung für den Newsletterversand verwendet werden. Es wird ausdrücklich empfohlen, die Erhebung von Nutzerdaten über das Internet vorzugsweise über das so genannte Double-Opt-In-Verfahren zu realisieren.
- In einem weiteren Schritt sollten die bestehenden E-Mail-Empfänger nach Herkunft, Kategorien und Länder aufgeteilt werden:
- Es sollte nur diejenigen Teilmengen für die Erneuerung der Einwilligung bearbeitet werden, bei denen eine Notwendigkeit und ein Risiko besteht.
- Bisherige Einwilligungen sind nach dem Erwägungsgrund 171 zur DSGVO grundsätzlich weiterhin gültig, soweit sie konform mit der bisherigen Datenschutzrichtlinie (Richtlinie 95/46/EG) erteilt wurden. So ist es nicht erforderlich, dass die betroffene Person erneut ihre Einwilligung dazu erteilt, wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entsprochen hat. Hingegen müssen ungenügende Einwilligungen neu eingeholt werden.
- Die Einwilligung in die Datenbearbeitung muss formale Anforderungen erfüllen: Die Adressaten müssen ihre Einwilligung aktiv durch eine bewusste Handlung abgeben. Es dürfen keine vorangeklickten / vorangekreuzten Kästchen verwendet werden. Die Einwilligung muss die Punkte gemäss Art. 13 DSGVO enthalten. Diese können in einer Datenschutzerklärung dargestellt werden.
- Die Einwilligung in die Zusendung von Werbung mittels E-Mails muss gesondert erfolgen. Der Adressat muss entweder ein Kästchen anklicken/ankreuzen oder sonst eine vergleichbar eindeutige Erklärung seiner Zustimmung in die Werbung mittels E-Mails abgeben. Diese Erklärung darf nicht Bestandteil anderer Erklärungen sein (z.B. Einwilligung in die Geltung von Nutzungsbedingungen).
- Auf die Möglichkeit des Widerrufs der Erlaubnis, E-Mails zuzusenden, ist in jeder E-Mail hinzuweisen. Hinweise auf diese Möglichkeit sind in jede versendete Nachricht aufzunehmen. Das Abbestellen von E-Mails muss grundsätzlich durch den Empfänger ohne Kenntnisse von Zugangsdaten (beispielsweise Login und Passwort) möglich sein.
- Abmeldungen sind unverzüglich zu bearbeiten. Bestätigungsmails über die Abmeldung vom Newsletter oder die Löschung der Daten dürfen keine Werbeinhalte oder Werbebanner enthalten. Der Kunde hat ja bereits der Zustellung von Werbung widersprochen.
Nutzung von E-Mail Marketing Services
Bei der Nutzung von Dienstleistern für den Versand der E-Mails, wie zum Beispiel MailChimp, sind die Datenschutzbestimmungen das Anbieters zu prüfen. Einerseits muss sichergestellt werden, dass dieser Anbieter die vom Unternehmen bereitgestellten Kontaktadressen nicht selber weiterverwendet und allenfalls an Dritte verkauft. Dies wäre eine Datenweitergabe an einen Dritten und das Unternehmen müsste dafür von der betroffenen Person eine Einwilligung haben. Andererseits ist zu prüfen, wohin die Daten übermittelt werden und es sind die entsprechenden Erläuterungen in der Datenschutzerklärung transparent darzulegen.
Markus Näf ist Herausgeber und Autor des Business Book Anwendbarkeit der EU DSGVO in der Schweiz: Ein Datenschutzleitfaden für Schweizer Unternehmen.
