aboutpixel.de / Geldfalle © Rainer Sturm

Vor­tei­le exter­ner News­let­ter-Ver­sen­der /​ Anbie­ter

Exter­ner News­let­ter-Ver­sen­der sind ein pro­ba­tes Mit­tel, um pro­fes­sio­nel­le News­let­ter an den Mann bzw. an die Frau zu brin­gen. Bedien­ba­re Web­ober­flä­chen,  Gestal­tungs­vor­la­gen und auto­ma­ti­sier­te Nut­zer­ver­wal­tung sind nur eini­ge der Punk­te, die einem Wer­be­trei­ben­den das Leben erleich­tern. Neben­bei ver­rin­gert die Nut­zung eines sol­chen Diens­tes das Risi­ko eines offe­nen News­let­ter-Ver­tei­lers, weil die Emp­fän­ger aus Ver­se­hen im „An“- oder „Kopie“- statt im „Blindkopie“-Feld ein­ge­tra­gen wurden.

Dou­ble opt-in

Es dürf­te sich mitt­ler­wei­le unter allen Ver­sen­dern von News­let­tern her­um­ge­spro­chen haben: Die Bestä­ti­gung und Über­prü­fung von News­let­ter-Emp­fän­gern mit­tels des sog. dou­ble opt-in Ver­fah­rens ist in Deutsch­land Pflicht.

Beim dou­p­le opt-in Ver­fah­ren bestä­tigt der News­let­ter-Emp­fän­ger — zumeist über einen Akti­vie­rungs­link in einer Bestä­ti­gungs­mail — sei­nen tat­säch­li­chen Wunsch zum Erhalt des News­let­ters erneut (daher „dou­ble“). Gleich­zei­tig wird die­ser Vor­gang mit­tels Zeits­tem­peln pro­to­kol­liert, um die Anmel­dung und Akti­vie­rung jeder­zeit bele­gen zu können.

Dan­ke Mailchimp

Der auch in Deutsch­land oft genutz­te US Ser­vice Mail­chimp hat nun von heu­te auf mor­gen das Stan­dard-Anmel­de­ver­fah­ren auf sin­gle opt-in umge­stellt. Die­se Ver­fah­rens­wei­se wider­spricht den recht­li­chen Anfor­de­run­gen in Deutsch­land. Unter­neh­men in Deutsch­land, die Mail­chimp als exter­nen News­let­ter-Ver­sen­der nut­zen, tun gut dar­an, die­se auto­ma­ti­sier­te Umstel­lung wie­der rück­gän­gig zu machen. Ansons­ten dro­hen Abmahnungen!

Mail­chimp begrün­det die­se Vor­ge­hens­wei­se mit dem erhöh­ten Auf­wand für Nut­zer, die sich mit­tels dou­ble opt-in für einen News­let­ter anmel­den müs­sen. Dies wür­de die Absprung­ra­ten erhö­hen. Schlicht: die Maß­nah­me wird als „Kun­den­ser­vice“ ver­kauft, Abmahn­ri­si­ko inklu­si­ve. Die Umstel­lung erfolgt auto­ma­tisch zum 31.12.2017. Nut­zer des Ser­vice soll­ten unbe­dingt manu­ell wie­der auf dou­ble opt-in umstellen!

Die Kanz­lei LHR weist in einem Bei­trag dar­auf hin, dass Mail­chimp zwar als recht­li­cher Stö­rer in die Mit­haf­tung genom­men wer­den könn­te, das Abmahn­ri­si­ko wird hier­durch jedoch weder ver­mie­den noch gesenkt.

Exter­ner News­let­ter-Ver­sen­der ist Auftragsdatenverarbeitung

Die Nut­zung eines exter­nen News­let­ter-Ser­vices wie Mail­chimp fällt unter den Anwen­dungs­be­reich der sog. Auf­trags­da­ten­ver­ar­bei­tung (BDSG), zukünf­tig Auf­trags­ver­ar­bei­tung (EU DS-GVO). Der Anbie­ter ist vor der Nut­zung sorg­fäl­tig aus­zu­wäh­len, auf vor­han­de­nes Sicher­heits­ni­veau zu prü­fen und mit einer Ver­ein­ba­rung zur Auf­trags­da­ten­ver­ar­bei­tung aus­zu­stat­ten (nicht zu ver­wech­seln mit dem nor­ma­len Ver­trag für die zu erbrin­gen­de Leis­tung). Feh­len­de oder feh­ler­haf­te Auf­trags­da­ten­ver­ar­bei­tung kann Buß­gel­der bis 50.000 Euro nach sich ziehen.

Soll­ten Sie also einen exter­nen Dienst nut­zen, so prü­fen Sie VORHER, ob die Umset­zungs­schrit­te für eine Auf­trags­da­ten­ver­ar­bei­tung mög­lich sind und auch durch­ge­führt wer­den. Im Zwei­fel fra­gen Sie Ihren Datenschutzbeauftragten.

Es gibt übri­gens zahl­rei­che ande­re Anbie­ter, die mit dem dou­ble opt-in und dem Abmahn­ri­si­ko der Nut­zer sorg­fäl­ti­ger umge­hen, beispielsweise

Bei­de genann­ten Anbie­ter sind deut­sche Unter­neh­men, denen die Ver­fah­rens­wei­sen zur Auf­trags­da­ten­ver­ar­bei­tung bekannt sind, die sich mit ihren Ser­vices an deut­sches Wer­be-Recht hal­ten, ihre Daten in deut­schen Rechen­zen­tren hos­ten und über akti­ve, kom­pe­ten­te Daten­schutz­be­auf­trag­te ver­fü­gen. Ihre Kun­den soll­ten Ihnen das wert sein!

 

 

aboutpixel.de / Datenschutz © Rainer Sturm

Die Lan­des­da­ten­schutz­be­hör­den in Bay­ern, Ber­lin, Bre­men, Ham­burg, Meck­len­burg-Vor­pom­mern, Nie­der­sach­sen, Nord­rhein-West­fa­len, Rhein­land-Pfalz, Saar­land und Sach­sen-Anhalt wäh­len per Zufall 500 Unter­neh­men in die­sen Bun­des­län­dern aus. Die­se erhal­ten im Zuge der Prü­fung einen aus­führ­li­chen Fra­ge­bo­gen (Down­load zur Selbst­über­prü­fung hier) zur zeit­na­hen Beant­wor­tung. Bit­te beach­ten Sie: Sie sind gemäß Bun­des­da­ten­schutz­ge­setz gegen­über der Behör­de aus­kunfts­pflich­tig. Neh­men Sie die Anfra­ge ernst und ertei­len Sie inner­halb des genann­ten Rück­mel­de­zeit­raums aus­führ­lich Aus­kunft. Es besteht sonst ein Buß­gel­dri­si­ko für Ihre Organisation.

“[…] vie­le klei­ne­re und mitt­le­re Unter­neh­men in Deutsch­land ver­ar­bei­ten inzwi­schen zahl­rei­che per­so­nen­be­zo­ge­ne Daten (z. B. von Kun­den, Mit­ar­bei­tern oder Bewer­bern) häu­fig auf Ser­vern exter­ner Dienst­leis­ter, oft außer­halb der Euro­päi­schen Uni­on. Dies ist vor allem bei Ange­bo­ten wie dem sog. Soft­ware as a Ser­vice der Fall. Ein klas­si­sches Bei­spiel hier­für sind Office-Anwen­dun­gen „aus dem Inter­net“, die stand­ortu­n­ab­hän­gig und fle­xi­bel genutzt wer­den können.”

Inhalt­lich beschäf­tigt sich der Fra­ge­bo­gen daher zu Beginn mit gene­rel­len Daten­über­mitt­lun­gen außer­halb der EU (USA, sons­ti­ge Drittstaaten).

“Ein wich­ti­ges Ziel der Prü­fung liegt in der Sen­si­bi­li­sie­rung der Unter­neh­men für Daten­über­mitt­lun­gen in Län­der außer­halb der Euro­päi­schen Uni­on. Um Unter­neh­men das Auf­fin­den sol­cher Über­mitt­lun­gen zu erleich­tern, wird auch gezielt nach dem Ein­satz von Pro­duk­ten und Leis­tun­gen exter­ner Anbie­ter gefragt, die – nach bis­he­ri­gen Erfah­run­gen der Auf­sichts­be­hör­den – mit einer Über­mitt­lung per­so­nen­be­zo­ge­ner Daten in Nicht-EU-Staa­ten ver­bun­den sind.”

Im zwei­ten Teil wird es ziem­lich kon­kret im Hin­blick auf in der Cloud ein­ge­setz­te Lösun­gen wie Rei­se­ma­nage­ment, Cus­to­mer-Rela­ti­ons­hip-Manage­ment, Bewer­ber­por­ta­le bis hin zu kom­plet­ten Recruit­ment und Per­so­nal­ver­wal­tung und Abrech­nung, Cloud-Spei­cher, News­let­ter-Ser­vices, Cloud Office, aber auch Kol­la­bo­ra­ti­ons­platt­for­men. Hier wol­len die Behör­den sehr kon­kre­te Anga­ben zu den genutz­ten Anbie­tern und Lösungen.

Abge­schlos­sen wird der Fra­ge­bo­gen mit Anga­ben zum betrieb­li­chen Daten­schutz­be­auf­trag­ten. Die­sen soll­ten Sie bei Vor­lie­gen der gesetz­li­chen Bestell­pflicht hof­fent­lich benen­nen kön­nen und in die Beant­wor­tung des Fra­ge­bo­gens ein­be­zo­gen haben.

„Über­mitt­lun­gen per­so­nen­be­zo­ge­ner Daten in Nicht-EU-Staa­ten gehö­ren inzwi­schen auch bei vie­len mit­tel­stän­di­schen Unter­neh­men zum All­tag, nicht zuletzt auf­grund der immer stär­ke­ren Ver­brei­tung von Ange­bo­ten des Cloud Com­pu­ting. Unter­neh­men müs­sen sich aber des­sen bewusst sein, dass hier­für beson­de­re daten­schutz­recht­li­che Anfor­de­run­gen gel­ten. Durch die koor­di­nier­te Prüf­ak­ti­on, an der sich zehn deut­sche Daten­schutz­auf­sichts­be­hör­den betei­li­gen, wol­len wir auch die Sen­si­bi­li­tät der Unter­neh­men in die­sem Bereich erhö­hen.“ betont Tho­mas Kra­nig, der Prä­si­dent des Baye­ri­schen Lan­des­am­tes für Daten­schutz­auf­sicht. „Aus­ge­hend von der Beant­wor­tung des Fra­ge­bo­gens kann und wird das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht dort, wo sich dies als not­wen­dig zeigt, auch in eine tie­fe­re Prü­fung einsteigen.“ 

Sie haben einen sol­chen Fra­ge­bo­gen erhal­ten, jedoch kei­nen betrieb­li­chen Daten­schutz­be­auf­trag­ten zur Beant­wor­tung parat? Spre­chen Sie uns an.

Quel­le: https://​www​.lda​.bay​ern​.de/​m​e​d​i​a​/​p​m​2​0​1​6​_​0​9​.​pdf

Out­sour­cing ist ein pro­ba­tes Mit­tel zur Kos­ten­kon­trol­le, aber auch um bewähr­tes Know How von extern in die Orga­ni­sa­ti­on zu holen. Sind dabei jedoch per­so­nen­be­zo­ge­ne Daten im Spiel, dann redet die DSGVO mit Art. 28 Auf­trags­ver­ar­bei­ter ein erheb­li­ches Wört­chen mit.

Auf die Rei­hen­fol­ge kommt es an

Was oft nicht bekannt ist,  Art. 28 DSGVO schal­tet sich schon weit vor dem akti­ven Beginn der Zusam­men­ar­beit ein. Zuerst muss geprüft wer­den, ob eine Auf­trags­ver­ar­bei­tung vor­liegt (z.B. exter­nes Rechen­zen­trum, Let­ter­shop, exter­ner News­let­ter, Fern­war­tung für Hard- und Soft­ware, etcpp .)

Ist das der Fall, gilt es, das Schutz­ni­veau des Anbie­ters zu prü­fen und das Ergeb­nis zu doku­men­tie­ren, die sog. Über­prü­fung der tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men (TOM). Sind die­se für das not­wen­di­ge Schutz­ni­veau aus­rei­chend, muss eine soge­nann­te Ver­ein­ba­rung zur Auf­trags­ver­ar­bei­tung geschlos­sen wer­den. Hin­wei­se wie “Die Par­tei­en ver­ein­ba­ren, sich an deut­sches Daten­schutz­recht bzw. die DSGVO zu hal­ten” sind Geschich­te und unzu­rei­chend. Auch bei der Nut­zung der diver­sen Vor­la­gen aus dem Web soll­te man sehr vor­sich­tig sein. Oft sind die­se ver­al­tet, feh­ler­haft, unvoll­stän­dig oder ent­hal­ten Pas­sa­gen, die mas­siv gegen ande­res Recht ver­sto­ßen und somit eben­falls nicht gültig.

Alles halb so schlimm?

Mei­nen Sie, aber auch nur, bis Sie den Buß­geld­ka­ta­log der DSGVO ken­nen­ge­lernt haben. Buß­gel­der wer­den fäl­lig, wenn eine Auf­trags­ver­ar­bei­tung gar nicht, unvoll­stän­dig oder feh­ler­haft umge­setzt ist. Übri­gens pro Dienst­leis­ter, wie uns vor eini­ger Zeit der Ver­tre­ter einer Schutz­be­hör­de erst wie­der bestä­tigt hat.

Wie­so noch selbst pla­gen und das Risi­ko tragen?

Ganz unab­hän­gig, ob Sie einen Daten­schutz­be­auf­rag­ten bestel­len müs­sen oder nicht, a.s.k Daten­schutz küm­mert sich um die rechts­kon­for­me Umset­zung in Ihrer Orga­ni­sa­ti­on. Wir iden­ti­fi­zie­ren die betrof­fe­nen Dienst­leis­ter, prü­fen deren Schutz­ni­veau, doku­men­tie­ren die­ses wie vor­ge­schrie­ben, erstel­len Ihnen die not­wen­di­ge rechts­kon­for­me Ver­ein­ba­rung zur Auf­trags­ver­ar­bei­tung — Sie und Ihr Dienst­leis­ter müs­sen nur noch unter­schrei­ben. Den Fort­schritt und die Doku­men­ta­ti­on fin­den Sie jeder­zeit in unse­rem kom­for­ta­blen Online Pro­jekt Tool. Auf Wunsch über­neh­men wir auch die Nach­prü­fung nach 12, 24 oder 36 Monaten.

Ein­fa­cher und risi­ko­frei­er für Sie geht es nicht!

Spre­chen Sie uns an. Güns­ti­ge Pau­schal­ta­ri­fe war­ten auf Sie, egal ob Ihre Dienst­leis­ter in Deutsch­land, der EU oder in einem soge­nann­ten Dritt­land sitzen.