2018 wurden knapp acht von zehn Rügen (79 Prozent), die die Beschwerdestelle des Eco
ausgesprochen hat, im Bereich EMail-Marketing aufgrund von rechtlichen Gründen erteilt (technische Gründe: 14 Prozent, beides: 7 Prozent). Beleuchtet man die rechtlichen Gründe genauer, zeigt sich, dass in 37 Prozent der Fälle die Einwilligung des Empfängers beanstandet wurde, d.h. die Voraussetzungen der Einwilligung, die aktiv und separat erfolgen müssen, eine Altersverfikation sowie einen Widerrufhinweis beinhalten müssen, waren nicht gegeben. Zudem mangelte es etwa 70 Prozent der strittigen Einwilligungen an Konkretheit. Häufig wurden die Erklärungen zu weit formuliert. Der rechtliche Rahmen zum Thema Informiertheit ist seit dem vergangenen Jahr mit der DSGVO deutlich abgesteckt. Laut Erwägungsgrund 32
und Artikel 4 Absatz 11 DSGVO
muss die Einwilligung "freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden".
Was genau bedeutet das? Zum Thema Informiertheit gibt es aktuelle Gerichtsentscheidungen des BGH
und des OLG Frankfurt
. Die Antworten der Gerichte zur Einwilligung im Allgemeinen: Es muss Klarheit bestehen über
- Produkte,
- Dienstleisungen und
- auf welche Unternehmen sich die Einwilligung bezieht.
Deshalb gibt Brake als konkrete Empfehlungen:
- Formulieren Sie die Permissionserklärung so exakt wie möglich!
- Sie sollten eine genaue Aufzählung der Dienste und Produkte vornehmen,
die beworben werden sollen!
- Benutzen Sie nur eine geringe Anzahl an Sponsoren! Der Nutzer sollte auf
einen Blick sehen was ihn erwartet.
Bei besonders jungen Empfängern gilt laut Artikel 8 DSGVO: Der Empfänger muss 13 Jahre alt sein, in Deutschland mindestens 16 Jahre. Bei EU-weiter Tätigkeit empfiehlt sich, ein Mindestalter von 16 Jahren einzuhalten. Die grundsätzlichen Voraussetzungen der Einwilligung sind in Artikel 7 DSGVO verankert:
- Die Einwilligung des Empfängers muss vorliegen
- Keine Versendung von Werbe-E-Mails ohne Permission
- Hinweis auf das Recht zum Widerruf der Einwilligung
- Widerruf muss so einfach erklärt werden können wie die Einwilligung
- Einwilligung muss komplett dokumentiert sein
- Dokumentation so lange wie erforderlich
- Art der Datenerfassung: DOI (Double-Opt-In) wird dringend empfohlen, da das eine Standardanforderung in Gerichtsverfahren ist.
Beim
Double-Opt-In muss im 1. Schritt die Abgabe der Einverständniserklärung inklusive Widerrufsbelehrung erfolgen; im 2. Schritt die Aktivierung eines Bestätigungslinks zur Verhinderung von Missbrauch der EMail-Adresse durch Dritte. Laut Braken müssen beim Double-Opt-In folgende Informationen gespeichert werden: Datum, Uhrzeit, IP-Adresse, Text der Einwilligungserklärung sowie Widerrufsmöglichkeit mit Kontakt. Die Speicherdauer entspricht der Dauer der Verjährungsfrist.
Die Beweislast gegen das Recht auf Löschung liegt auf Seiten des EMail-versendenden Unternehmens. Denn laut Artikel 17 DSGVO hat der Nutzer das Recht auf Löschung. Zudem trägt der Versender die Beweislast einer legalen Datenerhebung und -verwendung. Ausnahmen, denen zufolge der Versender die Löschung verweigern kann, sind in
Artikel 17 Absatz 3 DSGVO
geregelt.
Die Ausnahme zu den Voraussetzungen der Einwilligung sind
bestehende Kundenbeziehungen. Wesentliche Voraussetzungen sind:
- Entgeltlicher Kaufvertrag über Waren oder Dienstleistungen
- Ähnliche Produkte: gleicher Zweck oder Zubehör
- Hinweis auf jederzeitige Widerspruchsmöglichkeit bei der Erhebung der Adresse und in jeder bislang und künftig versandten E-Mail
- Kein Widerspruch des Kunden zur Nutzung seiner E-Mail-Adresse für werbliche Zwecke
Bei Rechtsverstößen bestehen in Deutschland erhebliche finanzielle Risiken in Form von Abmahnkosten und Schadenersatzansprüchen nach
UWG
,
BGB
,
TMG
und DSGVO (bis zu 20 Mio. Euro oder 4 Prozent des Gesamtjahresumsatzes des Unternehmens laut Artikel 83 DSGVO).
Trends: Tatsächlich seien laut Braken kontinuierlich ansteigende Fallzahlen bei Bund und Ländern zu verzeichnen. Bisher wurden
75 Verstöße festgestellt und insgesamt Bußgelder von einer halben Million Euro
verhängt. Die Spanne reicht dabei von wenigen hundert bis zu 80.000 Euro.
Auch in
anderen europäischen Ländern steigen die Fallzahlen kontinuierlich. Die Höhe der verhängten Bußgelder war dabei bislang sehr unterschiedlich. In Österreich gab es bislang 5 Bußgeldbescheide über maximal 4.800 Euro, in Polen über 219.000 Euro. Negativrekordhalter ist Frankreich, wo gegen Google ein Bußgeld von 50 Millionen Euro verhängt wurde wegen mangelnder Transparenz über Datenverarbeitung und keine gültige Einwilligungserklärung.