Gibt es gute Anleitungen für das datenschutzkonforme Einrichten von Mailchimp und MailPoet?
Diese Frage wurde mir in der jüngsten Legal Session der Datenschutzpartner Academy gestellt.
Mit Mailchimp und MailPoet kann man Newsletter und sonstige E-Mails versenden.
Mailchimp ist eine Marketing-Plattform in der Cloud. MailPoet funktioniert als WordPress-Plugin mit einem optionalen Dienst für den E-Mail-Versand.
Nachfolgend versuche ich, die Frage aus der Legal Session mit Hinweisen für den Datenschutz-konformen Newsletter-Versand mit MailPoet zu beantworten. Die Hinweise gelten sinngemäss für alle Newsletter-Dienste.
Datenschutz-konforme Einstellungen für das MailPoet-Plugin
Nach der Plugin-Installation in WordPress muss MailPoet eingerichtet werden. Die standardmässigen Einstellungen sollten geprüft und mit Blick auf die Datenschutz-Konformität allenfalls angepasst werden.
Bestätigung von Anmeldungen mit «Double-Opt-in»-Verfahren
Wenn man den «MailPoet Sending Service» nutzt, das heisst den MailPoet eigenen-Dienst für den E-Mail-Versand, ist das «Double-Opt-in»-Verfahren obligatorisch.
Beim «Double-Opt-in»-Verfahren erhalten alle Personen, die sich für einen Newsletter anmelden, eine Bestätigungs-E-Mail. Nur wenn sie den Weblink in dieser E-Mail anklicken, gelten sie als angemeldet.
Das «Double-Opt-in»-Verfahren sollte auch bei anderen Versand-Varianten genutzt werden. Ohne das «Double-Opt-in»-Verfahren gibt es keine Möglichkeit zu beweisen, dass ein Newsletter für eine bestimmte E-Mail-Adresse tatsächlich abonniert wurde.
Beschränkung auf erforderliche Erfolgs- und Reichweitenmessung
Bei MailPoet kann beim «Engagement Analytics Tracking» zwischen «Basic», «Partial» und «Full» gewählt werden.
«Partial» ist sinnvoll, wenn man nicht auf die Erfolgs- und Reichweitenmessung verzichten möchte, ohne aber Cookies zu verwenden. Eine solche Messung kann wichtig sein, um den Newsletter-Empfänger:innen die bestmöglichen Inhalte zu liefern.
Löschung von inaktiven Newsletter-Empfänger:innen
Personendaten dürfen nur bearbeitet werden, solange sie für den jeweiligen Zweck erforderlich sind.
Gleichzeitig behandeln Gmail und andere E-Mail-Plattformen Newsletter-E-Mails, die von ihren Empfänger:innen nicht geöffnet werden, als möglichen Spam. Ausserdem verursacht der Versand von E-Mails, die nicht gelesen werden, unnötige Kosten und belastet unnötig die Umwelt.
Dagegen hilft «Stop Sending to Inactive Subscribers» bei MailPoet. Je häufiger ein Newsletter verschickt wird, desto schneller sollten inaktive Empfänger:innen gelöscht werden.
Von Hand gelöscht werden sollten gelegentlich Personen, die ihre Newsletter-Anmeldung nicht bestätigt haben («Unconfirmed») oder den Newsletter nicht mehr erhalten («Unsubscribed» und «Bounced»).
Anonyme Daten mit MailPoet teilen?
Wer mag, kann «Share Anonymous Data» aktivieren und Daten über die Plugin-Nutzung mit MailPoet teilen.
MailPoet erklärt, welche Daten geteilt werden. Personendaten scheinen nicht geteilt zu werden.
Verzicht auf Einbindung von Dritt-Diensten wie Google Fonts
Das WordPress-Plugin von MailPoet nutzt standardmässig die Dritt-Dienste Google Fonts, Help Scout, Mixpanel und Satismeter.
Mit Blick auf Abmahnungen für die Einbindung von Google Fonts und anderen Dritt-Diensten ist es sinnvoll, auf «Load 3rd-Party Libraries» zu verzichten.
Die Möglichkeit, diese Dritt-Dienste zu deaktivieren, geht unter anderem auf meine Rückmeldung zurück. Wir entdeckten vor einiger Zeit bei einem internen Datenschutz-Audit, dass MailPoet ungefragt Google Fonts in unsere Website integriert hatte.
Siehe auch:
- 100 Euro-Abmahnungen (Datenschutz Plaudereien)
- Hilfe, die Datenschutz-Abmahnungen kommen! (Datenschutzpartner Academy)
Verzicht auf Google reCAPTCHA beim Spamschutz
Spamschutz mit einem CAPTCHA ist für ein Newsletter-Anmelde-Formular sinnvoll.
Bei MailPoet ist in den meisten Fällen die integrierte CAPTCHA-Lösung gut genug. Dazu kommt, dass das «Double-Opt-in»-Verfahren vor Spam-Anmeldungen schützt.
Auf die Verwendung von Google reCAPTCHA, die auch mit MailPoet möglich ist, kann fast immer verzichtet werden.
Nicht vergessen: Datenschutzerklärung und weitere Punkte für Datenschutz-Konformität
Jenseits der Einstellungen müssen verschiedene Punkte beachtet werden, um MailPoet Datenschutz-konform nutzen zu können.
Datenschutzerklärung für die Information der betroffenen Personen
Die Empfänger:innen von Newslettern und weitere betroffene Personen müssen über die Bearbeitung ihrer Daten und über ihre Rechte informiert werden, üblicherweise im Rahmen der online veröffentlichten allgemeinen Datenschutzerklärung.
Der Datenschutz-Generator von Datenschutzpartner unterstützt zahlreiche Newsletter-Dienste, unter anderem MailPoet.
Wenn sich ein Newsletter auch an Personen im Europäischen Wirtschaftsraum (EWR) richtet, ist eine EU-Datenschutz-Vertretung gemäss Art. 27 DSGVO erforderlich.
Die Datenschutzerklärung sollte in jeder einzelnen E-Mail im Footer sowie beim Anmelde-Formular verlinkt werden. Beim Anmelde-Formular ist es sinnvoll, über den Newsletter-Inhalt zu informieren.
Siehe auch: Wie erfülle ich die Informationspflicht gemäss DSG und DSGVO? (Datenschutzpartner Academy)
Absender-Informationen und einfache Abmelde-Möglichkeit
Aus jeder einzelnen E-Mail sollte klar hervorgehen, von wem sie stammt. Für die entsprechenden Angaben ist der E-Mail-Footer geeignet, häufig mit einem Weblink auf das online veröffentlichte Impressum.
Die Empfänger:innen müssen sich bei jeder einzelnen E-Mail vom Newsletter abmelden können. Die E-Mail sollte mit einem Klick oder Tap erfolgen können.
Absicherung von Auftragsverarbeitung und Daten-Export
Wenn man den «MailPoet Sending Service» oder einen sonstigen Dienst für den E-Mail-Versand nutzt, was fast immer der Fall ist, muss man mit dem jeweiligen Anbieter einen Auftragsverarbeitungsvertrag (AVV) beziehungsweise ein Data Processing Agreement (DPA) abschliessen.
MailPoet ist inzwischen ein Angebot der Automattic Inc. und der WooCommerce Inc. jeweils in den USA. Für Nutzer:innen unter anderem in allen europäischen Ländern sind die Aut O’Mattic A8C Ireland Ltd. und die WooCommerce Ireland Ltd. in Irland gemeinsam mit den amerikanischen Gesellschaften verantwortlich.
In der Folge muss der Daten-Export in den USA mindestens mit Standarddatenschutzklauseln beziehungsweise mit Standard Contractual Clauses (SCC) abgesichert werden.
Das «MailPoet Data Processing Agreement» von 2019 kann übrigens nicht mehr verwendet werden. MailPoet war damals noch ein Angebot der französischen Wysija SARL, wobei für das DPA kurioserweise schweizerisches Recht für anwendbar erklärt worden war.
Das aktuelle Data Processing Agreement (DPA) vom 16. September 2022 stammt von den erwähnten Automattic- und WooCommerce-Gesellschaften. Erfreulicherweise wird die Schweiz im DPA ausdrücklich berücksichtigt.
Wenn man über ein WordPress.com-Konto verfügt, kann man das DPA über die «Privacy»-Seite per E-Mail anfordern. Momentan funktioniert auch der folgende direkte PDF-Download. Ansonsten hilft der Support von MailPoet weiter.
Siehe auch:
- Wie muss ich den Datenschutz beim Outsourcing absichern? (Datenschutzpartner Academy)
- Worauf muss ich beim Daten-Export achten? (Datenschutzpartner Academy)
Siehe auch:
- Ham statt Spam (Datenschutz Plaudereien)
- Wie versende ich Newsletter, ohne für Spam bestraft zu werden? (Datenschutzpartner Academy)