Grundsätzlich muss die Einwilligung für den konkreten Fall erteilt werden. Damit ist nicht gemeint, dass die Einwilligung bezogen auf jede einzelne Werbeaussendung erneut erteilt werden muss. Allerdings muss die Einwilligung (auch) auf die konkrete Werbeaussendung bezogen sein. An einer Einwilligung für den konkreten Fall fehlt es etwa, wenn ein Fußballverein seine E-Mail-Adresse auf der Website veröffentlicht hat (BGH, NJW 2008, 2999 – FC Troschenreuth). Der Verein erwartet allenfalls Anfragen zum Spielbetrieb oder Vereinsaktivitäten, nicht jedoch zu vereinsfremden Leistungen.

Auch hier fehlt es an der erforderlichen Bestimmtheit einer ausdrücklichen Einwilligung, wenn im Rahmen einer Veranstaltung eine Visitenkarte übergeben wird (LG Baden-Baden, WRP 2012, 612 (613)). Denkbar ist allerdings das Aufstellen einer Box mit der deutlichen Aufschrift „Newsletter“, in die die Visitenkarte eingeworfen wird. Wobei dann die Nachweisbarkeit schlechter ist als beim Double-Opt-In.

An einer Einwilligung fehlt es auch, wenn der Teilnehmer eines Seminars seine E-Mail- Adresse in die Teilnehmerliste eingetragen hat (LG Gera, WRP 2012, 1468). Er hat dann eben keine Einwilligung erklärt. Das Auslegen einer Seminarliste andererseits mit der Aufforderung sich einzutragen, wenn man den Newsletter empfangen möchte, ist hinreichend konkret, wenn klar wird, von welchem Unternehmen der Newsletter versendet werden wird.

Das wäre als Einwilligung ausreichend, wenn der Kunde aktiv die Box klickt und sie nicht etwa vorausgewählt ist – eben Opt-in und nicht Opt-out (BGH, MMR 2008, 731 – Payback). Jedoch ließe sich nicht nachweisen, dass tatsächlich der Inhaber der E-Mail-Adresse die Eingabe getätigt hat, weil Fehler oder Missbrauch nicht ausgeschlossen werden können (AG Berlin, MMR 2009, 144). Auch eine etwa mitprotokollierte IP-Adresse reicht für einen Beweis nicht aus. Der Website-Betreiber hat keine Handhabe, aus einer dynamischen IP-Adresse auf einen konkreten E-Mail-Account-Inhaber zu schließen. Access-Provider, die immerhin den Anschlussinhaber (wenn auch nicht den Account-Inhaber) ermitteln könnten, sind zu Herausgabe entsprechender Daten weder verpflichtet noch berechtigt.

Zum Beweis ebenfalls nicht ausreichend ist das sog. Confirmed-Opt-in. Hierbei wird zwar eine Bestätigungs-E-Mail versandt, aber kein Bestätigungslink integriert. Vielmehr erfolgt lediglich der ausdrückliche Hinweis auf eine Austragungsmöglichkeit. Erfolgt keine Reaktion, wird die betreffende E-Mail-Adresse dem Verteiler hinzugefügt. Ein Nachweis, dass sich gerade der E- Mail-Account-Inhaber für den Newsletter eingetragen hat, gelingt so allerdings nicht.

BGH, Urteil vom 01.02.2018 – III ZR 196/17: „Eine zeitliche Begrenzung einer einmal erteilten Einwilligung sieht weder die Richtlinie 2002/58/EG noch § 7 UWG vor. Hieraus ergibt sich, dass diese – ebenso wie eine Einwilligung nach § 183 BGB – grundsätzlich nicht allein durch Zeitablauf erlischt“. Im Ergebnis halte ich Werbung per Mail für zulässig, wenn es keinen Grund gibt, am ursprünglich geäußerten Einverständnis des Verbrauchers zu zweifeln. Dieser Grund könnte der Umstand sein, dass die Einwilligung länger als anderthalb Jahre her ist und in diesem Zeitraum keine Werbung verschickt worden ist. Das hat das Landgericht Berlin vor Einführung der DSGVO mal so gesehen (LG Berlin, Urteil vom 09.12.2011 – 15 O 343/11). Ob das jetzt noch so ist, ist fraglich. Es handelt sich um eine vereinzelte Entscheidung in der ersten Instanz, nicht ständige Rechtsprechung der letzten Instanz. Selbst wenn man dieser Entscheidung folgen wollte, gäbe es aber eben keinen Zeitablauf, wenn regelmäßig Werbung verschickt worden ist. Die Aussage, dass es die Regelung, dass nach zwei Jahren die Einwilligung abläuft, im gesamten Rechtssystem nicht gibt, ist schwierig insofern, als ich nicht das ganze Rechtssystem prüfen kann. Die einschlägigen Regelwerke der DSGVO und des UWG enthalten aber keine solche gesetzliche Regelung.

Es ist durchaus möglich, dass bereits vor Einführung der DSGVO die Einwilligung in den Werbeversand korrekt mit Double-Opt-In erfolgt ist. Das würde auch den Maßstäben der DSGVO genügen. Man könnte weiter die betreffenden Empfänger anschreiben.

Nein, eine ausdrückliche Einwilligung liegt nicht vor.

Wenn Sie die Einwilligung mit einem Double-Opt-In Verfahren bei einem anderen Newsletterdienstleister schon erhoben haben, brauchen Sie die Einwilligung nicht erneut erheben. Die Zustimmung des Empfängers bezieht sich auf den Empfang Ihrer E-Mails und nicht auf den Dienstleister den Sie zum Versand verwenden. Sie können Daten, die korrekt nach dem Double-Opt-In-Verfahren erhoben wurden also direkt bei CleverReach verwenden.

Eine unzumutbare Belästigung bei einer Werbung unter Verwendung elektronischer Post ist nicht anzunehmen, wenn:

a. ein Unternehmer im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden dessen elektronische Postadresse erhalten hat,

b. der Unternehmer die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet,

c. der Kunde der Verwendung nicht widersprochen hat und

d. der Kunde bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen wird, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

Nur Werbung für eigene Waren oder Dienstleistungen ist von der Ausnahme erfasst. Dies schließt zunächst die Versendung von werbenden E-Mails, die zu Gunsten anderer Unternehmen erfolgen, aus. Insbesondere können Stand-Alone-Newsletter nicht unter Berufung auf Abs. 3 versandt werden. Das KG fordert eine „Austauschbarkeit“ der Produkte oder dass die Produkte dem gleichen oder zumindest einem ähnlichen Bedarf oder Verwendungszweck dienen. Das OLG Jena verlangt einen „gleichen typischen Verwendungszweck“.

Leider nein, denn es liegt keine ausdrückliche Einwilligung vor.

Auch diese Frage lässt sich schnell beantworten. Keine, wenn weder eine Einwilligung noch eine Bestellung vorliegt.

Über die Dauer der Datenspeicherung entscheidet nicht CleverReach, sondern entscheiden Sie als Newsletter-Versender. Eine allgemeingültige, zeitliche Einheit existiert nämlich (noch) nicht. Da Sie die Einwilligung des Newsletter-Empfängers durch ein Double-Opt-in belegen müssen, können die Daten so lange legal gespeichert bleiben,

• wie die Mails aufgrund der Einwilligung versendet werden, und
• auch darüber hinaus so lange, wie Sie damit rechnen müssen, dass ein Nachweis noch gefordert werden kann.

Es gilt der Grundsatz, dass Daten gelöscht werden müssen, wenn sie nicht mehr gebraucht werden; aber auch solange gespeichert werden dürfen, wie daran ein berechtigtes Interesse besteht. Die Speicherdauer der Daten ist demnach von Ihnen im Einzelfall angemessen festzulegen.

Wie bisher erhalten Sie die Double-Opt-in-Daten im Falle einer Anforderung von CleverReach per Mail. Wenn Sie unsere CleverReach Formulare verwenden, können Sie das DOI-Protokoll empfängerbezogen downloaden. Die Download-Möglichkeit finden Sie direkt im Empfängerprofil. Dies ist natürlich besonders im Fall einer Beschwerde von großem Vorteil. Ein Klick und Sie können gemäß DSGVO den entsprechenden Nachweis der Anmeldung einsehen. Schnell, komfortabel und für Ihre Sicherheit.

Die Speicherdauer der Daten bestimmt nicht CleverReach, sondern legen Sie als Versender des Newsletters fest. Das bedeutet: Sobald Sie die Löschung der Empfängerdaten veranlassen, kommen wir diesem Auftrag nach.

Allerdings ist vor diesem Hintergrund zu berücksichtigen, dass wir als Datenverarbeiter nach der neuen DSGVO zur Datensicherheit verpflichtet sind und zu diesem Zweck regelmäßig Backups vornehmen müssen. Aus diesen Backups, die nur unter bestimmten Bedingungen überhaupt nochmals eingesehen und verwendet werden, können einzelne Datensätze leider nicht gezielt gelöscht werden. Wir bei CleverReach haben uns daher dazu entschieden, diese Backups generell nach 30 Tagen zu löschen.

Dies entscheiden Sie als Verantwortlicher für die Daten nach Ihren eigenen Regularien. Wie schon zum Double-Opt-in-Verfahren ausgeführt, gilt der Grundsatz, dass Daten gelöscht werden müssen, wenn sie nicht mehr gebraucht werden; aber auch solange gespeichert werden dürfen, wie daran ein berechtigtes Interesse besteht. Soweit die Daten allein für den Newsletterversand verarbeitet wurden, dürfen die Daten ab einer Abmeldung des Empfängers nicht mehr für einen Newsletterversand an diesen verwendet werden. Der Newsletter-Versender muss aber auch in der Lage sein, die Erfüllung seiner gesetzlichen Pflichten (z.B. nach der DSGVO) nachweisen zu können. Soweit die Daten hierfür erforderlich sind, können sie weiter gespeichert werden. Eine automatische Löschung durch CleverReach wird es nicht geben, jedoch werden wir für Sie die Voraussetzungen schaffen, um automatisierte Abläufe zu etablieren.

Sofern sie bereits eine wirksame Einwilligung gegeben haben: grundsätzlich nein (Erwägungsgrund 171 zur DSGVO). Der europäische Gesetzgeber hat sich nämlich zugunsten der Datenverwender für eine Fortgeltung der bereits eingeholten datenschutzrechtlichen Einwilligungen entschieden. Voraussetzung ist allerdings, dass

• a) die Einwilligungen auf Grundlage des bis 24.05.2018 geltenden BDSG und des TMG wirksam eingeholt wurden
• b) die erteilten Einwilligungen auch den Bedingungen der DSGVO entsprechen.

Großer Wert wird in diesem Zusammenhang auf die Freiwilligkeit gelegt. Diese ist nicht gegeben wenn in der Vergangenheit gegen das sog. Kopplungsverbot verstoßen wurde – also, falls die Erhebung der Daten (E-Mail-Adresse) an Bedingungen geknüpft war, die für die Erfüllung eines Vertrages nicht erforderlich waren. Dass bei den bisherigen Einwilligungen bis zum 24.05.2018 den neuen Informationspflichten (Art. 13 DSGVO) nicht genügt wurde, ist hingegen unschädlich.

Das bedeutet für Sie als Newsletter-Versender: Da sich die maßgeblichen Einwilligungserfordernisse nach geltendem und neuem Recht in Deutschland überwiegend überschneiden, entfällt in der Regel die Notwendigkeit, zum 25. Mai 2018 von jedem Newsletter-Empfänger, dessen Daten bereits mit Einwilligung verarbeitet werden, erneut eine Einwilligung einzuholen.

Neu und für bisherige Einwilligungen zu beachten ist, dass die DSGVO nun ein einheitliches Mindestalter für die Einwilligung geregelt hat. Einwilligungen von Minderjährigen unter 16 Jahren (oder unter 13 Jahren, wenn das nationale Recht eine entsprechende Bestimmung enthält) sind nach der DSGVO nur wirksam, wenn die Eltern damit einverstanden sind.

Ja. Wie Daten erhoben werden – digital oder analog – ist grundsätzlich für die rechtliche Würdigung gleich, es gelten dieselben Anforderungen. Das heißt: Es muss auch bei der analogen Datenerhebung, z.B. wenn E-Mail-Adressen offline gesammelt werden, ein Hinweis auf die Datenschutzerklärung gegeben werden.

Dazu hat die Datenschutzkonferenz ausgeführt, dass die diesbzgl. Informationen

• in präziser, transparenter, verständlicher und leicht zugänglicher Form
• sowie in klarer und einfacher Sprache

zu übermitteln sind. Außerdem sind sie

• schriftlich oder
• in anderer Form (ggf. elektronisch)

zur Verfügung zu stellen.

Wird aber auf eine elektronisch verfügbare Information Bezug genommen, dann muss diese auch leicht auffindbar und daher in der konkreten Situation verfügbar sein. Sollen die Daten also von einer anwesenden Person erhoben werden, darf die Person in der Regel nicht auf Informationen im Internet verwiesen werden. Dies gilt gleichermaßen für eine schriftliche Korrespondenz auf dem Papierweg.

Ja. Ein Hinweis in den Datenschutzerklärungen was, wo und wie lange gespeichert wird und dass CleverReach der Auftragsdatenverarbeiter ist, mit dem ein Auftragsverarbeitungsvertrag (AV) zur Absicherung der Daten besteht, sollte in der Regel ausreichend sein.

Ja, über entsprechende Hinweise in der Datenschutzerklärung.

Selbstverständlich. Die Double-Opt-in-Daten werden im SSL-Verfahren verschlüsselt.

Ja. Der Umfang und der Zweck der Datenerhebung ist den Empfängern transparent und in einer einfachen und klaren Art und Weise mitzuteilen. Der wesentliche Inhalt ist an der Stelle, wo die Daten erhoben werden, zu erläutern; im Übrigen kann auf die Datenschutzerklärung verwiesen werden, die idealerweise an der Stelle verlinkt ist.