DSGVO-consultatie: Vragen & antwoorden over DSGVO in e-mailmarketing

In principe moet toestemming worden gegeven voor het specifieke geval. Dit betekent niet dat de toestemming voor elke afzonderlijke reclamemailing opnieuw moet worden gegeven. Wel moet de toestemming (ook) verband houden met de specifieke reclamezending. Toestemming voor het specifieke geval ontbreekt bijvoorbeeld als een voetbalclub zijn e-mailadres op zijn website heeft gepubliceerd (BGH, NJW 2008, 2999 - FC Troschenreuth). De club verwacht hooguit vragen over wedstrijdverrichtingen of clubactiviteiten, maar niet over diensten die geen verband houden met de club.

Ook hier ontbreekt de vereiste bepaaldheid van uitdrukkelijke toestemming als een visitekaartje wordt overhandigd in het kader van een evenement (LG Baden-Baden, WRP 2012, 612 (613)). Het is echter denkbaar dat een doos met het duidelijke opschrift "Nieuwsbrief" wordt geplaatst waarin het visitekaartje wordt gestopt. In dat geval is de controleerbaarheid slechter dan bij een dubbele opt-in.

Toestemming ontbreekt ook als de deelnemer aan een seminar zijn of haar e-mailadres heeft ingevoerd in de deelnemerslijst (LG Gera, WRP 2012, 1468). In dit geval heeft de deelnemer geen toestemming gegeven. Aan de andere kant is het tonen van een seminarlijst met het verzoek om je in te schrijven als je de nieuwsbrief wilt ontvangen voldoende concreet als duidelijk is door welk bedrijf de nieuwsbrief zal worden verstuurd.

Dit zou voldoende zijn als toestemming als de klant actief op het vakje klikt en het niet is voorgeselecteerd - opt-in en niet opt-out (BGH, MMR 2008, 731 - Payback). Het zou echter niet mogelijk zijn om te bewijzen dat de eigenaar van het e-mailadres de invoer daadwerkelijk heeft gedaan, omdat fouten of misbruik niet kunnen worden uitgesloten (AG Berlin, MMR 2009, 144). Zelfs een gelogd IP-adres is niet voldoende als bewijs. De websitebeheerder heeft geen middelen om een specifieke houder van een e-mailaccount af te leiden uit een dynamisch IP-adres. Toegangsproviders, die op zijn minst de eigenaar van de verbinding zouden kunnen vaststellen (zelfs als dit niet de accounthouder is), zijn niet verplicht of gerechtigd om overeenkomstige gegevens te overhandigen.

De zogenaamde bevestigde opt-in is ook onvoldoende als bewijs. In dit geval wordt een bevestigingsmail verzonden, maar er is geen bevestigingslink geïntegreerd. Er wordt alleen expliciet verwezen naar de mogelijkheid om zich af te melden. Als er geen reactie komt, wordt het e-mailadres in kwestie toegevoegd aan de distributielijst. Het is echter niet mogelijk om te bewijzen dat de houder van het e-mailaccount zich heeft ingeschreven voor de nieuwsbrief.

BGH, arrest van 01.02.2018 - III ZR 196/17: "Noch Richtlijn 2002/58/EG noch paragraaf 7 UWG voorziet in een tijdslimiet voor toestemming wanneer deze eenmaal is gegeven. Hieruit volgt dat deze - net als toestemming op grond van artikel 183 van het Duits Burgerlijk Wetboek (BGB) - in beginsel niet louter door tijdsverloop vervalt." Concluderend acht ik reclame per e-mail geoorloofd als er geen reden is om te twijfelen aan de oorspronkelijk uitgesproken toestemming van de consument. Deze reden kan zijn dat de toestemming meer dan anderhalf jaar geleden is gegeven en er in deze periode geen reclame is verstuurd. Dit was het standpunt van de regionale rechtbank van Berlijn vóór de invoering van de GDPR (LG Berlin, uitspraak van 09.12.2011 - 15 O 343/11). Of dit nu nog steeds het geval is, is twijfelachtig. Het is een op zichzelf staande beslissing in eerste aanleg, geen vaste jurisprudentie van de laatste instantie. Maar zelfs als men deze beslissing zou willen volgen, zou er geen tijdsverloop zijn als er regelmatig reclame wordt verstuurd. De stelling dat de regel dat toestemming na twee jaar vervalt, niet in het hele rechtssysteem bestaat, is moeilijk omdat ik niet het hele rechtssysteem kan onderzoeken. De relevante sets regels van de GDPR en de UWG bevatten echter geen dergelijke wettelijke regeling.

Het is heel goed mogelijk dat er voor de invoering van de GDPR al op correcte wijze toestemming werd gegeven voor het versturen van reclame met een dubbele opt-in. Dit zou ook voldoen aan de normen van de GDPR. Je zou de betreffende ontvangers kunnen blijven aanschrijven.

Nee, er is geen expliciete toestemming.

Als u al toestemming hebt verzameld via een dubbele opt-in procedure bij een andere aanbieder van nieuwsbriefdiensten, hoeft u niet opnieuw toestemming te verzamelen. De toestemming van de ontvanger heeft betrekking op de ontvangst van uw e-mails en niet op de serviceprovider die u gebruikt om ze te verzenden. U kunt daarom gegevens die correct zijn verzameld met de dubbele opt-in procedure direct gebruiken met CleverReach.

Onredelijke intimidatie in het geval van reclame door middel van elektronische post kan niet worden aangenomen als:

a. een ondernemer het e-mailadres van de klant heeft ontvangen in verband met de verkoop van een goed of dienst,

b. de ondernemer het adres gebruikt voor direct marketing van zijn eigen soortgelijke goederen of diensten,

c. de klant geen bezwaar heeft gemaakt tegen het gebruik, en

d. de klant bij het ophalen van het adres en bij elk gebruik duidelijk wordt geïnformeerd dat hij/zij te allen tijde bezwaar kan maken tegen het gebruik zonder dat dit hem/haar andere kosten oplevert dan de transmissiekosten volgens de basistarieven.

Alleen reclame voor eigen goederen of diensten valt onder de uitzondering. Dit sluit in eerste instantie het verzenden van reclamemails ten behoeve van andere bedrijven uit. Met name op zichzelf staande nieuwsbrieven kunnen niet worden verzonden met een beroep op lid 3. De KG vereist een "uitwisselbaarheid" van de producten of dat de producten dezelfde of minstens een gelijkaardige behoefte of doel dienen. Het OLG Jena vereist een "identiek typisch gebruiksdoel".

Helaas niet, want er is geen expliciete toestemming.

Deze vraag kan ook snel worden beantwoord. Geen, als er geen toestemming of bevel is.

De duur van de gegevensopslag wordt niet bepaald door CleverReach, maar door u als verzender van de nieuwsbrief. Een algemeen geldende tijdseenheid bestaat (nog) niet. Omdat u de toestemming van de ontvanger van de nieuwsbrief moet aantonen door middel van een dubbele opt-in, kunnen de gegevens wettelijk zo lang bewaard blijven,

• zolang de mails worden verstuurd op basis van de toestemming, en
• zelfs langer dan dat, zolang je er rekening mee moet houden dat er nog steeds om bewijs kan worden gevraagd.

Het principe is dat gegevens moeten worden verwijderd als ze niet langer nodig zijn, maar ze mogen ook worden bewaard zolang daar een legitiem belang bij is. De bewaartermijn van de gegevens moet daarom door u in elk afzonderlijk geval worden bepaald.

Zoals voorheen ontvangt u de dubbele opt-in gegevens per e-mail in het geval van een CleverReach verzoek. Als je onze CleverReach formulieren gebruikt, kun je het DOI protocol downloaden per ontvanger. Je vindt de download optie direct in het profiel van de ontvanger. Dit is natuurlijk een groot voordeel, vooral in het geval van een klacht. Eén klik en je kunt het bijbehorende registratiebewijs volgens DSGVO bekijken. Snel, handig en voor uw veiligheid.

De bewaartermijn van de gegevens wordt niet bepaald door CleverReach, maar door u als verzender van de nieuwsbrief. Dit betekent dat zodra u verzoekt om verwijdering van de gegevens van de ontvanger, wij deze opdracht uitvoeren.

Tegen deze achtergrond moet echter rekening worden gehouden met het feit dat wij als gegevensverwerkers verplicht zijn om de beveiliging van gegevens te waarborgen volgens de nieuwe GDPR en hiervoor regelmatig back-ups moeten maken. Helaas kunnen individuele gegevensrecords niet specifiek worden verwijderd uit deze back-ups, die alleen onder bepaalde voorwaarden worden bekeken en überhaupt weer worden gebruikt. Wij van CleverReach hebben daarom besloten om deze back-ups in het algemeen na 30 dagen te verwijderen.

Als verantwoordelijke voor de gegevens beslist u hierover volgens uw eigen regels. Zoals al is uitgelegd met betrekking tot de double opt-in procedure, geldt het principe dat gegevens moeten worden verwijderd wanneer ze niet langer nodig zijn; ze mogen echter ook worden bewaard zolang daar een legitiem belang bij is. Als de gegevens uitsluitend werden verwerkt voor het verzenden van nieuwsbrieven, mogen de gegevens niet langer worden gebruikt voor het verzenden van nieuwsbrieven aan de ontvanger zodra deze zich heeft afgemeld. De verzender van de nieuwsbrief moet echter ook kunnen aantonen dat hij aan zijn wettelijke verplichtingen voldoet (bijv. volgens de DSGVO). Voor zover de gegevens voor dit doel nodig zijn, mogen ze opgeslagen blijven. Er zal geen automatische verwijdering plaatsvinden door CleverReach, maar we zullen wel de voorwaarden voor u creëren om geautomatiseerde processen in te stellen.

Als je al effectieve toestemming hebt gegeven: over het algemeen niet (overweging 171 van de GDPR). De Europese wetgever heeft ten gunste van de gegevensgebruiker besloten om de toestemming die al is verkregen onder de gegevensbeschermingswetgeving te blijven toepassen. De voorwaarde is echter dat

• a) de toestemmingen effectief werden verkregen op basis van de BDSG en de TMG die van toepassing waren tot 24.05.2018
• b) de verleende toestemmingen ook voldoen aan de voorwaarden van de GDPR.

In deze context wordt groot belang gehecht aan vrijwilligheid. Dit is niet het geval als het zogenaamde verbod op koppelverkoop in het verleden is overtreden - d.w.z. als het verzamelen van gegevens (e-mailadres) was gekoppeld aan voorwaarden die niet noodzakelijk waren voor de uitvoering van een contract. Aan de andere kant is het feit dat in de eerdere toestemmingen tot 24 mei 2018 niet werd voldaan aan de nieuwe informatievereisten (artikel 13 van de GDPR) onschadelijk.

Dit betekent voor jou als verzender van nieuwsbrieven: aangezien de relevante toestemmingsvereisten onder de huidige en nieuwe wetgeving in Duitsland elkaar grotendeels overlappen, is het over het algemeen niet nodig om vanaf 25 mei 2018 opnieuw toestemming te vragen aan elke ontvanger van een nieuwsbrief wiens gegevens al met toestemming worden verwerkt.

Wat nieuw is en moet worden opgemerkt voor eerdere toestemmingen, is dat de GDPR nu een uniforme minimumleeftijd voor toestemming heeft geregeld. Toestemming van minderjarigen jonger dan 16 jaar (of jonger dan 13 jaar als de nationale wetgeving een overeenkomstige bepaling bevat) is onder de GDPR alleen effectief als de ouders ermee instemmen.

Ja. Hoe gegevens worden verzameld - digitaal of analoog - is in principe hetzelfde voor de wettelijke beoordeling, dezelfde vereisten zijn van toepassing. Dit betekent: een verwijzing naar de gegevensbeschermingsverklaring moet ook worden gemaakt in het geval van analoge gegevensverzameling, bijv. wanneer e-mailadressen offline worden verzameld.

In dit verband heeft de conferentie voor gegevensbescherming verklaard dat de informatie in dit verband

• in een nauwkeurige, transparante, begrijpelijke en gemakkelijk toegankelijke vorm
• en in duidelijke en eenvoudige taal

in duidelijke en eenvoudige taal. Zij moeten ook

• schriftelijk of
• in een andere vorm (indien nodig elektronisch)

beschikbaar worden gesteld.

Als er echter verwezen wordt naar informatie die elektronisch beschikbaar is, dan moet deze ook gemakkelijk te vinden en dus beschikbaar zijn in de specifieke situatie. Als de gegevens dus moeten worden verzameld bij een persoon die aanwezig is, dan mag in de regel niet naar informatie op het internet worden verwezen. Dit geldt ook voor schriftelijke correspondentie op papier.

Ja. Een aantekening in de gegevensbeschermingsverklaringen waarin staat wat er wordt opgeslagen, waar en hoe lang, en dat CleverReach de gegevensverwerker in opdracht is met wie een verwerkersovereenkomst (CPA) is gesloten om de gegevens te beschermen, zou meestal voldoende moeten zijn.

Ja, via de bijbehorende opmerkingen in het privacybeleid.

Natuurlijk. De dubbele opt-in gegevens worden gecodeerd met behulp van de SSL-procedure.

Ja. De omvang en het doel van de gegevensverzameling moeten transparant en op een eenvoudige en duidelijke manier worden meegedeeld aan de ontvangers. De essentiële inhoud moet worden uitgelegd op het punt waar de gegevens worden verzameld; voor de rest kan worden verwezen naar het privacybeleid, dat idealiter op dat punt is gekoppeld.