So passt man den Newsletter-Dienst MailChimp an die Regeln der neuen DSGVO an

Am 25. Mai wird es ernst: die neue Datenschutzverordnung (DSGVO) der EU tritt in Kraft und allen Unternehmen, die Daten von EU-Bürgern verarbeiten drohen hohe Strafen. 20 Millionen Euro oder 4 Prozent des Jahresumsatzes kostet es, wenn ein Verstoß geahndet wird.

Das Problem ist, dass die Forderungen der DSGVO umfangreich und in manchen Bereichen unkonkret sind. Viele Unternehmen schieben die Umsetzung vor sich her oder fühlen sich schlicht überfordert. Auch in Österreich. Zwei Drittel der heimischen Unternehmen sehen sich „weniger gut“ oder sogar „schlecht“ auf die DSGVO vorbereitet. Das geht aus einer Studie hervor, die das Linzer Startup Akarion bei der Johannes Kepler Universität in Linz in Auftrag gegeben hat.

Serie: So werden alle Tools DSGVO-konform

Startups haben in der Regel besonders viel Vorarbeit zu leisten. Nutzerdaten sind Teil digitaler Geschäftsmodelle, spielen aber bereits im digitalen Unternehmensalltag eine große Rolle. Das fängt bei Websites an, die mit Zählpixeln von Google und Facebook ausgestattet sind, einen Blog mit Kommentarsystem umfassen, und reicht hin bis zur Verarbeitung von Daten für Newsletter oder in Projektmanagement- und Kommunikations-Tools.

Trending Topics hat sich einige beliebte Tools angesehen, die bei Startups im Einsatz sind. Alle davon sind kompatibel mit der DSGVO, dennoch sind einige Maßnahmen notwendig, damit MailChimp, Google Analytics, Slack, WordPress und Co. nach dem 25. Mai weiterverwendet werden können. Den Anfang unserer Serie macht das beliebte Mail-Marketing-Tool MailChimp.

MailChimp: DSGVO-konforme Newsletter

Wer seine Newsletter über MailChimp verschickt, ist damit auch nach Inkrafttreten der DSGVO gut beraten. Das Unternehmen hat ein eigenes Team, das sich seit fast einem Jahr ausschließlich mit der EU-Datenschutzverordnung befasst. MailChimp hat ein umfassendes PDF veröffentlicht, das Nutzern helfen soll, den Newsletter-Versand kompatibel mit der DSGVO zu gestalten. Diese Punkte sollten bis 25. Mail überprüft und gegebenenfalls geändert werden:

1. Einverständnis einholen und dokumentieren

Laut DSGVO müssen Nutzer explizit in die Verarbeitung ihrer Daten einwilligen (Opt-in) und diese Einwilligung muss auch mit Datum festgehalten werden. Dieses Opt-in muss deutlich machen, wofür die Daten ganz konkret verwendet werden. MailChimp hat die Formulare im Form Builder dementsprechend aktualisiert und um entsprechende Checkboxes erweitert, die Nutzern deutlich machen, wofür ihre Daten verwendet werden.

Update, 15. Mai 2018: Um die DSGVO-Checkbox für das Anmeldeformular zu aktivieren, muss man in den Einstellungen der jeweiligen Liste. Den „Form Builder“ findet man unter der jeweiligen Mailing-Liste unter „Form Settings“ den Punkt „Enable GDPR fields“ aktivieren. Dann kann das Anmelde-Formular unter „Signup forms“ bearbeitet werden. Das Ergebnis könnte dann so aussehen: http://eepurl.com/drLmKf

Sind die „GDPR fields“ im Einsatz, wird bei jedem neuen Abonnenten im Profil vermerkt, dass das Opt-in DSGVO-konform erfolgt ist.

Bestehende Leads müssen ebenfalls in die konkrete Datenverarbeitung einwilligen – am besten über ein neues Opt-in-Mail via MailChimp. Das ist auch eine gute Gelegenheit, die Liste von inaktiven Nutzern zu bereinigen. Wie das genau geht, beschreibt MailChimp in diesem Artikel. Auch diesen Schritt sollten Startups erst durchführen, wenn MailChimp die Formulare überarbeitet hat. Es sollte noch im April so weit sein.

Sollte es notwendig werden, den Nachweis über das Opt-in zu erbringen, kann die Mail-Liste mit den entsprechenden Daten exportiert werden.

2. Integrationen und Add-ons überprüfen

Ads-Ons und Integrationen sind nützlich, aber jede einzelne davon verarbeitet vermutlich Nutzerdaten weiter. Bis 25. Mai sollten diese Integrationen überprüft und notfalls abgedreht werden.

3. Data Processing Agreement unterzeichnen

Damit MailChimp die Daten der Nutzer seiner Nutzer weiterhin speichern und verarbeiten darf, sollte zudem ein neuer Vertrag mit MailChimp unterzeichnet werden. Das ist vor allem deshalb notwendig, weil die Server von MailChimp in den USA stehen.

4. Nutzer Daten verwalten lassen

Nutzer müssen gemäß der DSGVO die Möglichkeit haben, ihre Daten zu löschen und zu aktualisieren. Der Link zumAbbestellen des Newsletters ist bereits jetzt standardmäßig in den Footer von MailChimp-Mails integriert. Es gibt auch einen Link, über den Nutzer ihre Daten einfach selbst aktualisieren können. Falls er noch nicht im Footer integriert ist, sollte das jetzt geändert werden.

5. Daten nicht für F&E weitergeben

Wer ganz sicher gehen will, kann MailChimp die Weiterverarbeitung anonymisierter Daten zu Forschungszwecken untersagen. Dazu gibt es ein Opt-out in den Einstellungen (Account > Settings > Security > Checkbox unter Data science privacy settings)

6. Datenschutzerklärung aktualisieren

In der Datenschutzerklärung (Privacy Statement) auf der Website sollten Nutzer darauf hingewiesen werden, dass die Daten von Newsletter-Abonnenten an MailChimp übertragen und dort verarbeitet werden.

Falls noch konkrete Fragen zum Thema DSGVO und MailChimp offen sind dürfen sich MailChimp-Nutzer an legal@mailchimp.com wenden. Dieser Artikel stellt keine Rechtsberatung dar. Wir übernehmen keinerlei Gewähr für allfällige Rechtsfolgen, die sich aus der Umsetzung dieser Informationen ergeben.