Mailchimp ist einer der Dienste, die kein Scanner findet und die trotzdem zu den heikelsten gehören. Er bearbeitet E-Mail-Adressen, also Personendaten, er sitzt in den USA, und er misst mit, wer wann welchen Newsletter geöffnet und welchen Link geklickt hat.
Diese Messung ist der Teil, der in den Erklärungen am häufigsten fehlt. Dass Adressen gespeichert werden, schreiben die meisten hin. Dass jede Öffnung protokolliert wird, kaum jemand.
Was Mailchimp bekommt
- Die E-Mail-Adresse, dazu Name und weitere Felder, wenn du sie erhebst.
- Anmeldedaten. Zeitpunkt und IP-Adresse der Anmeldung, meist auch die Bestätigung des Double-Opt-in.
- Nutzungsdaten zum Versand. Ob eine Nachricht geöffnet wurde, wann, mit welchem Gerät, welche Links geklickt wurden.
Der letzte Punkt ist eine Verhaltensbeobachtung. Sie gehört genannt, und zwar als das, was sie ist.
Die Angaben, geprüft
Vertragspartnerin ist The Rocket Science Group LLC (Mailchimp), Atlanta, Georgia, USA, seit der Übernahme im Konzern von Intuit Inc. Mailchimp ist unter dem Swiss-US Data Privacy Framework zertifiziert; diese Angabe liegt bei mir mit Quelle und Prüfdatum vor.
Die Zertifizierung ist der Grund, warum die Auslandbekanntgabe hier ohne zusätzliche Garantien auskommt. Sie ist aber kein Freibrief: Der Staat und die Grundlage gehören trotzdem in die Erklärung, denn Art. 19 Abs. 4 revDSG verlangt die Information, nicht nur die Zulässigkeit.
Der Abschnitt, wie er aussehen kann
Newsletter
Für den Versand unseres Newsletters setzen wir Mailchimp ein. Anbieterin ist The Rocket Science Group LLC, Atlanta, USA. Übermittelt werden die E-Mail-Adresse und allfällige weitere Angaben, dazu Nutzungsdaten zum Versand (Öffnungen, Klicks). Zweck ist der Versand und die Auswertung der Reichweite. Die Bekanntgabe in die USA stützt sich auf das Swiss-US Data Privacy Framework (Art. 16 Abs. 2 lit. d revDSG).
Was du zusätzlich brauchst
Ein Newsletter braucht neben der Erklärung eine saubere Anmeldung. In der Schweiz ergibt sich das aus Art. 3 Abs. 1 lit. o UWG: Werbung per E-Mail ohne Einwilligung an Personen, mit denen keine Kundenbeziehung besteht, ist unlauter. Das Double-Opt-in ist darum kein Zierrat, sondern der Beleg, den du im Streitfall brauchst.
Und die Abmeldung muss in jeder Nachricht möglich sein. Mailchimp macht das von selbst, aber wenn du die Vorlage stark anpasst, prüf es nach.