Mailchimp & Co. sind nach EuGH-Urteil unzulässig
Lange haben viele Deutsche E-Mail Marketer auf diese klare Entscheidung gewartet
Die behördliche Entscheidung gegen Mailchimp in der Praxis
Seit dem EuGH-Urteil im Juli 2020 und dem Ende von Privacy Shield stellen wir uns die Frage wann es offiziell eine richterliche Entscheidung gibt, dass US-Systeme wie Mailchimp & Co. unzulässig sind. Eigentlich war es allen Datenschützern klar, dass nach dem EuGH-Urteil der Einsatz rechtlich kaum möglich ist. Natürlich sehen das viele Systemanbieter, wie auch Mailchimp anders. Diese verweisen auf ihre Standardvertragsklauseln und kehren das in Europa geltende Recht unter den Teppich.
Die Unzulässigkeit von Mailchimp ist nach EuGH-Urteil amtlich
Um die Zulässigkeit bzw. Unzulässigkeit auch formell zu überprüfen, haben die Kollegen der E-Mail Academy beim Bayerischen Landesamt für Datenschutzaufsicht eine Beschwerde gegen ein Unternehmen eingebracht, das einen Newsletter über Mailchimp an die E-Mail Academy versendet hatte.
Das Argument der Kollegen der E-Mail Academy war: Nach dem Ende von Privacy Shield bestehen keine ausreichenden Grundlagen, um ohne Zustimmung des Betroffenen personenbezogenen Daten wie die E-Mail Adresse an ein amerikanisches Unternehmen zu übergeben.
Nach einer sorgfältigen Prüfung durch die Behörde liegt nun die Entscheidung vor. Hier der gekürzte Wortlaut:
„Nach unserer Bewertung war der Einsatz von Mailchimp […] – und somit auch die Übermittlung Ihrer E-Mail-Adresse an Mailchimp […] – datenschutzrechtlich unzulässig […].“
Die Begründung: Das Unternehmen hatte nicht geprüft, ob für die Übermittlung an Mailchimp zusätzlich zu den Standarddatenschutzklauseln noch „zusätzliche Maßnahmen“ im Sinne der EuGH-Entscheidung „Schrems II“ (EuGH, Urt. v. 16.7.2020, C-311/18) notwendig sind, um die Übermittlung datenschutzkonform zu gestalten. Diese seien aber notwendig, da „zumindest Anhaltspunkte dafür bestehen, dass Mailchimp grundsätzlich Datenzugriffen von US-Nachrichtendiensten […] unterfallen kann und somit die Übermittlung nur unter Ergreifung solcher zusätzlicher Maßnahmen (sofern geeignet) zulässig sein konnte.“
Was bedeutet die EuGH-Entscheidung gegen Mailchimp in der Praxis?
Für alle Anwender von Mailchimp und ähnlichen amerikanischen Systemen ist die Entscheidung keine gute Nachricht. Es ist damit nun endlich amtlich, dass der Einsatz unzulässig ist, sofern nicht „zusätzliche Maßnahmen“ zum Schutz der Daten getroffen werden. In der Praxis wird dies kaum möglich sein. Denn Sie müssten in diesem Fall jeden Abonnenten eindeutig über das Risiko aufklären, das eine Speicherung seiner Daten bei einem amerikanischen Unternehmen mit sich bringt und hierfür eine aktive Zustimmung einholen.
Auf Basis unserer 20-jährigen E-Mail Marketing-Erfahrung behaupte ich, dass Sie so vielleicht im besten Fall noch 1/3 Ihrer Abonnenten gewinnen können. Ein weiteres Problem sind die bestehenden Newsletter-Empfänger, von denen eine solche Zustimmung nicht vorliegt. Auch könnten „zusätzliche Maßnahmen“ getroffen werden, um den Schutz der personenbezogenen Daten zu gewährleisten. Wie diese Maßnahmen aussehen könnten und wie diese realisiert werden sollen ist aber völlig unklar.
Welche E-Mail Systeme sind betroffen?
Die Kollegen der E-Mail Academy haben sich hier zwar speziell auf den Platzhirschen Mailchimp konzentriert, betroffen sind aber alle amerikanischen Software-Anbieter. Das EuGH-Urteil gilt für alle amerikanischen Anbieter, die personenbezogene Daten von Europäern speichern. Wir dürfen also gespannt sein, wie es hier weitergeht, ob es zu Geldstrafen kommt und ob die einzelnen Anbieter nachbessern werden.
ACHTUNG!
Vielleicht ist es vielen Geschäftsführer und Vorständen nicht bewusst, dass sie bei Datenschutzverstößen persönlich haften! Daher besteht dringend Handlungsbedarf. Die Anbieter haben ihre Verträge meistens so geregelt, dass sie "save" sind.
