Datenschutz Newsletter: Rechtssicheres E-Mail-Marketing in der Schweiz
Markus Näf
Markus Näf ist Rechtsanwalt und spezialisiert auf Datenschutzrecht und Informatikrecht. Er befasst sich seit Jahren mit der Umsetzung von komplexen Projekten im Informatikumfeld. Nebenbei ist er Lehrbeauftragter für Projektmanagement und Informatikrecht an der Fachhochschule St. Gallen.
Bereits erteilte Einwilligungen müssen grundsätzlich nicht erneut eingeholt werden, solange sich der Zweck und der Inhalt des Newsletters nicht ändern. Der Absender ist jedoch verpflichtet, das Vorliegen einer gültigen Einwilligung im Streitfall nachweisen zu können. Im Zusammenhang mit dem Datenschutz Newsletter ist dabei besonders wichtig, dass Rund-E-Mails, mit denen pauschal um eine erneute Bestätigung der Einwilligung gebeten wird, in der Regel nicht notwendig sind und sogar selbst als unzulässige Werbung gelten können, wenn keine vorherige Einwilligung vorliegt.
Datenschutz Newsletter – Eine E-Mail an alle mit der Bitte um Bestätigung
Viele Unternehmen verschicken E-Mails, in denen sie entweder um eine neue Einwilligung zur Datenbearbeitung und zum Versand von Newslettern bitten oder lediglich über die Datenbearbeitung informieren. Teilweise folgt sogar eine Erinnerungsemail, falls keine Rückmeldung erfolgt. Solche erneuten Einwilligungsanfragen sind in den meisten Fällen nicht erforderlich und können sogar kontraproduktiv sein. Es empfiehlt sich, auf solche Rund-E-Mails zu verzichten, da sie die Empfänger eher verärgern und im schlimmsten Fall als unzulässige Werbung eingestuft werden können.
Die rechtlichen Grundlagen für den Versand von Newslettern und Werbe-E-Mails haben sich durch die DSGVO und das Schweizer DSG nicht grundlegend geändert. Bestehende, korrekt dokumentierte Einwilligungen behalten ihre Gültigkeit, solange sich der Zweck und der Inhalt des Newsletters nicht ändern. Reagiert eine angeschriebene Person nicht auf eine solche Einwilligungsanfrage, gilt dies als Ablehnung. Es dürfen dann keine weiteren Newsletter mehr versendet werden. Wurde in der Anfrage auch die Datenbearbeitung thematisiert, ist dies als Widerspruch zu werten und die entsprechenden Daten sind zu löschen.
Da erfahrungsgemäss nur ein kleiner Teil der Empfänger auf solche Anfragen reagiert, riskieren Unternehmen durch unnötige Erneuerungsaktionen einen grossen Teil ihrer Kontaktadressen zu verlieren. In Deutschland oder Österreich können bei Verstössen gegen die Newsletter-Regeln Abmahnungen drohen. In der Schweiz ist es wichtig, die ursprüngliche Einwilligung sorgfältig zu dokumentieren, um im Streitfall den Nachweis erbringen zu können.
Rechtsgrundlagen für den Versand von elektronischen Werbe-Mails
Der Versand von elektronischen Werbe-Mails ist im Bundesgesetz über den unlauteren Wettbewerb (UWG) ausdrücklich geregelt. Gemäss Art. 3 Abs. 1 lit. o UWG handelt unlauter, wer Massenwerbung ohne direkten Zusammenhang mit einem angeforderten Inhalt fernmeldetechnisch versendet und dabei unterlässt, vorher die Einwilligung der Empfänger einzuholen, den korrekten Absender anzugeben oder eine problemlose und kostenlose Ablehnungsmöglichkeit zu bieten. Eine Ausnahme besteht, wenn der Absender im Rahmen des Verkaufs von Waren, Werken oder Leistungen die Kontaktinformationen der Kunden erhalten hat, diese auf die Ablehnungsmöglichkeit hingewiesen wurden und die Werbung eigene ähnliche Angebote betrifft.
Daraus folgt, dass kommerzielle E-Mails (Newsletter, Angebotsmails etc.) in der Schweiz rechtlich nur unter zwei Voraussetzungen zulässig sind:
- Vorherige ausdrückliche Einwilligung der Empfänger (z.B. dokumentiertes und verifizierbares Opt-in bzw. Double-Opt-in).
- Bestehende Geschäftsbeziehung zu den Empfängern und die Werbung betrifft eigene ähnliche Produkte oder Dienstleistungen, wobei der enge zeitliche Zusammenhang mit der letzten Geschäftsinteraktion beachtet werden muss
Zusätzlich verlangt Art. 3 Abs. 1 lit. o UWG, dass jede E-Mail die vollständigen und korrekten Absenderangaben enthält (eine Postadresse und eine E-Mail-Adresse reichen aus, eine Telefonnummer ist nicht zwingend) und den Empfänger klar auf die jederzeitige und kostenlose Abmeldemöglichkeit hinweist.
Nach Art. 83 der Fernmeldeverordnung (FDV) sind Fernmeldedienstanbieter verpflichtet, ihre Kundinnen und Kunden vor unlauterer Massenwerbung (Spam) zu schützen. Sie dürfen solche Werbung technisch unterdrücken und müssen Absender unlauterer Werbung nötigenfalls sperren.
Das DSG kommt ergänzend zur Anwendung: E-Mail-Adressen sind Personendaten im Sinne von Art. 5 lit. a DSG. Ihre Bearbeitung für Marketingzwecke erfordert eine gesetzliche Grundlage oder einen Rechtfertigungsgrund nach Art. 31 DSG, namentlich die Einwilligung der betroffenen Person oder ein überwiegendes privates Interesse. Zudem gelten die Bearbeitungsgrundsätze wie Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit und Zweckbindung (Art. 6 DSG).
Passende Produkt-Empfehlungen
Adressierte Werbesendungen per Post
Die Verwendung einer Adresse zu Werbezwecken ist in der Schweiz zulässig, wenn die betroffene Person ihre Adresse allgemein zugänglich gemacht hat, z.B. durch einen Eintrag im Telefon- oder Branchenbuch, in einem Vereinsverzeichnis oder durch Veröffentlichung im Internet, und die Verwendung nicht ausdrücklich untersagt wurde. Ein im Telefonverzeichnis gesetzter Sterneintrag gemäss Art. 3 Abs. 1 lit. u UWG und Art. 88 Abs. 1 FDV verbietet die Zusendung von Werbematerial durch Dritte, mit denen keine aktuelle Geschäftsbeziehung besteht.
Verbraucher können sich zudem in die Robinson-Liste des Schweizerischen Direktmarketingverbands (SDV) eintragen lassen. Die SDV-Mitglieder haben sich vertraglich verpflichtet, den dort verzeichneten Personen keine adressierten Werbesendungen mehr zuzustellen.
Unabhängig davon können Betroffene gestützt auf das Datenschutzgesetz jederzeit der Bearbeitung ihrer Adresse zu Werbezwecken widersprechen und die Löschung verlangen (Art. 32 Abs. 2 lit. b und c DSG). Ein solcher Widerspruch ist gegenüber jedem Unternehmen einzeln zu erklären, das die Adresse verwendet.
Telefonmarketing
Telefonmarketing ist grundsätzlich nur erlaubt, wenn ein gültiger rechtlicher Grund besteht. Zulässig ist die Nutzung der Telefonnummer zu Werbezwecken beispielsweise dann, wenn die betroffene Person ihre Nummer selbst öffentlich zugänglich gemacht hat (durch Eintrag in ein Telefon- oder Branchenbuch oder Veröffentlichung im Internet) und der Verwendung nicht widersprochen hat. Ein wirksamer Widerspruch kann durch den «Sterneintrag» im Telefonverzeichnis erklärt werden, der besagt, dass keine Werbeanrufe von Unternehmen erfolgen dürfen, mit denen keine aktuelle Geschäftsbeziehung besteht. Diese Geschäftsbeziehung muss zum Zeitpunkt des Anrufs bestehen; eine lang zurückliegende oder beendete Beziehung genügt nicht.
Der Sterneintrag wirkt gegenüber allen Dritten, mit Ausnahme von Unternehmen, zu denen eine aktuelle Geschäftsbeziehung besteht, wobei der zeitliche Rahmen für die Gültigkeit dieser Ausnahme je nach Leistungstyp eng bemessen ist. Wer den Sterneintrag missachtet, handelt unlauter im Sinne von Art. 3 Abs. 1 lit. u UWG und macht sich strafbar. Betroffene können sich zudem jederzeit auf ihr Widerspruchs- und Löschungsrecht nach dem DSG berufen.
Fernmeldedienstanbieter sind nach Art. 88 Abs. 1 FDV verpflichtet, Sterneinträge zu kennzeichnen und Kunden vor unlauterer Werbung zu schützen (Art. 83 FDV), bis hin zur Sperrung von Anschlüssen, die für unzulässiges Telefonmarketing genutzt werden.
Datenschutzrechtliche Einwilligung
Sowohl eine ausdrückliche Einwilligung als auch die bestehende oder abgewickelte Vertragsbeziehung stellen nach schweizerischem Recht einen Rechtfertigungsgrund für die Bearbeitung von Personendaten dar. Bei einer laufenden oder unmittelbar abgeschlossenen Vertragsabwicklung ist die Datenbearbeitung im überwiegenden Interesse des Verantwortlichen zulässig (BGer 4A_105/2024, E. 3.3.2). In diesen Fällen ist in der Schweiz keine zusätzliche Einwilligung mehr erforderlich, sofern die Bearbeitung im Rahmen des Vertragszwecks erfolgt und die Grundsätze aus Art. 6 DSG (Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Transparenz) eingehalten werden.
Die Bestimmungen für den Versand elektronischer Werbesendungen sind im UWG abschliessend geregelt und gelten für juristische wie für natürliche Personen. Ob Personendaten darüber hinaus zu weiteren Marketingzwecken bearbeitet werden dürfen, bestimmt sich nach dem DSG und erfordert für jede Bearbeitung einen Rechtfertigungsgrund (Art. 31 Abs. 1 DSG). Ein solcher kann sich aus Einwilligung oder aus einem überwiegenden Interesse ergeben.
Die DSGVO kennt ebenfalls das berechtigte Interesse als Rechtfertigungsgrund für Direktwerbung (Art. 6 Abs. 1 lit. f DSGVO; Erwägungsgrund 47: «Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.»). Das Unternehmen muss dokumentieren, woher die Adresse stammt, und in der Datenschutzerklärung auf dieses berechtigte Interesse hinweisen.
Wichtig ist, die Unterscheidung zwischen Datenbearbeitung und Versand elektronischer Werbung klar zu ziehen: Die Zulässigkeit der Bearbeitung bedeutet nicht automatisch, dass der Versand von Werbe-E-Mails erlaubt ist. Für Letzteren gelten die spezifischen Vorgaben des UWG (Einwilligung oder bestehende Geschäftsbeziehung, korrekte Absenderangabe, Abmeldemöglichkeit).
Unverlangte E-Mail-Werbung an unbekannte oder wahllos gesammelte Adressen verstösst gegen die Grundsätze der Rechtmässigkeit, Zweckbindung und Transparenz der Datenbearbeitung (Art. 6 DSG) und stellt eine widerrechtliche Persönlichkeitsverletzung dar. Ein «Opt-out»-Hinweis in unaufgefordert versandter Werbung beseitigt die Rechtswidrigkeit nicht, in zulässig versandten Mails trägt er jedoch zur Wahrung des Selbstbestimmungsrechts der Betroffenen bei.
Regelung in der Europäischen Union
Der Versand von elektronischen Werbemails (Datenschutz Newsletter) an Adressaten in der EU ist nur zulässig, wenn diese ihre Einwilligung erteilt haben (Opt-in) oder sich mit dem Werbenden in einer Auftraggeberbeziehung befinden. Die analoge Bestimmung zur Schweiz findet sich in Art. 13 der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002.
In diesem Zusammenhang wird dem Nutzer ausdrücklich empfohlen, die Erhebung von Nutzerdaten über das Internet vorzugsweise über das so genannte Double-Opt-In-Verfahren zu realisieren. Dies bedeutet, dass sich der E-Mail-Empfänger registriert und danach ein Bestätigungsmail erhält, welches er über einen Link bestätigen muss.
Bereinigung von alten Newsletter-Verteilern
Neue Einwilligungsanfragen sollten nicht wahllos an sämtliche Empfänger versendet werden. Zudem ist sorgfältig zwischen der Einwilligung zur Bearbeitung von Personendaten und jener zur Zustellung elektronischer Werbesendungen zu unterscheiden.
Es sind folgende Punkte zu beachten.
- Das Unternehmen muss die Einwilligung der betroffenen Person beweisen. Daher sollten solche Einwilligungen nur durchgeführt werden, wenn Sie auch systemmässig dokumentiert werden können. Nicht in allen Unternehmen sind die bisherigen Newsletter-Einwilligungen und das Double-Opt-In sauber dokumentiert. Diese können auch laufend bei Geschäftskontakten aktualisiert werden und beispielsweise in Verträge oder Anfrageformulare integriert werden. Insbesondere ist für die Zukunft sicherzustellen, dass nur noch Adressen dokumentierter Einwilligung für den Newsletterversand verwendet werden. Es wird ausdrücklich empfohlen, die Erhebung von Nutzerdaten über das Internet vorzugsweise über das so genannte Double-Opt-In-Verfahren zu realisieren.
- In einem weiteren Schritt sollten die bestehenden E-Mail-Empfänger nach Herkunft, Kategorien und Länder aufgeteilt werden:
- Es sollten nur diejenigen Teilmengen für die Erneuerung der Einwilligung bearbeitet werden, bei denen eine Notwendigkeit und ein Risiko besteht.
- Bisherige Einwilligungen sind nach dem Erwägungsgrund 171 zur DSGVO grundsätzlich weiterhin gültig, soweit sie konform mit der bisherigen Datenschutzrichtlinie (Richtlinie 95/46/EG) erteilt wurden. So ist es nicht erforderlich, dass die betroffene Person erneut ihre Einwilligung dazu erteilt, wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entsprochen hat. Hingegen müssen ungenügende Einwilligungen neu eingeholt werden.
- Die Einwilligung in die Datenbearbeitung muss formale Anforderungen erfüllen: Die Adressaten müssen ihre Einwilligung aktiv durch eine bewusste Handlung abgeben. Es dürfen keine vorangeklickten / vorangekreuzten Kästchen verwendet werden. Die Einwilligung muss die Punkte gemäss Art. 13 DSGVO enthalten. Diese können in einer Datenschutzerklärung dargestellt werden.
- Die Einwilligung in die Zusendung von Werbung mittels E-Mails muss gesondert erfolgen. Der Adressat muss entweder ein Kästchen anklicken/ankreuzen oder sonst eine vergleichbar eindeutige Erklärung seiner Zustimmung in die Werbung mittels E-Mails abgeben. Diese Erklärung darf nicht Bestandteil anderer Erklärungen sein (z.B. Einwilligung in die Geltung von Nutzungsbedingungen).
- Auf die Möglichkeit des Widerrufs der Erlaubnis, E-Mails zuzusenden, ist in jeder E-Mail hinzuweisen. Hinweise auf diese Möglichkeit sind in jede versendete Nachricht aufzunehmen. Das Abbestellen von E-Mails muss grundsätzlich durch den Empfänger ohne Kenntnisse von Zugangsdaten (beispielsweise Login und Passwort) möglich sein.
- Abmeldungen sind unverzüglich zu bearbeiten. Bestätigungsmails über die Abmeldung vom Newsletter oder die Löschung der Daten dürfen keine Werbeinhalte oder Werbebanner enthalten. Der Kunde hat ja bereits der Zustellung von Werbung widersprochen.
Nutzung von E-Mail Marketing Services
Bei der Nutzung von Dienstleistern für den Versand der E-Mails, wie zum Beispiel MailChimp, sind die Datenschutzbestimmungen des Anbieters zu prüfen. Im Zusammenhang mit dem Datenschutz Newsletter ist einerseits sicherzustellen, dass dieser Anbieter die vom Unternehmen bereitgestellten Kontaktadressen nicht selbst weiterverwendet oder an Dritte verkauft. Dies wäre eine Datenweitergabe an einen Dritten, und das Unternehmen müsste dafür von der betroffenen Person eine Einwilligung haben. Andererseits ist zu prüfen, wohin die Daten übermittelt werden, und die entsprechenden Erläuterungen sind in der Datenschutzerklärung transparent darzulegen.
