KlickTipp. DSGVO-konform und hochprofitabel.

„Ein ‚unsicheres Drittland‘ ist im Kontext des Datenschutzrechts der Europäischen Union (EU) ein Land außerhalb der EU und des Europäischen Wirtschaftsraums (EWR), das nach Einschätzung der EU kein angemessenes Schutzniveau für personenbezogene Daten bietet. Schauen wir uns dazu als Beispiele die USA und Indien an.

US-Behörden können aufgrund ihrer Sicherheitsgesetze (z. B. USA PATRIOT Act, CLOUD Act, Foreign Intelligence Surveillance Act (FISA), FISA Amendments Act) auf die Daten von EU-Bürgern zugreifen. Diese Gesetze gelten für alle Unternehmen, die personenbezogene Daten in die USA übertragen, selbst wenn die Daten auf Servern außerhalb der USA liegen.

Betroffene wissen oft nicht, wer wann und warum auf ihre Daten zugreift. Zudem sind die Rechte der Betroffenen in den USA eingeschränkt und schwer durchsetzbar, besonders gegenüber Behörden. Wegen dieses unzureichenden Datenschutzniveaus hat die EU die USA bereits zweimal als unsicheres Drittland eingestuft (Schrems-I- und Schrems-II-Urteile des Europäischen Gerichtshofs).

Im Vergleich zum indischen Datenschutzrecht erscheinen die Probleme in den USA fast harmlos. Angesichts des völligen Fehlens einer mit der DSGVO vergleichbaren Gesetzgebung, des Nichtvorhandenseins einer unabhängigen Aufsichtsbehörde, der nahezu schrankenlosen Überwachungsbefugnisse der Behörden ohne hinreichende Kontrolle und Transparenz sowie der faktischen Unmöglichkeit für Betroffene, ihre Rechte durchzusetzen, ist das Risiko eines unkontrollierten Datenzugriffs in Indien allgegenwärtig.

Wer unter diesen Rahmenbedingungen personenbezogene Daten nach Indien übermittelt, spielt mit dem Feuer – einem Feuer, das nicht nur immense Bußgelder, sondern auch eine verheerende Rufschädigung entfachen kann, wenn Kundendaten in unbefugte Hände geraten.

In den letzten Jahren ist das internationale Datenschutzrecht zu einem undurchdringlichen Dickicht geworden. Das zeigt sich exemplarisch am Beispiel der USA. Das EU-US Privacy Shield, einst als Mechanismus zur rechtssicheren Datenübertragung zwischen der EU und den USA gedacht, wurde 2020 durch das Schrems-II-Urteil des Europäischen Gerichtshofs aufgrund unzureichender Datenschutzmaßnahmen für ungültig erklärt.

Als Reaktion darauf trat 2023 das Transatlantic Privacy Framework (TPF) in Kraft. Es sollte eine neue Grundlage für den Datenaustausch zwischen der EU und den USA schaffen und die Datenschutzrechte von EU-Bürgern besser schützen. Das TPF ähnelt allerdings in vielen Punkten dem bereits gescheiterten Privacy Shield-Abkommen. Hinzu kommt, dass die USA ihre grundlegenden, systemischen Datenschutzdefizite, die zur Aufhebung des Privacy Shield-Abkommens führten, nicht behoben haben. Aus diesen Gründen halte ich es für sehr wahrscheinlich, dass der Europäische Gerichtshof der neuen Klage von Max Schrems und seiner Datenschutzorganisation ‚noyb‘ erneut stattgeben und das TPF wie seine Vorgänger wieder aufheben wird.

Europäische Unternehmen, die ihre Datenverarbeitung auf das TPF stützen, sollten Änderungen im Datenschutzrecht permanent im Auge behalten. Denn bei jeder Neuerung müssen Lead-Gewinnungs-Prozesse, Bestellabläufe, Datenschutzerklärungen auf der Website und in Apps, interne Datenschutzrichtlinien, Verfahrensverzeichnisse, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge mit Dienstleistern und vieles mehr wieder umgehend geprüft und aufwendig angepasst werden.

Zwar ermöglicht Art. 46 DSGVO als Ausweg aus dieser Misere theoretisch, dass sich US-Anbieter zur Einhaltung des EU-Datenschutzrechts verpflichten. Doch in der Praxis entpuppt sich dieser Weg für EU-Unternehmen als äußerst komplex und kostspielig.

Ein deutsches Unternehmen, das eine US-Software einsetzen will, muss nicht nur garantieren, dass der US-Anbieter sämtliche datenschutzrechtlichen Verpflichtungen einhält. Es muss zudem ein umfangreiches Rechtsgutachten, ein sogenanntes Transfer Impact Assessment (TIA), erstellen lassen. In diesem Dokument muss das deutsche Unternehmen schier Unmögliches leisten. Es muss glaubhaft darlegen, wie der US-Anbieter die eklatanten datenschutzrechtlichen Defizite der geltenden US-Sicherheitsgesetze auszugleichen gedenkt. Doch selbst wer diese immensen Mühen und Kosten auf sich nimmt, geht ein hohes Risiko ein. Denn bei Verstößen des US-Anbieters haftet das deutsche Unternehmen voll. Ein einziger Fehler kann fatale Folgen haben.

Die DSGVO-konforme Nutzung einer E-Mail-Marketing-Software, die personenbezogene Daten (auch) in unsichere Drittländer überträgt und dort verarbeitet, gleicht für europäische Unternehmen einem Drahtseilakt ohne Netz und Boden, der dauerhaft wertvolle Ressourcen bindet und die Wettbewerbsfähigkeit beeinträchtigt. Um diese Risiken zu vermeiden, empfehle ich meinen Klienten, eine E-Mail-Marketing-Software zu nutzen, die personenbezogene Daten ausschließlich innerhalb der EU verarbeitet – so wie es KlickTipp garantiert.“

„Angenommen, eine E-Mail-Marketing-Software überträgt personenbezogene Daten in ein unsicheres Drittland. Dann müssen neue Leads vor ihrer Registrierung ausdrücklich zustimmen, dass ihre Daten dorthin übertragen und verarbeitet werden dürfen (Art. 49 Abs. 1 lit. a DSGVO). Die Einwilligung muss spezifisch, informiert und freiwillig sein. Dazu müssen sie in Anmeldeformularen eine Checkbox mit einem ausführlichen Einwilligungstext anklicken.

Hier ein Beispiel für einen Muster-Einwilligungstext für die Datenschutz-Checkbox eines Newsletter-Anmeldeformulars, der Art. 49 Abs. 1 lit. a DSGVO erfüllen dürfte:

Ich erkläre mich damit einverstanden, dass {Dein Unternehmen} mir E-Mails über {Dein Thema} schicken darf, wie in der Datenschutzerklärung {Link} beschrieben. {Dein Unternehmen} darf hierfür die Software {Anbieter} einsetzen. {Anbieter} übermittelt meine personenbezogenen Daten {unsicheres Drittland: in die USA / nach Indien / nach …}. Mir ist bewusst, dass die Behörden dort weitreichenden Zugriff auf meine Daten haben und dass ich kaum Möglichkeiten habe, mich dagegen zu wehren. Ich willige ausdrücklich ein, diese Risiken einzugehen.

Die rechtskonforme Nutzung einer E-Mail-Marketing-Software, die personenbezogene Daten auch in unsichere Drittländer überträgt, dürfte mit solchen abschreckenden Einwilligungstexten wohl kaum profitabel sein. Falls Sie eine solche Software noch nutzen, dann sollten Sie sich unbedingt umfassend anwaltlich beraten lassen, da das internationale Datenschutzrecht sehr komplex ist. Es wäre schade, wenn Sie viel Geld ausgeben, um neue Leads zu generieren, und diese Leads dann nicht für werbliche Zwecke nutzen dürften.

Im Gegensatz dazu ermöglicht Ihnen eine DSGVO-konforme E-Mail-Marketing-Software wie KlickTipp, Ihre teuer gewonnenen Leads rechtskonform und effektiv für Ihr E-Mail-Marketing zu nutzen, ohne dass Sie sich um komplexe internationale Datenschutzbestimmungen kümmern müssen.“

„Angenommen, eine E-Mail-Marketing-Software überträgt personenbezogene Daten in ein unsicheres Drittland. Dann müssen neue Kunden vor ihrer Bestellung ausdrücklich zustimmen, dass ihre Daten dorthin übertragen und verarbeitet werden dürfen (Art. 49 Abs. 1 lit. a DSGVO). Die Einwilligung muss spezifisch, informiert und freiwillig sein. Dazu müssen sie in Bestellformularen eine Checkbox mit einem ausführlichen Einwilligungstext anklicken.

Hier ein Beispiel für einen Muster-Einwilligungstext für die Datenschutz-Checkbox eines Bestellformulars, der Art. 49 Abs. 1 lit. a DSGVO erfüllen dürfte:

Ich erkläre mich damit einverstanden, dass {Dein Unternehmen} mir E-Mails über {Dein Thema} schicken darf, wie in der Datenschutzerklärung {Link} beschrieben. {Dein Unternehmen} darf hierfür die Software {Anbieter} einsetzen. {Anbieter} übermittelt meine personenbezogenen Daten {unsicheres Drittland: in die USA / nach Indien / nach …}. Mir ist bewusst, dass die Behörden dort weitreichenden Zugriff auf meine Daten haben und dass ich kaum Möglichkeiten habe, mich dagegen zu wehren. Ich willige ausdrücklich ein, diese Risiken einzugehen.

Die rechtskonforme Nutzung einer E-Mail-Marketing-Software, die personenbezogene Daten auch in unsichere Drittländer überträgt, dürfte mit solchen abschreckenden Einwilligungstexten wohl kaum profitabel sein. Falls Sie eine solche Software noch nutzen, dann sollten Sie sich unbedingt umfassend anwaltlich beraten lassen, da das internationale Datenschutzrecht sehr komplex und ständig im Umbruch ist. Es wäre schade, wenn Sie die E-Mail-Adressen Ihrer Kunden nicht für werbliche Zwecke nutzen dürften.

Im Gegensatz dazu ermöglicht Ihnen eine DSGVO-konforme E-Mail-Marketing-Software wie KlickTipp die rechtssichere und effektive Nutzung der E-Mail-Adressen Ihrer Käufer für Werbezwecke, ohne dass Sie sich um komplexe internationale Datenschutzbestimmungen kümmern müssen.“

„Setzen Sie noch eine E-Mail-Marketing-Software ein, die personenbezogene Daten in unsichere Drittländer wie die USA oder Indien überträgt? Die Rechtsfolgen sind in diesem Fall ganz einfach:

(1) Sie dürfen sich aufgrund der hohen Risiken für die Betroffenen nicht auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage für die Datenverarbeitung stützen.

(2) Daraus folgt, dass Sie die E-Mail-Adressen Ihrer Kunden ohne ein Double-Opt-in nach dem Kauf nicht für werbliche Zwecke verwenden dürfen.

Im Gegensatz dazu ermöglicht Ihnen eine DSGVO-konforme E-Mail-Marketing-Software wie KlickTipp die rechtssichere und effektive Nutzung der E-Mail-Adressen aller Käufer für Werbezwecke, ohne dass Sie sich um komplexe internationale Datenschutzbestimmungen kümmern müssen.“

„Das Datenschutzrecht entwickelt sich extrem dynamisch. Was gestern noch möglich war, ist heute verboten – und umgekehrt. Die hohe Komplexität und die ständigen gesetzlichen Änderungen stellen vor allem Experten, Trainer, Coaches und viele andere kleine Unternehmen, die keine eigene Rechtsabteilung haben, vor große Herausforderungen. Denn dort bleibt Datenschutz meistens an den Inhabern hängen. Und die haben vor allem zwei Dinge nicht: Zeit und Leidenschaft für Datenschutz.

Wenn Sie eine E-Mail-Marketing-Software nutzen, die personenbezogene Daten auch in unsicheren Drittländern wie den USA oder Indien verarbeitet, dann sind Sie als Unternehmer in puncto internationales Datenschutzrecht (Art. 44 ff. DSGVO) in der Pflicht, ständig am Ball zu bleiben.

Der Aufwand ist ungleich höher. Sie müssen sich regelmäßig über die neuesten Entwicklungen im internationalen Datenschutzrecht informieren, die aktuelle Rechtsprechung verfolgen und Ihre Webseiten laufend anpassen – insbesondere jene, auf denen Sie Leads gewinnen und Bestellungen entgegennehmen. Zudem bergen selbst kleine Versäumnisse hier große rechtliche und finanzielle Risiken. Ein unnötiger Drahtseilakt, der zu einer permanenten Belastung werden kann.

Deshalb schreibe ich hier, was ich vielen Mandanten sage: Stellen Sie sicher, dass Ihre E-Mail-Marketing-Software nicht nur jetzt, sondern auch in Zukunft personenbezogene Daten ausschließlich in der EU verarbeitet – so wie es KlickTipp garantiert. Dann ist der datenschutzrechtliche Aufwand ungleich geringer.“