DSGVO-Checkliste: Auswirkungen auf Lead Management und EMail-Datenschutz.

Wollen Unternehmen nicht Gefahr laufen, mit einem Bußgeld bestraft zu werden, sollten sie überprüfen, ob sämtliche ihrer Prozesse rechtskonform sind und sie gegebenenfalls anpassen. Außerdem erfahren Sie in unserer DSGVO Checkliste, welche Schritte Sie bereits jetzt umsetzen können und sollten.

1. Einwilligung für Verarbeitung und Nutzung personenbezogener Daten

Die Datenverarbeitung ist grundsätzlich verboten - außer, es greift ein Erlaubnistatbestand wie die Einwilligung der betroffenen Person. Doch auch in Bezug auf Einwilligungen gibt es wesentliche Änderungen.

Tipp: Formulieren Sie im Online-Formular eine Einwilligungserklärung mit dem Hinweis auf das Widerrufsrecht und verbinden Sie diese mit einer nicht vorab angeklickten Checkbox.

2. Dokumentations- und Meldepflicht bei Datenschutzverletzungen

Um die Einhaltung der Datenschutzgrundsätze nachweisen zu können, müssen Unternehmen künftig umfassende Dokumentationen mit den Inhalten des Verzeichnisses aus Artikel 30 DSGVO führen. Im Falle von Datenschutzverletzungen ist die zuständige Behörde binnen 72 Stunden nach Bekanntwerden zu unterrichten.

Tipp: Da es sehr aufwendig ist, ein Verfahrensverzeichnis anzufertigen, sollten Sie keine Zeit verlieren. Hier   gibt es Hinweise und Mustervorlagen der Arbeitsgruppe der deutschen Aufsichtsbehörden.

3. Privacy by Design und Privacy by Default

Es gelten die Grundsätze der Datensicherheit und Datensparsamkeit. Im Rahmen der Privacy by Default sind alle Voreinstellungen so vorzunehmen, dass möglichst wenige - und nur für den jeweiligen Zweck erforderliche - personenbezogene Daten verarbeitet werden.

Tipp: Achten Sie darauf, im Rahmen der Lead-Generierung auch zu überprüfen, ob und welche Informationen wieder aus dem Profil gelöscht werden können.

4. Extraterritorialität und Marktortprinzip

Die DSGVO gilt auch für jene Unternehmen, die nicht innerhalb der EU niedergelassen sind - sofern diese Daten von EU-Bürgern verarbeiten. Desweiteren gilt das Marktortprinzip: Die DSGVO findet auch Anwendung, wenn sich ein Angebot an den nationalen Markt innerhalb der EU richtet.

5. Recht auf Vergessenwerden oder Löschung

"Betroffene" haben künftig das Recht, ihre Daten auch im Internet löschen zu lassen. Als Unternehmen müssen Sie dafür Sorge tragen, dass dieses Verlangen umgesetzt wird und zum Beispiel andere Unternehmen, die von Ihnen Adressen erhalten haben, von einem Löschungsbegehren zu informieren.

Tipp: Richten Sie Prozesse und Zuständigkeiten ein, um den Wünschen der Betroffenen unverzüglich entsprechen zu können.

6. Auftragsdatenverarbeitung wird zur Auftragsverarbeitung

Jegliche Art von externer Verarbeitung personenbezogener Daten im Auftrag eines Unternehmens fällt künftig unter die neue "Auftragsverarbeitung". Anbieter von Cloud-Diensten müssen außerdem garantieren, dass geeignete technische und organisatorische Maßnahmen vorliegen, um den Anforderungen des Datenschutzes und der Datensicherheit zu entsprechen. Dieser Nachweis kann auch über Zertifikate wie etwa die Norm ISO/IEC 27001 erbracht werden.

Tipp: Greifen Sie ausschließlich auf zertifizierte Anbieter zurück. Ein erstes Muster für einen Auftragsverarbeitungsvertrag gibt es hier   .

7. Sanktionen

Bei Verstößen gegen den Datenschutz drohen empfindliche Geldstrafen sowie Schadensersatzforderungen betroffener Personen.

Auswirkungen der DSGVO auf E-Mail-Datenschutz und Lead Management

Viele der grundsätzlichen Neuerungen der DSGVO wirken sich auf Lead Management und E-Mail-Marketing aus. Im zweiten Teil unserer DSGVO Checkliste erklären wir daher, mit welchen Änderungen unsere Kunden und Partner im Zusammenhang mit der Email-Marketing    - und Lead-Management-Software    Evalanche rechnen müssen.

1. Nutzung personenbezogener Daten für Marketingzwecke

Die DSGVO vereinfacht die Nutzung personenbezogener Daten im Marketingbereich deutlich. Künftig stehen kommerzielle Interessen im Fokus. Laut DSGVO gelten spezifische Erwägungsgründe. Das Versenden von Werbe-E-Mails wird jedoch auch mit der neuen DSGVO weiterhin die Werbe-Einwilligung des Empfängers benötigen.

To-do: Für Ihr E-Mail-Marketing und Ihren Lead Management-Prozess bedeutet das, dass Sie in jedem Fall eine ausdrückliche Einwilligung des Betroffenen einholen müssen. Bei der Datenabfrage entlang Ihrer Nurturing-Strecke müssen Sie die Grundsätze der Transparenz, Zweckbindung, Datensparsamkeit und der begrenzten Speicherung beachten.

2. Widerrufsrecht der Betroffenen

Der Hinweis auf das jederzeitige Widerrufsrecht in Bezug auf die Nutzung persönlicher Daten muss sich in dem Online-Formular befinden, mit dem die Einwilligung eingeholt wird.

To-do: E-Mail-Marketing: Neben dem Hinweis auf das Widerrufsrecht in der Einwilligungserklärung muss in jeder einzelnen E-Mail eine Abmeldemöglichkeit integriert sein.

3. Verzeichnis von Verarbeitungstätigkeiten

Die DSGVO sieht vor, dass künftig anstelle des Datenschutzbeauftragten der Verantwortliche selbst - also die Unternehmensführung -, ein Verzeichnis über alle Verarbeitungstätigkeiten zu führen hat.

To-do: Legen Sie bereits jetzt die Zuständigkeiten für Ihr E-Mail-Marketing und Ihr Lead Management fest und beginnen Sie damit, das Verfahrensverzeichnis zu erstellen.

4. Einwilligung mittels Checkbox und Opt-in-Verfahren

Auch im E-Mail-Marketing basiert die Verarbeitung personenbezogener Daten zu Werbezwecken weiterhin auf der Einwilligung des Betroffenen. Wichtig ist hierbei, dass die Freiwilligkeit und Nachvollziehbarkeit der Einwilligung gegeben sein müssen und dass Sie zum Nachweis verpflichtet sind.

To-do: Ergänzen Sie bereits jetzt Ihre Online-Formulare um eine entsprechende Checkbox mit Einwilligungserklärung und wiederholen Sie diese Einwilligungserklärung in den Datenschutzinformationen auf der Seite "Datenschutz". Da die Einwilligung nachweisbar sein muss, protokollieren Sie jeden Schritt des Double-Opt-in-Prozesses.

5. Das Recht auf Datenübertragung

Die DSGVO erlaubt die Speicherung personenbezogener Daten in strukturierter, maschinenlesbarer Form und wahrt damit das Recht des Betroffenen, diese Daten auf ein anderes Unternehmen zu übertragen.

To-do: Prüfen Sie, ob Ihr System den Datenexport in üblichen Formaten oder per Schnittstelle ermöglicht.

6. Anlegen von Nutzerprofilen und Tracking im Lead Management

Nach neuem Recht ist auch "Pseudonymisierung" eine Datenverarbeitung, so dass auch pseudonymisierte Nutzerprofile zukünftig nur auf der Grundlage einer Einwilligung des Betroffenen zulässig sein können. Personalisiertes Tracking des Nutzerverhaltens soll zukünftig durch eine neue E-Privacy-Verordnung geregelt werden. Bisher liegt dazu lediglich ein Entwurf vor, der stark umstritten ist, aber ebenfalls zum 25.05.2018 in Kraft treten soll.

To-do: Wer ganz sichergehen will, holt zukünftig sowohl für das Anlegen und Führen von Nutzerprofilen als auch für das Tracking die Einwilligung seiner Nutzer ein.

DIE DSGVO-Checkliste klärt auf

Dies ist ein Auszug aus unserem DSGVO-Leitfaden. Angereichert durch zahlreiche Tipps und konkrete To-dos erhalten Sie eine umfassende und dennoch auf das Wesentliche beschränkte Lektüre. Hier können Sie unseren DSGVO PDF herunterladen.