E-Mail-Marketing: Tracking mittels Messung von Öffnungs- und Klickraten - wie agiert man rechtssicher? Ein Leitfaden

Mittlerweile gehört das Newsletter-Tracking, also die Messung von Öffnungs- und Klickraten, aber auch die Erstellung von Empfänger-Profilen zum Standard-Repertoire der Werbetreibenden. Unter der Geltung von DSGVO und dem TTDSG ist Newsletter-Tracking mittlerweile reglementiert worden. Allerdings verstoßen die praktizierten Maßnahmen oftmals gegen die gesetzlichen Vorgaben. Welche technischen Grundlagen beim Newsletter-Tracking vorliegen, welche rechtlichen Fallstricke Sie in Zukunft besser meiden und welche Best Practice-Verfahren Sie umsetzen sollten, lesen Sie in unserem Beitrag.

Das E-Mail-Marketing ist immer noch ein sehr effektives Instrument, um eine Vielzahl von Kunden zu erreichen. Mit der Messung von Öffnungs– und Klickraten, sowie damit zusammenhängend auch die Zusammenfassung der Auswertungsergebnisse in entsprechenden Empfängerprofilen sind kostbare Analysedaten für Werbetreibende.

I. Technische Grundlagen des Newsletter-Trackings

Wer Tracking- und Profilingmaßnahmen durchführen möchte, hat eine große Auswahl an Möglichkeiten. Diese reichen von der Messung der Anzahl von Klicks bis hin zur Überwachung des Scroll-Verhaltens.

Besonders relevant im Hinblick auf die DSGVO werden dabei folgende, häufig eingesetzte Tracking- und Profilingmaßnahmen:

1. Öffnungsraten bei Newslettern

Die sog. Öffnungsraten messen, wie es der Name schon andeutet, ob (und von wem) eine E-Mail geöffnet wurde.

Um dies zu ermöglichen, werden sog. „Web-Beacons“ (diese werden auch Mess- oder Zählpixel genannt, hierbei handelt es sich um kleine 1x1 große Grafik, welche vom Server des E-Mail-Versenders geladen wird) in den HTML-Code einer E-Mail eingebunden, die Empfängerkennungen enthalten.

Öffnet ein Empfänger die E-Mail, wird die Grafik von dem Server des Versenders geladen. Hierdurch kann der Versender nachvollziehen, ob, wann und von wem die E-Mail geöffnet wurde.

2. Klickraten bei Newslettern

Die sog. Klickraten zeigen an, welche Links der E-Mail-Empfänger anklickt.

Um diese Messungen durchführen zu können, werden die Links in den E-Mails, welche augenscheinlich direkt auf die angegebenen Webseiten verweisen, individualisiert.

Diese individualisierten Links, die ebenfalls eine besondere Empfängerkennung enthalten, führen zunächst auf den Server des Newsletter-Versenders, wo die entsprechenden Klicks registriert werden.

Anschließend leitet der Server den klickenden E-Mail-Leser automatisch auf die gewünschte Webseite um (sog. „Klicktracking“). Der E-Mail-Empfänger bemerkt hierbei nicht, dass er über eine Weiterleitungsfunktion auf die Zielseite geführt wird.

3. Profilbildung

Viele E-Mail-Marketingplattformen bieten an, aufgrund der Messergebnisse der beiden zuvor genannten Maßnahmen (Öffnungs- und Klickraten) Empfänger-Profile anzulegen und zu speichern.

Diese Profilbildung ermöglicht es den E-Mail-Versendern, zukünftige Inhalte der Newsletter an Interessen anzupassen (um hierdurch die Öffnungs- und Klickrate bei den Empfängern individuell zu erhöhen) oder, falls kein Interesse besteht, keine oder weniger Mails zu senden.

II. Pflicht zur Einholung einer Einwilligung in Tracking- und Profilingmaßnahmen

Wer Tracking- und Profilingmaßnahmen durchführen möchte, benötigt eine Einwilligung des jeweiligen E-Mail-Empfängers.

Hierbei ist jedoch zu unterscheiden: Die Pflicht zur Einholung einer Einwilligung ergibt sich je nach Maßnahme aus verschiedenen Rechtsgrundlagen.

Diese sind zum einen in der DSGVO, die die Verarbeitung personenbezogener Daten regelt, und andererseits im Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (sog. TTDSG), welches auf den Vorgaben der sog. ePrivacy-Richtlinie (auch Cookie-Richtlinie genannt) beruht, durch welche die Endgeräte der Nutzer vor Zugriffen durch Dritte geschützt werden sollen, zu finden.

1. Einwilligungspflicht in Tracking-Maßnahmen

Für Tracking-Maßnahmen wie der Messung von Öffnungs- oder Klickraten ergibt sich die Einwilligungspflicht aus der TTDSG. Möchte man verstehen, weshalb für Tracking-Maßnahmen eine Einwilligungspflicht gilt, muss man sich zuvor mit der Rechtslage zur Verwendung von Cookies beschäftigen.

a) Von der ePrivacy-Richtlinie (auch Cookie-Richtlinie genannt) über den EuGH, den BGH zum TTDSG

Nachdem der EuGH 2019 eine Einwilligungspflicht für alle technisch nicht notwendigen Cookies bestätigt hatte, schloss sich am 28.05.2020 auch der BGH an.

Das Problem dabei: die geltenden deutschen Vorschriften gaben eine ausdrückliche Cookie-Einwilligungspflicht nicht her. Der BGH musste sich eines Kunstgriffs der „unionsrechtskonformen Auslegung“ (anhand der ePrivacy-Richtlinie) des § 15 Abs. 3 TMG bedienen. Details hierzu haben wir in diesem Beitrag dargestellt.

Diese unionsrechtskonforme Auslegung fand am 01.12.2021 ein Ende, da seitdem das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) gilt, das in Deutschland erstmalig eine Einwilligungspflicht für technisch nicht erforderliche Cookies niederschreibt.

Die erstmalig gesetzlich verankerte Cookie-Einwilligungspflicht ergibt sich nun aus § 25 TTDSG und lehnt sich abweichungslos an die Vorgaben der zugrunde liegenden ePrivacy-Richtlinie bzw. Cookie-Richtlinie an.

Die gesetzliche Regelung im neu geschaffenen § 25 Abs. 1 TTDSG schreibt vor:

(1) Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 [DSGVO] zu erfolgen.

b) Newsletter-Tracking unterfällt ebenfalls § 25 Abs. 1 TTDSG

Die deutsche Vorschrift in § 25 Abs. 1 TTDSG spricht selbst nicht von Cookies, sondern generell vom Speichern und Auslesen von Daten auf Endgeräten der Nutzer.

Aufgrund dieser weiten gesetzgeberischen Formulierung können auch E-Mails der Regelung unterfallen, denn:

Web-Beacons und Links zu Trackingzwecken in E-Mails stellen ebenfalls Informationen („Übermittlung von Wissen“) dar, die auf Endgeräten der Empfänger gespeichert werden, sobald die Newsletter-E-Mail an sich auf einem Laptop, Smartphone, etc. gespeichert wird. Selbst wenn die E-Mail anfangs nur auf einem externen Server gespeichert und über einen Internet-Browser geöffnet wird, liegen die Voraussetzungen des § 25 Abs. 1 TTDSG vor. Denn auch von hier aus werden die Trackingmaßnahmen in Gang gesetzt.

Auch wird auf Informationen zugegriffen, wenn die Empfängerkennungen bzw. die Information, dass eine E-Mail geöffnet wurde, aufgrund der Web-Beacons an den Server des Versenders mitgeteilt werden. Strittig ist dies im Zusammenhang mit der Messung von Linkklicks, welche eher mit einem „digitalen Fingerabdruck“ vergleichbar sind. Im Ergebnis ist dies aber nicht relevant, da jedenfalls ein Speichern der Links inkl. Empfängerkennung erfolgt.

Man könnte darüber nachdenken, ob die Ausnahme von der Einwilligungspflicht nach § 25 Abs. 2 Nr. 2 TTDSG im Falle der Tracking-Maßnahmen zur Anwendung kommt. Nach dieser Ausnahmevorschrift wäre die Einwilligung dann nicht nötig, wenn sich der Adressat die empfangenen E-Mails ausdrücklich gewünscht hätte und die Messung der Öffnungs- und Klickraten hierfür unbedingt erforderlich wäre.

Ein ausdrücklicher Wunsch kann grundsätzlich schon dann angenommen werden, wenn der Versand der Werbe-E-Mails als Bestandteil anderer Dienste oder Vorgänge zu werten ist und deshalb mit ihnen gerechnet werden muss. Nichtsdestotrotz muss die Trackingmaßnahme jedoch auch unbedingt erforderlich sein.

Dies wäre zwar vorstellbar, wenn Empfänger zuvor in individualisierte Newsletter eingewilligt hätten und ausdrücklich über die Individualisierung belehrt worden wären. Denn dann wäre die Erforderlichkeit der Messungen anzunehmen. Dennoch soll diese Regelung nicht als Möglichkeit gesehen werden, die Einwilligungen zu den Maßnahmen zu umgehen. Zu fordern ist deshalb, dass im Rahmen der Einwilligungen zu den individualisierten Newslettern bereits in gleicher Weise über die Trackingmaßnahmen aufgeklärt werden muss, wie es für eine Einwilligung zu Trackingmaßnahmen erforderlich wäre.

Unabhängig davon kann jedoch normalerweise davon ausgegangen werden, dass die Empfänger zwar an den E-Mails interessiert sind, aber nicht an den Messungen. Zudem ist hier auch zu beachten: Die Erforderlichkeit solcher Messungen muss sich auch aus Sicht der Empfänger ergeben!

Nach derzeitiger Rechtslage erscheint es eher unwahrscheinlich, dass Gerichte die Kenntnis der Empfänger bejahen würden, da sie häufig gar nicht wissen, dass Trackingmaßnahmen durchgeführt werden.

2. Einwilligungspflicht in Profiling-Maßnahmen

Bei geräteunabhängigen Profilingmaßnahmen findet das TTDSG keine Anwendung. Die Profilanlegung geht über das Speichern und Zugreifen auf Informationen auf Endgeräten hinaus und beurteilt sich deshalb, jedenfalls im Fall der Verarbeitung personenbezogener Personen, nach der Datenschutzgrundverordnung (DSGVO).

Voraussetzung für die Anwendbarkeit der DSGVO ist die Verarbeitung personenbezogener Daten. E-Mail-Adressen erlauben in der Regel eine Identifizierung, entweder direkt über Bestandteile des Namens oder indirekt über Provider bzw. Arbeitgeber, sodass auch die Empfängerkennungen und erstellten Profile letztendlich als personenbezogen zu bewerten sind.

Profiling-Maßnahmen nur bei Einwilligung: Die DSGVO verlangt eine Einwilligung (sofern keine andere Rechtsgrundlage eingreift), welche die Vorgaben des Art. 6 Abs. 1 S. 1 lit. a DSGVO erfüllen muss.

Zwar könnte man an alternative Rechtsgrundlagen (zur Einwilligung) denken, welche aber, wie auch bei den Trackingmaßnahmen, lediglich in absoluten Ausnahmefällen zur Anwendung kommen könnten.

In Betracht käme einerseits Art. 6 Abs. 1 S. 1 lit. b DSGVO, nach welchem die Einwilligung dann nicht erforderlich wäre, wenn die Profilingmaßnahme zur Erfüllung eines Vertrages unbedingt erforderlich wäre. Solche Fälle sind allerdings nur schwer vorstellbar.

Andererseits könnte auch Art. 6 Abs. 1 S. 1 lit. f DSGVO in Frage kommen, wenn der Versender ein berechtigtes Interesse an der Durchführung der Profilingmaßnahmen hätte. Hier ist jedoch zu beachten, dass die gegenläufigen Interessen der E-Mail-Empfänger am Schutz ihrer Daten nicht überwiegen dürften, wobei insbesondere darauf abzustellen ist, ob sie vernünftigerweise mit den Maßnahmen rechnen mussten.

Solche Ausnahmefälle könnten auch hier z. B. bei personalisierten Newslettern anzunehmen sein, jedoch ebenso nur unter der Voraussetzung einer klaren und deutlichen Information darüber, dass zur Zusendung der Newsletter Profilingmaßnahmen durchgeführt werden.

3. Anforderungen an die (einzuholende) Einwilligung

Die Anforderungen an die Einwilligung ergeben sich in beiden Fällen, also sowohl hinsichtlich der Tracking-, als auch der Profilingmaßnahmen, aus der DSGVO.

Hier regelt insbesondere Art. 4 Nr. 11 und Art. 7 DSGVO die genaueren Voraussetzungen für datenschutzrechtliche Einwilligungen. Als Einwilligung versteht man hiernach „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

Notwendige Inhaltsbestandteile des Einwilligungstextes sind hierbei die Nennung der Verantwortlichen und der Verarbeitungszwecke, ein Hinweis auf die Widerruflichkeit der Einwilligung sowie auch Beschreibungen hinsichtlich der technischen Vorgänge und Funktionsweisen der Maßnahmen.

Die Details hierzu können jedoch in einer Datenschutzerklärung beschrieben werden, sodass nur ein Hinweis auf diese im Einwilligungstext erforderlich ist. Auch empfiehlt es sich, Informationen zu den Versanddienstleistern und der Dauer der Verarbeitung in der Datenschutzerklärung anzugeben.

Obwohl die Zurverfügungstellung eines gesonderten, nicht vorangekreuzten Kontrollkästchens eine einfache Möglichkeit darstellt, die Einwilligung in die Maßnahmen zu erlangen, ist dies jedoch keine zwingende Voraussetzung.

Unser Tipp: Verbinden Sie die Einwilligung in die Tracking- und Profilingmaßnahmen mit anderen Erklärungen, zum Beispiel mit der Einwilligung in den Newsletterbezug. Zu fordern ist hier lediglich, dass die E-Mail-Empfänger eindeutig wissen, dass ihre abgegebene Einwilligung auch die Tracking- und Profilingmaßnahmen umfasst. Dies benötigt einen klaren und deutlichen Hinweis, der beispielsweise in unmittelbarer Nähe zur Absendeschaltfläche platziert werden muss.

Wichtig ist es, in diesem Zusammenhang auch zu beachten, dass eine Einwilligung in Trackingmaßnahmen nicht den Schluss zulässt, dass zugleich auch in Profilingmaßnahmen eingewilligt wurde. Die verschiedenen Maßnahmen müssen beide genannt werden, damit sich die Einwilligung sowohl auf Tracking-, als auch auf Profilingmaßnahmen erstreckt.

Best Practice – so könnte eine Einwilligung in Newsletter/Werbemailings inkl. Tracking- und Profilingmaßnahmen aussehen:

Exklusiv-Inhalt für Mandanten

Noch kein Mandant?

Ihre Vorteile im Überblick

• Wissensvorsprung

  Zugriff auf exklusive Beiträge, Muster und Leitfäden
• Schutz vor Abmahnungen

  Professionelle Rechtstexte – ständig aktualisiert
• Monatlich kündbar

  Schutzpakete mit flexibler Laufzeit

Ab

5,90 €

mtl.

Jetzt Mandant werden

4. Werbemailings an Bestandskunden

Neben der gerade aufgeführten Möglichkeit, Werbe-E-Mails aufgrund von Einwilligungen zu verschicken, besteht bei Bestandskunden die Option, diese auch ohne ausdrückliche Einwilligung gem. § 7 Abs. 3 UWG zu versenden (wenn auch beschränkt auf ähnliche Produkte bzw. Dienstleistungen, die zuvor erworben wurden).

Wichtig ist in diesem Fall, dass die Bestandskunden im Rahmen des Bestellvorgangs darauf hingewiesen wurden, dass sie Werbe-E-mails erhalten könnten. Auch muss in diesem Zusammenhang ein Hinweis auf die Möglichkeit des Widerspruchs erfolgen.

Aber Achtung: Dieses Bestandskundenprivileg der Versendung von Newslettern für eigene, ähnlichen Waren umfasst nicht die Messung von Öffnungs- und Klickraten bzw. Profilingmaßnahmen. Für diese Tracking- und Profilingmaßnahmen besteht nach wie vor eine Einwilligungspflicht, sodass hierfür eine gesonderte Einwilligung eingeholt werden muss.

Zur Einholung der Einwilligung besteht die Möglichkeit, diese im Rahmen des Bestellvorgangs (Check-Out) abzufragen. Hier ist jedoch wichtig, dass sog. „Kopplungsverbot“ aus Art. 7 Abs. 4 DSGVO zu beachten. Das Kopplungsverbot sieht vor, dass die Erteilung der Einwilligung nicht zur Bedingung für den Vertragsschluss gemacht werden darf, wenn diese für den Vertrag nicht notwendig zwingend notwendig ist.

Koppeln Sie daher nicht die Einholung einer Einwilligung in Tracking- und Profilingmaßnahmen mit dem Abschluss des Bestellvorgangs. Andernfalls ist eine derart eingeholte Einwilligung nicht mehr als freiwillig im Sinne des Gesetzes anzusehen.

Von einer nachvertraglichen Kontaktaufnahme (per E-Mail) zum Zwecke der Einholung einer Einwilligung in Tracking- und Profilingmaßnahmen raten wir ab, da eine solche Kontaktaufnahme ihrerseits einer Einwilligung bedarf.

Best Practice – so könnte eine Information zum Newsletterversand an Bestandskunden nebst Einholung einer Einwilligung in Tracking- und Profilingmaßnahmen aussehen:

Exklusiv-Inhalt für Mandanten

Noch kein Mandant?

Ihre Vorteile im Überblick

• Wissensvorsprung

  Zugriff auf exklusive Beiträge, Muster und Leitfäden
• Schutz vor Abmahnungen

  Professionelle Rechtstexte – ständig aktualisiert
• Monatlich kündbar

  Schutzpakete mit flexibler Laufzeit

Ab

5,90 €

mtl.

Jetzt Mandant werden

Willigt der Bestandskunde nicht ein, können Sie zwar auf Basis des Bestandskundenprivilegs Newsletter für eigene, ähnliche Waren versenden, diese dürfen aber sodann nicht mit Technologien zur Öffnungs- und Klickratenmessung ausgestattet sein.

III. Löschung bereits gebildeter Profile

Wurden für Empfänger von Werbemailings bereits Profile gebildet, obwohl keine (ausreichende) Einwilligung eingeholt wurde, sollten diese Profile gelöscht werden.

Eine solche Löschung stellt sich manchmal als schwierig heraus, da manche Newsletterversender ein Löschen nicht gestatten. Hier bleibt dann die Alternative, die Adressen zu exportieren, auf der Plattform alle Adressen inkl. der Profile zu löschen und die Adressen dann erneut hochzuladen.

IV. Nachweispflicht in Bezug auf eingeholte Einwilligungen

Merksatz: Der Versender von E-Mails mit werblichem Inhalt muss beweisen, dass die Einwilligung des Empfängers vorliegt!

Wenn Sie das Vorliegen einer Einwilligung beweisen müssen, sollten Sie unbedingt den sichersten Weg der Nachweisbarkeit gehen. Das bedeutet, dass Sie die Einwilligung ausschließlich im Wege des sog. „Double-Opt-In“-Verfahrens einholen:

Nachdem der Interessent sich in Ihre Abonnentenliste eingetragen hat, muss ihm anschließend eine erste E-Mail mit der Bitte um Bestätigung des Bezugs der E-Mail-Werbung an die angegebene E-Mail-Kontaktadresse gesendet werden (die "Bestätigungs-Mail").

(Eine Protokollierung der Einwilligung (Logfiles) zu Beweiszwecken im Rahmen eines Double-Opt-In-Verfahrens ist zwingend erforderlich.)

Achtung: In den Bestätigungs-Mails selbst darf keine Werbung (wie z.B. Artikelangebote, Veranstaltungshinweise, Sonderangebote, Link zu Facebook etc.) enthalten sein. Grund: Auch diese Werbung darf nur dann an den Betroffenen versandt werden, wenn dieser zuvor in die Übersendung von Werbenachrichten eingewilligt hat.

Best Practice – so könnte eine "Bestätigungs-Mail" im Rahmen des Double-Opt-In-Verfahrens aussehen:

Exklusiv-Inhalt für Mandanten

Noch kein Mandant?

Ihre Vorteile im Überblick

• Wissensvorsprung

  Zugriff auf exklusive Beiträge, Muster und Leitfäden
• Schutz vor Abmahnungen

  Professionelle Rechtstexte – ständig aktualisiert
• Monatlich kündbar

  Schutzpakete mit flexibler Laufzeit

Ab

5,90 €

mtl.

Jetzt Mandant werden

Was ist das „Double-Opt-In"-Verfahren? Wenn Sie wissen möchten, was es mit einem Double-Opt-In-Verfahren auf sich hat, dürfen wir Ihnen diesen Beitrag als Lektüre empfehlen.

V. Folgen bei Missachtung der Einwilligungspflicht

Eine der häufigsten Konsequenzen der Missachtung der Einwilliungspflicht stellen Bußgelder dar, welche Datenschutzbehörden gem. Art. 83 Abs. 5 DSGVO verhängen können. Diese Bußgelder können bis zu 4% des Umsatzes des Vorjahres bzw. 20 Millionen Euro betragen, je nachdem, welcher Betrag höher ist.

Auch setzen sich die Versender der Gefahr von Schadensersatzforderungen gem. Art. 82 Abs. 1 DSGVO aus.

Zudem müssen Versender auch damit rechnen, dass Empfänger die *Unterlassung der weiteren Übersendung von Werbe-E-Mails fordern, wobei die Anwaltskosten vom Versender übernommen werden muss. Im Falle der Abgabe einer strafbewehrten Unterlassungserklärung drohen in Zuwiderhandlungsfällen Vertragsstrafen in Höhe von 500,- bis 5.000,- Euro (im Erstverstoßfall).

VI. Fazit

Wer die Öffnungs- und Klickraten seiner Newsletter messen und darüber hinaus auch noch Profilingmaßnahmen durchführen möchte, muss zwingend die Einwilligung der Betroffenen einholen, um kostspielige Konsequenzen zu vermeiden.

Die Adressaten von Werbemailings müssen bereits bei der Newsletteranmeldung deutlich darauf hingewiesen werden, welche Newsletter-Trackingmaßnahmen durchgeführt werden. Dies muss nicht zwangsläufig durch ein gesondertes Kontrollkästchen erfolgen, erforderlich ist aber ein klarer und deutlicher Hinweis im Rahmen der einzuholenden Einwilligungserklärung.

Die Pflicht zur Einholung einer Einwilligung in Tracking- und Profilingmaßnahmen gilt auch bei Bestandskunden, obwohl in diesem Fall die Versendung von Newslettern (gesetzlich durch § 7 Abs. 3 UWG) privilegiert ist.

Darüber hinaus ist es für Newsletterversender essentiell wichtig, der Nachweispflicht in Bezug auf die eingeholten Einwilligungen in ausreichendem Maße nachzukommen.

Hinweis: Sie möchten sorgenfrei rechtssicher im Internet auftreten und wünschen sich bei den rechtlichen Dingen professionelle, anwaltliche Unterstützung? Werfen Sie einen Blick auf die Schutzpakete der IT-Recht Kanzlei.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.