Brug af Mailchimp i overensstemmelse med databeskyttelse

Mailchimp (Intuit Inc., USA) behandler e-mailadresser, åbne- og klikadfærd og indlejrer en tællepixel i e-mails. Tjenesten kræver et rent samtykke og en dokumenteret USA-overførsel.

Double opt-in er ikke standard i Mailchimp, men en indstilling pr. målgruppe: under Settings → Audience name and defaults skal „Enable double opt-in“ være aktiv. Uden denne indstilling havner enhver adresse, der indtastes via en formular, straks på listen — et single opt-in, der er svært at bevise i en tvist, og som tyske domstole regelmæssigt anser for utilstrækkeligt for reklame-e-mails.

Den anden byggesten er databehandleraftalen. Intuit stiller et Data Processing Addendum til rådighed, der gælder ved accept af brugsvilkårene; de indeholdte standardkontraktbestemmelser eller Intuits DPF-certificering er overførselsgrundlaget for behandlingen i USA. Begge bør dokumenteres og nævnes i privatlivspolitikken.

Den sporing, der er aktiv som standard i Mailchimp-kampagner (e-mailåbninger via en tællepixel, klik via omskrevne links), skaber brugsprofiler. Den rene tilgang er enten at slå denne sporing fra eller at inkludere den i samtykket og oplyse om den i privatlivspolitikken. En generel bemærkning „vi bruger Mailchimp“ er ikke nok.

Er dette en risiko?

For udsendelse af nyhedsbrevet er retsgrundlaget som regel samtykke (art. 6, stk. 1, litra a GDPR), dokumenteret via double opt-in. Uden en bekræftet tilmelding, uden en databehandleraftale med Intuit eller uden et navngivet overførselsgrundlag mangler retsgrundlaget. Den sporing af åbninger og klik, der er sædvanlig i nyhedsbreve, kræver særskilt samtykke eller skal gøres transparent.

Hvad du kan gøre

• Aktivér double opt-in: efter tilmeldingen en bekræftelses-e-mail med et aktiveringslink, først derefter tilføjes adressen til listen.
• Log tilmeldingstidspunkt, IP og bekræftelsestidspunkt (Mailchimp gemmer det i feltet „Opt-in“).
• Indgå en databehandleraftale (Data Processing Addendum) med Intuit; dokumentér standardkontraktbestemmelserne eller DPF-certificeringen som overførselsgrundlag.
• Navngiv Mailchimp/Intuit som modtager, USA-overførslen, åbne- og klik-sporingen og tilbagekaldelsesretten (afmeldingslink) i privatlivspolitikken.

Ofte stillede spørgsmål

Er et single opt-in tilladt for nyhedsbreve?

For reklame-nyhedsbreve kræver tysk retspraksis praktisk talt altid et double opt-in, fordi det kun sådan kan bevises, at tilmeldingen kommer fra indehaveren af adressen. Et single opt-in er næppe holdbart i en tvist.

Har jeg brug for en databehandleraftale for Mailchimp?

Ja. Mailchimp behandler e-mailadresserne på dine vegne. Intuits Data Processing Addendum gælder ved accept af vilkårene; du bør arkivere det.

Må jeg bruge åbnesporing i nyhedsbreve?

Kun transparent og ideelt set på grundlag af samtykke. Tællepixlen og klik-sporingen skaber adfærdsprofiler; modtagerne skal informeres, og mange databeskyttelseseksperter anser særskilt samtykke for nødvendigt.

Er USA-overførslen til Mailchimp uproblematisk efter DPF?

Overførslen er som udgangspunkt dækket af EU-US Data Privacy Framework, så længe Intuit er certificeret. Samtykke- og dokumentationsforpligtelserne for selve nyhedsbrevet gælder uafhængigt heraf.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.