A Mailchimp használata adatvédelmi szempontból megfelelően

A Mailchimp (Intuit Inc., USA) e-mail-címeket, megnyitási és kattintási viselkedést dolgoz fel, és az e-mailekbe számlálópixelt ágyaz be. A szolgáltatáshoz tiszta hozzájárulás és dokumentált USA-ba történő továbbítás kell.

A double opt-in nem alapértelmezett a Mailchimpben, hanem közönségenkénti beállítás: a Settings → Audience name and defaults alatt aktívnak kell lennie az „Enable double opt-in”-nek. E beállítás nélkül minden űrlapon keresztül megadott cím azonnal a listára kerül — egyszeres opt-in, amelyet vitában nehéz bizonyítani, és amelyet a német bíróságok reklám-e-mailek esetén rendszeresen elégtelennek tartanak.

A második építőelem az adatfeldolgozási szerződés. Az Intuit biztosít egy Data Processing Addendumot, amely a felhasználási feltételek elfogadásával lép hatályba; az abban foglalt általános szerződési feltételek vagy az Intuit DPF-tanúsítása a továbbítási alap az USA-ban történő feldolgozáshoz. Mindkettőt dokumentálni és az adatvédelmi tájékoztatóban említeni kell.

A Mailchimp-kampányokban alapértelmezetten aktív követés (e-mail-megnyitások számlálópixellel, kattintások átírt linkekkel) használati profilokat hoz létre. A tiszta megoldás vagy kikapcsolni ezt a követést, vagy felvenni a hozzájárulásba és feltárni az adatvédelmi tájékoztatóban. Egy általános „Mailchimpet használunk” megjegyzés nem elég.

Kockázat ez?

A hírlevél kiküldéséhez a jogalap általában a hozzájárulás (GDPR 6. cikk (1) a) pont), double opt-innel igazolva. Megerősített feliratkozás nélkül, az Intuittal kötött adatfeldolgozási szerződés nélkül vagy megnevezett továbbítási alap nélkül hiányzik a jogalap. A hírlevelekben szokásos megnyitás- és kattintáskövetés külön hozzájárulást igényel, vagy átláthatóvá kell tenni.

Mit tehet

• Kapcsold be a double opt-int: a feliratkozás után egy megerősítő e-mail aktiválási linkkel, csak azután kerül a cím a listára.
• Naplózd a feliratkozás idejét, az IP-t és a megerősítés idejét (a Mailchimp ezt az „Opt-in” mezőben tárolja).
• Köss adatfeldolgozási szerződést (Data Processing Addendum) az Intuittal; dokumentáld az általános szerződési feltételeket vagy a DPF-tanúsítást továbbítási alapként.
• Az adatvédelmi tájékoztatóban nevezd meg a Mailchimpet/Intuitot címzettként, az USA-ba történő továbbítást, a megnyitás- és kattintáskövetést és a visszavonás jogát (leiratkozási link).

Gyakori kérdések

Megengedett az egyszeres opt-in hírlevelekhez?

Reklám-hírlevelekhez a német joggyakorlat gyakorlatilag mindig double opt-int követel, mert csak így bizonyítható, hogy a feliratkozás a cím tulajdonosától származik. Az egyszeres opt-in vitában alig védhető.

Szükségem van adatfeldolgozási szerződésre a Mailchimphez?

Igen. A Mailchimp az e-mail-címeket a te nevedben dolgozza fel. Az Intuit Data Processing Addenduma a feltételek elfogadásával lép hatályba; archiváld.

Használhatom a megnyitáskövetést a hírlevelekben?

Csak átláthatóan és ideális esetben hozzájárulás alapján. A számlálópixel és a kattintáskövetés viselkedési profilokat hoz létre; a címzetteket tájékoztatni kell, és sok adatvédelmi szakértő szükségesnek tartja a külön hozzájárulást.

Az USA-ba történő továbbítás a Mailchimphez problémamentes a DPF után?

A továbbítást elvben az EU-US Data Privacy Framework fedi, amíg az Intuit tanúsított. A hírlevélre vonatkozó hozzájárulási és bizonyítási kötelezettségek ettől függetlenül fennállnak.

Hogyan segít a consentglass

Az ingyenes ellenőrzés megvizsgálja a kiszolgált HTML-t, és megmutatja, mely szolgáltatások vannak beágyazva, felismerhető-e a sütisáv, és megvannak-e az adatvédelmi és impresszumhivatkozások — minden megállapításnál besorolással. Nem helyettesíti a jogi tanácsadást.