Bruke Mailchimp i samsvar med personvern

Mailchimp (Intuit Inc., USA) behandler e-postadresser, åpne- og klikkatferd og bygger inn en tellepiksel i e-poster. Tjenesten krever et rent samtykke og en dokumentert USA-overføring.

Dobbel opt-in er ikke standard i Mailchimp, men en innstilling per målgruppe: under Settings → Audience name and defaults må „Enable double opt-in“ være aktiv. Uten denne innstillingen havner enhver adresse som legges inn via et skjema, umiddelbart på listen — en enkel opt-in som er vanskelig å bevise i en tvist, og som tyske domstoler regelmessig anser som utilstrekkelig for reklame-e-post.

Den andre byggesteinen er databehandleravtalen. Intuit stiller et Data Processing Addendum til rådighet som gjelder ved aksept av bruksvilkårene; standardkontraktsklausulene som inngår, eller Intuits DPF-sertifisering er overføringsgrunnlaget for behandlingen i USA. Begge bør dokumenteres og nevnes i personvernerklæringen.

Sporingen som er aktiv som standard i Mailchimp-kampanjer (e-poståpninger via en tellepiksel, klikk via omskrevne lenker), skaper bruksprofiler. Den rene tilnærmingen er enten å slå av denne sporingen eller å inkludere den i samtykket og opplyse om den i personvernerklæringen. En generell merknad „vi bruker Mailchimp“ er ikke nok.

Er dette en risiko?

For utsending av nyhetsbrevet er rettsgrunnlaget som regel samtykke (art. 6 nr. 1 bokstav a GDPR), dokumentert via dobbel opt-in. Uten en bekreftet påmelding, uten en databehandleravtale med Intuit eller uten et navngitt overføringsgrunnlag mangler grunnlaget. Sporingen av åpninger og klikk som er vanlig i nyhetsbrev, krever eget samtykke eller må gjøres transparent.

Hva du kan gjøre

• Aktiver dobbel opt-in: etter påmeldingen en bekreftelses-e-post med aktiveringslenke, først deretter legges adressen til listen.
• Logg påmeldingstidspunkt, IP og bekreftelsestidspunkt (Mailchimp lagrer det i feltet „Opt-in“).
• Inngå en databehandleravtale (Data Processing Addendum) med Intuit; dokumenter standardkontraktsklausulene eller DPF-sertifiseringen som overføringsgrunnlag.
• I personvernerklæringen navngir du Mailchimp/Intuit som mottaker, USA-overføringen, åpne- og klikk-sporingen og retten til å trekke tilbake (avmeldingslenke).

Vanlige spørsmål

Er en enkel opt-in tillatt for nyhetsbrev?

For reklame-nyhetsbrev krever tysk rettspraksis praktisk talt alltid en dobbel opt-in, fordi det bare slik kan bevises at påmeldingen kommer fra innehaveren av adressen. En enkel opt-in er neppe holdbar i en tvist.

Trenger jeg en databehandleravtale for Mailchimp?

Ja. Mailchimp behandler e-postadressene på dine vegne. Intuits Data Processing Addendum gjelder ved aksept av vilkårene; du bør arkivere den.

Kan jeg bruke åpningssporing i nyhetsbrev?

Bare transparent og ideelt sett på grunnlag av samtykke. Tellepikselen og klikk-sporingen skaper atferdsprofiler; mottakerne må informeres, og mange personvernseksperter anser eget samtykke som nødvendig.

Er USA-overføringen til Mailchimp uproblematisk etter DPF?

Overføringen er i utgangspunktet dekket av EU-US Data Privacy Framework så lenge Intuit er sertifisert. Samtykke- og dokumentasjonspliktene for selve nyhetsbrevet gjelder uavhengig av dette.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.