Mailchimp privacyconform gebruiken

Mailchimp (Intuit Inc., VS) verwerkt e-mailadressen, open- en klikgedrag en sluit in e-mails een telpixel in. De dienst heeft een schoon toestemming en een gedocumenteerde VS-doorgifte nodig.

Double opt-in is niet de standaard in Mailchimp maar een instelling per doelgroep: onder Settings → Audience name and defaults moet „Enable double opt-in“ actief zijn. Zonder deze instelling belandt elk via een formulier ingevoerd adres meteen op de lijst — een enkele opt-in die in een geschil moeilijk te bewijzen is en die Duitse rechtbanken voor reclamemails regelmatig als onvoldoende beschouwen.

Het tweede bouwsteen is de verwerkersovereenkomst. Intuit stelt een Data Processing Addendum ter beschikking dat geldt bij aanvaarding van de gebruiksvoorwaarden; de daarin opgenomen standaardcontractbepalingen of de DPF-certificering van Intuit vormen de doorgiftegrondslag voor de verwerking in de VS. Beide moeten worden gedocumenteerd en in de privacyverklaring worden genoemd.

De standaard actieve tracking in Mailchimp-campagnes (e-mailopeningen via een telpixel, klikken via herschreven links) creëert gebruiksprofielen. De schone aanpak is deze tracking uit te schakelen of op te nemen in de toestemming en bekend te maken in de privacyverklaring. Een algemene opmerking „wij gebruiken Mailchimp“ volstaat niet.

Is dit een risico?

Voor het verzenden van de nieuwsbrief is de grondslag in de regel toestemming (art. 6 lid 1 sub a AVG), aangetoond via double opt-in. Zonder bevestigde aanmelding, zonder verwerkersovereenkomst met Intuit of zonder genoemde doorgiftegrondslag ontbreekt de grondslag. De in nieuwsbrieven gebruikelijke tracking van openingen en klikken vereist afzonderlijke toestemming of moet transparant worden gemaakt.

Wat je kunt doen

• Activeer double opt-in: na de aanmelding een bevestigingsmail met een activatielink, pas daarna wordt het adres aan de lijst toegevoegd.
• Log het aanmeldtijdstip, het IP en het bevestigingstijdstip (Mailchimp slaat dit op in het veld „Opt-in“).
• Sluit een verwerkersovereenkomst (Data Processing Addendum) met Intuit; documenteer de standaardcontractbepalingen of de DPF-certificering als doorgiftegrondslag.
• Noem in de privacyverklaring Mailchimp/Intuit als ontvanger, de VS-doorgifte, de open- en klik-tracking en het herroepingsrecht (afmeldlink).

Veelgestelde vragen

Is een enkele opt-in toegestaan voor nieuwsbrieven?

Voor reclame-nieuwsbrieven eist de Duitse rechtspraak praktisch altijd een double opt-in, omdat alleen zo bewijsbaar is dat de aanmelding van de houder van het adres komt. Een enkele opt-in is in een geschil nauwelijks houdbaar.

Heb ik een verwerkersovereenkomst nodig voor Mailchimp?

Ja. Mailchimp verwerkt de e-mailadressen in jouw opdracht. Het Data Processing Addendum van Intuit geldt bij aanvaarding van de voorwaarden; je zou het moeten archiveren.

Mag ik open-tracking in nieuwsbrieven gebruiken?

Alleen transparant en idealiter op basis van toestemming. De telpixel en de klik-tracking creëren gedragsprofielen; ontvangers moeten worden geïnformeerd en veel privacydeskundigen achten afzonderlijke toestemming noodzakelijk.

Is de VS-doorgifte naar Mailchimp na het DPF onproblematisch?

De doorgifte wordt in principe gedekt door het EU-US Data Privacy Framework zolang Intuit gecertificeerd blijft. De toestemmings- en bewijsverplichtingen voor de nieuwsbrief zelf gelden onafhankelijk daarvan.

Hoe consentglass helpt

De gratis scan controleert de geleverde HTML en toont welke diensten zijn ingebed, of er een cookiebanner wordt gedetecteerd en of links naar privacy en colofon aanwezig zijn — met duiding per bevinding. Hij is geen vervanging voor juridisch advies.