Używanie Mailchimp zgodnie z ochroną danych

Mailchimp (Intuit Inc., USA) przetwarza adresy e-mail, zachowanie otwierania i klikania oraz osadza w e-mailach piksel liczący. Usługa potrzebuje czystej zgody i udokumentowanego transferu do USA.

Double opt-in nie jest domyślne w Mailchimp, lecz ustawieniem na odbiorców: w Settings → Audience name and defaults musi być aktywne „Enable double opt-in“. Bez tego ustawienia każdy wprowadzony przez formularz adres trafia od razu na listę — pojedyncze opt-in, które w sporze trudno udowodnić i które niemieckie sądy regularnie uznają za niewystarczające w przypadku e-maili reklamowych.

Drugim elementem jest umowa powierzenia. Intuit udostępnia Data Processing Addendum, który obowiązuje po akceptacji warunków korzystania; zawarte standardowe klauzule umowne lub certyfikacja DPF Intuit stanowią podstawę transferu dla przetwarzania w USA. Oba należy udokumentować i wymienić w polityce prywatności.

Aktywne domyślnie w kampaniach Mailchimp śledzenie (otwarcia e-maili przez piksel liczący, kliknięcia przez przepisane linki) tworzy profile użytkowania. Czyste podejście to wyłączenie tego śledzenia albo włączenie go do zgody i ujawnienie w polityce prywatności. Ogólna wzmianka „używamy Mailchimp“ nie wystarczy.

Czy to ryzyko?

Do wysyłki newslettera podstawą prawną jest z reguły zgoda (art. 6 ust. 1 lit. a RODO), udokumentowana przez double opt-in. Bez potwierdzonej rejestracji, bez umowy powierzenia z Intuit lub bez wskazanej podstawy transferu podstawa nie istnieje. Powszechne w newsletterach śledzenie otwarć i kliknięć wymaga odrębnej zgody lub musi być przejrzyste.

Co możesz zrobić

• Aktywuj double opt-in: po rejestracji e-mail potwierdzający z linkiem aktywacyjnym, dopiero potem adres jest dodawany do listy.
• Rejestruj czas rejestracji, IP i czas potwierdzenia (Mailchimp zapisuje to w polu „Opt-in“).
• Zawrzyj umowę powierzenia (Data Processing Addendum) z Intuit; udokumentuj standardowe klauzule umowne lub certyfikację DPF jako podstawę transferu.
• W polityce prywatności wymień Mailchimp/Intuit jako odbiorcę, transfer do USA, śledzenie otwarć i kliknięć oraz prawo do wycofania (link do wypisania się).

Częste pytania

Czy pojedyncze opt-in jest dozwolone dla newsletterów?

Dla newsletterów reklamowych niemieckie orzecznictwo praktycznie zawsze wymaga double opt-in, ponieważ tylko tak da się udowodnić, że rejestracja pochodzi od właściciela adresu. Pojedyncze opt-in trudno obronić w sporze.

Czy potrzebuję umowy powierzenia dla Mailchimp?

Tak. Mailchimp przetwarza adresy e-mail w Twoim imieniu. Data Processing Addendum Intuit obowiązuje po akceptacji warunków; powinieneś go zarchiwizować.

Czy mogę używać śledzenia otwarć w newsletterach?

Tylko przejrzyście i najlepiej na podstawie zgody. Piksel liczący i śledzenie kliknięć tworzą profile zachowań; odbiorcy muszą być poinformowani, a wielu ekspertów ochrony danych uważa odrębną zgodę za konieczną.

Czy transfer do USA do Mailchimp jest bezproblemowy po DPF?

Transfer jest zasadniczo objęty ramami EU-US Data Privacy Framework, dopóki Intuit jest certyfikowany. Obowiązki zgody i dowodu dla samego newslettera obowiązują niezależnie.

Jak pomaga consentglass

Bezpłatny skan sprawdza dostarczony HTML i pokazuje, jakie usługi są osadzone, czy wykryto baner cookie oraz czy są linki do prywatności i noty prawnej — z omówieniem dla każdego ustalenia. Nie zastępuje porady prawnej.