Använda Mailchimp i enlighet med dataskydd

Mailchimp (Intuit Inc., USA) behandlar e-postadresser, öppnings- och klickbeteende och bäddar in en räknepixel i e-post. Tjänsten kräver ett rent samtycke och en dokumenterad USA-överföring.

Dubbel opt-in är inte standard i Mailchimp utan en inställning per målgrupp: under Settings → Audience name and defaults måste „Enable double opt-in“ vara aktiv. Utan denna inställning hamnar varje adress som anges via ett formulär direkt på listan — en enkel opt-in som är svår att bevisa i en tvist och som tyska domstolar regelbundet anser vara otillräcklig för reklam-e-post.

Den andra byggstenen är personuppgiftsbiträdesavtalet. Intuit tillhandahåller ett Data Processing Addendum som gäller vid godkännande av användarvillkoren; de standardavtalsklausuler som ingår eller Intuits DPF-certifiering är överföringsgrunden för behandlingen i USA. Båda bör dokumenteras och nämnas i integritetspolicyn.

Den spårning som är aktiv som standard i Mailchimp-kampanjer (e-postöppningar via en räknepixel, klick via omskrivna länkar) skapar användningsprofiler. Den rena metoden är antingen att stänga av denna spårning eller att inkludera den i samtycket och redovisa den i integritetspolicyn. En allmän anmärkning „vi använder Mailchimp“ räcker inte.

Är detta en risk?

För utskicket av nyhetsbrevet är den rättsliga grunden i regel samtycke (art. 6.1 a GDPR), styrkt via dubbel opt-in. Utan en bekräftad anmälan, utan ett personuppgiftsbiträdesavtal med Intuit eller utan en angiven överföringsgrund saknas grunden. Den spårning av öppningar och klick som är vanlig i nyhetsbrev kräver separat samtycke eller måste göras transparent.

Vad du kan göra

• Aktivera dubbel opt-in: efter anmälan ett bekräftelsemejl med en aktiveringslänk, först därefter läggs adressen till listan.
• Logga anmälningstidpunkt, IP och bekräftelsetidpunkt (Mailchimp lagrar det i fältet „Opt-in“).
• Ingå ett personuppgiftsbiträdesavtal (Data Processing Addendum) med Intuit; dokumentera standardavtalsklausulerna eller DPF-certifieringen som överföringsgrund.
• Ange Mailchimp/Intuit som mottagare, USA-överföringen, öppnings- och klickspårningen och rätten att återkalla (avregistreringslänk) i integritetspolicyn.

Vanliga frågor

Är en enkel opt-in tillåten för nyhetsbrev?

För reklam-nyhetsbrev kräver tysk rättspraxis praktiskt taget alltid en dubbel opt-in, eftersom det bara på så sätt går att bevisa att anmälan kommer från innehavaren av adressen. En enkel opt-in är knappast hållbar i en tvist.

Behöver jag ett personuppgiftsbiträdesavtal för Mailchimp?

Ja. Mailchimp behandlar e-postadresserna för din räkning. Intuits Data Processing Addendum gäller vid godkännande av villkoren; du bör arkivera det.

Får jag använda öppningsspårning i nyhetsbrev?

Endast transparent och helst på grundval av samtycke. Räknepixeln och klickspårningen skapar beteendeprofiler; mottagarna måste informeras och många dataskyddsexperter anser att separat samtycke är nödvändigt.

Är USA-överföringen till Mailchimp oproblematisk efter DPF?

Överföringen omfattas i princip av EU-US Data Privacy Framework så länge Intuit är certifierat. Samtyckes- och bevisskyldigheterna för själva nyhetsbrevet gäller oberoende av detta.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.