Mailchimp DSGVO-konform einsetzen

Mailchimp (Intuit Inc., USA) verarbeitet E-Mail-Adressen, Öffnungs- und Klickverhalten und bindet in E-Mails ein Zählpixel ein. Der Dienst braucht eine saubere Einwilligung und einen dokumentierten US-Transfer.

Das Double-Opt-in ist bei Mailchimp kein Standard, sondern eine Einstellung pro Zielgruppe („Audience“): Unter Settings → Audience name and defaults muss „Enable double opt-in“ aktiv sein. Ohne diese Einstellung landet jede über ein Formular eingetragene Adresse sofort in der Liste — ein einfaches Opt-in, das im Streitfall schwer nachzuweisen ist und von deutschen Gerichten für Werbe-E-Mails regelmäßig als unzureichend angesehen wird.

Der zweite Baustein ist der Auftragsverarbeitungsvertrag. Intuit stellt ein Data Processing Addendum bereit, das mit Annahme der Nutzungsbedingungen gilt; die enthaltenen Standardvertragsklauseln bzw. die DPF-Zertifizierung von Intuit sind die Transfergrundlage für die Verarbeitung in den USA. Beides sollte dokumentiert und in der Datenschutzerklärung erwähnt werden.

Das in Mailchimp-Kampagnen standardmäßig aktive Tracking (E-Mail-Öffnungen über ein Zählpixel, Klicks über umgeschriebene Links) erzeugt Nutzungsprofile. Rechtlich sauber ist, dieses Tracking entweder abzuschalten oder in die Einwilligung aufzunehmen und in der Datenschutzerklärung offenzulegen. Ein pauschaler Hinweis „wir nutzen Mailchimp“ genügt nicht.

Ist das ein Risiko?

Für den Newsletter-Versand ist die Rechtsgrundlage in aller Regel die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), nachgewiesen über ein Double-Opt-in. Ohne bestätigte Anmeldung, ohne Auftragsverarbeitungsvertrag mit Intuit oder ohne benannte Transfergrundlage fehlt die Grundlage. Das in Newslettern übliche Tracking von Öffnungen und Klicks ist gesondert einwilligungsbedürftig oder transparent zu machen.

Was du tun kannst

• Double-Opt-in aktivieren: Nach der Anmeldung eine Bestätigungs-E-Mail mit Aktivierungslink, erst danach wird die Adresse in die Liste aufgenommen.
• Anmeldezeitpunkt, IP und Bestätigungszeitpunkt protokollieren (Mailchimp speichert das im Feld „Opt-in“).
• Auftragsverarbeitungsvertrag (Data Processing Addendum) mit Intuit abschließen; Standardvertragsklauseln bzw. DPF-Zertifizierung als Transfergrundlage dokumentieren.
• In der Datenschutzerklärung Mailchimp/Intuit als Empfänger, den USA-Transfer, das Öffnungs- und Klick-Tracking und das Widerrufsrecht (Abmeldelink) benennen.

Häufige Fragen

Ist ein einfaches Opt-in für Newsletter zulässig?

Für Werbe-Newsletter verlangt die deutsche Rechtsprechung praktisch durchgängig ein Double-Opt-in, weil nur so nachweisbar ist, dass die Anmeldung von der Inhaber:in der Adresse stammt. Ein einfaches Opt-in ist im Streitfall kaum belastbar.

Brauche ich für Mailchimp einen AV-Vertrag?

Ja. Mailchimp verarbeitet die E-Mail-Adressen in deinem Auftrag. Das Data Processing Addendum von Intuit gilt mit Annahme der Bedingungen; du solltest es archivieren.

Darf ich das Öffnungs-Tracking in Newslettern nutzen?

Nur transparent und idealerweise auf Basis einer Einwilligung. Das Zählpixel und das Klick-Tracking erzeugen Verhaltensprofile; darüber müssen Empfänger:innen informiert werden, und viele Datenschützer:innen halten eine gesonderte Einwilligung für nötig.

Ist der US-Transfer zu Mailchimp nach dem DPF unproblematisch?

Der Transfer ist über das EU-US Data Privacy Framework grundsätzlich abgesichert, solange Intuit zertifiziert bleibt. Die Einwilligungs- und Nachweispflichten für den Newsletter selbst bestehen unabhängig davon.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.