Newsletter-Tracking: Warum die Öffnungsrate eine eigene Einwilligung braucht

Wie das Tracking funktioniert

In die HTML-Mail wird ein kleines Bild eingebaut, das für jeden Empfänger anders ist, das sogenannte Tracking-Pixel. Viele, aber nicht alle E-Mail-Programme laden dieses Bild beim Lesen und manchmal schon beim Empfang vom Server des Versenders nach. Der Server sieht dann, wer die Mail wann geöffnet hat, und über die IP-Adresse grob auch, wo. Dazu kommen Links, die ebenfalls für jeden Empfänger einzeln erzeugt werden, sodass sich auch nachvollziehen lässt, wer welchen Link aufgerufen hat. Nach dem Landesbeauftragten lässt sich so das Leseverhalten einzelner Empfänger sehr genau überwachen.

Welche Einwilligungen nötig sind

Für diese Überwachung kommt nach der DSGVO grundsätzlich nur eine Einwilligung in Betracht (Art. 6 Abs. 1 Buchst. a DSGVO). Sie muss informiert und freiwillig sein, aktiv und getrennt von anderen Erklärungen abgegeben werden und sich gerade auf das Tracking beziehen (Art. 7 DSGVO). Die allgemeine Einwilligung in den Newsletter genügt dafür nicht, und ein Hinweis in der Datenschutzerklärung nach Art. 13 DSGVO ebenfalls nicht.

Je nach technischer Umsetzung ist in der Regel außerdem eine Einwilligung nach § 25 Abs. 1 TDDDG nötig. Das Tracking-Pixel wird im Zwischenspeicher (Cache) des E-Mail-Programms oder Browsers abgelegt, und das ist eine Speicherung auf dem Endgerät des Empfängers. Die Ausnahme für unbedingt erforderliche Speicherungen (§ 25 Abs. 2 Nr. 2 TDDDG) greift nicht. Das Pixel dient nur dazu, das Lesen der Mail zu protokollieren, und für die Anzeige des Inhalts wird es nicht gebraucht (S. 140).

Zählen ohne Personenbezug

Oft geht es dem Versender gar nicht um einzelne Empfänger. Er will wissen, wie viele Leser einem Link folgen, oder in einem A/B-Test herausfinden, welche Fassung eines Newsletters besser ankommt. Dafür braucht es nach dem Landesbeauftragten keine Links, die für jeden Empfänger anders sind. Er empfiehlt Links, die für alle Empfänger gleich sind und sich nur zwischen Gruppen unterscheiden. Statt der normalen Adresse einer Meldung erhalten alle Leser etwa eine eigene Newsletter-Adresse wie example.com/mail/aktuelle-meldung.html, und für einen A/B-Test bekommt die eine Hälfte …/a/aktuelle-meldung.html, die andere …/b/aktuelle-meldung.html. Aus der Zahl der Aufrufe je Adresse ergibt sich, wie viele Leser über den Newsletter kamen und welche Variante besser abschneidet, ohne dass einzelne Empfänger verfolgt werden (S. 140).

Welcher Weg passt

Welcher Weg sich eignet, hängt davon ab, wofür die Zahlen gebraucht werden. Wer nur wissen will, wie ein Newsletter insgesamt ankommt, kann das personenbezogene Öffnungs- und Klicktracking im Versandtool abschalten und mit Gruppenlinks arbeiten. Soll dagegen ausgewertet werden, welcher einzelne Empfänger was gelesen hat, braucht es die eigene Einwilligung schon vor dem ersten Versand mit Tracking. Für Empfänger, die bereits auf der Liste stehen, gilt dasselbe, sodass sie erst nach ihrer Einwilligung getrackt werden dürfen.

Newsletter-Tracking kommt bei meinen Mandanten vor. Welchen der beiden Wege ich empfehle, entscheide ich je nach Fall.

Was jetzt zu tun ist

1. Im Versandtool nachsehen, ob Öffnungs- und Klicktracking eingeschaltet ist und ob die Links für jeden Empfänger einzeln erzeugt werden.
2. Festlegen, wofür die Zahlen gebraucht werden: Gesamtwerte und A/B-Tests oder die Auswertung einzelner Empfänger.
3. Reichen Gesamtwerte, das personenbezogene Tracking abschalten und auf Links umstellen, die für alle Empfänger gleich sind oder sich nur je Gruppe unterscheiden.
4. Wird personenbezogen ausgewertet, bei der Anmeldung ein eigenes, nicht vorausgewähltes Kontrollkästchen für das Tracking anbieten, getrennt von der Einwilligung in den Newsletter, mit klarer Information über Pixel, Links und IP-Adresse und mit einfacher Widerrufsmöglichkeit. Die Einwilligung so speichern, dass sie sich nachweisen lässt (Art. 7 Abs. 1 DSGVO).
5. Bestehende Empfänger ohne diese Einwilligung nicht mehr tracken und die Tracking-Daten prüfen, die bisher ohne Einwilligung angefallen sind.
6. Datenschutzerklärung und Anmeldeformular an die gewählte Lösung anpassen.