DSGVO und WhatsApp-Marketing

Zwei Regelwerke, nicht eines

Wer nach DSGVO und WhatsApp fragt, fragt meist zuerst nach dem falschen Gesetz. Es gelten zwei Regelwerke, sie stellen unterschiedliche Fragen, und wer das eine erfüllt, ist vom anderen nicht befreit.

Die DSGVO fragt: Haben Sie überhaupt eine Rechtsgrundlage, um die Daten dieser Person zu verarbeiten, und können Sie ihre Rechte daran wahren? Eine Telefonnummer ist ein personenbezogenes Datum, die Konversation ebenso.

Die ePrivacy-Richtlinie — in jedem Mitgliedstaat in nationales Recht umgesetzt — stellt eine engere Frage zum Versand selbst: Dürfen Sie dieser Person unerbetene elektronische Direktwerbung schicken? Ihr Artikel 13 macht das von einer vorherigen Einwilligung abhängig. WhatsApp ist elektronische Direktwerbung, genauso wie SMS und E-Mail.

Deshalb ist die Sache mit „wir stützen uns auf berechtigtes Interesse“ nicht erledigt. Das berechtigte Interesse mag die DSGVO-Seite durchaus abdecken. Die ePrivacy-Regel liegt darüber und verlangt trotzdem eine Einwilligung.

Es gibt eine anerkannte Ausnahme, meist Soft-Opt-in genannt: Haben Sie die Kontaktdaten im Zusammenhang mit einem Verkauf an diese Person erhalten, dürfen Sie ihr Werbung für eigene ähnliche Produkte schicken, sofern Sie ihr bei der Erhebung und in jeder Nachricht die Möglichkeit gegeben haben, dies gebührenfrei und problemlos abzulehnen. Die meisten Mitgliedstaaten haben sie umgesetzt, aber die Bedingungen unterscheiden sich — wie ähnlich das Produkt sein muss, wie kurz der Verkauf zurückliegen muss und ob sie auch für geschäftliche Kontakte gilt. Sie ist enger, als viele hoffen, und die deutsche Fassung ist die strengste.

Wie eine wirksame Einwilligung aussieht

Die Definition der DSGVO ist eine kurze Liste, und fast jede Einwilligung, die scheitert, scheitert an einem dieser Punkte:

• Freiwillig. Nicht Bedingung für eine Leistung, die sie gar nicht braucht. „Bitte ankreuzen, um WhatsApp-Angebote zu erhalten und Ihren Kauf abzuschließen“ ist keine Einwilligung.
• Für den bestimmten Fall. Eine Einwilligung in WhatsApp-Marketing, nicht in „Marketing“. Der Kanal gehört zu dem, worin die Person einwilligt, ebenso die Identität des Absenders.
• In informierter Weise. Die Person weiß, wer Sie sind, was Sie senden werden und wie sie es beenden kann.
• Unmissverständlich, durch eine eindeutige bestätigende Handlung. Ein vorangekreuztes Kästchen ist keine. Schweigen ist keine. Weitersurfen ist keine.
• So einfach zu widerrufen wie zu erteilen. Wenn die Anmeldung ein Antippen gekostet hat, darf die Abmeldung keine E-Mail an den Support erfordern.

Meta stellt unabhängig davon eine eigene Opt-in-Anforderung, und die ist nicht identisch. Meta kommt es darauf an, dass die Person wusste, dass sie Nachrichten von Ihrem Unternehmen auf WhatsApp erhalten würde; wie Sie das eingeholt haben, schreibt Meta nicht vor. In der Praxis genügt eine Einwilligung, die der DSGVO genügt, auch Meta, weshalb es sich lohnt, sie einmal sauber zu formulieren — Wortlaut und Platzierung behandelt dieser Leitfaden.

Was Sie nachweisen können müssen

Nach der DSGVO müssen Sie als Verantwortlicher nachweisen können, dass eine Einwilligung erteilt wurde. Eine Liste von Nummern beweist gar nichts. Für jeden Kontakt sollten Sie Folgendes vorlegen können:

Eine Sperrliste ist keine Löschliste. Wenn sich jemand abmeldet, behalten Sie das Minimum, das nötig ist, um ihn weiterhin gesperrt zu halten; den Datensatz vollständig zu löschen ist genau der Weg, auf dem Menschen wieder importiert und erneut angeschrieben werden.

Metas Rolle in Ihren Datenflüssen

Mit der Cloud API laufen die Nachrichten über Infrastruktur, die Meta betreibt. Damit ist Meta für diese Inhalte Auftragsverarbeiter, und das hat Folgen, die Sie schriftlich festhalten müssen, statt sie stillschweigend vorauszusetzen:

• Ihr Verzeichnis von Verarbeitungstätigkeiten muss Meta nennen, zusammen mit Ihrem Plattformanbieter; in der Regel ist der Anbieter Auftragsverarbeiter und Meta Unterauftragsverarbeiter.
• Ihre Datenschutzerklärung muss darüber informieren, dass Meta den Austausch verarbeitet, wenn man Ihnen auf WhatsApp schreibt.
• Bedingungen zur Auftragsverarbeitung. Für den Meta-Teil stützen Sie sich auf Metas eigene, für den Teil Ihres Anbieters auf dessen. Lassen Sie sich den AVV des Anbieters geben, bevor Sie unterschreiben, nicht danach.
• Übermittlungen außerhalb des EWR gehören zur Beziehung mit Meta und sind durch den Mechanismus in Metas Bedingungen abgedeckt. Wenn Ihre Organisation eine Richtlinie zu Drittlandübermittlungen hat, wird sie genau hier relevant.
• Wo der Anbieter hostet, ist eine andere Frage als die, wo Meta hostet — und es ist diejenige, die Sie tatsächlich selbst entscheiden können.

Umgang mit Anträgen betroffener Personen

Der Chatverlauf besteht aus personenbezogenen Daten, also gelten für ihn die üblichen Betroffenenrechte, und WhatsApp bringt eine praktische Besonderheit mit: Eine Konversation betrifft zwei Personen. Gehen Sie beim Exportieren oder Löschen bewusst mit den Nachrichten um, die Ihre eigenen Mitarbeiter geschrieben haben.

• Auskunft. Eine Person kann die Konversation anfordern. Den Verlauf eines einzelnen Kontakts exportieren zu können, ohne den aller anderen mitzuexportieren, ist eine Pflicht, keine Kür.
• Löschung. Wird der Kontakt gelöscht, muss auch die Konversation gelöscht werden, und Sie müssen genug behalten, damit die Sperre bestehen bleibt. Beachten Sie auch: Die Kopie auf dem Telefon der Person gehört ihr, nicht Ihnen, und Sie können sie nicht löschen.
• Widerspruch. Ein Widerspruch gegen Direktwerbung gilt uneingeschränkt — eine Interessenabwägung findet nicht statt. Er muss vor der nächsten Kampagne wirken, nicht erst bei der nächsten Aktualisierung der Liste.
• Datenübertragbarkeit gilt, wo Sie auf Grundlage einer Einwilligung verarbeitet haben — und das haben Sie bei einer Marketing-Konversation.

Wie lange Sie Konversationen aufbewahren

In der DSGVO steht keine Zahl. Die Pflicht besteht darin, eine Frist festzulegen, die Sie begründen können, und sie dann auch tatsächlich anzuwenden — ein Postfach, das noch nie etwas gelöscht hat, scheitert an der zweiten Hälfte, ganz gleich, was in der Richtlinie steht.

In der Praxis: Support-Konversationen werden meist so lange aufbewahrt, wie über das zugrunde liegende Geschäft noch ein Streit entstehen kann, und das bestimmt die Verjährungsfrist in Ihrem Land. Marketing-Konversationen rechtfertigen selten mehr als ein bis zwei Jahre. Einwilligungsnachweise überdauern beide, denn sie belegen, dass Sie überhaupt senden durften.

Die Checkliste

1. Ein Opt-in-Text, der WhatsApp und Ihr Unternehmen nennt, standardmäßig nicht angekreuzt.
2. Ein Einwilligungsnachweis je Kontakt: wann, wo, welcher Wortlaut, welche Kanäle.
3. Eine Abmeldemöglichkeit in der Nachricht und ein Mitarbeiter, der weiß, was zu tun ist, wenn jemand „Stopp“ schreibt.
4. Eine einzige Sperrliste, die jede Kampagne prüft, auch bei Importen.
5. Meta und Ihr Anbieter, genannt in Ihrem Verzeichnis von Verarbeitungstätigkeiten und in Ihrer Datenschutzerklärung.
6. Ein unterschriebener AVV mit dem Anbieter.
7. Eine Aufbewahrungsfrist, die schriftlich festgelegt ist und von etwas anderem durchgesetzt wird als von guten Vorsätzen.
8. Eine Möglichkeit, die Konversation eines einzelnen Kontakts zu exportieren und zu löschen.