Source: http://www.audit27001.de/doi/
Timestamp: 2018-05-24 05:42:47+00:00

Document:
Das Double Opt-In Verfahren und die Nachweispflicht zur Einwilligung | Informationssicherheitsmanagement und Datenschutz
Das Double Opt-In Verfahren und die Nachweispflicht zur Einwilligung
14. Januar 2015 19:00 \ Leave a Comment \ by david.gabel@audit27001.de
Für den Versand von Werbung per e-mail sieht das Gesetz gegen den unlauteren Wettbewerb (UWG) eine vorliegende Einwilligung als Erlaubnistatbestand vor. Fehlt die Einwilligung, liegt eine Belästigung vor und auch ein Verstoß gegen das Wettbewerbsrecht.
7 UWG sagt auszugsweise:
(2) Eine unzumutbare Belästigung ist stets anzunehmen
bei Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Adressaten vorliegt, …[1]
Um der Einwilligung mehr Gewicht zu verleihen hat sich das Double Opt In (DOI) Verfahren weitestgehend durchgesetzt. Das DOI Verfahren ist aber in der überwiegenden Anzahl von Fällen ein rein elektronisches Verfahren und es stellt sich immer wieder die Frage nach einem rechtssicheren Umgang und der Erfüllung der notwendigen Nachweispflichten.
Wie funktioniert DOI?
Betrachten wir das Verfahren anhand einer Newsletterbestellung. Hierbei geht es nicht um die Frage, ob ein Newsletter Werbung darstellt, sondern nur um die Beschreibung des DOI Verfahrens.
Beispielkunde Thomas D. registriert sich auf der Website eines Musikartikelherstellers für dessen Newsletter. Diese Registrierung stellt den ersten Teil des DOI Verfahrens dar und ist für sich genommen schon mal ein Single Opt-In, denn Thomas D. muss seine Daten hinterlassen und seine Einwilligung durch die Bestellung des Newsletters erklären. Der Musikartikelhersteller sendet daraufhin eine E-Mail an Thomas D. mit der Bestätigung der erhaltenen Registrierung und der Bitte/Aufforderung den Wunsch nach Erhalt des Newsletters durch einen Klick auf einen sogenannten DOI Link zu bestätigen. Dieser Link führt in der Regel auf eine besondere Seite (Landingpage) des Versenders des Newsletter. Unter dieser Adresse wird registriert, dass Thomas D. den Link angeklickt hat. Dieser Link wird üblicherweise dynamisch generiert, d.h. für jede registrierte E-Mail sieht der Link etwas anders aus. So kann der Link eindeutig einer E-Mail zugeordnet werden.
Rechtssicherheit?
Im Internet liest man immer wieder Artikel von Leuten die behaupten, sie könnten den Umgang mit DOI rechtssicher gestalten. Das ist mit Vorsicht zu genießen, denn absolute Rechtssicherheit kann es hier nicht geben. Das DOI Verfahren ist gesetzlich nicht geregelt und die wenigen Urteile die es dazu gibt sind zum Teil sehr unterschiedlich und lassen in ihrer Begründung oft weiteren Spielraum. Es ist also schwer eine Anleitung zu verfassen mit dem Anspruch der Rechtssicherheit. Es ist aber möglich die aktuelle Rechtsprechung zu analysieren und daraus Handlungsempfehlungen abzuleiten.
Relevant für die Beurteilung des DOI Verfahrens sind vorrangig das UWG und das TMG. Betrachten wir zuerst den §7 UWG:
„(2) Eine unzumutbare Belästigung ist stets anzunehmen
bei Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Adressaten vorliegt,“
Es ist also eindeutig: liegt eine vorherige ausdrückliche Einwilligung nicht vor, so gilt die Bewerbung per E-Mail als unzumutbare Belästigung[2]. Die „ausdrückliche Einwilligung“ schließt auch die Vorbelegung des Häkchen zur Bestellung eines Newsletters oder der Zustimmung zu Werbung aus, denn dann wäre keine Willenserklärung des Empfängers mehr zu erkennen.
Da es sich bei dem Versand von E-Mail um einen Telemediendienst handelt müssen wir als Nächstes die Anforderungen an eine wirksame Einwilligung im Sinne des Telemediengesetzes ansehen[3]. §13 TMG definiert die Anforderungen an elektronische Einwilligung wie folgt:
(2) Die Einwilligung kann elektronisch erklärt werden, wenn der Diensteanbieter sicherstellt, dass
der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat,
der Nutzer die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann.
Für diese Betrachtung ist im Besonderen der Punkt 2. wichtig, denn darauf stützt sich die Nachweispflicht. Gerade diese Nachweispflicht ist immer wieder Gegenstand von Diskussionen und auch Gerichtsverhandlungen, denn das Gesetzt macht keine Vorgaben auf welche Weise und in welchem Umfang die Einwilligung zu protokollieren ist.
Die Nachweisproblematik
Um die Problematik begreiflich zu machen, müssen wir das DOI Verfahren in seine einzelnen Bestandteile zerlegen. Da wäre zu Beginn die erste Einwilligung. Beispielkunde Markus H. registriert sich für den Newsletter. Der Musikartikelhersteller hat jedoch keine Möglichkeit zu verifizieren, dass es sich bei dem Beststeller tatsächlich um Markus H. handelt, oder ob jemand anders im Namen von Markus H. (vielleicht ohne dessen Wissen) diesen Newsletter an die E-Mail Adresse von Markus H. schicken lassen möchte. In diesem Schritt ist also ein Nachweis, das Markus H. den Newsletter bestellt hat nicht möglich.
Schauen wir uns den zweiten Schritt an. Der Musikartikelhersteller versendet eine E-Mail an Markus H. mit der Bitte um Bestätigung der Registrierung. Diese Mail wird üblicherweise von einem Versandportal generiert und verschickt. Es handelt sich hierbei also nicht um eine von einem Menschen geschriebene und verschickte E-Mail, die man zum Nachweis mal einfach so aus einem Postfach ziehen kann, sondern um eine flüchtige, nur für diesen Zweck generierte E-Mail, die üblicherweise auch nicht beim Versender irgendwo gespeichert ist. Der Nachweis, dass Markus H. die Bestätigungsmail bekommen hat ist nicht unmöglich, aber schwierig.
Der finale Schritt besteht nun daraus, dass Markus H. den Bestätigungslink anklickt. Dieser Klick kann protokolliert werden, d.h. ich kann protokollieren, dass jemand den Link angeklickt hat, der nur für die E-Mail Adresse von Markus H. gültig war. Diese Aktion kann ich mit einem Zeitstempel und der IP-Adresse die zu dem Rechner gehört, auf dem der Link geklickt wurde, abspeichern. Hieraus lässt sich also ein gewisser Nachweis ableiten, denn ich muss davon ausgehen können, dass Markus H. tatsächlich der Besitzer des E-Mail Postfachs ist und dass er bewusst auf den Bestätigungslink geklickt hat. Die Speicherung der IP-Adresse bringt allerdings nur bedingt einen Mehrwert, denn die Zuordnung kann nur über einen begrenzten Zeitraum (üblicherweise 6 Monate) durchgeführt werden.
Wie sieht die Rechtsprechung dazu aus?
Am wesentlichsten ist sicher die Entscheidung des BGH aus dem Jahr 2011 (Volltext). Grundsätzlich betrachtet der BGH das DOI Verfahren als geeignet um eine Einwilligung auf elektronischem Weg zu dokumentieren.
„Nach der Rechtsprechung des Senats hat der Werbende mit einem solchen Verfahren ausreichend sichergestellt, dass es nicht aufgrund von Falscheingaben zu einer Versendung von E-Mail-Werbung kommt (vgl. BGH, GRUR 2004, 517, 519 – E-Mail-Werbung I). „
In der Urteilsbegründung führt der BGH folgendes aus:
„Für den Nachweis des Einverständnisses ist es erforderlich, dass der Werbende die konkrete Einverständniserklärung jedes einzelnen Verbrauchers vollständig dokumentiert. Im Fall einer elektronisch übermittelten Einverständniserklärung setzt das deren Speicherung und die jederzeitige Möglichkeit voraus, sie auszudrucken. Die Speicherung ist dem Werbenden ohne weiteres möglich und zumutbar. Verfahren, bei denen unklar ist, ob eine Einverständniserklärung tatsächlich von dem angerufenen Verbraucher stammt, sind für den erforderlichen Nachweis ungeeignet.“
Hier liefert der BGH tatsächlich relevante Stichpunkte:
… konkrete Einverständniserklärung …
… jedes einzelnen Verbrauchers …
… vollständig dokumentiert …
… jederzeitige Möglichkeit …, sie auszudrucken.
Betrachtet man fortfolgende Urteile zu DOI von anderen Gerichten (Siehe Anhang A), so stellt man fest, dass die Beklagten vorrangig an diesen Anforderungen scheitern. D.h. es kann regelmäßig nicht ausreichend belegt werden, dass eine wirksame Einwilligung des Betroffenen vorliegt. Allerdings sagt auch der BGH nicht eindeutig, wie denn so ein Nachweis auszusehen hat. Der BGH merkt nur an, dass „Insbesondere … die Beklagte … keinen Ausdruck einer Bestätigungsmail vorgelegt …“ habe. Daraus kann man schließen, dass der BGH den Ausdruck einer Bestätigungsmail des Betroffenen als Nachweis akzeptieren würde. Allerdings sieht das DOI Verfahren keine Bestätigungsmail des Betroffenen vor, sondern nur eine Bestätigungsmail der verantwortlichen Stelle und eine „geklickte“ Bestätigung des Betroffenen.
Die Schwierigkeit liegt also darin, konkrete Nachweise für Vorgänge zu schaffen, die in der Praxis weitestgehend automatisiert sind, auf verschiedenen Systemen ablaufen und kaum Nachweise produzieren. Viele Anbieter speichern neben den Daten, die der Betroffene bei der Registrierung angibt noch die Adresse des Bestätigungslinks und die Uhrzeit bzw. Datum an dem der Betroffene den Link geklickt hat. Aus richterlicher Sicht fehlen hier aber wesentliche Bestandteile:
Wie wurde der Betroffene angesprochen?
Wie sah Registrierungsseite aus?
Wie sah die Bestätigungsmail aus?
Wurde dieser Link tatsächlich in diesen Betroffenen geschickt?
Wie sah die Seite mit dem Bestätigungslink aus?
Kann der Betroffene seine Einwilligung jederzeit einsehen und widerrufen?
Für jeden dieser Schritte gibt es rechtliche Vorgaben. Das Gericht möchte relativ lückenlos den gesamten Vorgang nachvollziehen können um zu akzeptieren, dass das DOI Verfahren im Fall des Betroffenen tatsächlich richtig angewandt wurde. Dazu gehört mehr als ein Timestamp in einer Datenbank. Wenn z.B. nicht nachvollziehbar ist, dass dieser Link tatsächlich an den Betroffenen geschickt wurde, wird das Gericht den Zeitstempel kaum als Nachweis akzeptieren. Auch die gespeicherte IP-Adresse ist an sich ausreichend, weil oftmals kein Bezug mehr zum Endgerät hergestellt werden kann. Auch eine exemplarische Darlegung des DOI Prozesses genügt regelmäßig nicht zur Erfüllung der Nachweispflicht.
Nachweise schaffen
Betrachten wir die einzelnen Schritte des DOI Prozesses und wie (beispielhaft) entsprechende Nachweise geschaffen werden können.
Erstansprache: Der Betroffene ist in irgendeiner Weise auf das Angebot aufmerksam gemacht worden. Das kann in einer Printwerbung, Online Anzeige oder sonstiges gewesen sein. Zu Beginn des DOI Prozesses sollte erfasst werden, wie der Betroffene auf das Angebot aufmerksam gemacht wurden. Dies kann durch die Verwendung von kanalspezifischen Links erreicht werden. Es muss ein Archiv vorhanden sein, in dem eine Kopie der entsprechenden Werbung, Banners oder sonstiges vorhanden ist und in dem Nachweis muss ein Bezug erkennbar sein. Damit kann ich dem Gericht entsprechend belegen, dass die Ansprache (hoffentlich) alle rechtlichen Vorgaben erfüllt und nicht gegen das UWG verstößt. Vor allem auf Transparenz sollte hier geachtet werden.
Registrierungsseite: Das Nutzerprofil des Betroffenen sollte einen Hinweis enthalten welche Version der Registrierungsseite der Nutzer verwendet hat und diese Version sollte dem Gericht vorgelegt werden können. Idealerweise lässt sich daraus die Seite mit den Angaben des Nutzer wieder befüllen und dem Gericht als Nachweis vorlegen. Auch hier wird das Gericht auf die Einhaltung rechtlicher Vorgaben wie Impressumspflicht, Transparenz usw. achten.
Bestätigungsmail: Eine Kopie der Bestätigungsmail kann als Nachweis dienen, dass der entsprechende Link tatsächlich an den Betroffenen geschickt wurde. Leider reicht hier als Nachweis ein Logeintrag im Mailserver nicht aus, weil daraus der Inhalt der Mail nicht rekonstruiert werden kann. Eine Rekonstruktion der Mail aus den vorhandenen CRM Daten reicht evtl. nicht als Nachweis. Eine Kopie der Mail an ein Archiv zu schicken schafft hier den nötigen Nachweis. Vielleicht kann die Mail auch an den entsprechenden Eintrag im CRM System gekoppelt werden, das erleichtert das Suchen. In Kombination mit dem Eintrag aus der Logdatei des Mailservers lässt sich hier ein fester Nachweis schaffen.
Bestätigungsseite: Die Bestätigungsseite sollte jederzeit wieder aufrufbar sein und den Status der Einwilligung zeigen sowie die Möglichkeit bieten die Einwilligung zu widerrufen. Idealerweise lässt sich diese Seite noch aus der Bestätigungsmail heraus aufrufen. Die Seite sollte jedoch auf einen geschützten Bereich verweisen und nicht ohne Authentifizierung personenbezogene Daten anzeigen. Eine Möglichkeit wäre, auf dieser Seite nur den Zeitpunkt der ursprünglichen Bestätigung und die registrierte E-Mailadresse anzuzeigen mit der Möglichkeit die Einwilligung zu widerrufen. Der Bestätigungslink sollte so aufgebaut sein, dass er nicht leicht erraten oder rekonstruiert werden kann. Der Link sollte auch keine personenbezogenen Daten wie E-Mailadresse oder Kundennummer enthalten.
Das DOI Verfahren ist grundsätzlich das richtige Verfahren zu Verfizierung der Richtigkeit einer gemeldeten Empfängeradresse und zur Erlangung einer wirksamen Einwilligung in Werbemaßnahmen per E-Mail. Die meisten Implementierungen des DOI Verfahrens produzieren aber nicht die von Gerichten geforderten Nachweise. Die Schwachstelle liegt also nicht im DOI Verfahren an sich, sondern in der Implementierung und der Schaffung von Nachweisen. Da es keine gesetzliche Definition des DOI Verfahrens und der zu führenden Nachweise gibt, ergibt sich diese aus der Erwartungshaltung der angerufenen Gerichte. Die Schaffung dieser Nachweise ist aufwendig, aber nicht unmöglich. Durch eine lückenlose Kette an Nachweisen, die es dem Gericht ermöglichen die korrekte Implementierung des DOI Verfahrens nachzuvollziehen und eine korrekte Anwendung des DOI Verfahrens im zu beurteilenden Einzelfall zu erkennen, steigt die Wahrscheinlichkeit eine entsprechende Klage abzuweisen.
Eine unabhängige Prüfung des implementierten DOI Verfahrens durch einen Experten kann Schwachstellen in der Nachweiskette aufzeigen und helfen diese wirksam zu schließen. Dadurch können vorbeugend Nachweise geschaffen werden, die im Fall einer Klage vor Gericht verwandt werden können.
[1] Das UWG definiert im §7 weitere Erlaubnistatbestände. Sie sind aber nicht Gegenstand dieser Betrachtung. Zur Vereinfachung gehen wir davon aus, dass diese Erlaubnistatbestände nicht erfüllt. Im Einzelfall ist das natürlich zu prüfen, da sich durch diese Erlaubnistatbestände evtl. nicht mehr die Notwendigkeit des Double Opt-In Verfahrens ergibt.
[2] Die Ausnahmen zu dieser Regelung sind nicht Gegenstand dieser Betrachtung.
[3] Die Anforderungen an eine Einwilligung nach BDSG kommen hier nicht zum Tragen, da das TMG vorrangig ist.
Relevante Urteile:
Amtsgericht Düsseldorf, 23 C 3876/13
Auszug aus der Urteilsbegründung:
Die Versendung eines Rundbriefs mittels E-Mail ist als E-Mail Werbung einzuordnen. Unerbeten ist diese, solange kein Einverständnis vorliegt.
Die Beklagtenseite trägt die Darlegungs- und Beweislast für eine wirksame vorherige ausdrückliche Einwilligung eines Verbrauchers in Marketing- oder Werbemaßnahmen in Form von Telefonanrufen oder über andere elektronische Kommunikationsmittel.
Wird der Absender durch eine E-Mail um eine Bestätigung seines Teilnahmewunsches gebeten und geht diese Bestätigung beim Werbenden ein, so ist durch dieses Double-Opt-In Verfahren zwar grundsätzlich hinreichend sichergestellt, dass er in E-Mail Werbung an diese E-Mail-Adresse ausdrücklich eingewilligt hat. Für den Nachweis des Einverständnisses ist es jedoch erforderlich, dass der Werbende die konkrete Einverständniserklärung jedes einzelnen Verbrauchers vollständig dokumentiert. Ein Zeuge, der nur die ordnungsgemäße Durchführung des Double-Opt-In Verfahrens bezeugen, aber keine konkreten Angaben dazu machen kann, ob ein Einverständnis mit Werbeanrufen erklärt wurde, kann die erforderliche konkrete Dokumentation des Einverständnisses nicht ersetzen
LG Bonn, Urteil vom 10.01.2012, Az. 11 O 40/11
Auszug aus der Urteilsbegründung
Die Beklagte trägt die Darlegungs- und Beweislast für eine wirksame vorherige ausdrückliche Einwilligung eines Verbrauchers in Marketing- oder Werbemaßnahmen in Form von Telefonanrufen oder über andere elektronische Kommunikationsmittel.
Diese Schutzzweckerwägungen führen indes zu der prozessualen Konsequenz, dass der Nachweis einer wirksamen Einwilligung des Verbrauchers mittels des hier zur Diskussion stehenden sogenannten „Double-Opt-In-Verfahrens” grundsätzlich voraussetzt, dass der Werbende die konkrete Einverständniserklärung des betroffenen Verbrauchers vollständig dokumentiert.
Da die Beklagte die von ihr behauptete konkrete Einverständniserklärung des Zeugen N indes nicht gespeichert hat, was deren jederzeitigen Ausdruck und Vorlage im Prozess mitbeinhaltet … fehlt es an der nach alledem erforderlichen überprüfbaren Darlegung einer wirksamen Einwilligung des Zeugen. Die vorgelegten exemplarischen Ausdrucke eines „Double-Opt-In-Verfahrens” (Anlage B #) sowie einer Auflistung der nach dem streitigen Beklagtenvortrag durch den Zeugen N eingetragenen Daten nebst einer IP-Nummer (Anlage B #), die einen übereinstimmenden Standort des entsprechenden Servers mit dem Wohnort des Zeugen dokumentieren soll, genügen – nicht zuletzt in Anbetracht der verbleibenden Dokumentationslücken – nicht.
Posted in: Blog \ Tagged: DOI, Double, Einwilligung, Email, Nachweis, Online, Opt-In, UWG, Werbung
27001 BDSG Datenschutz David Gabel DOI Double drive-by-download Einwilligung Email Facebook geltungsbereich geofencing Geschichte Grundlagen Hacking ibeacon Identitätsdiebstahl informationsecurity informationssicherheit isms iso kontext location location based services managementsystem Nachweis Online Opt-In security Social Engineering Standortdaten UWG Werbung WhatsApp
© Copyright 2014 - David Gabel | Datenschutzhinweise

References: §7
 §13
 BGH 
 BGH 
 BGH 
 BGH 
 BGH 
 BGH 
 BGH 
 §7