DSGVO: Mehrheit verzichtet auf erneutes E-Mail-Opt-In

Manche Firmen riskieren wegen der DSGVO ihre Verteiler – die Nichtstuer profitieren

Die DSGVO hat E-Mail-Marketers vor zwei schlechte Alternativen gestellt: Frage ich meine Abonnenten nach einem neuen Opt-In und setze dabei meinen E-Mail-Verteiler aufs Spiel? Oder sende ich einfach weiter und ignoriere geltendes Recht? Die Auswertung unserer abonnierten E-Mails von über 3.000 Unternehmen zeigt extrem unterschiedliche Risikobewertungen in der Branche – und offenbart eine gewisse Tragik bei denen, die alles richtig machen wollten.

„STOP: Letzte Chance für Ihre Eventnews“, „Nur noch 2 Tage: Klicken Sie JA!“, „Wir werden Sie vermissen“ – so oder ähnlich lauteten die Betreffzeilen von E-Mails, die Nutzer rund um den 25. Mai 2018 in ihren Postfächern fanden. Denn an diesem Tag trat die neue Datenschutzgrundverordnung (DSGVO) in Kraft und viele gewerbliche E-Mail-Versender wollten sich gegen die rechtlichen Risiken absichern. Aus den mitunter geradezu verzweifelten Betreffzeilen lässt sich das dahinterliegende Dilemma der Unternehmen ablesen: Fordere ich meine Benutzer auf, ihr Einverständnis zu neuen Bedingungen ausdrücklich zu erklären (sogenannte Re-Permission-Kampagnen), tun das erfahrungsgemäß nur die wenigsten Abonnenten. Üblich sind Verlustraten von 80-90 Prozent – oder mehr. Damit sinkt der wirtschaftliche Wert einer Empfängerliste deutlich, weil dabei nicht nur „Karteileichen“ aussortiert werden. Auch eigentlich aktive Nutzer machen sich oft nicht die Mühe, ihr Einverständnis neu zu erteilen.

Mehrheit handelt nach dem Motto „Augen zu und durch“

Die hektische Aktivität rund um die DSGVO verdeckt aber einen interessanten Befund, den wir bei der Analyse von über 3.000 deutschen Firmen* gemacht haben: Die klare Mehrheit (64 Prozent) hat einfach gar nichts getan. Das überrascht zunächst, da die DSGVO in vielen Firmen hektische Betriebsamkeit ausgelöst hat. Diese verursachte wiederum einen Ansteckungseffekt: Erhält der Chef dutzende Re-Permission-Emails, wird er sich irgendwann fragen, ob „wir das nicht auch machen müssen“.

Mailings zur DSGVO

Tatsächlich haben eine Reihe der von uns untersuchten Firmen neue Opt-In-Kampagnen verschickt: Von 15 % aller versendenden Organisationen kamen E-Mails mit der Aufforderung zu Single-, Confirmed- oder Double-Opt-In. Auf die Wirksamkeit dieser Kampagnen gehen wir später noch detailliert ein.

Noch mehr Unternehmen (21 %) haben sich vordergründig elegant aus der Affäre gezogen, indem sie ihren Nutzer einfach eine Info-E-Mail geschickt haben, bei der keine Handlung vonseiten der Abonnenten notwendig ist. Die rechtliche Wirkung solcher E-Mails ist jedoch gleich null: Hält sich ein Unternehmen an die DSGVO, braucht es eine solche Nachricht nicht. Hält es sich nicht daran, hat das Informationsschreiben keinen rechtlichen Wert. Diese Alibi-Maßnahme beruhigt insofern nur das Gewissen des Versenders.

Doch die „schweigende Mehrheit“, fast zwei Drittel der Unternehmen (64 Prozent), hat sich für das Nichtstun entschieden. Möglicherweise wurden in einigen Fällen Listen bereinigt, wir haben aber weiterhin E-Mails dieser Firmen bekommen – ohne DSGVO-spezifische Inhalte. Damit haben sie sich einen klaren Vorteil gegenüber den Firmen verschafft, die mittels Re-Permission-Kampagnen mutmaßlich mindestens vier Fünftel ihrer Empfängerlisten „vernichtet“ haben. Die realwirtschaftlichen Folgen dürften in einigen Branchen deutlich spürbar sein.

Aus dem unterschiedlichen Verhalten der E-Mail-Marketing-betreibenden Organisationen lässt sich eine sehr unterschiedliche Risikobewertung ablesen: Obwohl die in der Vergangenheit eingesammelten E-Mail-Abonnements bei einer formal strengen Prüfung den DSGVO-Vorgaben nahezu nie genügen, scheint vielen Firmen das praktische rechtliche Risiko und der mögliche wirtschaftliche Schaden eines Verstoßes vernachlässigbar zu sein. Vor allem, wenn man das Risiko in Relation setzt zu dem substanziellen wirtschaftlichen Verlust, den ein um 80 bis 90 Prozent geschrumpfter Bestand an mailbaren Kontakten bedeutet. Umgekehrt sind sehr wohl viele Firmen (36 Prozent) zum entgegengesetzten Schluss gekommen und wurden aktiv.

Doppelt bitter: Chance verpasst trotz Re-Permission

Das geradezu Tragische dabei: Die meisten Re-Permission-Kampagnen dürften den hohen Ansprüchen der DSGVO nicht genügen. Nimmt man die Datenschutzregelungen ernst (und es gibt wenig gute Argumente dafür, geltendes Recht nicht ernst zu nehmen), müssen ein paar Dinge erfüllt werden, die nach unserer Einschätzung in der Vergangenheit fast nirgends erfüllt worden sind. Das betrifft zum einen den Kern der Einwilligung: Es genügt beispielsweise nicht, lediglich Ort, Zeit und Ursprung (IP-Adresse) einer Zustimmung zu dokumentieren. Auch der Text, dem zugestimmt wurde, muss dokumentiert werden. In diesem Punkt lassen übrigens viele E-Mail-Marketing-Provider ihre Nutzer im Regen stehen, weil es in ihrer Plattform nach wie vor nicht möglich ist, die jeweiligen Rechtstexte beim Opt-In zu speichern. Eine Zustimmung kann zudem nicht pauschal erfolgen – zum Beispiel müssen der genaue Absender und der Anwendungsbereich präzisiert, eine mögliche Personalisierung explizit aufgeführt werden. All diese Dinge sollten im Rahmen einer Re-Permission-Kampagne erledigt werden. Fatalerweise ist das aber von vielen Unternehmen versäumt worden. Das gilt für alle verwendeten Verfahren.

• Bei Single- und Confirmed-Opt-In wird in der Regel eine Systematik im Sinne von „hier klicken um weiter unsere News zu erhalten“ verwendet. Die zusätzlichen Anforderungen der DSGVO werden dabei bei den neuen Texten der Re-Permission-E-Mails oft nicht abgedeckt – es fehlt beispielsweise die juristische Person (wer genau verschickt „unsere News“) oder die Zweckgebundenheit (welcher Art sind die Informationen). Auch weitergehende Aspekte wie die ausdrückliche Zustimmung zu personalisierter Information werden nicht mit aufgenommen. Die vermeintlich „einfache Lösung“ ist zwar einfach, aber keine (ausreichende) Lösung.
• Double-Opt-In-Kampagnen verlangen vom Abonnenten eine zusätzliche Bestätigung. Der höhere Aufwand beim Nutzer führt zu noch höheren Absprungraten. Dabei ist ein Double-Opt-In im Zuge einer Re-Permission-Kampagne eigentlich widersinnig: Das Verfahren soll vermeiden, dass eine E-Mail-Adresse von Fremdpersonen in eine Liste eingetragen ist. Diese Gefahr besteht bei Bestandslisten aber gar nicht, da die Adressen ja bereits eingetragen und verifiziert sind! Double-Opt-In bietet also bei Re-Permission-Kampagnen keine höhere Rechtssicherheit, die Probleme liegen wie beim Single-Opt-In in den Zustimmungstexten.
• Wie bereits erwähnt sind reine Info-Mailings eher ein Placebo, da hier überhaupt keine Zustimmung erfolgt. Das steht dem Prinzip der DSGVO direkt entgegen, niemandem etwas zu schicken, was nicht ausdrücklich erwünscht ist. Rechtssicherheit gemäß der DSGVO ist in diesem Fall nur gegeben, wenn die ursprüngliche Erfassung des Opt-Ins bereits lückenlos war.

Damit ist in vielen Fällen das Ergebnis doppelt bitter: Zwar sind wertvolle Empfänger durch die Re-Permission-Kampagne verloren gegangen, eine möglichst umfassende DSGVO-Konformität ist aber trotzdem nicht hergestellt – ein Desaster.

Was tun?

Der Weg des geringsten Widerstands, den knapp zwei Drittel der Firmen gegangen sind (wenn man die Infomails hinzurechnet sogar 85 Prozent), hat aus unserer Sicht nur ein Gutes: Hier wurden nicht wertvolle E-Mail-Verteiler so weit geschrumpft, dass sinnvolles E-Mail-Marketing mangels Masse kaum noch lohnenswert erscheint.

Was nicht heißt, dass Nichtstun die richtige Wahl ist! Gerade für die große Gruppe der bisher „stillen“ Firmen ist es umso wichtiger, das „Totholz“ aus ihren E-Mail-Altbeständen zu entfernen: Kontakte, die vielleicht schon seit Jahren keine Klick-Response zeigen und auch nicht kaufen. Ebenso gehören E-Mail-Kontakte, bei denen keinerlei Quellen- und Opt-in-Bezug mehr herstellbar ist, auf den Risiko-Prüfstand.

Soweit die vergangenheitsbezogenen Aktivitäten. Unabhängig davon haben für die Zukunft (die mit dem 25. Mai bereits begonnen hat) alle E-Mail-Werbetreibenden die gleiche Hausaufgabe: Sie müssen ihre Abonnement-Strecken mit transparenten, formal einwandfreien Einverständnis-Texten ausstatten und die gewonnenen Opt-Ins umfassender als bisher dokumentieren. Die gute Nachricht: Diese Aufgabe ist keineswegs unlösbar.

Fazit

Bei den allermeisten E-Mail-Marketing-Betreibern besteht nach wie vor Handlungsbedarf. Das gilt für die bislang untätigen Unternehmen genauso wie für die Firmen, die es sich bei ihren Informations- und Repermission-Kampagnen zu einfach gemacht haben. Wer einen optimalen Kompromiss aus möglichst hoher Rechtssicherheit bei gleichzeitig geringstmöglichen Auswirkungen auf seine Bestandslisten sucht, kommt um eine fachkundige Beratung nicht herum.

• * Die Grundgesamtheit ist nicht repräsentativ, sie umfasst neben den 1000 umsatzstärksten deutschen Onlineshops (gemäß EHI Retail Institute) zahlreiche kleine und mittlere Unternehmen mit B2B- oder B2C-Fokus, deren E-Mail-Newsletter wir abonniert haben – und die uns im Untersuchungszeitraum mindestens eine Mail gesendet haben.

Lesen Sie hier die Highlights der DSGVO-Betreffzeilen.

Bild: wavebreakmediamicro / 123rf.com