E-Mail-Dienst im Vereinigten Königreich und in der EU wählen: DSGVO, PECR und Abrechnung in Euro

Die Kurzfassung

1. Für wen dieser Leitfaden ist. Dieser Leitfaden richtet sich an Teams im Vereinigten Königreich und in der Europäischen Union, die E-Mails an Kunden senden und sicher sein müssen, dass ihr E-Mail-Anbieter zu ihren rechtlichen und finanziellen Anforderungen passt.
2. Wer Verantwortlicher ist und wer Auftragsverarbeiter. Nach der UK-DSGVO und der EU-DSGVO entscheiden Sie, warum und wie Sie die E-Mail-Adressen Ihrer Kunden verwenden, und sind damit der Verantwortliche.
3. Unterauftragsverarbeiter und wohin Daten gehen. Ein E-Mail-Anbieter betreibt selten alles allein.
4. Einwilligung für Marketing-E-Mails: PECR und die EU-Regeln. Im Vereinigten Königreich stehen die Privacy and Electronic Communications Regulations, meist PECR abgekürzt, neben der UK-DSGVO und regeln Marketing-E-Mails.
5. Transaktionsmails sind eine andere Kategorie. Ein Passwort-Reset, eine Bestellbestätigung oder eine Sicherheitswarnung ist Teil eines Dienstes, den die Person angefragt hat, und braucht keine Marketing-Einwilligung.
6. Abmeldungen, Suppression und das Recht auf Löschung. Wenn sich jemand abmeldet, müssen Sie aufhören, ihn anzuschreiben.

Für wen dieser Leitfaden ist

Dieser Leitfaden richtet sich an Teams im Vereinigten Königreich und in der Europäischen Union, die E-Mails an Kunden senden und sicher sein müssen, dass ihr E-Mail-Anbieter zu ihren rechtlichen und finanziellen Anforderungen passt. Er ist für die Person geschrieben, die Fragen einer oder eines Datenschutzbeauftragten, eines Einkaufsteams oder einer Buchhaltung beantworten muss, nicht nur für Entwickler.

Er enthält allgemeine Informationen und keine Rechtsberatung. Ihre eigene Beratung entscheidet, was für Ihr Unternehmen gilt. Was wir tun können, ist, die Fragen darzulegen, die es wert sind, jedem E-Mail-Anbieter gestellt zu werden, auch uns.

Wer Verantwortlicher ist und wer Auftragsverarbeiter

Nach der UK-DSGVO und der EU-DSGVO entscheiden Sie, warum und wie Sie die E-Mail-Adressen Ihrer Kunden verwenden, und sind damit der Verantwortliche. Ein E-Mail-Dienst, der in Ihrem Auftrag sendet, verarbeitet diese Daten für Sie und ist damit ein Auftragsverarbeiter. Das Gesetz erwartet zwischen beiden einen schriftlichen Vertrag, der festlegt, was der Auftragsverarbeiter mit den Daten tun darf.

In der Praxis heißt dieser Vertrag meist Auftragsverarbeitungsvereinbarung. Wenn Sie personenbezogene Daten von Menschen im Vereinigten Königreich oder in der EU verarbeiten, wenden Sie sich für Ihre Unterlagen an uns wegen unserer Auftragsverarbeitungsbedingungen. Fragen Sie früh danach, denn Einkaufsprüfungen warten oft auf dieses Dokument.

Unterauftragsverarbeiter und wohin Daten gehen

Ein E-Mail-Anbieter betreibt selten alles allein. Er kann Cloud-Infrastruktur, Support-Werkzeuge und Zahlungsdienste nutzen, die alle mit personenbezogenen Daten in Berührung kommen können. Gute Praxis ist, dass der Anbieter diese Unterauftragsverarbeiter auflistet und Sie informiert, wenn sich die Liste ändert.

Fragen Sie uns vor Vertragsabschluss nach der aktuellen Liste und danach, wie Sie über Änderungen informiert werden. Wenn Daten außerhalb des Vereinigten Königreichs oder des EWR übermittelt werden, muss ein rechtmäßiger Übermittlungsmechanismus sie abdecken, und welcher der richtige ist, hängt von Ihrer Situation ab. Fragen Sie den Anbieter, welcher Mechanismus für Ihre Nutzung gilt, und lassen Sie ihn von Ihrer Beratung bestätigen, bevor Sie unterschreiben.

Einwilligung für Marketing-E-Mails: PECR und die EU-Regeln

Im Vereinigten Königreich stehen die Privacy and Electronic Communications Regulations, meist PECR abgekürzt, neben der UK-DSGVO und regeln Marketing-E-Mails. Für Einzelpersonen brauchen Sie in der Regel eine Einwilligung, mit einer begrenzten Ausnahme für Bestandskunden, die etwas Ähnliches gekauft und eine klare Möglichkeit zum Widerspruch erhalten haben. Für Nachrichten an Firmenadressen gelten andere Regeln. Die EU hat eigene nationale Gesetze, die auf der ePrivacy-Richtlinie aufbauen.

Welche Regel im Einzelnen gilt, die sichere Arbeitspraxis ist dieselbe. Halten Sie fest, wann und wie jede Person zugestimmt hat, sagen Sie, was Sie senden werden, setzen Sie in jede Marketing-E-Mail eine deutliche Abmeldemöglichkeit und setzen Sie sie rasch um. Eine Anmeldung mit Double-Opt-in ist der einfachste Weg, einen Nachweis zu führen, den Sie einer Aufsichtsbehörde zeigen können.

Transaktionsmails sind eine andere Kategorie

Ein Passwort-Reset, eine Bestellbestätigung oder eine Sicherheitswarnung ist Teil eines Dienstes, den die Person angefragt hat, und braucht keine Marketing-Einwilligung. Das gilt nur, solange die Nachricht wirklich transaktional ist. Wenn Sie einer Quittung eine Werbung hinzufügen, können Aufsichtsbehörden und Postfachanbieter die gesamte Nachricht als Marketing behandeln.

Halten Sie die beiden Streams auch im Versand getrennt. Nutzen Sie eine Subdomain und einen Versand-Stream für Transaktionsmails und einen anderen für Kampagnen, damit eine Beschwerde zu einem Newsletter nie einen Login-Code verzögert.

Abmeldungen, Suppression und das Recht auf Löschung

Wenn sich jemand abmeldet, müssen Sie aufhören, ihn anzuschreiben. Um das zuverlässig zu tun, müssen Sie seine Adresse auf einer Suppression-Liste behalten, was wie ein Widerspruch zu einem Löschverlangen aussehen kann. Die übliche Lösung ist, das Profil und den Verlauf zu löschen, aber das Minimum zu behalten, das nötig ist, um den Widerspruch zu respektieren, nämlich die Adresse selbst.

Achten Sie darauf, dass die Tools, die Sie nutzen, beides erlauben: eine Adresse zu unterdrücken, sodass sie nie wieder angeschrieben werden kann, und die übrigen Daten einer Person zu entfernen, wenn sie darum bittet. Halten Sie Ihr Vorgehen in Ihrer Datenschutzerklärung fest, damit die Antwort jedes Mal gleich ausfällt, wenn jemand fragt.

Preise und Abrechnung in Euro

MigoSMTP-Tarife können in EUR abgerechnet werden. Auf der Preisseite kostet der Monatstarif für 10.000 E-Mails 9 €, für 100.000 E-Mails 69 € und für 500.000 E-Mails 299 €. Zusätzliche E-Mails über Ihr monatliches Volumen hinaus werden mit 0,92 €, 0,78 € oder 0,60 € pro 1.000 bei Starter, Growth und Scale berechnet. Es gibt einen Gratis-Tarif mit 1.000 E-Mails pro Monat.

Sie können monatlich, vierteljährlich, halbjährlich oder jährlich zahlen. Vierteljährlich spart 5 Prozent, halbjährlich spart 10 Prozent, und jährlich gibt es zwei Monate gratis. Wenn Ihre Finanzabteilung bestimmte Angaben auf einer Rechnung braucht, sagen Sie unserem Billing-Team bei der Anmeldung, was darauf stehen soll. Die aktuellen Zahlen stehen immer auf der Preisseite.

Authentifizierung und Zustellung bleiben entscheidend

Compliance liefert Ihre Mails nicht aus. Das entscheiden die Postfachanbieter, und sie verlangen SPF, DKIM und DMARC auf Ihrer Versanddomain, niedrige Beschwerderaten und eine einfache Abmeldung. Google, Yahoo und Microsoft veröffentlichen alle Anforderungen für Massenversender, die für Mails aus UK und EU genauso gelten wie anderswo.

Richten Sie zuerst die Authentifizierung ein, beginnen Sie mit kleinem Volumen an engagierte Empfänger und wachsen Sie schrittweise. Unsere Leitfäden führen Sie durch die DNS-Records und das Warm-up, und unser Team kann Ihr Setup vor einem großen Launch prüfen.

Fragen, die Sie jedem E-Mail-Anbieter stellen sollten

Verlangen Sie die Auftragsverarbeitungsbedingungen und lesen Sie sie. Fragen Sie nach der Liste der Unterauftragsverarbeiter und danach, wie Sie über Änderungen informiert werden. Fragen Sie, wie lange Nachrichtenprotokolle aufbewahrt werden und ob Sie das steuern können. Fragen Sie, wie Suppression und Löschverlangen zusammenspielen und wie Sie Ihre Daten exportieren oder löschen können, wenn Sie wechseln.

Fragen Sie dann, was passiert, wenn etwas schiefgeht: wie Sie informiert werden, wie schnell Sie einen Menschen erreichen und was der Anbieter gegen einen Kunden unternimmt, der den Dienst missbraucht. Ein Anbieter, der das klar beantwortet, ist meist einer, mit dem sich arbeiten lässt.

Weiterführende Literatur und Quellen

• Verordnung (EU) 2016/679 (DSGVO), amtlicher Text
• ICO: Direktmarketing sowie Datenschutz und elektronische Kommunikation
• Google: Richtlinien für E-Mail-Absender

In MigoSMTP umsetzen: Artikel im Help-Center

• DSGVO und E-Mail: Einwilligung, Nachweise, Abmeldungen
• Suppression-Listen verwalten
• Eine Versanddomain in MigoSMTP authentifizieren: SPF, DKIM und DMARC

Verwandte Leitfäden und Tools

• Preise in Euro: Tarife ab 9 € pro Monat.
• Vertrauen und Sicherheit: Wie wir Sicherheit und Datenschutz angehen.
• Anforderungen der Postfachanbieter: Was Gmail, Outlook und Yahoo erwarten.