Frankreichs Datenschutzbehörde, und was sie erwartet
Die Commission nationale de l'informatique et des libertés — die CNIL — ist die Behörde, die in Frankreich überwacht, wie personenbezogene Daten erhoben und genutzt werden, die E-Mail-Ansprache ausdrücklich eingeschlossen. Sie veröffentlicht ausführliche praktische Hinweise zur kommerziellen Ansprache auf elektronischem Weg, und sie setzt sie durch.
Eines hat sich seit dem Wirksamwerden der DSGVO im Jahr 2018 grundlegend geändert, und ältere Artikel geben es bis heute falsch wieder: es besteht keine Pflicht mehr, Ihre Kontaktdatenbank bei der CNIL anzumelden. Das alte Meldeverfahren wurde abgeschafft. An seine Stelle ist die Rechenschaftspflicht getreten — Sie müssen die Einhaltung nachweisen können, was praktisch bedeutet, ein Verzeichnis Ihrer Verarbeitungstätigkeiten zu führen und den Nachweis der Einwilligung erbringen zu können.
Adressen erheben: was erlaubt ist und was nicht
Adressen, die von Websites, Foren und Verzeichnissen abgegriffen wurden, dürfen nicht für die Ansprache genutzt werden. Wo jemand Ihnen die Adresse selbst gibt — über ein Formular, eine Newsletter-Anmeldung, eine Umfrage —, muss die Person in diesem Moment darüber informiert werden, dass sie für den Versand kommerzieller Nachrichten genutzt werden kann, und von wem.
Die Einwilligung wandert nicht durch eine Kette weiter. Werden Adressen erhoben, um sie an Partner weiterzugeben, muss der Person bei der Erteilung der Einwilligung gesagt werden, wer diese Partner sind; ein allgemeiner Verweis auf „unsere Partner" genügt nicht. Die CNIL hat Datenhändler genau an diesem Punkt empfindlich gebüsst.
Die zwei Ebenen der Ansprache
Die CNIL unterscheidet zwischen der Ansprache einer Konsumentin oder eines Konsumenten und der Ansprache einer berufstätigen Person.
Bei Konsumentinnen und Konsumenten ist die vorherige Einwilligung erforderlich, mit der engen Ausnahme, dass Sie eine bestehende Kundin oder einen bestehenden Kunden zu Produkten oder Dienstleistungen anschreiben, die dem bereits bei Ihnen Gekauften ähnlich sind.
Bei Berufstätigen sind die Regeln leichter. Eine Nachricht darf ohne vorherige Einwilligung versendet werden, wenn ihr Gegenstand mit dem Beruf der angesprochenen Person zusammenhängt, sofern diese informiert wird und jederzeit einfach widersprechen kann. Der Absender muss sich weiterhin klar identifizieren. Das ist die erklärte Position der CNIL und keine gesetzliche Befreiung; dokumentieren Sie also, warum Sie eine bestimmte Kampagne darunter fassen.
Wie lange Sie Interessentendaten aufbewahren dürfen
Der Referenzrahmen der CNIL empfiehlt, Daten über eine interessierte Person, die nicht Kundin geworden ist, bis zu drei Jahre ab dem letzten Kontakt aufzubewahren, der von dieser Person ausgeht. Ein Klick auf einen Link oder eine Anforderung von Unterlagen zählt als Kontakt; das blosse Öffnen einer E-Mail nicht. Bei Kundinnen und Kunden läuft die entsprechende Frist ab dem Ende der Geschäftsbeziehung.
Das sind Empfehlungen, die eine Vermutung der Rechtskonformität begründen, und keine festen gesetzlichen Fristen — Sie dürfen Daten länger aufbewahren, wenn Sie begründen und dokumentieren können, warum. Verbindlich ist der Grundsatz der Speicherbegrenzung der DSGVO: personenbezogene Daten nicht länger aufbewahren, als der Zweck es erfordert.
Die Durchsetzung ist real
Die Ansprache ist ein Dauerthema der CNIL und führt jedes Jahr zu Sanktionen. Jüngere Entscheide haben den Versand ohne gültige Einwilligung geahndet, Formulare, die so gestaltet waren, dass die Einwilligung weder freiwillig noch eindeutig war, Abmeldemechanismen, die eine E-Mail an eine Datenschutzbeauftragte statt eines einzigen Klicks verlangten, und die Weitergabe von Interessentendaten an Dritte ohne tragfähige Grundlage. Die Bussen reichten von Zehntausenden Euro bis zu achtstelligen Beträgen in den grössten Fällen.
Die praktische Lehre ist bei allen dieselbe: die Einwilligung sauber einholen, die Nachweise aufbewahren, den Ausstieg einfach machen und eine Interessentendatei nicht als Vermögenswert behandeln, den man herumreichen kann.
Siehe auch: Recht und E-Mailing in Frankreich.