Datenschutzerklärung für Quentn

Warum ist Quentn datenschutzrechtlich relevant?

Je nachdem, wie Unternehmen Quentn nutzen, erheben sie darüber verschiedene Userdaten wie

• E-Mail-Adressen,
• Namen und
• IP-Adressen.

Dabei handelt es sich um personenbezogene Daten. Die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG))  schreiben dafür besondere datenschutzrechtliche Pflichten vor.

So können Seitenbetreiber Quentn datenschutzkonform verwenden

Um Quentn datenschutzkonform zu verwenden, müssen Seitenbetreiber auf diese Punkte achten:

Double-Opt-In für E-Mail-Versand

Unternehmen können Quentn zum Beispiel für das Versenden von Newslettern verwenden. Sie dürfen jedoch erst E-Mails an User verschicken, wenn diese in den Versand eingewilligt haben. Dafür hat sich das Double-Opt-In-Verfahren bewährt. Unternehmen erheben dabei zunächst die E-Mail-Adresse der Nutzer. Sie verweisen dabei darauf, dass Nutzer so in den Versand von Mails einwilligen. Und: Seitenbetreiber müssen in diesem Kontext erwähnen, dass User ihre Erlaubnis in den Mail-Versand jederzeit zurückziehen können.

Haben sich Nutzer für den Mail-Versand registriert, schicken Unternehmen ihnen eine erste Mail zu. Diese dient lediglich dazu, die Empfänger aufzufordern, den Mail-Versand zu bestätigen. In der Regel stellen Unternehmen ihnen dafür in der Mail einen Link zur Verfügung. Klicken User auf den Link, haben Unternehmen ihre Einwilligung in den Mailversand rechtmäßig eingeholt.

Double-Opt-In für SMS-Versand

Neben E-Mails können Unternehmen über Quentn SMS an User verschicken. Um die Einwilligung dafür einzuholen, können sie eine Form des Double-Opt-In-Verfahrens nutzen. Dafür müssen Seitenbetreiber in einem ersten Schritt die Telefonnummer der User abfragen. In der Regel können sie das über eine Online-Maske auf ihrer Webseite vornehmen. Dabei sollten sie erklären, wofür sie die Telefonnummer nutzen wollen. Und: Sie sollten festhalten, dass Kunden ihre Erlaubnis für die Verwendung ihrer Telefonnummer jederzeit widerrufen können. Um die Einwilligung zu bestätigen, müssen Kunden in der Online-Maske per Opt-In ein Häkchen setzen können.

In einem zweiten Schritt müssen Unternehmen Usern die Telefonnummer anzeigen, von der sie ihre SMS versenden wollen. User speichern die Nummer und versenden an diese eine SMS mit einem vorher festgelegten Befehl wie „Start“. Sie aktivieren so den SMS-Versand.

Vertrag zur Auftragsverarbeitung abschließen

Art. 28 DSGVO schreibt vor: Immer dann, wenn Unternehmen einen externen Dienstleister beauftragen, der weisungsgebunden personenbezogene Daten verarbeitet, müssen sie mit diesem einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Bei Quentn finden Unternehmen den Vertrag in ihrem Konto unter „Verträge“.

Sie sollten prüfen, ob der Vertrag erklärt,

• welche Nutzerdaten Quentn speichert,
• warum es diese Daten speichert,
• wie lange es diese Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen müssen in ihrer Datenschutzerklärung auf die Verwendung von Quentn verweisen. Dabei sollten sie erwähnen, dass sie mit dem Anbieter einen AV-Vertrag eingegangen sind. In diesem Kontext sollten sie Webseitenbesuchern auch erklären,

• warum Quentn personenbezogene Daten sammelt,
• wie lange der Anbieter diese speichert,
• welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO) und
• dass Webseitenbesucher ihrer Einwilligung in die Datenerhebung jederzeit widersprechen können.

Auskunftspflicht beachten

Speichern Unternehmen Nutzerdaten, haben die Nutzer jederzeit das Recht, die über sie erhobenen Daten einzusehen. Fordern sie das, müssen Unternehmen ihnen die Daten in einem strukturierten und technisch gängigen Format zur Verfügung stellen.

Löschpflicht beachten

Neben dem Auskunftsrecht verfügen Nutzer auch über ein Recht zur Löschung ihrer Daten. Zudem müssen Unternehmen Nutzerdaten auch löschen, wenn diese keinen Zweck mehr erfüllen.

Rechtsprechung zu Quentn

Für das Tool Quentn ist diese Rechtsprechung relevant:

Bundesgerichtshof zum Double-Opt-In-Verfahren

Der Bundesgerichtshof (BGH) entschied im Februar 2011: Seitenbetreiber müssen das Double-Opt-In-Verfahren nutzen, um die Erlaubnis von Nutzern in einen E-Mail-Versand einzuholen (Az. I ZR 164/09).

Oberlandesgericht Düsseldorf zum Double-Opt-In-Verfahren

Das Oberlandesgericht Düsseldorf bestätigte im März 2016 die Entscheidung des BGH. Es betonte in diesem Kontext, dass Unternehmen ihren Kunden im Rahmen des Double-Opt-In-Verfahrens eine Mail zuschicken dürfen, die sie die Anmeldung für den Mailversand bestätigen lässt (Az. I-15 U 64/15)

Datenschutzbehörde Hamburg zum AV-Vertrag

Beauftragen Unternehmen einen externen Dienstleister, der Zugriff auf personenbezogene Daten erhält, müssen sie mit diesem einen AV-Vertrag schließen. Unternehmen, die das versäumen, müssen mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes rechnen. Die Datenschutzbehörde Hamburg sprach daher im Dezember 2018 ein Bußgeld gegen ein Versandunternehmen aus. Dies musste 5.000 Euro zuzüglich Gebühren zahlen. Es hatte mit einem beauftragten Dienstleister keinen AV-Vertrag geschlossen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußball-Bundesligaclub VfB Stuttgart gab zwar mehrere tausend Mitgliederdaten an Dienstleister weiter, schloss dafür jedoch keinen AV-Vertrag. Das bestrafte die Datenschutzbehörde Baden-Württemberg im März 2021 mit einem Bußgeld. So musste der Verein 300.000 Euro Strafe zahlen.

Niederländische Aufsichtsbehörde zur Auskunfts- und Löschpflicht

Unternehmen müssen ihrer Auskunfts- und Löschpflicht nachkommen, ohne dafür zu große Anforderungen an User zu stellen. Das musste ein niederländisches Medienunternehmen feststellen. Dies hatte für eine Auskunfts- oder Löschanfrage stets ein Bild des Personalausweises verlangt. Das wertete eine niederländische Aufsichtsbehörde als Datenschutzverstoß. Die Behörde verwies auch darauf, dass das Unternehmen es versäumt hatte, Nutzer auf die mögliche Schwärzung von irrelevanten Daten in ihrem Ausweis hinzuweisen. Sie sprach ein Bußgeld von 525.000 Euro aus. Das Unternehmen hat Widerspruch gegen die Strafe eingelegt.