Datenschutz im Marketing: Einwilligung, Tracking und Abmeldung

Werbung per E-Mail und SMS braucht die vorherige ausdrückliche Einwilligung des Gastes. TacticTable verschickt Kampagnen und Automatisierungen deshalb nur an Gäste mit bestätigter Einwilligung für genau diesen Kanal. Die Newsletter-Anmeldung im Buchungs-Widget holt sie per Double-Opt-in ein und speichert Wortlaut, Version, Quelle und Zeitpunkt als Nachweis. Eine ältere Newsletter-Anmeldung gilt nur für E-Mail, nie für SMS. Die Ausnahme für Bestandskunden nach § 7 Abs. 3 UWG ist bewusst nicht eingebaut.

Die Einwilligung hängt an der Adresse, für die sie erteilt wurde. Ändert jemand die E-Mail-Adresse oder Telefonnummer eines Gastes, erlischt sie für diesen Kanal — der Gast muss neu zustimmen. Einwilligung und Sperrliste werden unmittelbar vor jeder einzelnen Nachricht erneut geprüft, nicht nur beim Start einer Kampagne.

Die Auswertung von Öffnungen und Klicks ist ein eigener Zweck. Seit der Einwilligungsfassung „marketing-channels-v2" nennt der Anmeldetext sie ausdrücklich. In der Standardeinstellung „Nur mit Einwilligung (empfohlen)" wird nur bei Gästen gemessen, die diesem Text zugestimmt haben; ältere Anmeldungen bekommen Mails ohne Zählpixel und mit direkten Links. „Aus" misst gar nicht. „Alle Empfänger" misst auch ohne diese Zustimmung — nach Auffassung der Datenschutzbehörden in der Regel nur mit einer anderen, dokumentierten Rechtsgrundlage vertretbar; die Verantwortung dafür liegt bei Ihrem Betrieb. Einschalten dürfen diesen Modus deshalb nur der Inhaber, eine betreuende Agentur und wer die Betriebseinstellungen ändern darf (settings:write). IP-Adressen werden nie gespeichert, vom Browser nur eine grobe Programmfamilie wie „Apple Mail".

Die Messung endet sofort, auch für bereits verschickte Nachrichten: wenn der Gast sich abmeldet, eine Mail als Spam meldet oder seine Einwilligung widerrufen wird, wenn seine Adresse geändert wird, und für alle Gäste, sobald Sie den Tracking-Modus auf „Aus" stellen. Auch „Alle Empfänger" misst nie über einen Widerruf hinweg.

Jede Werbemail endet mit dem Link „Vom Newsletter abmelden", jede Werbe-SMS mit „Abmelden:" und einem Kurzlink. Der Link öffnet eine Seite mit dem Namen Ihres Betriebs und dem Knopf „Abmelden"; erst der Knopf meldet ab, damit Link-Scanner nichts auslösen. Zusätzlich trägt jede Mail die Kopfzeilen „List-Unsubscribe" und „List-Unsubscribe-Post" nach RFC 8058 — Gmail, Yahoo und Apple Mail zeigen dann einen eigenen Abmeldeknopf, der ohne Umweg wirkt. Die Abmeldung gilt sofort für den ganzen Kanal bei Ihrem Betrieb und sperrt zugleich die Adresse („Vom Gast abgemeldet"), damit auch ein zweites Gastprofil mit derselben Adresse nichts mehr bekommt. Nur eine neue, per Bestätigungslink bestätigte Anmeldung hebt diese Sperre wieder auf. Nachrichten zu Reservierungen bekommt der Gast weiter. Die Abmeldeseite lädt keine Analyse- oder Werbeskripte und wird nicht indexiert.

Die Sperrliste speichert keine Adresse im Klartext, sondern einen pseudonymisierten Fingerabdruck — einen HMAC aus Betrieb, Kanal und Adresse, gebildet mit einem Schlüssel, der nur auf dem Server liegt — und eine gekürzte Anzeige wie „m…@gmail.com". So bleibt eine Adresse gesperrt, auch wenn der Gast gelöscht und später neu angelegt wird. Ohne den Serverschlüssel lässt sich aus dem Fingerabdruck keine Adresse zurückrechnen; rechtlich bleibt er trotzdem ein pseudonymisiertes, kein anonymes Datum.

Das Versandprotokoll folgt der Aufbewahrungsfrist Ihres Betriebs (Standard 36 Monate, wie bei Reservierungen): Danach werden im Protokoll die Empfängeradresse und das Verhalten des Gastes geleert — Öffnungen, Klicks, Bounce, Beschwerde, Abmeldung und die Erlaubnis zur Messung —, die einzelnen Öffnungs-, Klick- und Zustellereignisse gelöscht und beendete Automatisierungs-Durchläufe entfernt. Es bleiben nur die zusammengefassten Zahlen an Kampagnen und Links; sie sind anonym. Die Kennzahlen der Automatisierungen rechnen aus den einzelnen Nachrichten, dort fallen ältere Öffnungen und Klicks deshalb heraus. Interne Auslöser-Ereignisse werden nach 30 Tagen gelöscht. Gäste mit gültiger Werbeeinwilligung — gleich für welchen Kanal — entfernt die automatische Bereinigung alter Gäste nicht.

„Export (JSON)" im Gastprofil enthält die Einwilligungsnachweise mit Wortlaut, das Marketing-Versandprotokoll — Kampagne bzw. Automatisierung, Status, Versand-, Zustell-, Öffnungs-, Klick- und Abmeldezeitpunkte samt der Adresse jedes geklickten Links — und die Durchläufe der Automatisierungen mit den übernommenen Reservierungsangaben. „Löschen (DSGVO)" entfernt auch alle Marketing-Daten des Gastes und leert Nummer und Text seiner Werbe-SMS-Aufträge; die Aufträge selbst bleiben ohne Personenbezug für die Abrechnung stehen.

Verantwortlich für die Werbung ist Ihr Betrieb; TacticTable verarbeitet die Daten in Ihrem Auftrag, eine Auftragsverarbeitungsvereinbarung ist dafür Voraussetzung. Werbemails gehen über den E-Mail-Dienst Resend hinaus (mit Verarbeitung auch in den USA), Werbe-SMS über den SMS-Versanddienst der Plattform. In Ihre Datenschutzerklärung gehören der Newsletter- und SMS-Versand mit Einwilligung, die Auswertung von Öffnungen und Klicks, die Bildung von Zielgruppen aus Besuchs-, Umsatz- und Reaktionsdaten (Profiling im Sinne von Art. 4 Nr. 4 DSGVO, ohne Entscheidungen mit rechtlicher Wirkung für den Gast) und die Speicherdauer.