Das Mailchimp-DSGVO-Problem
Mailchimp ist ein Produkt von Intuit Inc. – einem US-amerikanischen Konzern. Das bedeutet: Alle Daten, die du in Mailchimp speicherst, werden auf US-Servern verarbeitet. Dazu gehören auch die E-Mail-Adressen deiner Newsletter-Abonnenten – personenbezogene Daten im Sinne der DSGVO.
Schrems II: Das EuGH-Urteil von 2020
Im Juli 2020 erklärte der Europäische Gerichtshof (EuGH) das damalige Privacy-Shield-Abkommen für ungültig. Begründung: Die USA bieten kein ausreichendes Datenschutzniveau. US-Geheimdienste können auf dort gespeicherte Daten zugreifen – auch auf die deiner Abonnenten.
Das Urteil machte alle Datentransfers in die USA, die auf Privacy Shield basierten, illegal – mit sofortiger Wirkung. Davon waren auch Mailchimp-Nutzer betroffen.
EU-US Data Privacy Framework – keine vollständige Entwarnung
Seit Juli 2023 gibt es das neue EU-US Data Privacy Framework (DPF). Mailchimp ist unter dem DPF zertifiziert. Das DPF soll Datentransfers wieder ermöglichen. Allerdings:
- Der Europäische Datenschutzausschuss (EDSA) hat Bedenken zur Umsetzung geäußert
- Datenschutzorganisationen (noyb, Max Schrems) haben bereits Klagen angekündigt, um das DPF erneut vor dem EuGH anzufechten
- Das Privacy Shield wurde auch erst nach 4 Jahren für ungültig erklärt – rechtliche Sicherheit ist keine Garantie
- Deutsche Datenschutzbehörden haben Mailchimp-Nutzern bereits Bußgelder angedroht
Konkrete Risiken für dein Unternehmen
- Bußgelder: Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (DSGVO Art. 83 Abs. 4 und 5)
- Beschwerden: Jeder deiner Abonnenten kann kostenlos Beschwerde bei der Datenschutzbehörde einreichen
- Abmahnungen: Wettbewerber nutzen DSGVO-Verstöße aktiv für Abmahnungen – in Deutschland ein reales Risiko
- Reputationsschaden: Datenschutzbewusste Kunden – insbesondere im B2B-Bereich – fragen aktiv nach