Wie Anmeldeformulare zu Spam im Posteingang führen

Was ein Anmeldeformular mit Ihrer Adresse machen kann

Wenn Sie eine Adresse über ein Anmeldeformular übermitteln, kann die Website sie verwenden. Die Adresse kann sich aber auch weiterverbreiten: durch offengelegte Weitergabe, Verkauf oder Übertragung, ein Datenleck oder die Erfassung aus einer öffentlichen Veröffentlichung. Eine Abmeldung gemäß CAN-SPAM stoppt künftige, unter das Gesetz fallende Werbenachrichten des Absenders und schränkt dessen spätere Weitergabe der abgemeldeten Adresse ein. Bereits offengelegte, verkaufte, durchgesickerte oder erfasste Kopien werden dadurch nicht zurückgeholt.

Das Formular erhält mehr als nur eine Zeichenfolge. Es erhält eine funktionsfähige Adresse und zusätzliche Kontextinformationen: wofür Sie sich interessiert haben, von welcher Seite Sie kamen und wann dies geschah. Diese Kombination macht die Weitergabe einer Adresse wertvoll und ist der Grund dafür, dass die nachfolgend beschriebenen Wege überhaupt existieren.

Wenn Sie von vornherein entscheiden, welche Adresse Sie in ein bestimmtes Formular eingeben möchten, können Sie Erstelle eine Wegwerfadresse für dieses Formular und Ihren alltäglichen Posteingang davon ausnehmen. Die Bezeichnung einer solchen Adresse sagt noch nichts darüber aus, wie sie sich verhält – genau das wird in Der Unterschied zwischen Wegwerf-, Wegwerf- und Wegwerf-E-Mail erläutert. Im Folgenden geht es ausschließlich darum, was mit einer Adresse geschieht, nachdem sie übermittelt wurde.

Eine Einschränkung gilt für diesen gesamten Artikel: Er beschreibt mögliche Wege auf Grundlage der geltenden Vorschriften und veröffentlichten Richtlinien. Er erhebt nicht den Anspruch, zu wissen, was eine bestimmte Website mit Ihrer Adresse macht.

Nachrichten des ursprünglichen Anbieters und Weiterverbreitung an Dritte

Nach dem US-amerikanischen CAN-SPAM-Gesetz gilt eine Abmeldeanfrage für den Absender einer darunter fallenden kommerziellen Nachricht – unabhängig davon, ob es sich dabei um die ursprüngliche Website oder ein nachgelagertes Unternehmen handelt. Sie bewirkt keine globale Sperre bei allen Stellen, die über die Adresse verfügen.

Aus Ihrer Sicht gibt es zwei beobachtbare Situationen. Es ist hilfreich, sie zu benennen, auch wenn diese Unterscheidung beschreibender und nicht rechtlicher Natur ist. Zum einen erhalten Sie Nachrichten von der Website, der Sie die Adresse gegeben haben: ihren Newsletter, ihre Angebote und ihre Produktankündigungen. Zum anderen erhalten Sie Nachrichten von Unternehmen, denen Sie die Adresse nie selbst übermittelt haben.

Entscheidend ist, was daraus folgt. Wenn ein nachgelagertes Unternehmen Absender einer unter das US-amerikanische CAN-SPAM-Gesetz fallenden kommerziellen Nachricht ist, unterliegt es einer eigenen Abmeldepflicht. Rechtlich maßgeblich ist der jeweilige Absender der betreffenden Nachricht und nicht, ob die Adresse durch die Nutzung seitens des ursprünglichen Anbieters oder durch eine spätere Weiterverbreitung zu ihm gelangt ist. Das Gesetz bewirkt keine globale Sperre bei allen Stellen, die über die Adresse verfügen.

Weitergabe, Verkauf von Listen, Datenlecks und automatisierte Erfassung sind unterschiedliche Wege

Sobald sich die Adresse im System der Website befindet, kann diese sie für ihre eigenen Nachrichten verwenden. Unabhängig davon kann die Adresse auf vier Wegen weiterverbreitet werden. Je nach Weg unterscheiden sich Ihre Handlungsmöglichkeiten.

Offengelegte Weitergabe. In der Datenschutzerklärung der Website steht, dass sie Daten an Partner oder verbundene Unternehmen weitergibt, und sie tut dies auch. Diesen Weg können Sie vor dem Absenden prüfen, weil die Offenlegung schriftlich an einer für Sie einsehbaren Stelle festgehalten ist.

Verkauf oder Übertragung. Die Adresse geht als Vermögenswert auf ein anderes Unternehmen über. Dabei gilt eine wichtige Einschränkung: Nach den US-amerikanischen CAN-SPAM-Vorschriften darf ein Absender Ihre Adresse nach Ihrer Abmeldung weder verkaufen noch übertragen, auch nicht als Bestandteil einer Mailingliste. Die einzige ausdrücklich genannte Ausnahme ist die Übertragung an ein Unternehmen, das beauftragt wurde, dem Absender bei der Einhaltung des Gesetzes zu helfen. Diese Einschränkung betrifft das weitere Handeln des Absenders; eine vor Ihrer Abmeldung übertragene Kopie wird dadurch nicht zurückgeholt.

Ein Datenleck. Die Adresse gelangt ohne Absicht der Website aus deren Kontrolle.

Erfassung aus einer öffentlichen Veröffentlichung. Wenn die Adresse an einer Stelle öffentlich zugänglich wird, kann sie dort erfasst werden. Dieser Weg setzt voraus, dass die Adresse zuvor öffentlich geworden ist, und betrifft deshalb nicht jede Anmeldung.

Was eine Abmeldeanfrage tatsächlich bewirkt

Dabei handelt es sich um Vorschriften des US-amerikanischen CAN-SPAM-Gesetzes. Sie gelten für darunter fallende kommerzielle Werbe-E-Mails und nicht für jede Nachricht, die ein Unternehmen Ihnen möglicherweise sendet.

In diesem Geltungsbereich ist eine Abmeldung keine Gefälligkeit, sondern eine fristgebundene Pflicht. Der Absender muss der Anfrage innerhalb von 10 Geschäftstagen nachkommen. Das von ihm angebotene Abmeldeverfahren muss noch mindestens 30 Tage nach dem Versand der Nachricht Anfragen verarbeiten können. Diese Vorgabe betrifft die Dauer, während der das Verfahren verfügbar bleiben muss, und nicht die Frist für die Bearbeitung Ihrer Anfrage.

Die Vorschriften schränken außerdem ein, was ein Absender als Bedingung für die Bearbeitung Ihrer Anfrage von Ihnen verlangen darf. Er darf keine Gebühr erheben. Er darf außer einer E-Mail-Adresse keine personenbezogenen Angaben verlangen. Zudem darf er keinen weiteren Schritt verlangen, der über das Senden einer Antwort-E-Mail oder den Besuch einer einzigen Webseite hinausgeht.

Nach Ihrer Abmeldung gilt für diesen Absender die oben beschriebene Beschränkung des Verkaufs und der Übertragung. Für jede einzelne E-Mail, die gegen diese Vorschriften verstößt, können Strafen verhängt werden. Die Pflicht ist daher verbindlich und nicht bloß eine Empfehlung.

Warum eine Abmeldung eine Adresse nicht zurückholen kann

CAN-SPAM erlegt den darunter fallenden Absendern kommerzieller Nachrichten klar definierte Pflichten auf. Unabhängig davon muss ein Verantwortlicher die betroffenen Daten löschen, wenn die EU-DSGVO oder die britische DSGVO anwendbar ist und ein wirksames Recht auf Löschung besteht. Die nachgelagerten Pflichten nach den Artikeln 17(2) und 19 sind jedoch durch Regelungen zu angemessenen Maßnahmen und zur Unmöglichkeit beziehungsweise Unverhältnismäßigkeit begrenzt. Keiner der beiden Rechtsrahmen bietet einen technischen Rückrufmechanismus.

Bevor wir näher darauf eingehen, ist eine Unterscheidung wichtig: Eine Abmeldeanfrage zur Beendigung von Werbung ist nicht automatisch ein Löschungsantrag nach Artikel 17. Es handelt sich um unterschiedliche Anträge nach unterschiedlichen Vorschriften und mit unterschiedlichem Umfang. Nach Artikel 17(1) der EU-DSGVO kann eine Löschung erforderlich sein, wenn einer der dort aufgeführten Gründe vorliegt, etwa wenn die Daten nicht mehr benötigt werden, die Einwilligung widerrufen wurde und keine andere Rechtsgrundlage besteht, der Direktwerbung widersprochen wurde, die Verarbeitung unrechtmäßig war oder die Löschung gesetzlich vorgeschrieben ist. Artikel 17(3) gestattet die weitere Verarbeitung, soweit sie für die Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung rechtlicher Verpflichtungen oder öffentlicher Aufgaben, aus Gründen der öffentlichen Gesundheit, für bestimmte Archiv-, Forschungs- oder Statistikzwecke oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Das ICO beschreibt das vergleichbare Recht nach der britischen DSGVO als bedingt und nicht absolut.

Besteht eine wirksame Löschungspflicht, zeigen sich die Grenzen bei den nachgelagerten Pflichten. Artikel 19 verpflichtet den Verantwortlichen, jedem Empfänger, dem die Daten offengelegt wurden, die Löschung mitzuteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Auf Anfrage muss der Verantwortliche Ihnen außerdem diese Empfänger nennen. Artikel 17(2) gilt, wenn der Verantwortliche die Daten öffentlich gemacht hat und zu ihrer Löschung verpflichtet ist. In diesem Fall muss er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen ergreifen, um andere Verantwortliche über Ihren Antrag hinsichtlich Links, Kopien oder Reproduktionen zu informieren.

In den Leitlinien der britischen Aufsichtsbehörde heißt es außerdem, dass sich dieses Recht auf die Daten bezieht, die zum Zeitpunkt des Eingangs des Antrags vorliegen, nicht auf später erstellte Daten.

Zusammengenommen beantworten diese Regelwerke die Frage in der Überschrift. Beide können ein Unternehmen zum Handeln zwingen. Doch keines von ihnen bietet irgendjemandem eine Schaltfläche, mit der sich auf die Systeme eines anderen Unternehmens zugreifen und dort eine Kopie löschen lässt. Deshalb ist der entscheidende Zeitpunkt vor dem Absenden und nicht danach.

So prüfst du eine Anmeldung vor dem Absenden

Bevor du auf die Schaltfläche klickst, kannst du vier Dinge lesen, die dir jeweils konkrete Hinweise geben.

Der Einwilligungstext. Prüfe, ob ein Kästchen bereits angekreuzt ist, und lies, wozu du tatsächlich deine Einwilligung erteilst. Dem Erhalt von E-Mails eines Unternehmens zuzustimmen ist etwas anderes, als dem Unternehmen zu erlauben, deine Daten an Partner weiterzugeben.

Der Abschnitt zur Datenweitergabe in der Datenschutzerklärung. Hier wird entweder beschrieben, welche Datenweitergabe vorgesehen ist, oder es fehlen entsprechende Angaben. Eine Datenschutzerklärung, die Kategorien von Empfängern nennt, ist aussagekräftiger als eine, in der lediglich steht, dass Daten an Dritte weitergegeben werden können.

Identität des Absenders. Prüfe, wer die E-Mails tatsächlich versenden wird. Wenn sie von einem Partner oder einer Plattform und nicht von dem Unternehmen stammen, dessen Formular du ausfüllst, solltest du das wissen, solange du noch die Wahl hast.

Angegebene Häufigkeit. Ein Formular, das dir mitteilt, was und wie oft es dir etwas senden wird, gibt ein Versprechen ab, an dem du spätere Nachrichten messen kannst. Ein Formular, das dazu nichts sagt, tut das nicht.

Häufig gestellte Fragen

Kann eine Abmeldung bestätigen, dass eine Adresse aktiv ist?

Bei einem Absender, den du kennst, solltest du dessen Abmeldemöglichkeit nutzen. Klicke bei einer unerwarteten oder verdächtigen Nachricht nicht auf die darin enthaltenen Links, sondern markiere sie als Spam oder Junk und melde sie gegebenenfalls als Phishing. Was die Frage wörtlich betrifft, kann ein eindeutiger Link erkennen lassen, dass jemand mit der Nachricht interagiert hat. Dass die Nachricht überhaupt angekommen ist, hat dem Absender allerdings bereits gezeigt, dass die Adresse funktioniert.

Wie kann ich feststellen, ob ein Absender meine Adresse von einem anderen Unternehmen erhalten hat?

Anhand der Nachricht allein lässt sich möglicherweise nicht feststellen, woher das Unternehmen die Adresse hat. Eine E-Mail von einem Unternehmen, dem du die Adresse nie gegeben hast, ist ein Hinweis darauf, dass sie auf nachgelagertem Weg erworben wurde. Sie zeigt jedoch nicht, ob dies durch eine offengelegte Weitergabe, eine Übertragung, eine Datenschutzverletzung oder die Erfassung aus einer öffentlichen Veröffentlichung geschah.

Werden durch einen Wechsel des Postfachs Daten gelöscht, die eine Website bereits gespeichert hat?

Nein. Wenn du zu einem anderen Postfach wechselst, ändert sich nur, wo neue E-Mails eingehen. Es ändert weder, was ein Unternehmen bereits gespeichert hat, noch widerruft es eine zuvor erteilte Einwilligung. Um Daten löschen zu lassen, die ein bestimmtes Unternehmen gespeichert hat, musst du gegenüber diesem Unternehmen ein entsprechendes Recht ausüben, sofern dir die geltenden Vorschriften ein solches Recht einräumen. Die Entscheidung, zu welcher Art von Postfach du wechselst, ist eine eigene Frage, und Die Wahl zwischen einem Alias und einem separaten Posteingang entscheidet darüber, wo spätere E-Mails eingehen.