Dr. Kai Westerwelle, Fachanwalt für Informationstechnologierecht bei der Wirtschaftskanzlei Taylor Wessing, legt den Unternehmen dringend ans Herz, zu handeln.

acquisa: Welches ist die am häufigsten falsch verstandene Regelung in der BDSG-Novelle?

Dr. Kai Westerwelle: Es gibt eine sehr wichtige Unterscheidung, die oft nicht getroffen wird: Geht es um die Einwilligung für die Aufnahme von Daten in eine CRM-Datenbank oder geht es um die Einwilligung, zu empfangen? Punkt eins klärt, ob ein Unternehmen die Daten überhaupt speichern darf, Punkt zwei besagt, was ein Unternehmen mit den gespeicherten Daten für Werbezwecke machen darf. Wenn zum Beispiel ein Besucher auf einem Messestand eine Visitenkarte abgibt und darum bittet, Informationen zugeschickt zu bekommen, und das Unternehmen sendet ihm diese Informationen und wirft anschließend die Visitenkarte weg, dann gibt es überhaupt kein Problem. Will das Unternehmen aber die Daten in seine CRM-Datenbank aufnehmen, braucht es dafür eine Einwilligung.

acquisa: Hat der Besucher diese Einwilligung nicht eigentlich schon damit erteilt, dass er freiwillig seine Visitenkarte abgegeben hat?

Westerwelle: Nein. Laut Gesetz bedarf diese Einwilligung der Schriftform, es sei denn, ein anderer Weg ist angemessen. Schriftform – und das ist wichtig – heißt: Auf Papier und mit Unterschrift. Unter bestimmten Bedingungen darf die Einwilligung auch per E-Mail erteilt werden. Problem bei der E-Mail ist die Authentizität: Man weiß nicht, ob die Person, die eine E-Mail-Adresse zum Beispiel auf einer Website angibt, tatsächlich der Inhaber dieser E-Mail-Adresse ist. Deshalb hat sich bei den Einwilligungen per E-Mail das sogenannte Double-Opt-In durchgesetzt. Um zu vermeiden, dass ein Dritter eine fremde E-Mail-Adresse genutzt hat, wird nach der Registrierung noch einmal eine BestätigungsMail an die E-Mail-Adresse gesendet, die der Empfänger aktiv anklicken muss. Dieses Verfahren gilt unter Datenschützern derzeit als das sicherste.