Alles Wissenswerte, nichts Unwissendes.
Rechtliche Grundlage für SMS-Marketing
Artikel 6 verlangt eine von sechs Rechtsgrundlagen. Für kommerzielle Nachrichten sind dies in der Praxis die ausdrückliche Einwilligung (die sicherste Option) oder das berechtigte Interesse (praktikabel, aber einer Interessenabwägung bedarfsabhängig und schließt die meisten reinen Marketingmaßnahmen aus). Die PECR (die britische/EU-Datenschutzverordnung für elektronische Kommunikation) ergänzt Artikel 6 der DSGVO um eine spezifische Opt-in-Pflicht für Marketing – für Marketing-SMS benötigen Sie also beide. Transaktions-SMS (z. B. Einmalpasswörter, Bestellbestätigungen) benötigen zwar keine Opt-in-Pflicht, aber dennoch eine Rechtsgrundlage (in der Regel die Vertragserfüllung, Artikel 6 Absatz 1 Buchstabe b).
Grenzüberschreitende Überweisungen
Der Versand einer SMS an einen EU-Empfänger über ein SMSC außerhalb der EU gilt als grenzüberschreitende Datenübermittlung. Nach dem Schrems-II-Urteil (2020) hängt die Gültigkeit von Standardvertragsklauseln von einer Folgenabschätzung der Übermittlung ab. Für in den USA ansässige Aggregatoren bietet der EU-US-Datenschutzrahmen (gültig seit 2023) eine Rechtsgrundlage für die Übermittlung, sofern der Aggregator zertifiziert ist. Für Aggregatoren aus der MENA-Region wie BroadNet sollte der Datenverkehr von EU-Empfängern idealerweise über ein SMSC in der EU geleitet werden; wir betreiben ein solches in Frankfurt genau zu diesem Zweck.
Recht auf Löschung und Einstellung der Datenverarbeitung
Artikel 17 gewährt der betroffenen Person das Recht auf Löschung auf Anfrage. Im Bereich Messaging bedeutet dies: Das STOP-Schlüsselwort wird sofort berücksichtigt, die MSISDN des Empfängers wird aus den aktiven Listen entfernt, die Abmeldeeinstellung wird gespeichert (damit der Empfänger in der nächsten Kampagne nicht erneut hinzugefügt wird), und der Nachrichtenverlauf wird je nach Rechtsgrundlage der Speicherung entweder gelöscht oder anonymisiert. BroadNet stellt eine API zur empfängerbezogenen Löschung für die Erfüllung von Auskunftsersuchen gemäß DSGVO bereit.
Prozessor vs. Controller
Ihr CPaaS-Anbieter ist ein Auftragsverarbeiter (Artikel 28). Sie sind der Verantwortliche. Sie benötigen eine unterzeichnete Auftragsverarbeitungsvereinbarung (AVV). Änderungen von Unterauftragnehmern (z. B. des Betreibernetzes, über das Sie Daten routen) müssen offengelegt werden, und Sie müssen ein Widerspruchsrecht haben. BroadNet führt eine öffentliche Liste der Unterauftragnehmer unter /trust/subprocessors und benachrichtigt Verantwortliche 30 Tage vor jeder Änderung.