Werbung per Massenmail ist in der Schweiz nach Art. 3 Abs. 1 lit. o UWG nur zulässig, wenn drei Dinge zusammenkommen: eine vorgängige, nachweisbare Einwilligung, eine korrekte Absenderangabe mit Ihrem Namen und einer erreichbaren Adresse, und eine kostenlose Abmeldung in jeder einzelnen Nachricht. Dazu kommt aus dem Datenschutzrecht eine Erklärung, die nennt, mit welchem Dienst Sie versenden und wo die Adressen liegen. Fehlt eines der drei UWG-Elemente, ist der Versand nicht nur angreifbar, sondern nach Art. 23 UWG auf Antrag strafbar.
Die Einwilligung
Nachweisbar heisst: Sie können später zeigen, wann und wie jemand zugestimmt hat. Ein Häkchen ohne Protokoll genügt dafür nicht. Verbreitet und sicher ist das Verfahren mit Bestätigungsmail, bei dem die Anmeldung erst nach einem Klick gültig wird.
Wer Adressen aus einer Kursanmeldung übernimmt, hat damit noch keine Einwilligung für Werbung. Beides gehört getrennt erhoben.
Die Absenderangabe
Jede Werbemail muss erkennen lassen, von wem sie kommt. Name und eine erreichbare Adresse gehören in die Nachricht, nicht nur auf die Website. Das ist der Punkt, den die meisten übersehen, weil er nach Formsache aussieht und trotzdem eine der drei Voraussetzungen von Art. 3 Abs. 1 lit. o UWG ist.
Praktisch heisst das: Absendername statt einer blossen Adresse wie info@, eine Antwortadresse, die jemand liest, und im Fuss der Nachricht die vollständigen Kontaktangaben.
Die Abmeldung
In jeder einzelnen Nachricht, mit einem Klick, ohne Anmeldung und ohne Begründung. Wer die Abmeldung erschwert, verliert nicht nur rechtlich, sondern landet im Spamfilter, weil sich Empfänger dann über den Spam-Knopf wehren.
Die Datenschutzerklärung
Sie muss nennen, welchen Versanddienst Sie einsetzen, in welchem Land dessen Server stehen, welche Daten übermittelt werden und wie lange sie gespeichert bleiben. Bei Anbietern ausserhalb der Schweiz und der EU braucht es zusätzlich eine Grundlage für die Übermittlung.
Das ist der Punkt, an dem die meisten Praxisseiten unvollständig sind.
Der Vertrag mit dem Versanddienst
Wer Adressen bei einem Versanddienst ablegt, macht diesen zum Auftragsbearbeiter nach Art. 9 DSG. Verantwortlich bleiben Sie. Es braucht eine vertragliche Grundlage, der Anbieter darf die Daten nur so bearbeiten, wie Sie es selbst dürften, und er darf Dritte nur mit Ihrer vorgängigen Genehmigung beiziehen. Die grossen Anbieter halten dafür einen Auftragsbearbeitungsvertrag bereit, den man aktiv abschliessen muss. Bei den meisten Konten ist das nie geschehen.
Wer einem Berufsgeheimnis untersteht, prüft zusätzlich Art. 9 Abs. 1 lit. b DSG: Die Übertragung ist unzulässig, wenn eine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht. Eine Newsletter-Liste ohne Krankheitsbezug ist meist unproblematisch. Eine Liste, die sich aus Patientendaten speist, ist es nicht.
Öffnungs– und Klickmessung
Wer misst, wer wann geöffnet hat, bearbeitet Personendaten und muss das offenlegen. Für viele kleine Organisationen ist die Messung den Aufwand nicht wert; ohne sie fällt ein ganzer Abschnitt der Erklärung weg.
Wenn Sie messen, dann bewusst und mit Zweck, nicht weil es voreingestellt war.
Was im Gesundheitsbereich dazukommt
Gesundheitsdaten sind besonders schützenswert. Schon die Tatsache, dass jemand einen Newsletter einer Psychotherapiepraxis bezieht, kann als solche gelten. Das spricht für sparsame Listen, kurze Aufbewahrung und einen Anbieter, dessen Serverstandort Sie kennen.
Daraus folgt zweierlei. Erstens muss die Einwilligung bei besonders schützenswerten Personendaten ausdrücklich sein; ein Häkchen, das den Gesundheitsbezug nicht benennt, genügt nicht. Ob eine reine Newsletter-Liste diese Schwelle erreicht, ist in der Lehre umstritten, und im Zweifel ist die ausdrückliche Formulierung die günstigere Wahl.
Zweitens: Geht die Liste verloren oder gelangt sie in falsche Hände, ist nach Art. 24 DSG eine Meldung an den EDÖB zu prüfen. Massgeblich ist, ob die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Bei einer Liste, aus der sich der Bezug zu einer Psychotherapiepraxis ergibt, ist das nicht auszuschliessen.
Häufige Fragen
Gilt für mich das DSG oder die DSGVO?
Für den Versand selbst gilt in der Schweiz das UWG, für die Bearbeitung der Adressen das revidierte DSG. Sobald Sie Empfängerinnen und Empfänger in der EU haben, kommt die DSGVO dazu. Die Anforderungen überschneiden sich weitgehend, die strengste bestimmt das Vorgehen.
Darf ich bestehende Kundenadressen anschreiben?
Nur wenn vier Bedingungen zusammen erfüllt sind: Sie haben die Adresse beim Verkauf einer eigenen Leistung erhalten, Sie haben schon damals auf die Abmeldemöglichkeit hingewiesen, Sie bewerben eigene ähnliche Leistungen, und jede Nachricht enthält eine kostenlose Abmeldung. Eine Kursanmeldung erfüllt die zweite Bedingung fast nie, weil niemand daran gedacht hat. Dann brauchen Sie eine Einwilligung, und die kostet eine Mail.
Reicht Mailchimp?
Technisch ja. Die Server stehen in den USA. Seit dem 15. September 2024 gelten die USA für Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, als Staat mit angemessenem Datenschutz; für diese braucht es keine zusätzlichen Garantien. Prüfen Sie im DPF-Verzeichnis, ob Ihr Anbieter zertifiziert ist, halten Sie das Prüfdatum fest, und nennen Sie den Anbieter in der Erklärung. Ist er nicht zertifiziert, brauchen Sie Standardvertragsklauseln. Wer die Frage ganz umgehen will, findet europäische und schweizerische Anbieter mit vergleichbarem Funktionsumfang.
Was passiert, wenn ich es falsch mache?
Ein Verstoss gegen Art. 3 Abs. 1 lit. o UWG ist nach Art. 23 UWG auf Antrag strafbar, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Die Sanktionen des Datenschutzgesetzes richten sich zudem in erster Linie gegen die verantwortliche natürliche Person, nicht gegen den Betrieb. Für eine Praxisinhaberin ist genau das der Unterschied, der zählt. In der Praxis passiert meist nichts, bis sich jemand beschwert; im Gesundheitsbereich ist der Vertrauensschaden dann grösser als die rechtliche Folge.
Brauchen wir ein Bearbeitungsverzeichnis?
Die Ausnahme für kleine Unternehmen in Art. 12 Abs. 5 DSG gilt nicht, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden. Ob eine Newsletter-Liste einer Praxis diese Schwelle erreicht, ist offen und in der Lehre umstritten. Ein Verzeichnis anzulegen kostet eine Stunde und beendet die Diskussion.