HelloFresh, bekannt für seinen Lebensmittel-Lieferservice, sieht sich in Großbritannien mit einem Bußgeld in Höhe von £140.000 konfrontiert. Diese Strafe wurde von der britischen Datenschutzbehörde, dem Information Commissioner’s Office (ICO), verhängt, nachdem festgestellt wurde, dass HelloFresh über einen Zeitraum von sieben Monaten rund 80 Millionen Spam-Nachrichten versendet hatte.
Eine Untersuchung des ICO ergab, dass von den versendeten Nachrichten, bestehend aus 79 Millionen E-Mails und 1 Million Textnachrichten, die meisten ohne ausdrückliche Zustimmung der Empfänger verschickt wurden. Kunden waren sich nicht bewusst, dass sie in den Erhalt dieser Marketingnachrichten eingewilligt hatten. Besonders problematisch war, dass die Zustimmung zum Versand von Textnachrichten in keiner Weise erwähnt wurde. Bei den E-Mails wurde zwar auf den Erhalt hingewiesen, jedoch war die Zustimmungserklärung in einer Altersbestätigung enthalten, was als unfaire Anreizsetzung angesehen werden könnte.
Das ICO stellte außerdem fest, dass Kunden unzureichend darüber informiert wurden, dass ihre Daten auch bis zu 24 Monate nach Kündigung ihres Abonnements weiterhin für Marketingzwecke verwendet werden könnten. Zudem setzte HelloFresh die Kontaktaufnahme mit einigen Personen fort, auch nachdem diese darum gebeten hatten, keine Nachrichten mehr zu erhalten.
Andy Curry, Leiter der Ermittlungen beim ICO, kommentierte den Fall als „eindeutigen Vertrauensbruch der Öffentlichkeit durch HelloFresh“. Kunden seien nicht genau darüber informiert worden, worin sie einwilligen, und es sei nicht klar gewesen, wie sie sich abmelden können. Daraufhin wurden sie mit einer Flut von unerwünschten Marketing-Texten bombardiert, selbst nachdem sie HelloFresh aufgefordert hatten, dies zu unterlassen.
Wie Retail Gazette berichtet, begannen die Ermittlungen des ICO begannen im letzten März, nachdem fast 9.000 Beschwerden über die Website der Behörde und über den Spam-Reporting-Messaging-Dienst eingegangen waren.
Die Datenschutzbestimmungen bezüglich E-Mail-Werbung in Großbritannien und der EU bzw. Deutschland weisen sowohl Gemeinsamkeiten als auch Unterschiede auf. Nach dem Brexit wurde das EU-GDPR (Allgemeine Datenschutzverordnung) in Großbritannien als UK-GDPR in das britische Recht übernommen. Dies bedeutet, dass Unternehmen in Großbritannien, die Dienstleistungen oder Waren an Personen in der EU anbieten, weiterhin dem EU-GDPR unterliegen. Das UK-GDPR und das EU-GDPR haben sehr ähnliche Bestimmungen, stehen aber als Teil der jeweiligen Rechtsordnungen getrennt voneinander.
In Großbritannien unterliegt das E-Mail-Marketing zwei Gesetzen: dem Datenschutzgesetz von 2018 (Data Protection Act 2018) und der Datenschutzrichtlinie für elektronische Kommunikation (Privacy and Electronic Communication Regulation, PECR). Die PECR deckt die Einwilligung und das Marketing per elektronischer Kommunikation ab, während das GDPR sich damit befasst, wie Unternehmen personenbezogene Daten speichern.
In Deutschland und der EU wird das E-Mail-Marketing ebenfalls durch die GDPR und spezifische nationale Gesetze reguliert. Das GDPR legt fest, dass Organisationen, die personenbezogene Daten von in der EU ansässigen Personen verarbeiten, die GDPR-Anforderungen erfüllen müssen, unabhängig davon, wo sich die Organisation befindet.
Einer der Hauptunterschiede zwischen dem UK-GDPR und dem EU-GDPR besteht in den spezifischen nationalen Anpassungen und Ausführungen. Während das UK-GDPR einige Änderungen erforderte, um im britischen Kontext zu funktionieren, nutzt Deutschland beispielsweise die Öffnungsklauseln des EU-GDPR, um bestimmte Anforderungen an die Datenverarbeitung zu spezifizieren oder einzuschränken.
