GDPR与电子邮件营销：正确的同意

GDPR和电子邮件营销：法律要求什么

根据GDPR，您可以向欧盟居民发送营销电子邮件，如果您有合法依据——通常是明确的同意。 同意必须是自愿的、具体的、知情的和明确的，并且您必须记录这一过程。 以下是实践：依据、双重选择加入、记录、退订和保留。

合法依据

对于电子邮件营销，两个第6条的依据是常见的：

• 同意。 冷列表和B2C的默认路径。它需要用户的主动操作。
• 合法利益。有时适用于现有客户（“软选择加入”），但需要进行平衡测试，并始终提供简单的退订选项。

预先勾选的框和“默认同意”是不允许的：同意是一个肯定的行为。

双重选择加入：如何运作

双重选择加入通过电子邮件中的链接确认订阅。 这是证明同意的最佳方式，同时清理您列表中的输入错误或第三方地址。

1. 用户在表单中提交电子邮件（第一步，选择加入）。
2. 您发送一封带有确认链接的电子邮件。
3. 点击链接记录同意：时间、IP、表单文本。

您可以通过YourTrend的API和网络hooks来连接确认流程，以便订阅者状态自动更新。

作为同意证明存储什么

您应该能够提取任何地址的此记录——以防用户或监管机构询问。

退订

退订必须简单，并且可以一键完成，无需登录。 从技术上讲，添加邮箱提供商的头部：

退订列表: <https://example.com/u/abc123>, <mailto:unsub@example.com>
退订列表-后续: 退订列表=一键退订

自2024年起，Gmail和Yahoo要求批量发送者提供一键退订，并期望在两天内处理请求。请在此时间窗口内处理退订请求，切勿在未获得新同意的情况下发送“请回来”的邮件。

数据处理和保留

• 最小化。 仅收集所需字段。额外数据意味着额外风险。
• 处理器协议（DPA）。 您的电子邮件服务提供商作为处理器 — 您需要一个数据处理协议。
• 保留。 不要永久保留地址：根据政策删除不活跃和退订的联系人（例如，直接将退订者移至抑制列表，而不是主数据库）。
• 数据主体权利。 根据请求提供访问、修正和删除。

对于敏感场景，零访问安全邮件 有帮助：操作员无法读取消息内容。

分析和细分

行为细分（打开、点击、购买）是合法的，但对个人有重大影响的自动化分析需要额外的谨慎和透明度。在您的隐私政策中明确说明您收集了哪些数据以及如何用于个性化。措辞越清晰，投诉和索赔的风险就越低。

跨境数据传输

如果欧盟居民的数据在欧洲经济区以外处理，您需要合法的传输机制 — 例如标准合同条款（SCC）或适当性决定。询问您的电子邮件服务提供商数据的实际存储位置及其提供的保障措施。这是选择电子邮件服务时的尽职调查的一部分。

常见违规行为

• 购买列表和没有依据的冷发送；
• 预先勾选的同意框；
• 缺失或阻碍的退订选项；
• 将数据“永远”保存而没有保留限制；
• 捆绑目的：对服务的同意并不等于对营销的同意。

GDPR罚款最高可达2000万欧元或年营业额的4%，但在实践中，系统的数据卫生更为重要——这也提高了投递率，因为干净的列表会减少投诉和退订。

快速常见问题

法律是否要求双重选择加入？ GDPR并没有直接规定，但这是证明同意的最可靠方式，因此建议使用。

我可以给现有客户发邮件吗？ 有时可以——基于合法利益（软选择加入）针对类似产品，始终提供简单的退订选项和权衡测试。

我应该保存同意多久？ 在订阅有效期间加上退订后的合理期限作为证据——但不能无限期保存。

如何开始实施

首先审计当前的表单和收集点：确切了解个人在何处给予同意以及他们在那一刻看到的内容。然后记录每种数据类型的处理目的和保留期限。用简单的语言更新隐私政策，并设置带有证据记录的双重选择加入。最后，测试从点击到实际从邮件中移除的退订流程。这一顺序涵盖了发送第一封邮件之前的核心要求。

检查清单

1. 主动、具体的同意，没有预先勾选的框。
2. 双重选择加入和存储证据。
3. 一键退订和List-Unsubscribe头。
4. 与您的ESP签订的数据处理协议和合理的保留期限。
5. 准备处理数据主体请求。

这不是法律建议——请咨询律师以获取具体信息。但满足这些要点涵盖了大多数常见的GDPR风险。从功能页面上的表单和确认设置开始。